Umfassender Leitfaden zur Umsetzung des NISG 2026: Erstregistrierung und Selbstdeklaration

Das österreichische Netz- und Informationssystemsicherheitsgesetz (NISG 2026), welches die EU-NIS-2-Richtlinie national umsetzt, ist am 1. Oktober 2026 in Kraft getreten. Die zugehörige Netz- und Informationssystemsicherheitsverordnung (NISV 2026) ist seit dem 2. Oktober 2026 gültig. Das neu geschaffene Bundesamt für Cybersicherheit (BCS) hat als zuständige Cybersicherheitsbehörde seine Arbeit aufgenommen. Für betroffene Unternehmen – also „wesentliche“ und „wichtige“ Einrichtungen – ergeben sich aus dem Gesetz zwei zentrale formale Pflichten nach dem Prinzip der Bringschuld: Die Erstregistrierung und die Selbstdeklaration.

1. Erstregistrierung (§ 29 NISG 2026)

Die Erstregistrierung muss aktiv durch die Unternehmen durchgeführt werden, da im Vorfeld keine behördlichen Aufforderungen versendet werden.

Fristen und Sanktionen

• Die Frist für die Erstregistrierung endet grundsätzlich am 31. Dezember 2026.
• Aufgrund von Feiertagen und Wochenenden endet die Frist beim BCS formal erst am 4. Jänner 2027.
• Änderungen müssen fristgerecht nachgemeldet werden: Kontakt- und Sektordaten binnen zwei Wochen, Änderungen bei der Niederlassung und Größeneinstufung innerhalb von drei Monaten.
• Bei Nichtregistrierung drohen Geldstrafen bis zu 50.000 Euro, im Wiederholungsfall sogar bis zu 100.000 Euro.

Zwingend benötigte Angaben

Die Registrierung erfolgt elektronisch über das Unternehmensserviceportal (USP) in der speziellen Anwendung „NIS2-Services“. Folgende Daten müssen exakt angegeben werden:

• Der Name der Einrichtung (Firmenwortlaut). Rechtsform und Firmenbuchnummer nennt § 29 Abs. 2 nicht, sie sollten aber für das Formular bereitliegen.
• Die Anschrift inklusive Hauptniederlassung und sonstiger Niederlassungen in anderen EU-Mitgliedstaaten, in denen das Unternehmen Dienste erbringt.
• Die exakte Einordnung in den betroffenen Sektor und Teilsektor (z. B. Gesundheit, Energie, IT) gemäß Anlage 1 oder Anlage 2 des NISG 2026.
• Die Selbsteinstufung als wesentliche oder wichtige Einrichtung, inklusive Angaben zu den Schwellenwerten.
• Aktuelle Kontaktdaten wie E-Mail-Adresse und Telefonnummer. Eine rund um die Uhr (24/7) erreichbare Kontaktstelle für Cybersicherheit ist keine gesetzlich genannte Registrierungsangabe, für den Meldeprozess gegenüber Behörde und CSIRT aber dringend empfehlenswert.
• Öffentliche Netzwerkidentifikatoren, also nach außen sichtbare, statische IP-Adressbereiche und Domainnamen des Unternehmens.
• Ein USP-Konto mit einem explizit zugeordneten Verfahrensrecht für das Service, welches durch den USP-Administrator vergeben wird.

Hilfreiche Vorarbeiten

• Eine schriftlich dokumentierte Betroffenheitsanalyse pro Gesellschaft (inklusive Partner- und verbundener Unternehmen) zur Klärung der Größeneinstufung und Sektor-Zuordnung.
• Eine ganzheitliche Konzernbetrachtung bei komplexen Strukturen, da Beteiligungen ab 25 % angerechnet werden. Es gibt jedoch keine Konzernregistrierung, jede betroffene Gesellschaft muss sich einzeln registrieren.
• Die Einrichtung einer funktionalen Kontaktadresse (z. B. ein Security-Postfach) anstelle einer personengebundenen Adresse, um der zweiwöchigen Änderungspflicht bei Personalwechseln vorzubeugen.
• Die frühzeitige Klärung des internen USP-Zugangs (z. B. via ID Austria) und der Administratorenrechte.

Ablauf und Dauer

• Schritt 1: Betroffenheit und Einstufung je Gesellschaft intern prüfen, dokumentieren und gegebenenfalls rechtlich abklären.
• Schritt 2: USP-Zugang und Rechtevergabe für die Anwendung „NIS2 Services“ sicherstellen.
• Schritt 3: Alle benötigten Pflichtangaben wie Stammdaten, IP-Ranges und Kontaktdaten zusammentragen.
• Schritt 4: Das Modul im USP öffnen, das Formular ausfüllen und übermitteln.
• Schritt 5: Die Übermittlungsbestätigung archivieren und intern einen Verantwortlichen für künftige Datenaktualisierungen festlegen.
• Dauer: Die reine Eingabe der Daten im Portal dauert ca. 15 bis 90 Minuten. Die Vorarbeiten, insbesondere die Klärung von Betroffenheit und USP-Berechtigungen, können jedoch mehrere Tage bis Wochen beanspruchen.

2. Selbstdeklaration (§ 33 Abs. 1 NISG 2026)

Bei der Selbstdeklaration übermitteln Unternehmen in strukturierter Form Informationen zu den umgesetzten Risikomanagementmaßnahmen. Laut Behörde dient sie als Indikation zum Umsetzungsstand und ersetzt keine Prüfung; der eigentliche Nachweis erfolgt über den späteren Prüfbericht.

Fristen und Sanktionen

• Die Frist zur Übermittlung der Selbstdeklaration endet am 30. September 2027.
• Ein Nicht-Abgeben der Selbstdeklaration unterliegt demselben Strafrahmen wie die Nichtregistrierung (bis 50.000 Euro bzw. 100.000 Euro).
• Ab dem 1. Oktober 2028 kann das BCS zusätzlich einen detaillierten Prüfbericht einer unabhängigen Stelle verlangen.
• Bei dieser späteren Prüfung haben wesentliche Einrichtungen für den operativ-organisatorischen Teil zwei Monate und für den technischen Teil zwei Jahre Zeit, während wichtige Einrichtungen für beide Teile zwei Jahre Zeit haben und nur bei begründeten Verdachtsmomenten geprüft werden.

Zwingend benötigte Inhalte

• Es muss ein strukturierter Fragebogen der Behörde über das USP ausgefüllt werden, der den Umsetzungsstand der Maßnahmen abfragt.
• Die zugrundeliegende Risikoanalyse muss mindestens vier Kategorien umfassen: technologische Risiken, menschliche Risiken, Risiken der IKT-Lieferkette sowie standortbezogene Risiken.
• Zu den abgefragten Kernmaßnahmen zählen unter anderem Backup-Management, Notfallplanung (Business Continuity), Incident Response, Lieferkettensicherheit, Schwachstellenmanagement, Multi-Faktor-Authentifizierung (MFA) und Schulungen.
• Die umgesetzten Maßnahmen müssen formell durch das Leitungsorgan (z. B. die Geschäftsführung) gebilligt und freigegeben werden. Das Leitungsorgan haftet persönlich für die Umsetzung und muss nachweislich eigene Cybersicherheitsschulungen absolviert haben.

Hilfreiche Vorarbeiten

• Ein detailliertes Inventar der genutzten Netz- und Informationssysteme (Assets) sowie ein Lieferanteninventar samt Sicherheitsbewertung.
• Eine detaillierte Gap-Analyse gegen den NISV-Maßnahmenkatalog bzw. den Anhang der DVO 2024/2690 zur Identifikation und Schließung von Lücken.
• Ein dokumentierter Risikobehandlungsplan, in dem auch kompensierende Maßnahmen festgehalten sind, falls bestimmte Vorgaben nicht direkt erfüllbar sind.
• Ein funktionierendes Informationssicherheits-Managementsystem (ISMS) sowie ein sauberer Nachweisordner je Maßnahmenbereich für die spätere Prüfbarkeit.

Ablauf und Dauer

• Schritt 1: Durchführung der Gap-Analyse und Erstellung von System- und Lieferanteninventaren.
• Schritt 2: Erstellung der Risikoanalyse, Umsetzung technischer Maßnahmen und Dokumentation aller Prozesse.
• Schritt 3: Einholung der formellen Freigabe durch die Geschäftsleitung.
• Schritt 4: Ausfüllen des strukturierten Fragebogens der Cybersicherheitsbehörde im USP und anschließendes rechtsverbindliches Absenden.
• Schritt 5: Prüfungsfestes Archivieren der Nachweise und Sicherstellung eines kontinuierlichen Nachweisprozesses für zukünftige Prüfungen.
• Dauer: Das reine Ausfüllen der Deklaration im USP dauert einige Stunden bis zu maximal fünf Arbeitstagen. Die Vorarbeiten dauern ohne bestehendes ISMS realistisch zwischen 4 und 18 Monaten. Mit einem bestehenden, gelebten ISMS reduziert sich der Aufwand auf ein Lückenschluss-Projekt von etwa 4 Wochen bis 3 Monaten.

3. Rolle von Zertifizierungen (ISO 27001 & Cyber Trust Austria Platinum)

Gängige Zertifizierungen reduzieren den Aufwand für die Selbstdeklaration erheblich, sie ersetzen jedoch nicht die formale Notwendigkeit zur Eingabe im USP.

ISO 27001

• Ein voll funktionierendes ISMS nach ISO 27001 deckt erfahrungsgemäß einen Großteil der NIS-2-Anforderungen ab. Die Themen Risikoanalyse, SoA sowie Asset- und Lieferantenmanagement sind damit oft schon weitgehend abgedeckt.
• Typische Lücken (Deltas) bestehen noch bei den sehr strengen gesetzlichen Meldefristen (24 Stunden Frühwarnung, 72 Stunden Detailmeldung), bei Detailvorgaben der DVO zur Lieferkette sowie der expliziten Schulungspflicht der Leitungsorgane.
• Ein wesentlicher formaler Vorteil zeigt sich bei der behördlichen Überprüfung ab 2028: Gültige ISO-27001-Zertifikate können den operativen und organisatorischen Teil der Prüfung nachweislich abdecken, vorausgesetzt, der Scope des Zertifikats erfasst die gesamte NIS-relevante Einrichtung.

Cyber Trust Austria Platinum

• Dieses nationale Gütesiegel basiert auf den Anforderungen der DVO 2024/2690, die über die NISV 2026 für alle NISG-Einrichtungen gilt. Dass es als Nachweis nach § 33 NISG 2026 verwendbar ist, ist eine Aussage des Anbieters.
• Es bewertet strukturierte Fragen als validierte Selbstdeklaration und eignet sich daher hervorragend als Vorbereitung und Generalprobe für die behördliche Eingabe.
• Im Gegensatz zur ISO 27001 ist derzeit jedoch nicht gesichert oder von der Behörde bestätigt, ob dieses spezifische Label bei einer künftigen Überprüfung als gleichwertiger formeller Zertifikatsnachweis anerkannt wird.

4. Kompakter Zeitplan

• Jetzt bis Mitte Dezember 2026: Die Betroffenheit final dokumentieren, den USP-Zugang klären und die Erstregistrierung im Portal abschließen.
• Q4 2026 bis Q1 2027: Die interne Gap-Analyse durchführen, Systeminventare aufbauen und umfassende Risikoanalysen erstellen.
• Q1 bis Q3 2027: Lückenschluss der Maßnahmen vorantreiben, Nachweisordner anlegen und das Formular intern vorbereiten.
• Bis spätestens 30. September 2027: Die Selbstdeklaration über das bereitgestellte Formular verbindlich übermitteln.
• Ab dem 1. Oktober 2028: Darauf vorbereitet sein, im Falle einer behördlichen Aufforderung zeitnah einen externen Prüfbericht vorzulegen.

Quellen

• Bundesamt für Cybersicherheit – Registrierung
• BCS FAQ – Registrierung
• BCS FAQ – Nachweise
• BCS – Überprüfung durch unabhängige Stellen
• BCS – Risikomanagementmaßnahmen
• NISV 2026, BGBl. II Nr. 290/2026
• § 33 NISG 2026
• USP – Registrierung NIS-Gesetz unterliegender Unternehmen
• Cyber Trust Austria
• Fabasoft – Cyber Trust Platinum Label
• SECJUR – NISG 2026