Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) hat der österreichische Nationalrat die europäische NIS-2-Richtlinie (EU 2022/2555) in nationales Recht überführt. Das Gesetz wurde am 23. Dezember 2025 kundgemacht und tritt am 1. Oktober 2026 in Kraft – unter gleichzeitigem Außerkrafttreten des bisherigen NISG 2018. Rund 4.000 Unternehmen und Organisationen in Österreich fallen künftig unter das Cybersicherheitsregime.
Die organisatorischen und technischen Nachweispflichten steigen spürbar, und für Geschäftsleitungen gelten präzise definierte Aufsichts- und Sorgfaltsregeln. Wer rechtzeitig handelt, sichert die operative Handlungsfähigkeit seines Unternehmens und etabliert ein belastbares Sicherheitsfundament.
Wer ist vom NISG 2026 betroffen? (Sektoren und Schwellenwerte)
Das NISG 2026 differenziert zwischen wesentlichen Einrichtungen und wichtigen Einrichtungen. Die Einstufung erfolgt primär über eine Kombination aus Sektor und Unternehmensgröße:
Die Schwellenwerte nach § 25 NISG 2026
- Große Unternehmen: Mindestens 250 Mitarbeiter oder ein Jahresumsatz von mehr als 50 Millionen Euro und gleichzeitig eine Bilanzsumme von mehr als 43 Millionen Euro.
- Mittlere Unternehmen: Mindestens 50 Mitarbeiter oder ein Jahresumsatz von mehr als 10 Millionen Euro und gleichzeitig eine Bilanzsumme von mehr als 10 Millionen Euro – sofern nicht bereits die Kriterien eines Großunternehmens erfüllt sind.
(Wichtig für die Praxis: Ein Betrieb mit 80 Mitarbeitern ist bereits mittelgroß, ohne dass es auf den Umsatz ankommt. Umgekehrt können auch Unternehmen mit weniger als 50 Mitarbeitern erfasst sein, wenn sowohl Umsatz als auch Bilanzsumme jeweils 10 Millionen Euro übersteigen.)
Konzernbetrachtung und österreichische Ausnahme (§ 25 Abs. 3 NISG 2026): Grundsätzlich sind Mitarbeiterzahlen und Finanzdaten von Partner- und verbundenen Unternehmen gemäß den KMU-Kriterien der EU anteilig bzw. voll zuzurechnen. Die Zurechnung entfällt jedoch nach § 25 Abs. 3 NISG 2026, wenn das Unternehmen nachweist, dass es von seinen Partner- oder verbundenen Unternehmen hinsichtlich seiner Netz- und Informationssysteme organisatorisch, technisch und operativ völlig unabhängig ist.
Einstufung in wesentliche und wichtige Einrichtungen
- Wesentliche Einrichtungen:
- Großunternehmen in den Sektoren mit hoher Kritizität (Anhang I).
- Mittlere und große Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste.
- Größenunabhängig bzw. spezifisch erfasste Einrichtungen: Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Namenregister (TLD), DNS-Diensteanbieter sowie behördlich als kritisch designierte Einrichtungen (z. B. Alleinanbieter mit systemischer Bedeutung).
- Öffentliche Verwaltung: Einrichtungen der öffentlichen Verwaltung auf Bundesebene gelten grundsätzlich als wesentliche Einrichtungen.
- Wichtige Einrichtungen:
- Mittlere Unternehmen in den Sektoren mit hoher Kritizität (Anhang I) (z. B. ein mittelgroßer Energieversorger oder Krankenhausträger mit 120 Mitarbeitern ist grundsätzlich eine wichtige, keine wesentliche Einrichtung).
- Mittlere und große Unternehmen in den sonstigen kritischen Sektoren (Anhang II).
- Kleine Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste.
- Nichtqualifizierte Vertrauensdiensteanbieter.
- Öffentliche Verwaltung: Einrichtungen der öffentlichen Verwaltung auf Landesebene gelten grundsätzlich als wichtige Einrichtungen.
Kompetenzverteilung bei der öffentlichen Verwaltung: Gemäß den verfassungsrechtlichen Bestimmungen des NISG 2026 fallen Bundesministerien und oberste Organe unmittelbar unter das Bundesregime (grundsätzlich als wesentliche Einrichtungen). Für Einrichtungen der Landes- und Gemeindeverwaltungen verbleibt die Gesetzgebungs- und Vollziehungskompetenz zur Cybersicherheit im Rahmen der bundesstaatlichen Kompetenzverteilung (Art. 10/15 B-VG) bei den Bundesländern, die für ihren Bereich eigenständige Landesgesetze erlassen.
Sektoren mit hoher Kritizität (Anhang I)
- Energie: Elektrizität, Fernwärme und Fernkälte, Erdöl, Erdgas sowie Wasserstoff.
- Verkehr & Logistik: Luft-, Schienen-, Schifffahrts- und Straßenverkehr.
- Bankwesen & Finanzmarktinfrastrukturen: Kreditinstitute, Betreiber von Handelsplätzen sowie zentrale Gegenparteien (CCPs) (vorbehaltlich vorrangiger DORA-Bestimmungen).
- Gesundheitswesen: Krankenanstalten, EU-Referenzlaboratorien, pharmazeutische Forschung und Herstellung sowie Hersteller von Medizinprodukten, die in gesundheitlichen Notlagen als kritisch eingestuft sind.
- Trinkwasser & Abwasser: Wasserversorger und Abwasserentsorger.
- Digitale Infrastruktur & elektronische Kommunikation: Internet-Knoten (IXP), DNS-Dienste, TLD-Register, Cloud-Computing-Dienste, Rechenzentren, Content Delivery Networks (CDNs), Vertrauensdienste sowie Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher elektronischer Kommunikationsdienste.
- Verwaltung von IKT-Diensten (B2B): Managed Service Provider (MSP) und Managed Security Service Provider (MSSP).
- Öffentliche Verwaltung: Zentralstaatliche und regionale Verwaltungsstellen.
- Weltraum: Betreiber bodengestützter Infrastrukturen zur Erbringung weltraumgestützter Dienste.
Sonstige kritische Sektoren (Anhang II)
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemie: Herstellung, Produktion und Vertrieb von Stoffen und Gemischen.
- Lebensmittel: Produktion, Verarbeitung und Vertrieb von Lebensmitteln im Großhandel und industriellen Maßstab.
- Verarbeitendes Gewerbe: Spezifisch erfasst sind die Herstellung von Medizinprodukten und In-vitro-Diagnostika, Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteilen sowie sonstiger Fahrzeugbau.
- Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschungseinrichtungen (ohne Bildungseinrichtungen).
Lieferkettenrelevanz für KMU: Auch Betriebe, die unterhalb der Größenschwellen liegen, sind häufig indirekt betroffen: Regulierte Einrichtungen sind verpflichtet, ihre Zulieferer und Dienstleister vertraglich und sicherheitstechnisch zu überprüfen.
Die 10 gesetzlichen Risikomanagement-Bereiche (§ 32 Abs. 4 lit. a–j NISG 2026)
Betroffene Einrichtungen müssen geeignete und verhältnismäßige technische und organisatorische Maßnahmen nach dem Stand der Technik treffen. § 32 Abs. 4 lit. a–j NISG 2026 legt zehn verbindliche Mindestbereiche fest (die in der Praxis durch konkrete Kontrollen operationalisiert werden):
| § 32 Abs. 4 | Gesetzlicher Maßnahmenbereich | Typische Umsetzungsmöglichkeiten (Praxisbeispiele) |
|---|---|---|
| lit. a | Risikoanalyse & Sicherheitskonzepte | Systematische Risikoanalyse, Bedrohungsmodellierung und dokumentierte Sicherheitskonzepte für Netz- und Informationssysteme. |
| lit. b | Bewältigung von Sicherheitsvorfällen | Prozesse und Rollen zur frühzeitigen Erkennung, Meldung, Analyse, Eindämmung und Behebung von Vorfällen (Incident Handling). |
| lit. c | Aufrechterhaltung des Betriebs (BCM) | Business Continuity Management, Backup-Management, Wiederherstellung nach einem Notfall und Krisenorganisation. |
| lit. d | Sicherheit der Lieferkette | Sicherheitsbezogene Kriterien für die Auswahl, vertragliche Bindung und risikobasierte Überprüfung unmittelbarer Anbieter und IT-Dienstleister. |
| lit. e | Sicherheit bei Erwerb, Entwicklung & Wartung | Sichere Entwicklungsprozesse, Systemhärtung, Patch-Routinen sowie systematisches Management und Offenlegung von Schwachstellen. |
| lit. f | Wirksamkeitsprüfung (Audits & Tests) | Konzepte und Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit von Risikomaßnahmen (z. B. Vulnerability-Scans, Audits). |
| lit. g | Cyberhygiene & Schulungen | Grundlegende Cyberhygiene-Praktiken (Passwortregeln, Updates) sowie ein ausdrücklich regelmäßiges Schulungsangebot für Mitarbeiter. |
| lit. h | Kryptografie & Verschlüsselung | Konzepte und Verfahren für den standort- und anwendungsadäquaten Einsatz von Kryptografie und Datenverschlüsselung. |
| lit. i | Personalsicherheit, Zugriffssteuerung & Asset Management | Geregelte On- und Offboarding-Prozesse, Least-Privilege-Zugriffskontrollen sowie strukturierte Verwaltung von IT-Anlagen (Asset Management). |
| lit. j | MFA & gesicherte Kommunikation | Einsatz von Multi-Faktor-Authentifizierung (MFA) oder kontinuierlicher Authentifizierung sowie gesicherte Sprach-, Video- und Notfallkommunikation. |
Gesetzliche Meldefristen bei Sicherheitsvorfällen (§ 34 ff. NISG 2026)
Bei erheblichen Sicherheitsvorfällen gilt eine gestaffelte Meldepflicht. Meldungen sind vorrangig an das zuständige sektorspezifische CSIRT (z. B. im Gesundheitswesen an das Austrian HealthCERT) und ersatzweise an das nationale CSIRT zu richten:
- Innerhalb von 24 Stunden ab Kenntnisnahme: Frühwarnmeldung mit erster Einschätzung, ob der Vorfall auf mutmaßlich rechtswidrige Handlungen zurückzuführen ist und grenzüberschreitende Auswirkungen haben könnte. (Für Vertrauensdiensteanbieter gilt eine besondere verkürzte Frist zur Vorfallsmeldung binnen 24 Stunden.)
- Innerhalb von 72 Stunden ab Kenntnisnahme: Detaillierte Vorfallsmeldung mit Bewertung des Schweregrads, den Auswirkungen und bereits eingeleiteten Gegenmaßnahmen.
- Zwischenbericht: Auf formelles Ersuchen des CSIRT bei andauernder Bewältigung.
- Fortschrittsbericht: Dauert die Vorfallsbehandlung zum Zeitpunkt der regulären Abschlussberichtsfrist noch an, ist ein Zwischen- bzw. Fortschrittsbericht zu übermitteln.
- Abschlussbericht: Grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung fällig. Dauert die Bewältigung länger an, folgt der Abschlussbericht spätestens einen Monat nach endgültiger Vorfallsbehebung.
- Kundeninformation (§ 34 Abs. 3 NISG 2026): Beeinträchtigt ein erheblicher Sicherheitsvorfall die Erbringung des Dienstes, sind die betroffenen Empfänger unverzüglich über den Vorfall sowie über mögliche Schutz- und Abhilfemaßnahmen zu unterrichten. (Hinweis: § 36 NISG 2026 regelt im Unterschied dazu Vereinbarungen zum vertraulichen Informationsaustausch.)
Pflichten und Sorgfaltsmaßstab der Leitungsorgane (§ 31 NISG 2026)
Gemäß § 31 NISG 2026 tragen die Leitungsorgane (Geschäftsführer, Vorstände) die oberste Führungsverantwortung:
- Sie müssen die Umsetzung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen.
- Sie sind verpflichtet, an spezifisch gestalteten Cybersicherheitsschulungen teilzunehmen, um die erforderlichen Kenntnisse zur Erkennung und Bewertung von Cyber-Risiken zu erwerben. (Das gesetzliche Attribut „regelmäßig“ bezieht sich in § 32 Abs. 4 lit. g auf das Schulungsangebot für Arbeitnehmer; kontinuierliche Weiterbildungen für die Geschäftsleitung sind fachlich dringend ratsam, aber gesetzlich kein starrer Stundenturnus.)
Haftung und aufsichtsrechtliche Sanktionen
- Unternehmensstrafen: Verwaltungsstrafen bei Verstößen richten sich primär gegen die Einrichtung. Bei wesentlichen Einrichtungen drohen bis zu 10 Millionen Euro oder 2 % des weltweiten Vorjahresumsatzes; bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 % des weltweiten Vorjahresumsatzes (jeweils der höhere Betrag).
- Zivilrechtliche Innenhaftung: Verletzt ein Leitungsorgan seine gesetzlichen Aufsichts- und Organisationspflichten schuldhaft, haftet es der Gesellschaft gegenüber für daraus entstehende Vermögensschäden nach den allgemeinen gesellschaftsrechtlichen Grundsätzen (§ 25 GmbHG, § 84 AktG).
- Tätigkeitsverbot: Bei wesentlichen Einrichtungen kann die Cybersicherheitsbehörde bei schwerwiegenden, fortdauernden Pflichtverletzungen die vorübergehende Untersagung der Ausübung von Leitungsfunktionen anordnen (gilt nicht für öffentliche Einrichtungen).
Wesentliche Stichtage und behördliche Prüfpfade
- 1. Oktober 2026 (§ 51 NISG 2026): Inkrafttreten des NISG 2026 und Anwendbarkeit der Pflichten für Leitungsorgane (§ 31).
- Bis 31. Dezember 2026 (innerhalb von 3 Monaten ab Inkrafttreten): Verpflichtende Registrierung aller bereits betroffenen Einrichtungen beim Bundesamt für Cybersicherheit (später hinzukommende Einrichtungen registrieren sich binnen drei Monaten nach Erfüllung der Betroffenheitskriterien).
- Bis 30. September 2027 (innerhalb von 12 Monaten ab Inkrafttreten, § 33 Abs. 1 NISG 2026): Erstmalige Übermittlung der Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen für bereits zum 1. Oktober 2026 betroffene Einrichtungen (später registrierte Einrichtungen übermitteln diese jeweils binnen zwölf Monaten nach ihrer Registrierung).
- Laufende behördliche Aufsicht (§ 38 NISG 2026): Unabhängig von Übergangsfristen verfügt die Cybersicherheitsbehörde ab Inkrafttreten über umfassende Aufsichts-, Prüf- und Anordnungsbefugnisse (insbesondere anlassbezogen nach Vorfällen oder bei begründetem Verdacht).
- Besonderes Nachweisverfahren (§ 33 Abs. 2 NISG 2026 ab Oktober 2028): Wesentliche Einrichtungen können frühestens zwei Jahre nach Inkrafttreten erstmalig behördlich aufgefordert werden, einen gesonderten Nachweis (z. B. durch ein qualifiziertes Audit oder eine behördliche Sicherheitsüberprüfung) über die wirksame Umsetzung ihrer Risikomanagementmaßnahmen vorzulegen; für die Beseitigung dabei festgestellter Mängel setzt die Behörde gesonderte verbindliche Fristen.
Der 3-Stufen-Fahrplan zur NISG 2026 Compliance
- Stufe 1: Betroffenheits- und Relevanzprüfung: Eindeutige Einordnung nach Sektor, Mitarbeiterzahl und Finanzschwellenwerten sowie Analyse der vertraglichen Lieferkettenanforderungen.
- Stufe 2: GAP-Audit & Roadmap: Systematischer Soll-Ist-Abgleich gegen die 10 Maßnahmenbereiche des § 32 NISG 2026 und Definition eines priorisierten 90-Tage-Fahrplans.
- Stufe 3: Governance & CISO-Begleitung: Begleitung bei Richtlinienerstellung, Incident-Response-Workflows und Schulungskonzepten – als externe Instanz im Vier-Augen-Prinzip ohne Beeinträchtigung des operativen IT-Tagesgeschäfts.
Benötigen Sie Klarheit über Ihre Betroffenheit nach dem NISG 2026?
Authenta unterstützt Geschäftsleitungen und IT-Verantwortliche mit standardisierten Relevanzprüfungen, initialen GAP-Audits und ganzheitlicher CISO-Begleitung.