NIS2 in Österreich: Ist mein Betrieb vom NISG 2026 betroffen?

Was ist NIS2 und was regelt das NISG 2026?

NIS2 ist die Richtlinie (EU) 2022/2555 vom 14. Dezember 2022. Sie verpflichtet Einrichtungen in wichtigen Wirtschaftszweigen zu Risikomanagement in der Cybersicherheit und zur Meldung erheblicher Sicherheitsvorfälle. Die Mitgliedstaaten mussten sie bis 17. Oktober 2024 in nationales Recht umsetzen. In Österreich geschieht das mit dem Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026.

Der Weg dorthin war lang. Ein erster Entwurf, das NISG 2024, fand im Nationalrat am 3. Juli 2024 nicht die nötige Zweidrittelmehrheit für die enthaltenen Verfassungsbestimmungen. Weil die Frist verstrichen war, leitete die EU-Kommission im November 2024 ein Vertragsverletzungsverfahren gegen Österreich ein. Die Bundesregierung legte das NISG 2026 im November 2025 neu vor.

Zuständige Behörde ist das Bundesamt für Cybersicherheit, eine nachgeordnete Dienststelle des Innenministeriums. Die EU-Kommission hat im Jänner 2026 Vereinfachungen der Richtlinie vorgeschlagen. Laut Bundesamt ändert das nichts daran, dass das NISG 2026 gilt und einzuhalten ist.

Fällt mein Betrieb unter das NISG 2026?

Für die meisten Unternehmen entscheiden zwei Fragen: In welchem Sektor sind Sie tätig, und wie groß ist Ihr Betrieb? Wichtig: Die Behörde stuft Sie nicht von sich aus ein. Jedes Unternehmen muss selbst prüfen und das Ergebnis am besten schriftlich festhalten.

1. Prüfen Sie, ob Ihre Tätigkeit in einem der Sektoren der Anlage 1 oder Anlage 2 vorkommt.
2. Ermitteln Sie Beschäftigte, Jahresumsatz und Bilanzsumme laut letztem Rechnungsabschluss.
3. Rechnen Sie Partner- und verbundene Unternehmen nach der KMU-Empfehlung der EU mit ein.
4. Prüfen Sie die Ausnahmen, bei denen die Größe keine Rolle spielt.
5. Dokumentieren Sie das Ergebnis mit Datum und Begründung.

Die 18 Sektoren

Der Sektorname allein reicht nicht. In den Anlagen ist genau beschrieben, welche Arten von Einrichtungen gemeint sind. Bei „Gesundheitswesen“ sind das zum Beispiel Gesundheitsdienstleister im Sinn der EU-Patientenrichtlinie, bei „Verwaltung von IKT-Diensten“ Managed Service Provider und Managed Security Service Provider.

Die Größenschwellen

Beschäftigte zählen in Jahresarbeitseinheiten: Teilzeit wird anteilig gerechnet, Lehrlinge zählen nicht. Laut Bundesamt wirkt sich ein Über- oder Unterschreiten der Schwellen erst aus, wenn es in zwei aufeinanderfolgenden Geschäftsjahren eintritt.

Ausnahmen unabhängig von der Größe

Manche Einrichtungen sind auch als Kleinbetrieb erfasst, etwa qualifizierte Vertrauensdiensteanbieter, Namenregister der Top-Level-Domains, DNS-Diensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste sowie Einrichtungen, die als kritische Einrichtung eingestuft sind. Eine erste Orientierung gibt unser NIS2-Check mit wenigen Fragen, ausführlicher ist der Online-Ratgeber der WKO. Im Zweifel fragen Sie Ihre Anwältin oder Ihren Anwalt.

Wesentlich oder wichtig: Was ist der Unterschied?

Inhaltlich sind die Pflichten für beide Gruppen sehr ähnlich. Der Unterschied liegt vor allem im Strafrahmen. Es gilt jeweils der höhere der beiden Beträge.

Welche Pflichten gelten seit 1. Oktober 2026?

• **Registrierung:** Betroffene Einrichtungen registrieren sich über das Unternehmensserviceportal (USP), spätestens bis 31. Dezember 2026. Wer später unter das Gesetz fällt, hat drei Monate Zeit.
• **Risikomanagement:** geeignete technische, operative und organisatorische Maßnahmen nach § 32 NISG 2026.
• **Leitungsorgane:** Die Geschäftsführung muss das Risikomanagement sicherstellen, überwachen und an eigenen Cybersicherheitsschulungen teilnehmen (§ 31).
• **Schulungen:** Den Beschäftigten sind regelmäßig Schulungen anzubieten.
• **Meldepflicht:** erhebliche Cybersicherheitsvorfälle an das zuständige CSIRT melden (§ 34).
• **Selbstdeklaration:** innerhalb von zwölf Monaten nach Beginn der Registrierungspflicht, laut WKO also bis 30. September 2027 (§ 33).

Die zehn Mindestinhalte des Risikomanagements

1. Risikoanalyse und Sicherheitskonzepte für die IT-Systeme
2. Bewältigung von Sicherheitsvorfällen
3. Betriebskontinuität mit Backup-Management, Wiederherstellung und Krisenmanagement
4. Sicherheit der Lieferkette, also auch der IT-Dienstleister
5. Sicherheit bei Kauf, Entwicklung und Wartung von IT inklusive Umgang mit Schwachstellen
6. Bewertung, ob die Maßnahmen wirken
7. Grundlegende Cyberhygiene und Schulungen
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Verwaltung der Geräte
10. Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

Details sollen per Verordnung folgen (§ 32 Abs. 5). Bis dahin empfiehlt die WKO, sich an der Durchführungsverordnung der EU zu orientieren. Für die Praxis heißt das: Datensicherung mit Test, Mehr-Faktor-Anmeldung, Updates, Notfallplan und Schulungen sind die Grundlage. Wie das im Büro aussieht, zeigen unsere Ratgeber zur Backup-Strategie nach der 3-2-1-Regel und zum Notfallplan bei Ransomware.

Meldefristen bei einem Vorfall

Welche Strafen sieht das NISG 2026 vor?

Die Strafen verhängt die Bezirksverwaltungsbehörde. Leitungsorgane selbst bekommen laut Bundesamt keine Verwaltungsstrafen nach dem NISG 2026. Eine Haftung für Schäden gegenüber dem Unternehmen ist aber möglich. Ob und wie das auf Ihre Geschäftsführung zutrifft, klären Sie bitte mit Ihrer Anwältin oder Ihrem Anwalt.

Mein Büro hat unter 50 Beschäftigte: Betrifft mich das trotzdem?

Direkt meist nicht, indirekt oft schon. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Das Bundesamt nennt als Beispiel ein Unternehmen, das die Klimaanlage im Serverraum eines Krankenhauses wartet. Solche Lieferanten bekommen vertragliche Pflichten. Ein pauschaler Hinweis in den AGB genügt laut Bundesamt nicht, und ein allgemeines NIS2-Zertifikat gibt es nicht.

Typische Anforderungen in Verträgen und Fragebögen sind:

• Mehr-Faktor-Anmeldung für Zugänge zu Systemen des Kunden
• Meldung von Sicherheitsvorfällen innerhalb einer vereinbarten Frist
• Regelmäßige Updates und ein Verfahren für Sicherheitslücken
• Datensicherung mit nachweislichem Wiederherstellungstest
• Benannte Ansprechperson für Informationssicherheit
• Nachweis über Schulungen der Beschäftigten, etwa gegen Phishing im Arbeitsalltag

Was können kleine Betriebe jetzt tun?

1. Betroffenheit prüfen und mit Datum dokumentieren, auch wenn das Ergebnis „nicht betroffen“ lautet.
2. Kundenverträge und Fragebögen sammeln: Wer verlangt bereits Sicherheitsmaßnahmen?
3. Grundschutz umsetzen, wie in unseren zehn Maßnahmen zur IT-Sicherheit für KMU beschrieben.
4. Mehr-Faktor-Anmeldung überall aktivieren, zuerst bei E-Mail und Microsoft 365 mit den richtigen Sicherheitseinstellungen.
5. Passwörter in einen Team-Tresor übertragen, siehe Passwort-Manager und Zwei-Faktor.
6. Eine Person benennen, die für IT-Sicherheit zuständig ist und Vorfälle entgegennimmt.
7. Den aktuellen Stand mit dem IT-Sicherheits-Check für kleine Betriebe einschätzen.

Wobei hilft Astra IT Solutions und wobei nicht?

Wir sind keine Rechtsberatung und keine unabhängige Prüfstelle. Wir helfen bei der technischen Umsetzung: Datensicherung, Mehr-Faktor-Anmeldung, Microsoft 365, Updates und Dokumentation. Der Einstieg ist der IT-Sicherheits-Check um 390 € netto: Konten und Zwei-Faktor, Updates, Virenschutz, Datensicherung, Firewall, Fernzugriffe und Berechtigungen, mit schriftlichem Bericht und Prioritätenliste. Die technische NIS2-Vorbereitung bekommen Sie danach zum Festpreis. Mehr dazu auf unserer Seite zur IT-Sicherheit für kleine Unternehmen. Laufend kümmert sich unser IT-Support für Büros um Updates und die Kontrolle der Sicherungen.

Ihr nächster Schritt: Betroffenheit in fünf Minuten einschätzen

Beantworten Sie die Fragen im NIS2-Check oben und speichern Sie das Ergebnis. Wenn ein Kunde Nachweise verlangt oder Sie unsicher sind, wo Sie technisch stehen, schreiben Sie uns kurz Ihre Situation. Sie bekommen an Werktagen innerhalb von 24 Stunden eine schriftliche Ersteinschätzung.