NISG 2026: Was ab 1. Oktober 2026 in Österreich gilt

Woher das Gesetz kommt

Die Richtlinie (EU) 2022/2555 („NIS2") gilt seit Januar 2023, wirkt gegenüber Unternehmen aber erst über die nationale Umsetzung. In Österreich ist das das NISG 2026, kundgemacht als BGBl. I Nr. 94/2025 am 23. Dezember 2025. Deutschland hat das NIS2UmsuCG seit 6. Dezember 2025 in Kraft, ohne Übergangsfrist.

Das NISG 2026 erfasst 18 Sektoren und unterscheidet wesentliche und wichtige Einrichtungen. Ob Sie betroffen sind, entscheidet zuerst Ihr Sektor, erst danach Ihre Größe (§ 24, § 25). Die Größenschwellen sind oder-verknüpft: ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz und Bilanzsumme liegt man im Anwendungsbereich; ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme kann in einem Sektor hoher Kritikalität die wesentliche Einrichtung erreicht sein. Einige Dienste — etwa DNS-Diensteanbieter oder Vertrauensdiensteanbieter — sind größenunabhängig erfasst.

Die Stichtage

• 1. Oktober 2026 — die Pflichten des NISG 2026 gelten.
• bis 31. Dezember 2026 — Registrierung bei der zuständigen Behörde, drei Monate ab Inkrafttreten (§ 29 Abs. 3).
• 12 Monate — Selbstdeklaration über die Wirksamkeit der Maßnahmen (§ 33 Abs. 1), nach unserer Lesart also rund um den 30. September 2027. Vor verbindlichen Fristen den Gesetzestext prüfen.

Die Meldekaskade

Bei einem erheblichen Sicherheitsvorfall läuft eine Frist. Adressat ist das zuständige CSIRT, nicht die Behörde (§ 34):

• 24 Stunden nach Kenntnis: Frühwarnung.
• 72 Stunden: Vorfallsmeldung mit Erstbewertung.
• 1 Monat nach der Meldung: Abschlussbericht.

Ob ein Vorfall erheblich ist, verlangt eine Prüfung nach § 35 — drei Tatbestände in Abs. 1, sechs Beurteilungskriterien in Abs. 2. Dokumentieren Sie sie auch bei dem Ergebnis „nicht meldepflichtig": § 39 Abs. 7 Z 1 lit. b führt die unterlassene Meldung als stets schweren Verstoß, und ohne Prüfung lässt sich die berechtigte Nichtmeldung nicht belegen.

Was die Leitungsorgane trifft

§ 31 NISG 2026 verpflichtet Geschäftsführung und Vorstand, die Umsetzung der Risikomanagement-Maßnahmen sicherzustellen und zu überwachen — und selbst an Cybersicherheitsschulungen teilzunehmen. Eine eigene Haftungsnorm enthält das NISG 2026 nicht. Kommt eine wesentliche Einrichtung einem Bescheid nicht nach, kann die Behörde Leitungsorganen die Ausübung von Leitungsfunktionen vorübergehend untersagen und das im Firmenbuch eintragen lassen (§ 39 Abs. 4 Z 2).

Die Maßnahmen selbst

§ 32 NISG 2026 übernimmt die zehn Mindestmaßnahmen aus Art. 21 Abs. 2 NIS2: Risikoanalyse, Vorfallbehandlung, Backup und Wiederherstellung, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Schulung und weitere. Zwei Punkte im Besonderen:

• Lieferkette (§ 32 Abs. 4 lit. d): Die Sicherheit der Lieferkette ist Pflicht; die Selbstdeklaration nach § 33 nimmt ausdrücklich auf sie Bezug. Zulieferer, die selbst nicht erfasst sind, erhalten die Anforderung vertraglich: als Sicherheitsfragebogen, Auditrecht oder Meldeklausel.
• Vier Schutzziele (§ 3 Z 2): Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit. Wer nach BSI-Standard 200-2 mit drei Zielen arbeitet, sollte die Authentizität gesondert bewerten.

Zwei Sonderfälle für IT-Dienstleister

„Verwaltung von IKT-Diensten (B2B)" ist ein eigener Sektor der Anlage 1 — MSPs und MSSPs fallen damit häufig aus eigenem Recht unter das Gesetz. Nach § 24 Abs. 8 unterliegen auch IKT-Drittdienstleister im Sinne von Art. 3 Z 23 DORA dem NISG 2026. Wer beides ausschließt, sollte das belegen können.

Die Wirtschaftskammer Österreich führt unter wko.at/nis einen laufend aktualisierten Überblick. Gesetzestext und Primärquellen: unsere NIS2-Regulierungsseite.