NIS2 & NISG 2026: Cybersicherheit für wesentliche und wichtige Einrichtungen
Die zweite EU-Netzwerk- und Informationssicherheitsrichtlinie verpflichtet tausende Unternehmen in der DACH-Region zu Risikomanagement, Meldepflichten und ausdrücklicher Verantwortung der Leitungsebene. Sie wirkt nur über die nationale Umsetzung — in Österreich das NISG 2026, in Deutschland das NIS2UmsuCG.
Eine EU-Richtlinie, zwei nationale Gesetze.
Die Richtlinie (EU) 2022/2555 („NIS2") ersetzt die erste NIS-Richtlinie von 2016 und erweitert den Kreis betroffener Sektoren erheblich: Energie, Transport, Banken, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung und weitere. Betroffene Organisationen werden als „wesentliche" oder „wichtige" Einrichtungen eingestuft — abhängig von Sektor und Größe.
Als Richtlinie entfaltet NIS2 selbst keine unmittelbare Wirkung gegenüber Unternehmen; verbindlich wird sie erst durch nationale Umsetzung. In Österreich erfolgt dies durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), in Deutschland durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Beide Gesetze übernehmen den Kern der Richtlinie, unterscheiden sich aber in Detailfragen, Fristen und der zuständigen Aufsichtsbehörde.
Kern der Pflichten: technische und organisatorische Risikomanagement-Maßnahmen, eine gestaffelte Meldekaskade bei Sicherheitsvorfällen, Registrierungspflicht bei der nationalen Behörde und — vielzitiert — die persönliche Verantwortung der Leitungsebene für die Umsetzung.
Wichtige Stichtage
NIS2-Richtlinie tritt EU-weit in Kraft
Richtlinie (EU) 2022/2555 tritt zwanzig Tage nach Veröffentlichung im Amtsblatt in Kraft; Umsetzungsfrist für die Mitgliedstaaten: 17.10.2024.
NIS2UmsuCG tritt ohne Übergangsfrist in Kraft
Bundestag-Beschluss 13.11.2025, Bundesrat-Zustimmung 20.11.2025, Verkündung im Bundesgesetzblatt 05.12.2025, Inkrafttreten am Folgetag.
NISG 2026 tritt in Kraft
Kundgemacht als BGBl. I Nr. 94/2025; die zentralen Bestimmungen treten mit 01.10.2026 in Kraft.
Registrierungsfrist bei der Behörde
Wesentliche und wichtige Einrichtungen müssen sich gemäß NISG 2026 bei der zuständigen Behörde registrieren.
Selbstdeklaration / Wirksamkeitsnachweis fällig
Betroffene Einrichtungen deklarieren die Wirksamkeit ihrer Risikomanagementmaßnahmen selbst. Datum nach Auslegung der Übergangsbestimmungen — vor verbindlichen Fristen den Gesetzestext prüfen.
Was NIS2 / NISG konkret verlangt.
Risikomanagement-Maßnahmen
Zehn Mindestmaßnahmen nach Art. 21 Abs. 2 NIS2 — in Deutschland § 30 BSIG, in Österreich § 32 NISG 2026 — von Kryptografie und Zugriffskontrolle über Lieferkettensicherheit bis Business-Continuity-Planung.
Meldekaskade
Frühwarnung binnen 24 Stunden, vollständige Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen einem Monat nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls.
Registrierungspflicht
Wesentliche und wichtige Einrichtungen müssen sich bei der nationalen Behörde registrieren und Kontaktdaten, Sektor und Standorte melden.
Pflichten der Leitungsebene
Geschäftsführung und Vorstand müssen die Maßnahmen nach Art. 20 NIS2 umsetzen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen — in Deutschland § 38 BSIG, in Österreich § 31 NISG 2026. Eine eigene Haftungsnorm enthält das NISG 2026 nicht; § 38 Abs. 2 BSIG verweist auf das allgemeine Gesellschaftsrecht.
Lieferkettensicherheit, die sich beweisen lässt.
Compliance und Sicherheit Ihrer Lieferkette — kryptografisch versiegelt, unabhängig prüfbar. Art. 21 Abs. 2 lit. d NIS2 macht die Sicherheit der Lieferkette zur Pflicht — und Art. 21 Abs. 3 verlangt, die Schwachstellen jedes unmittelbaren Anbieters und die Qualität seiner Cybersicherheitspraktiken zu berücksichtigen.
Was das Gesetz verlangt
In Deutschland verlangt § 30 Abs. 2 Nr. 4 BSIG ‚Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern'. In Österreich regelt § 32 Abs. 4 lit. d NISG 2026 dasselbe — das Gesetz tritt am 1. Oktober 2026 in Kraft. Für Betreiber digitaler Infrastruktur (DNS-, Cloud-, Rechenzentrums-, CDN-, MSP/MSSP-Anbieter u. a.) konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Pflicht zusätzlich: ein aktuell gehaltenes Verzeichnis der unmittelbaren Anbieter und Diensteanbieter, inklusive Kontaktpunkten und bezogener IKT-Produkte und -Dienste.
Wie ReportAct sie erfüllt
Das Lieferantenregister führt Kritikalität, Verträge, Herkunftsland und Konzentrationsflag je Anbieter; Sicherheits-Fragebögen werden je Lieferant versendet und beantwortet; die Kontrolle ‚Lieferkettensicherheit' bewertet sich laufend aus der Vollständigkeit der Lieferanten-Due-Diligence — und jeder Stand wird kryptografisch versiegelt.
Einmal nachweisen — mehrfach anrechnen
Dasselbe Register bedient die Lieferkettensicherheit nach NIS2, das IKT-Drittparteirisiko nach DORA und ISO 27001 A.5.19 — ein Nachweis, drei Regime.
Ein Framework-Pack für NIS2 — mit ISO-Brücke.
Das ReportAct Framework-Pack NIS2 bildet die zehn Risikomanagement-Maßnahmen nach Art. 21 Abs. 2 NIS2 als strukturierte Kontrollen ab, trackt die 24/72/30-Meldekaskade automatisch mit Fristenwarnung und führt ein Asset-Register für wesentliche und wichtige Einrichtungen (Annex I/II).
Für die Umsetzungs- und Überwachungspflicht der Leitungsebene stellt ReportAct einen versiegelten Management-Nachweis bereit: Wer welche Maßnahme wann freigegeben hat, ist kryptografisch dokumentiert und unabhängig verifizierbar — ohne ReportAct-Zugang.
Da ISO/IEC 27001 rund 70 % der NIS2-Anforderungen inhaltlich abdeckt, rechnet ReportAct ISO-Controls automatisch auf die NIS2-Anforderungen an — eine Kontrolle, zweifach genutzt, statt doppelter Erfassung.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Hinweis zur Umsetzung in anderen EU-Ländern: Italien hat NIS2 fristgerecht umgesetzt (Oktober 2024); Frankreich und Spanien befanden sich zum Stand dieser Veröffentlichung noch im laufenden Gesetzgebungsverfahren — die EU-Kommission hat gegen mehrere Mitgliedstaaten Vertragsverletzungsverfahren eingeleitet. Prüfen Sie den aktuellen Umsetzungsstand für Ihr Land über den oben verlinkten Tracker. Es gelten unsere AGB.
NIS2 gilt nicht überall gleich. Wählen Sie Ihr Land.
Drei Länder, drei Gesetze, drei Stichtage — und je ein eigener Check. Die Schweiz hat NIS2 nicht umgesetzt; dort gilt das ISG.
NIS2-Nachweis, der hält, was er beweist.
Sie starten sofort auf Ihrem NISG/NIS2-Regime — inklusive Meldekaskaden-Tracker und Nachweis der Leitungsverantwortung.