NIS2 & NISG 2026: Cybersicherheit für wesentliche und wichtige Einrichtungen
Die zweite EU-Netzwerk- und Informationssicherheitsrichtlinie verpflichtet tausende Unternehmen in der DACH-Region zu Risikomanagement, Meldepflichten und Verantwortung der Leitungsebene. Sie wirkt nur über die nationale Umsetzung: in Österreich das NISG 2026, in Deutschland das NIS2UmsuCG.
Eine EU-Richtlinie, zwei nationale Gesetze.
Die Richtlinie (EU) 2022/2555 („NIS2") ersetzt die erste NIS-Richtlinie von 2016 und erweitert den Kreis der Sektoren erheblich: Energie, Transport, Banken, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung und weitere. Betroffene Organisationen gelten je nach Sektor und Größe als „wesentliche" oder „wichtige" Einrichtungen.
Als Richtlinie wirkt NIS2 nicht unmittelbar gegenüber Unternehmen, sondern erst durch nationale Umsetzung. In Österreich erfolgt sie durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), in Deutschland durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Beide übernehmen den Kern der Richtlinie, unterscheiden sich aber in Details, Fristen und zuständiger Aufsichtsbehörde.
Kern der Pflichten: technische und organisatorische Risikomanagement-Maßnahmen, eine gestaffelte Meldekaskade bei Sicherheitsvorfällen, Registrierungspflicht bei der nationalen Behörde und die persönliche Verantwortung der Leitungsebene.
Wichtige Stichtage
NIS2-Richtlinie tritt EU-weit in Kraft
Richtlinie (EU) 2022/2555 tritt zwanzig Tage nach Veröffentlichung im Amtsblatt in Kraft; Umsetzungsfrist für die Mitgliedstaaten: 17.10.2024.
NIS2UmsuCG tritt ohne Übergangsfrist in Kraft
Bundestag-Beschluss 13.11.2025, Bundesrat-Zustimmung 20.11.2025, Verkündung im Bundesgesetzblatt 05.12.2025, Inkrafttreten am Folgetag.
NISG 2026 tritt in Kraft
Kundgemacht als BGBl. I Nr. 94/2025; die zentralen Bestimmungen treten mit 01.10.2026 in Kraft.
Registrierungsfrist bei der Behörde
Wesentliche und wichtige Einrichtungen müssen sich gemäß NISG 2026 bei der zuständigen Behörde registrieren.
Selbstdeklaration / Wirksamkeitsnachweis fällig
Betroffene Einrichtungen deklarieren die Wirksamkeit ihrer Risikomanagementmaßnahmen selbst. Datum nach Auslegung der Übergangsbestimmungen — vor verbindlichen Fristen den Gesetzestext prüfen.
Was NIS2 / NISG konkret verlangt.
Risikomanagement-Maßnahmen
Zehn Mindestmaßnahmen nach Art. 21 Abs. 2 NIS2 (Deutschland § 30 BSIG, Österreich § 32 NISG 2026), von Kryptografie und Zugriffskontrolle über Lieferkettensicherheit bis Business-Continuity-Planung.
Meldekaskade
Frühwarnung binnen 24 Stunden, vollständige Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen einem Monat nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls.
Registrierungspflicht
Wesentliche und wichtige Einrichtungen müssen sich bei der nationalen Behörde registrieren und Kontaktdaten, Sektor und Standorte melden.
Pflichten der Leitungsebene
Geschäftsführung und Vorstand müssen die Maßnahmen nach Art. 20 NIS2 umsetzen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen (Deutschland § 38 BSIG, Österreich § 31 NISG 2026). Eine eigene Haftungsnorm enthält das NISG 2026 nicht; § 38 Abs. 2 BSIG verweist auf das allgemeine Gesellschaftsrecht.
Lieferkettensicherheit, die sich beweisen lässt.
Compliance und Sicherheit Ihrer Lieferkette, kryptografisch versiegelt und unabhängig prüfbar. Art. 21 Abs. 2 lit. d NIS2 macht die Sicherheit der Lieferkette zur Pflicht; Art. 21 Abs. 3 verlangt, die Schwachstellen jedes unmittelbaren Anbieters und die Qualität seiner Cybersicherheitspraktiken zu berücksichtigen.
Was das Gesetz verlangt
In Deutschland verlangt § 30 Abs. 2 Nr. 4 BSIG ‚Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern'. In Österreich regelt § 32 Abs. 4 lit. d NISG 2026 dasselbe; das Gesetz tritt am 1. Oktober 2026 in Kraft. Für Betreiber digitaler Infrastruktur (DNS-, Cloud-, Rechenzentrums-, CDN-, MSP/MSSP-Anbieter u. a.) konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Pflicht zusätzlich: ein aktuelles Verzeichnis der unmittelbaren Anbieter und Diensteanbieter, inklusive Kontaktpunkten und bezogener IKT-Produkte und -Dienste.
Wie ReportAct sie erfüllt
Das Lieferantenregister führt Kritikalität, Verträge, Herkunftsland und Konzentrationsflag je Anbieter; Sicherheits-Fragebögen gehen je Lieferant raus und kommen beantwortet zurück; die Kontrolle ‚Lieferkettensicherheit' bewertet sich laufend aus der Vollständigkeit der Lieferanten-Due-Diligence. Jeder Stand wird kryptografisch versiegelt.
Einmal nachweisen — mehrfach anrechnen
Dasselbe Register bedient Lieferkettensicherheit nach NIS2, IKT-Drittparteirisiko nach DORA und ISO 27001 A.5.19: ein Nachweis, drei Regime.
Vier Pflichten, die erst im Betrieb sichtbar werden.
Vier Pflichten neben den zehn Maßnahmen entscheiden im Ernstfall darüber, ob sich die Umsetzung belegen lässt.
Schutzbedarf über die Triade hinaus
§ 3 Z 2 NISG 2026 nennt vier Schutzziele: Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit. Der BSI-Standard 200-2 arbeitet mit drei und führt die Authentizität als Spezialfall der Integrität. Das ist ein Nachweisproblem: Geht die Authentizität in der Integritätsspalte auf, lässt sich der Behörde nicht zeigen, dass das genannte Schutzziel bewertet wurde. ReportAct führt die Matrix vierspaltig; Abschalten nur mit schriftlicher Begründung.
Erheblichkeit prüfen, auch wenn nichts zu melden ist
§ 35 verlangt eine Prüfung: drei Tatbestände in Abs. 1, sechs Beurteilungskriterien in Abs. 2 und die Möglichkeitsform („verursachen kann") als eigener Wert. Die Prüfung wird auch bei negativem Ergebnis versiegelt. § 39 Abs. 7 Z 1 lit. b führt die unterlassene Meldung als stets schweren Verstoß; wer nie geprüft hat, kann nicht belegen, dass er zu Recht nicht gemeldet hat.
Selbstdeklaration mit Abgabesperre
§ 33 Abs. 1 verlangt eine Erklärung über Maßnahmen, Systeme, Lieferkette und Risikoanalyse. ReportAct sperrt die Abgabe, solange der Bestand sie nicht trägt: bei einer ungedeckten Pflicht aus § 32, einem Leitungsorgan ohne Schulungsnachweis, fehlender Registrierung nach § 29 oder unbewerteten Zielobjekten. Eine unrichtige Erklärung ist teurer als eine verspätete.
Der Prüfer sieht nur, was er sehen soll
Für eine Aufsichtsprüfung nach § 38 erzeugen Sie einen befristeten Nur-Lese-Zugang: Umfang wählbar, jederzeit widerrufbar, ohne Konto für den Prüfer. Die Ansicht ordnet Pflichten nach Paragraf und Lücken nach Rechtsfolge; ein stets schwerer Verstoß steht oben. Abrechnung, Mitglieder und andere Standorte bleiben außen vor. Jeder Lesezugriff wird protokolliert.
Ein Framework-Pack für NIS2 mit ISO-Brücke.
Das Framework-Pack NIS2 bildet die zehn Maßnahmen nach Art. 21 Abs. 2 NIS2 als Kontrollen ab, trackt die 24/72/30-Meldekaskade mit Fristenwarnung und führt ein Asset-Register für wesentliche und wichtige Einrichtungen (Annex I/II).
Für die Umsetzungs- und Überwachungspflicht der Leitungsebene gibt es einen versiegelten Management-Nachweis: Wer welche Maßnahme wann freigegeben hat, ist kryptografisch dokumentiert und ohne ReportAct-Zugang verifizierbar.
Da ISO/IEC 27001 rund 70 % der NIS2-Anforderungen inhaltlich abdeckt, rechnet ReportAct ISO-Controls automatisch auf NIS2-Anforderungen an: eine Kontrolle, zweifach genutzt.
Dazu Alarmstufen: eine Eskalationskette je Frist, mit Zuständigen, Vertretung und Quittierungsfenster, plus Übungsmodus.
Produkt-/Positionierungsaussage, keine Rechtsberatung.
Wenn das SIEM meldet, läuft die Meldekaskade automatisch.
Ihr SIEM/SIAM liefert einen Alarm über eine REST-Schnittstelle mit einem Schlüssel je Einrichtung an ReportAct. Daraus wird ein Vorfall mit laufender Meldefrist.
Was ankommt
Der Schlüssel gehört genau einer Einrichtung und genau einer Berechtigung (Ereignisse einliefern); jede Verwendung wird protokolliert, auch eine abgelehnte. Sie stellen ihn in den Einstellungen aus, rotieren ihn ohne Ausfall und widerrufen ihn mit Begründung; der Klartext wird einmal angezeigt. Filterregeln je Einrichtung, etwa ein Mindest-Schweregrad, entscheiden, was als Vorfall zählt. Was durchfällt, bleibt im Protokoll sichtbar, löst aber keinen Vorfall aus.
Was sofort passiert
Ein relevantes Ereignis wird in derselben Anfrage zum Vorfall; die Meldefrist rechnet ab dem Erkennungszeitpunkt Ihres Quellsystems, nicht ab dem Eingang bei ReportAct. Die erste Alarmstufe feuert sofort: Ihre Eskalationskette, ersatzweise eine Vorgaberichtlinie an Eigentümer und Administratoren.
Was Mensch bleibt
Die Maschine setzt nur einen vorläufigen Startwert; ob ein Ereignis tatsächlich einen erheblichen Vorfall nach § 35 NISG 2026 darstellt, bewertet ein Mensch. Die Uhr läuft in der Zwischenzeit, denn die Frist bemisst sich ab Kenntnis, nicht ab Beurteilung. Der Eingang deckt heute die Meldefristen nach NIS2/NISG und DORA ab, nicht GDPR oder den CRA. Jede Rohnutzlast wird in dieselbe Nachweiskette versiegelt wie jeder andere Nachweis.
Direkt nachlesen
ReportAct ist kein Beratungsunternehmen. Diese Seite ersetzt keine Rechtsberatung. Hinweis zur Umsetzung in anderen EU-Ländern: Italien hat NIS2 fristgerecht umgesetzt (Oktober 2024); Frankreich und Spanien befanden sich zum Stand dieser Veröffentlichung noch im laufenden Gesetzgebungsverfahren — die EU-Kommission hat gegen mehrere Mitgliedstaaten Vertragsverletzungsverfahren eingeleitet. Prüfen Sie den aktuellen Umsetzungsstand für Ihr Land über den oben verlinkten Tracker. Es gelten unsere AGB.
NIS2 gilt nicht überall gleich. Wählen Sie Ihr Land.
Drei Länder, drei Gesetze, drei Stichtage, je ein eigener Check. Die Schweiz hat NIS2 nicht umgesetzt; dort gilt das ISG.
NIS2-Nachweis, der hält, was er beweist.
Starten Sie auf Ihrem NISG/NIS2-Regime, inklusive Meldekaskaden-Tracker und Nachweis der Leitungsverantwortung.
- Risikomanagement-Maßnahmen
- Meldekaskade
- Registrierungspflicht