Was ist NIS2 und das NISG 2026?

Kurz erklärt

NIS2 ist eine EU-Richtlinie für ein hohes gemeinsames Cybersicherheitsniveau, die in Österreich durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt wird. Sie verpflichtet mittlere und große Unternehmen in bestimmten Sektoren zu Risikomanagement, Registrierung und Meldung von Sicherheitsvorfällen. Die folgenden Angaben entsprechen dem Stand Oktober 2026.

Wer ist betroffen?

Das NISG 2026 wurde im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025, 23.12.2025). Die Pflichten gelten seit 1. Oktober 2026. Erfasst sind:

• Mittlere Unternehmen: ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mehr als 10 Mio. Euro
• Große Unternehmen
• jeweils in einem von 18 Sektoren, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel oder bestimmte Bereiche der Herstellung
• einzelne Anbieter unabhängig von der Größe, zum Beispiel DNS-Anbieter oder qualifizierte Vertrauensdiensteanbieter

Je nach Sektor und Größe unterscheidet das Gesetz zwischen wesentlichen und wichtigen Einrichtungen. Die Pflichten sind ähnlich, Aufsicht und Strafrahmen unterscheiden sich.

Welche Pflichten gelten?

• Registrierung: Betroffene Unternehmen müssen sich binnen 3 Monaten beim Bundesamt für Cybersicherheit registrieren.
• Risikomanagement: Angemessene technische und organisatorische Maßnahmen, etwa Umgang mit Schwachstellen und Patch-Management, Zugangskontrolle mit Zwei-Faktor-Authentifizierung, Datensicherung, Notfallplanung und Sicherheit in der Lieferkette.
• Meldung erheblicher Vorfälle: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
• Verantwortung der Geschäftsleitung: Die Geschäftsleitung haftet für die Umsetzung und muss Schulungen zur Cybersicherheit besuchen.

Bei Verstößen drohen Geldstrafen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und bis zu 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen.

Als erheblich gilt ein Vorfall vereinfacht gesagt dann, wenn er den Betrieb oder die Dienste des Unternehmens schwerwiegend stört, erhebliche finanzielle Verluste verursacht oder andere Personen erheblich schädigen kann. Ein Erpressungsangriff, der die Produktion tagelang stoppt, fällt typischerweise darunter. Die genauen Kriterien sind im Gesetz und in den Vorgaben der Behörde geregelt.

Warum auch kleine Betriebe betroffen sein können

Viele kleine KMU mit weniger als 50 Mitarbeitenden fallen nicht direkt unter das NISG 2026. Indirekt sind sie trotzdem gefordert: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Sie werden daher von Zulieferern und Dienstleistern zunehmend Nachweise verlangen, etwa per Fragebogen, Vertragsklausel oder Audit. Wer als IT-Dienstleister, Steuerberatung, Wartungsbetrieb, Reinigungsfirma mit Zutritt oder Softwarelieferant für ein Spital, einen Energieversorger oder einen größeren Produktionsbetrieb arbeitet, sollte grundlegende Sicherheitsmaßnahmen belegen können.

Typische Anforderungen an Zulieferer sind etwa Zwei-Faktor-Authentifizierung für alle Zugänge zu Systemen des Kunden, die unverzügliche Meldung von Sicherheitsvorfällen, geregelte Updates, eine aktuelle Datensicherung und benannte Ansprechpersonen. Wer diese Punkte schon heute erfüllt und belegen kann, hat bei Ausschreibungen und Vertragsverlängerungen einen Vorteil. Unabhängig von der Betroffenheit stellt CERT.at allen Unternehmen Warnungen und Informationen zu aktuellen Bedrohungen zur Verfügung.

Ein typisches Beispiel aus dem KMU-Alltag

Ein Elektrotechnikbetrieb mit 20 Mitarbeitenden betreut die Gebäudetechnik eines regionalen Krankenhauses und hat dafür Fernzugriff auf einige Anlagen. Das Krankenhaus fällt unter das NISG 2026 und schickt allen Dienstleistern einen Fragebogen: Gibt es Zwei-Faktor-Authentifizierung für Fernzugänge? Werden Updates regelmäßig eingespielt? Gibt es einen Ansprechpartner für Sicherheitsvorfälle, und werden Vorfälle unverzüglich gemeldet? Der Betrieb muss in wenigen Wochen Antworten liefern, sonst steht die Vertragsverlängerung infrage.

Was KMU jetzt tun sollten

1. Betroffenheit prüfen: Klären Sie anhand von Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme, ob Sie direkt erfasst sind. Im Zweifel holen Sie rechtlichen Rat ein.
2. Kunden kennen: Welche Ihrer Auftraggeber könnten unter das Gesetz fallen? Rechnen Sie mit Anfragen.
3. Grundschutz umsetzen und dokumentieren: Zwei-Faktor-Authentifizierung, Updates, getrennte Backups, Benutzerrechte, Virenschutz bzw. EDR.
4. Vorfälle erkennen können: Wer Angriffe nicht bemerkt, kann sie auch nicht fristgerecht melden. Anmeldeprotokolle und Logs sollten ausgewertet werden, wie es im Großen ein SIEM tut.
5. Notfallplan schreiben: Wer wird bei einem Vorfall wie Ransomware verständigt, wer meldet was an wen? Denken Sie auch an die DSGVO-Meldung an die Datenschutzbehörde innerhalb von 72 Stunden.
6. Mitarbeitende und Geschäftsleitung schulen: Kurze, regelmäßige Einheiten zu Phishing und sicherem Arbeiten.

Xcubitor wird künftig dabei helfen, Sicherheitsvorfälle früh zu erkennen und verständlich zu dokumentieren, was die Antwort auf Lieferanten-Fragebögen erleichtern kann.

Hinweis: Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung im Rechtsinformationssystem des Bundes (RIS). Antworten auf weitere Fragen finden Sie in unserer Cybersecurity-FAQ.