NISG 2026: Der neue Entwurf zur Cybersicherheit und was jetzt auf Unternehmen zukommt
Am 20. November 2025 hat der Ministerrat im Umlaufweg den Entwurf für das neue Netz- und Informationssystem-Sicherheitsgesetz 2026 (NISG 2026) beschlossen. Damit wurde der österreichische Gesetzesentwurf zur Umsetzung der EU-NIS2-Richtlinie offiziell in das parlamentarische Verfahren eingebracht.
Zeitplan: Umsetzung mit Übergangsfrist
Der aktuelle Entwurf sieht eine verlängerte Übergangsfrist vor: Das neue Gesetz soll neun Monate nach seiner Kundmachung – voraussichtlich im Herbst 2026 – in Kraft treten. Unternehmen erhalten dadurch zusätzliche Zeit, um ihre technischen und organisatorischen Maßnahmen zum Risikomanagement vorzubereiten und umzusetzen.
Nach diesen neun Monaten beginnt eine weitere 12-monatige Frist zur Selbstdeklaration. In dieser Zeit müssen betroffene Unternehmen von sich aus relevante Informationen zur Wirksamkeit ihrer Sicherheitsmaßnahmen an die zuständige Behörde übermitteln.
In unserem kostenfreien Whitepaper finden Sie eine kompakte Übersicht über den Geltungsbereich in Österreich sowie praktische Empfehlungen – von der ersten Vorbereitung bis zum erfolgreichen Start der Umsetzung.
Wer ist betroffen? – Der erweiterte Anwendungsbereich
Die NIS2-Richtlinie wird in Österreich rund 4.000 Einrichtungen direkt betreffen – dazu kommen zigtausende Dienstleister:innen und Lieferant:innen, die indirekt betroffen sind.
Neu im NISG 2026 ist insbesondere die Art der Feststellung, ob ein Unternehmen unter das Gesetz fällt:
-
Selbstermittlung: Unternehmen müssen künftig eigenständig beurteilen, ob sie in den Anwendungsbereich fallen – es erfolgt kein behördlicher Feststellungsbescheid.
-
Registrierungspflicht: Betroffene Organisationen sind verpflichtet, sich aktiv bei der zuständigen Behörde zu registrieren.
-
Kein Konzernprivileg: Jedes Unternehmen innerhalb eines Konzerns wird separat betrachtet – Gruppenlösungen sind nicht vorgesehen.
Pflichten für wesentliche und wichtige Einrichtungen
Wie in der Richtlinie unterscheidet auch das NISG 2026 zwischen „wesentlichen“ und „wichtigen Einrichtungen“. Für beide Gruppen gelten künftig umfangreiche Pflichten:
-
Einführung technischer und organisatorischer Maßnahmen zum Risikomanagement
-
Berücksichtigung von Sicherheitsaspekten in der Lieferkette
-
Meldung erheblicher IT-Sicherheitsvorfälle
-
Verantwortung der Geschäftsleitung für die Einhaltung der gesetzlichen Vorgaben
Risikomanagement & Behördenstruktur
Die Risikomanagementmaßnahmen basieren auf einem gefahrenübergreifenden Ansatz zum Schutz von Netz- und Informationssystemen. Konkrete Anforderungen können durch Verordnungen der Behörde ergänzt werden.
Unternehmen mit bestehenden ISO/IEC 27001-Zertifizierungen können diese teilweise als Nachweis für die operative Umsetzung heranziehen.
Die zuständige Behörde in Österreich wird eine nachgelagerte Stelle des Bundesministeriums für Inneres (BMI) – die Cybersicherheitsbehörde – sein. Diese ist vergleichbar mit dem deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI).
Was jetzt zu tun ist: Konkreter Handlungsbedarf für Unternehmen
Auch wenn die nationale Umsetzung noch läuft, besteht bereits jetzt Handlungsbedarf – insbesondere für Unternehmen, die selbst unter das Gesetz fallen oder als Dienstleister für betroffene Einrichtungen agieren.
Empfohlene Schritte:
| Schritt | Beschreibung |
|---|---|
| Rechtliche Einordnung prüfen | Gehört Ihr Unternehmen zu den „wesentlichen“ oder „wichtigen Einrichtungen“? Oder sind Sie Lieferant für eine solche Einrichtung? |
| Pflichten analysieren | Welche Anforderungen gelten im Detail für Ihr Risikomanagement, Ihre Meldepflichten oder Ihre Lieferkettensicherheit? |
| Maßnahmen umsetzen | Aufbau oder Anpassung eines geeigneten Informationssicherheitsmanagementsystems (ISMS), Schulungen für die Geschäftsleitung und Einführung interner Meldeprozesse. |
Blick über die Grenze: Bedeutung der Umsetzung in anderen EU-Ländern
Die Umsetzung der NIS2-Richtlinie in anderen EU-Staaten – insbesondere in Deutschland – ist auch für österreichische Unternehmen relevant. In Konzernstrukturen oder Lieferbeziehungen kann es erforderlich sein, dass österreichische Firmen vertraglich zur Einhaltung deutscher Cybersicherheitsanforderungen verpflichtet werden.
Fazit:
Mit dem NISG 2026 steht eine umfassende Reform der Cybersicherheitsregulierung in Österreich bevor. Unternehmen sollten sich frühzeitig vorbereiten – nicht nur, um gesetzeskonform zu agieren, sondern auch, um ihre digitale Resilienz zu stärken.
Unterstützung durch Artaker IT
Wir bei Artaker IT verstehen die Bedeutung und Komplexität dieser Aufgabe. Unser erfahrenes Team steht bereit, um Sie bei jedem Schritt des Implementierungsprozesses zu unterstützen. Mit unserer Expertise in der IT-Sicherheit und unserem tiefgreifenden Verständnis der NIS-2-Richtlinie können wir Ihnen helfen, nicht nur konform zu sein, sondern auch die Sicherheit und Effizienz Ihrer IT-Systeme zu optimieren.
Kontaktieren Sie uns, um zu erfahren, wie wir Ihrem Unternehmen helfen können, diese wichtige Herausforderung erfolgreich zu meistern. Buchen Sie jetzt einen Videocall mit uns!
Sie haben noch offene Fragen? Dann freuen wir uns auf Ihre Kontaktaufnahme!
Referenzen
[1] WKO – Cybersicherheits-Richtlinie NIS2: NIS-2-Umsetzungsgesetz in Deutschland.
[2] KPMG Austria – NIS-2-Gesetzesentwurf stellt Weichen für hohes Cybersicherheitsniveau in Österreich.
[3] WKO – Cybersicherheits-Richtlinie NIS2: NIS-2-Umsetzungsgesetz in Deutschland
[3] KPMG Austria – NIS-2-Gesetzesentwurf stellt Weichen für hohes Cybersicherheitsniveau in Österreich
Zusammenfassung & FAQ
Wie unterscheidet das kommende NISG 2026 in Österreich eigentlich zwischen „wesentlichen“ und „wichtigen“ Einrichtungen? Und wie genau läuft diese Einstufung in der Praxis ab?
Was genau meint die Pflicht zur „Selbstermittlung“? Also, wie sollen Unternehmen konkret vorgehen, wenn sie sich nicht sicher sind, ob sie überhaupt vom NISG 2026 betroffen sind?
Wie sieht es mit Lieferanten oder Dienstleistern aus, die vielleicht nur indirekt betroffen sind — welche Pflichten ergeben sich für die durch das NISG?
Zur Registrierungspflicht: Wo muss man sich eigentlich registrieren – bei welcher Behörde – und wie funktioniert das Verfahren ganz praktisch?
Wenn ein Unternehmen bisher noch kein richtiges ISMS (Informationssicherheits-Managementsystem) hat: Welche technischen und organisatorischen Maßnahmen werden dann konkret im Rahmen des Risikomanagements erwartet?
Wir haben schon eine ISO/IEC 27001-Zertifizierung – kann man die irgendwie als Nachweis oder zumindest teilweise zur Erfüllung der NISG-Vorgaben nutzen?
Was bedeutet denn die „Verantwortung der Geschäftsleitung“ ganz konkret? Also welche Aufgaben oder Rollen kommen da tatsächlich auf die Führungsebene zu?
Wie müssen Unternehmen ihre Meldeprozesse gestalten, wenn es zu einem IT-Sicherheitsvorfall kommt – sowohl intern als auch gegenüber den Behörden?
Wie wirkt sich das NISG 2026 auf Unternehmen mit Konzernstrukturen oder mehreren Tochtergesellschaften aus – gerade wegen des fehlenden Konzernprivilegs?
Wie können Unternehmen eigentlich sicherstellen, dass ihre Lieferketten den Anforderungen des NISG entsprechen? Also, was heißt konkret „prüfen und absichern“ in dem Zusammenhang?
Welche Fristen gelten denn jetzt eigentlich genau mit dem Inkrafttreten des NISG 2026? Wie funktioniert das mit der Übergangsfrist und der Selbstdeklarationsfrist – und was heißt das zeitlich für die Unternehmen?
Was passiert, wenn ein österreichisches Unternehmen für Kunden im Ausland arbeitet – zum Beispiel in Deutschland? Kann das dazu führen, dass zusätzlich andere Sicherheitsvorgaben (z.B. dortige NIS-Regelungen) gelten?
Welche Konsequenzen drohen eigentlich, wenn man gegen das NISG verstößt – also nicht nur Geldstrafen, sondern auch rechtliche oder persönliche Haftungsrisiken für Führungskräfte?
Was wären für kleinere oder mittlere Unternehmen (KMU) sinnvolle erste Schritte, um sich jetzt schon gut auf das NISG 2026 vorzubereiten?
Wie lässt sich Cybersicherheits-Compliance überhaupt sinnvoll und nachhaltig in den Unternehmensalltag einbauen – gerade wenn man keine große IT-Abteilung oder externe Beratung hat?
