NIS-2 in Österreich: das NISG 2026 ist da

Nach langer Verzögerung hat Österreich die europäische NIS-2-Richtlinie umgesetzt: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl I 94/2025) ist mit Jahresbeginn in Kraft getreten; die zentralen Pflichten greifen gestaffelt im Laufe des Jahres 2026.

Wer jetzt erfasst ist

Der Anwendungsbereich wächst dramatisch: von zuletzt rund hundert Betreibern wesentlicher Dienste auf mehrere tausend Unternehmen in 18 Sektoren – darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, aber auch Lebensmittelproduktion, Abfallwirtschaft und verarbeitendes Gewerbe. Erfasst sind je nach Sektor Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz; wer betroffen ist, muss sich selbst registrieren – auf eine behördliche Aufforderung zu warten, ist keine Strategie.

Die Geschäftsleitung haftet mit

Der praktisch schärfste Punkt: Das Gesetz macht die Leitungsorgane ausdrücklich für die Umsetzung der Cybersicherheitsmaßnahmen verantwortlich. Geschäftsführer und Vorstände müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Delegation nach unten entlastet nicht.

Was zu tun ist

• Betroffenheit klären: Sektor, Größenklasse, Rolle in der Lieferkette – auch Zulieferer erfasster Unternehmen bekommen die Anforderungen vertraglich weitergereicht.
• Registrierung bei der zuständigen Behörde fristgerecht vornehmen.
• Risikomanagement nach dem Stand der Technik: Zugriffskontrolle, Verschlüsselung, Backup-Konzepte, Lieferkettensicherheit, Notfallpläne.
• Meldewege einrichten: Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden erstzumelden, mit Folgeberichten.

Die Überschneidung mit der DSGVO ist gewollt: Wer dort seine Hausaufgaben gemacht hat – Verarbeitungsverzeichnis, technische Maßnahmen, Meldeprozesse –, hat für das NISG bereits ein Fundament. Wir prüfen die Betroffenheit und bauen darauf auf.