Das Wichtigste in Kürze
- NISG 2026 gilt seit dem 1. Oktober 2026: Das Netz- und Informationssystemsicherheitsgesetz 2026 ist in Kraft. Rund 4.000 Unternehmen aus 18 Sektoren müssen sich bis Ende Dezember 2026 beim Bundesamt für Cybersicherheit registrieren und bis 30. September 2027 eine Selbstdeklaration einreichen.
- Geschäftsführer haften persönlich: Das NISG 2026 verankert eine explizite Verantwortung der Leitungsorgane für Cybersicherheit – mit Schulungspflicht und persönlicher Haftung bei Versäumnissen.
- Nachweispflicht verlangt belastbare IT-Dokumentation: Wer die Selbstdeklaration bestehen will, braucht ein dokumentiertes Asset-Inventar, eine Risikoanalyse und verknüpfte Maßnahmen. Ohne diese Grundlage fehlt der Nachweis – unabhängig davon, wie gut die Sicherheitsmaßnahmen tatsächlich sind.
Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) – das neue NIS-Gesetz in Österreich – gilt seit dem 1. Oktober 2026. Rund 4.000 österreichische Unternehmen müssen sich bis Jahresende beim Bundesamt für Cybersicherheit registrieren. Wer sich erst jetzt mit dem Gesetz befasst, hat weniger als zehn Wochen für Registrierung, Risikoanalyse und den Aufbau einer nachweisbaren IT-Dokumentation.
Dieser Artikel erklärt, was das NISG 2026 konkret fordert, welche Fristen jetzt gelten und wie Sie die Nachweispflichten mit vertretbarem Aufwand erfüllen.
Was ist das NISG 2026?
Das NISG 2026 ist die österreichische Umsetzung der europäischen NIS-2-Richtlinie (EU 2022/2555). Es ersetzt das bisherige NISG 2018 vollständig und gilt seit dem 1. Oktober 2026. Das Gesetz wurde am 12. Dezember 2025 vom Nationalrat mit Zweidrittelmehrheit beschlossen und am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025).
Im Kern verpflichtet es betroffene Organisationen zu drei Dingen: technische und organisatorische Sicherheitsmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden melden und alle Maßnahmen gegenüber dem Bundesamt für Cybersicherheit im BMI nachweisbar dokumentieren.
Der Unterschied zur Vorgängerregelung ist erheblich. Wo das NISG 2018 rund 100 Betreiber kritischer Infrastrukturen betraf, weitet das NISG 2026 den Anwendungsbereich auf rund 4.000 Unternehmen in 18 Sektoren aus.
Ein Hinweis zur Begrifflichkeit: Wenn in Österreich von NIS2 die Rede ist, ist für Unternehmen immer das NISG 2026 gemeint. Die EU-Richtlinie selbst entfaltet keine direkte Wirkung – maßgeblich ist das nationale Gesetz.
Was hat sich seit Oktober 2026 geändert?
Seit dem 1. Oktober 2026 hat sich die Lage für betroffene Unternehmen konkretisiert. Alle materiellen Pflichten gelten – Risikomanagement, Meldepflichten und Dokumentationsanforderungen sind sofort wirksam, nicht erst ab der Registrierung. Neben dem Gesetz ist auch die zugehörige NIS-Verordnung 2026 (NISV 2026) in Kraft getreten. Sie konkretisiert die Anforderungen an die Risikomanagementmaßnahmen und legt Kriterien für erhebliche Cybersicherheitsvorfälle fest.
Die Registrierung läuft über das Unternehmensserviceportal (USP), das am 1. Oktober freigeschaltet wurde. Frist: bis 31. Dezember 2026 (weil der 1. Jänner 2027 ein Feiertag ist, gilt per § 33 Abs. 2 AVG der nächste Werktag – faktisch der 4. Jänner 2027).
Parallel haben Softwareanbieter begonnen, NISG-spezifische Regelwerke in ihre ISMS-Module zu integrieren – mit Zielen, die direkt aus dem Gesetzestext abgeleitet sind. Das erleichtert die strukturierte Bewertung und den Nachweis für die Selbstdeklaration.
Welche Unternehmen sind betroffen?
Ob Ihr Unternehmen unter das NISG 2026 fällt, hängt von zwei Kriterien ab: Sektor und Größe.
Das Gesetz erfasst 18 Sektoren – darunter Energie, Verkehr, Gesundheitswesen, Trink- und Abwasser, digitale Infrastruktur, Bankwesen, öffentliche Verwaltung, Lebensmittelproduktion, Abfallbewirtschaftung, verarbeitendes Gewerbe und Forschung. Die vollständige Liste findet sich in den Anlagen 1 und 2 des Gesetzes.
Betroffen sind mittlere und große Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz bzw. einer Bilanzsumme von über 10 Millionen Euro. Kleine Unternehmen unter diesen Schwellen sind grundsätzlich ausgenommen – mit einer wichtigen Einschränkung: Alleinanbieter kritischer Dienste, TLD-Namenregister, DNS-Diensteanbieter und Anbieter öffentlicher Kommunikationsnetze fallen unabhängig von ihrer Größe unter das Gesetz.
Viele Unternehmen unterschätzen dabei die indirekte Betroffenheit. Auch wer nicht in den 18 Sektoren tätig ist, kann als Zulieferer oder IT-Dienstleister eines betroffenen Unternehmens vertragliche Nachweispflichten erhalten.
Das NISG 2026 unterscheidet zwei Kategorien:
- Wesentliche Einrichtungen – große Unternehmen aus Sektoren mit hoher Kritikalität (z. B. Energie, Verkehr, Gesundheit). Für sie gelten strengere Aufsichtsmaßnahmen und höhere Sanktionen.
- Wichtige Einrichtungen – mittlere Unternehmen aus denselben Sektoren sowie große und mittlere Unternehmen aus sonstigen kritischen Sektoren. Die Aufsicht erfolgt primär anlassbezogen.
Einen ersten Anhaltspunkt bietet der Online-Ratgeber der WKO zur NIS2-Betroffenheit. Eine vertiefte Analyse finden Sie in unserem Artikel NIS2: Wer ist betroffen?
Welche Fristen gelten jetzt?
Die Zeitleiste des NISG 2026 steht fest. Seit dem 1. Oktober 2026 gelten alle Pflichten ohne Übergangsfrist – das NISG 2018 und die alte NISV sind gleichzeitig außer Kraft getreten.
Die nächste Frist ist die Registrierung bis zum 31. Dezember 2026. Betroffene Unternehmen registrieren sich über das USP beim Bundesamt für Cybersicherheit. Die Registrierung verlangt Stammdaten, Sektor, Einstufung und IP-Adressbereiche. Änderungen sind danach binnen zwei Wochen zu melden.
Danach folgen zwei weitere Meilensteine:
- 30. September 2027 – Selbstdeklaration: Betroffene Unternehmen übermitteln der Cybersicherheitsbehörde eine strukturierte Aufstellung ihrer Risikomanagementmaßnahmen, der Risikoanalyse und der Lieferkettensicherheit.
- Ab 1. Oktober 2028 – Behördliche Prüfungen: Die Cybersicherheitsbehörde kann Nachweise anfordern und Prüfungen durch unabhängige Stellen anordnen. Wesentliche Einrichtungen müssen den organisatorischen Teil binnen zwei Monaten nachweisen.
Wie haftet die Geschäftsführung?
Das NISG 2026 macht Cybersicherheit zur Chefsache, nicht im übertragenen Sinn, sondern gesetzlich. Leitungsorgane sind nach § 31 NISG 2026 persönlich für die Einhaltung der Cybersicherheitsanforderungen verantwortlich. Das betrifft Geschäftsführer bei GmbHs und Vorstände bei Aktiengesellschaften.
Drei Pflichten sind im Gesetz verankert: Die Geschäftsführung muss die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und an Cybersicherheitsschulungen teilnehmen, die speziell für Leitungsorgane konzipiert sind. Wer das versäumt, riskiert behördliche Sanktionen und gesellschaftsrechtliche Regressansprüche.
Die Details zur Geschäftsführerhaftung und zu den Parallelen im DACH-Raum behandelt unser Hauptartikel zur NIS-2-Richtlinie (oben verlinkt).
Welche Strafen drohen bei Verstößen?
Das Sanktionsregime ist abgestuft und deutlich schärfer als beim Vorgängergesetz. Für wesentliche Einrichtungen drohen Geldstrafen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Zusätzlich kann die Behörde ein vorübergehendes Tätigkeitsverbot für Personen mit Geschäftsleitungsaufgaben anordnen. Für wichtige Einrichtungen liegen die Grenzen bei 7 Millionen Euro oder 1,4 % des Jahresumsatzes.
Gesondert geregelt sind organisatorische Pflichtverletzungen: Wer sich nicht registriert oder die Selbstdeklaration nicht fristgerecht einreicht, riskiert Strafen bis zu 50.000 Euro – im Wiederholungsfall bis zu 100.000 Euro.
Die Durchsetzung liegt beim Bundesamt für Cybersicherheit im BMI. Wesentliche Einrichtungen können jederzeit proaktiv geprüft werden, bei wichtigen Einrichtungen greift ein anlassbezogenes Prüfregime. Bislang sind in Österreich keine NIS2-Bußgelder verhängt worden – Branchenbeobachter erwarten die ersten Verfahren nach Ablauf der Registrierungsfrist.
Warum spielt die Lieferkette eine zentrale Rolle?
Das NISG 2026 endet nicht an den Grenzen des eigenen Unternehmens. Betroffene Einrichtungen müssen die Cybersicherheit ihrer unmittelbaren Dienstleister und Zulieferer bewerten und vertragliche Sicherheitsanforderungen verankern.
Auch wenn Ihr Unternehmen nicht direkt unter das NISG 2026 fällt, können Sie als IT-Dienstleister, Managed Service Provider oder Zulieferer eines betroffenen Unternehmens indirekt betroffen sein. Große Kunden werden vertragliche Nachweise verlangen, über Backup-Strategien, Zugriffskonzepte und Incident-Response-Fähigkeiten. Wer seine IT-Infrastruktur nicht transparent dokumentieren kann, riskiert nicht nur Compliance-Probleme, sondern auch den Verlust von Geschäftsbeziehungen. Eine ausführliche Darstellung der Lieferkettenpflichten bietet der oben verlinkte Hauptartikel zur NIS-2-Richtlinie.
Wie unterscheidet sich NIS2 in Österreich von Deutschland?
Deutschland und Österreich haben die NIS-2-Richtlinie beide umgesetzt, aber mit unterschiedlichen Zeitplänen. Das deutsche NIS2-Umsetzungsgesetz trat bereits am 6. Dezember 2025 in Kraft – ohne Übergangsfrist. Das NISG 2026 gewährte neun Monate nach Kundmachung. Einen detaillierten Vergleich der deutschen Regelung bietet unser Artikel zur NIS-2-Richtlinie: Umsetzung in Deutschland.
Bei der Terminologie gibt es subtile Unterschiede: Deutschland spricht von „besonders wichtigen" und „wichtigen" Einrichtungen, Österreich von „wesentlichen" und „wichtigen". Die Kategorien sind inhaltlich vergleichbar, aber in den Detailregelungen unterschiedlich ausgestaltet.
Bei der Behördenstruktur geht Österreich einen eigenen Weg. Statt des BSI übernimmt das Bundesamt für Cybersicherheit im BMI die Aufsicht. In Deutschland haben sich bis März 2026 nur rund 11.500 von geschätzt 29.500 betroffenen Unternehmen registriert – für Österreich liegen noch keine Zahlen vor, da die Registrierung erst am 1. Oktober 2026 begann.
Die Schweiz ist als Nicht-EU-Mitglied nicht direkt betroffen. Schweizer Unternehmen mit EU-Geschäftsbeziehungen spüren die Anforderungen jedoch über die Lieferkettenpflicht.
Was müssen österreichische Unternehmen jetzt tun?
Die Pflichten gelten. Wer noch nicht begonnen hat, sollte diese fünf Schritte priorisieren:
- Betroffenheit klären. Prüfen Sie anhand von Sektor und Größenkriterien, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt. Beachten Sie dabei auch die indirekte Betroffenheit über die Lieferkette – der oben verlinkte WKO-Ratgeber bietet eine erste Orientierung.
- Registrierung durchführen. Die Registrierung läuft über das Unternehmensserviceportal (USP) unter „NIS2-Services". Frist: 31. Dezember 2026. Benötigt werden: Stammdaten, Sektor-Zuordnung, Einstufung als wesentliche oder wichtige Einrichtung, Kontaktdaten für Sicherheitsvorfälle und IP-Adressbereiche.
- IT-Infrastruktur inventarisieren. Eine vollständige Bestandsaufnahme aller Systeme, Netzwerke, Anwendungen und Zugriffsrechte ist die Grundlage für die Risikoanalyse und die Selbstdeklaration. Ohne diesen Überblick lässt sich keines von beidem belastbar erstellen. Agentenlose Inventarisierungswerkzeuge wie Docusnap machen diesen Schritt in Stunden statt Wochen möglich.
- Risikomanagement aufbauen. Das NISG 2026 verlangt Risikoanalysen, Backup-Strategien mit getesteter Wiederherstellung, Patch-Management, Zugriffskonzepte, Notfallpläne und Mitarbeiterschulungen. Orientieren Sie sich an der EU-Durchführungsverordnung (EU) 2024/2690, die für digitale Sektoren bereits konkrete Anforderungen definiert.
Im ISMS-Modul von Docusnap365 steht dafür seit Oktober das Regelwerk „NISG (Österreich)" mit 52 Zielen bereit, die direkt aus dem Gesetzestext abgeleitet sind. Sie aktivieren das Regelwerk, bewerten die Ziele, verknüpfen Maßnahmen und ordnen Nachweise zu. Das ergibt die strukturierte Grundlage für die Selbstdeklaration bis September 2027 – mit nachvollziehbarem Reifegrad je Ziel. - Meldeprozesse etablieren. Definieren Sie interne Abläufe für den Ernstfall: Wer entscheidet? Wer meldet? Wer kommuniziert? Die 24-Stunden-Frist für die Frühwarnung lässt keinen Spielraum für Improvisation.
Wie kam das NISG 2026 zustande?
Das NISG 2026 hat eine ungewöhnlich turbulente Entstehungsgeschichte. Der erste Entwurf scheiterte 2024 im Nationalrat – ein seltener Vorgang bei EU-Umsetzungsgesetzen –, bevor ein überarbeitetes Gesetz Ende 2025 mit breiter Mehrheit beschlossen wurde.
- Februar 2024: Der erste Gesetzesentwurf (NISG 2024) scheitert im Nationalrat. SPÖ, FPÖ und NEOS kritisieren handwerkliche Mängel – ein seltener Vorgang bei EU-Umsetzungsgesetzen.
- 12. Dezember 2025: Der Nationalrat beschließt das überarbeitete NISG 2026 mit Zweidrittelmehrheit (ÖVP, SPÖ, NEOS und Grüne).
- 23. Dezember 2025: Kundmachung im Bundesgesetzblatt (BGBl. I Nr. 94/2025).
- 1. Oktober 2026: Inkrafttreten.
Den Überblick über die EU-weiten Entwicklungen bietet der Hauptartikel zur NIS-2-Richtlinie.
FAQ - NISG 2026
Seit wann gilt das NIS-Gesetz in Österreich?
Das NISG 2026 ist am 1. Oktober 2026 in Kraft getreten – neun Monate nach seiner Kundmachung. Es setzt die EU-Richtlinie NIS-2 (EU 2022/2555) in österreichisches Recht um und ersetzt das bisherige NISG 2018 vollständig.
Bis wann muss die Registrierung erfolgen?
Betroffene Unternehmen registrieren sich bis 31. Dezember 2026 über das Unternehmensserviceportal (USP) beim Bundesamt für Cybersicherheit. Weil der 1. Jänner ein Feiertag ist, läuft die Frist nach § 33 Abs. 2 AVG faktisch bis zum 4. Jänner 2027. Spätere Änderungen der Angaben sind binnen zwei Wochen zu melden.
Was ist die Selbstdeklaration nach dem NISG 2026?
Die Selbstdeklaration ist eine strukturierte Aufstellung, die betroffene Unternehmen innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht an die Cybersicherheitsbehörde übermitteln müssen – konkret bis 30. September 2027. Sie umfasst die genutzten Netz- und Informationssysteme, die Ergebnisse der Risikoanalyse, den Stand der umgesetzten Maßnahmen und die Bewertung der Lieferkettensicherheit.
Was ist der Unterschied zwischen NISG 2026 und der NIS-2-Richtlinie?
Die NIS-2-Richtlinie (EU 2022/2555) ist die EU-weite Rahmengesetzgebung. Das NISG 2026 ist deren Umsetzung in österreichisches Recht – mit eigenen Fristen, Behördenstrukturen und Detailregelungen. Für Unternehmen in Österreich ist das NISG 2026 das maßgebliche Gesetz. Für die deutsche Umsetzung gilt das NIS2-Umsetzungsgesetz.
Welche Rolle spielt IT-Dokumentation beim NISG 2026?
Ohne vollständige IT-Dokumentation fehlt die Grundlage für Risikoanalyse, Selbstdeklaration und Audit. Das NISG 2026 verlangt, dass Unternehmen ihre Systeme, Berechtigungen und Sicherheitsmaßnahmen nachweisbar dokumentieren. Automatisierte Inventarisierung stellt sicher, dass diese Dokumentation aktuell bleibt – nicht nur zum Stichtag, sondern kontinuierlich.
