NIS2 in Österreich: wer betroffen ist und was das NISG 2026 verlangt
Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die EU-Richtlinie NIS2 um und gilt seit 1. Oktober 2026. Betroffen sind laut WKO rund 4.000 Unternehmen und Einrichtungen in 18 Sektoren, meist ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Kleine Betriebe fallen in der Regel nicht direkt darunter, spüren NIS2 aber als Zulieferer, weil ihre Kunden Sicherheitsnachweise verlangen.
Bin ich betroffen? Die Kurzprüfung
- Ist mein Betrieb in einem der Sektoren aus Anlage 1 oder 2 NISG 2026 tätig (z. B. Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IKT-Dienste B2B, Post, Abfall, Chemie, Lebensmittel, Herstellung, digitale Dienste)?
- Habe ich mindestens 50 Beschäftigte, oder mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme?
- Gehöre ich zu einer Gruppe, deren Zahlen mir zugerechnet werden (Beteiligung über 50 % voll, 25 bis 50 % anteilig)?
- Bin ich Vertrauensdiensteanbieter, DNS-Dienst, TLD-Registry oder Anbieter öffentlicher Kommunikationsnetze? Dann gilt NIS2 unabhängig von der Größe
- Beliefere ich Firmen, die selbst unter NIS2 fallen? Dann kommen vertragliche Sicherheitsanforderungen auf mich zu
| Leistung | Preis | Einheit |
|---|---|---|
| Wesentliche Einrichtung, Verstoß gegen Risikomanagement- oder Meldepflichten | bis 10 Mio. € oder 2 % des weltweiten Umsatzes | je nachdem, was höher ist |
| Wichtige Einrichtung, Verstoß gegen Risikomanagement- oder Meldepflichten | bis 7 Mio. € oder 1,4 % des Umsatzes | je nachdem, was höher ist |
| Organisatorische Pflichten, z. B. Registrierung, Selbstdeklaration | bis 50.000 € | pro Verstoß |
| Organisatorische Pflichten, Wiederholung | bis 100.000 € | pro Verstoß |
Das Gesetz und der Zeitplan
Das NISG 2026 wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025) und ist seit 1. Oktober 2026 in Kraft. Gleichzeitig ist das alte NISG 2018 ausgelaufen. Die konkreten Risikomanagementmaßnahmen und wann ein Vorfall als erheblich und damit meldepflichtig gilt, regelt laut WKO eine eigene NIS-Verordnung (BGBl. II Nr. 290/2026). Zuständig ist die Cybersicherheitsbehörde, Vorfälle gehen an das zuständige CSIRT.
- 1. Oktober 2026: Inkrafttreten, Pflichten zu Risikomanagement und Meldungen gelten
- Bis Ende 2026: Registrierung über das Unternehmensserviceportal (USP); die WKO nennt 31. Dezember 2026
- Herbst 2027: Selbstdeklaration der umgesetzten Maßnahmen an die Behörde (laut WKO bis 30. September 2027, Forum Verlag nennt 1. Oktober 2027)
- Ab 1. Oktober 2028: Die Behörde kann laut WKO frühestens zu Prüfungen auffordern
Wer betroffen ist
Zwei Bedingungen müssen zusammentreffen: Du bist in einem NIS-Sektor tätig, und dein Unternehmen ist mindestens mittelgroß. Mittel heißt vereinfacht laut WKO: mindestens 50 Beschäftigte, oder über 10 Millionen Euro Umsatz und über 10 Millionen Euro Bilanzsumme. Groß heißt: mindestens 250 Beschäftigte, oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Laut WKO wird jede juristische Person einzeln geprüft, Mitarbeiter, Umsatz und Bilanz verbundener und Partnerunternehmen werden aber in der Regel zugerechnet.
Anlage 1 umfasst Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für Unternehmen, öffentliche Verwaltung und Weltraum. Anlage 2 umfasst Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste wie Online-Marktplätze und Suchmaschinen sowie Forschung.
Große Unternehmen aus Anlage 1 sind meist „wesentliche Einrichtungen“, mittlere aus Anlage 1 sowie große und mittlere aus Anlage 2 sind „wichtige Einrichtungen“. Die Sicherheitspflichten sind laut WKO für beide gleich, Unterschiede gibt es bei Nachweisen, Aufsicht und Strafhöhe.
Die Pflichten: Risikomanagement
Betroffene Einrichtungen müssen geeignete technische, operative und organisatorische Maßnahmen setzen. Die WKO fasst die Bereiche so zusammen:
- Risikoanalyse und Sicherheitskonzept mit klaren Rollen
- Umgang mit Sicherheitsvorfällen
- Betriebskontinuität: Backup, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung, inklusive Schwachstellenmanagement
- Bewertung, ob die Maßnahmen wirken
- Cyberhygiene und Schulungen
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle, Verwaltung der Geräte und Systeme
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation
Die Pflichten: Melden in drei Stufen
Erhebliche Cybersicherheitsvorfälle meldest du laut WKO in drei Stufen an das zuständige CSIRT, zum Beispiel über die NIS2-Plattform (nis2.cert.at).
- 1
Frühwarnung binnen 24 Stunden
Unverzüglich, spätestens nach 24 Stunden: dass etwas passiert ist, gegebenenfalls ob du eine rechtswidrige Handlung vermutest oder grenzüberschreitende Auswirkungen möglich sind.
- 2
Meldung binnen 72 Stunden
Spätestens nach 72 Stunden: Einschätzung von Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
- 3
Abschlussbericht nach einem Monat
Spätestens einen Monat nach der Frühwarnung: Ursache, Art der Bedrohung, getroffene Abhilfemaßnahmen.
Was kleine Zulieferer jetzt wissen sollten
Kleinunternehmen unter 50 Beschäftigten und mit höchstens 10 Millionen Euro Umsatz oder Bilanzsumme fallen laut WKO grundsätzlich nicht unter das NISG 2026, mit wenigen Ausnahmen. Betroffene Einrichtungen müssen aber die Sicherheit ihrer Lieferkette gewährleisten. Die WKO beschreibt, dass dadurch auch Dienstleister und Lieferanten vertraglich zu Risikomanagementmaßnahmen verpflichtet werden. Kleine Betriebe sind dadurch mittelbar betroffen.
Wenn du etwa als IT-Dienstleister, Elektrotechniker mit Fernwartung, Softwareentwickler oder Lieferant für einen Energieversorger, ein Spital oder einen Lebensmittelhersteller arbeitest, rechne mit Fragebögen, neuen Vertragsklauseln und Nachweisen. Typisch sind Fragen nach Zwei-Faktor-Anmeldung, Backups, Updates, Zugriffsrechten, einem Ansprechpartner für Sicherheitsvorfälle und wie schnell du einen Vorfall beim Kunden meldest.
Häufige Fragen
›Seit wann gilt NIS2 in Österreich?
Das NISG 2026 ist seit 1. Oktober 2026 in Kraft. Es wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und ersetzt das NISG 2018.
›Wie viele Unternehmen sind betroffen?
Laut WKO rund 4.000 Unternehmen und Einrichtungen in 18 Sektoren.
›Bis wann muss ich mich registrieren?
Laut WKO bis 31. Dezember 2026, also binnen drei Monaten nach Inkrafttreten. Plan mit diesem Datum. Die Registrierung läuft über das Unternehmensserviceportal (USP).
›Ich habe 12 Mitarbeitende. Muss ich etwas tun?
Direkt in der Regel nicht, außer du bist laut WKO etwa Vertrauensdiensteanbieter, DNS-Dienst, TLD-Registry oder Anbieter öffentlicher Kommunikationsnetze oder -dienste. Belieferst du aber NIS2-pflichtige Kunden, werden sie Sicherheitsmaßnahmen vertraglich von dir verlangen. Die DSGVO-Pflichten zur Datensicherheit gelten ohnehin.
›Haftet die Geschäftsführung persönlich?
Die Leitungsorgane sind laut WKO-Übersicht zum NISG 2026 für Einhaltung und Aufsicht der Maßnahmen verantwortlich und müssen an Schulungen teilnehmen. Wie weit die persönliche Haftung im Einzelfall reicht, klärst du am besten mit einem Anwalt.
Als Zulieferer Sicherheitsnachweise gefragt?
Kennst gerade niemanden, der das kann? Kein Problem: Beschreib einmal, was du brauchst, und wer sich auskennt und Zeit hat, meldet sich mit einem Angebot. Kostenlos, ohne Provision.
„Wir sind ein Metallbau-Betrieb mit 18 Mitarbeitenden und beliefern einen Energieversorger, der NIS2-Nachweise verlangt. Gesucht: IT-Dienstleister für Bestandsaufnahme, Zwei-Faktor-Anmeldung, Backup-Konzept und ein kurzes Sicherheitsdokument für den Kunden. Raum Graz, bitte Angebot.“
Kostenlos jemanden findenQuellen & Stand
Alle Angaben ohne Gewähr: Preise sind unverbindliche Richtwerte, rechtliche Hinweise allgemeine Informationen. Zuletzt geprüft am 16. Oktober 2026. Für deinen Einzelfall frag bei der zuständigen Stelle, einem Anwalt oder Steuerberater nach.
