NIS2-Richtlinie 2026: Was Unternehmen in Österreich jetzt wissen und tun müssen

Ursprünglich erschienen am 29. Juni 2024, vollständig überarbeitet am 27. Juli 2026. Der Beitrag berücksichtigt das im Dezember 2025 beschlossene NISG 2026 sowie aktuelle Studien zur Bedrohungslage.

Mit der NIS2-Richtlinie (EU) 2022/2555 hat die EU die Anforderungen an die Cybersicherheit deutlich verschärft. Seit Ende 2025 ist auch klar, wie Österreich sie umsetzt: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wurde am 12. Dezember 2025 im Nationalrat beschlossen und gilt ab 1. Oktober 2026. Damit beginnt für viele Unternehmen die heiße Phase, denn die Registrierungsfrist endet schon am 31. Dezember 2026.

Dieser Beitrag fasst den aktuellen Stand zusammen: wer betroffen ist, welche Pflichten und Strafen das Gesetz bringt und welche Schritte Unternehmen jetzt setzen sollten. Alle Quellen sind am Ende des Artikels verlinkt.

Der aktuelle Stand: Das NISG 2026 ist beschlossen

Österreich hat die NIS2-Richtlinie mit deutlicher Verspätung umgesetzt. Die EU-Frist lief am 17. Oktober 2024 ab, die EU-Kommission leitete deshalb im November 2024 ein Vertragsverletzungsverfahren gegen Österreich und 22 weitere Mitgliedstaaten ein. Ein erster Anlauf, das NISG 2024, scheiterte an der nötigen Zweidrittelmehrheit im Nationalrat. Am 12. Dezember 2025 wurde das NISG 2026 schließlich beschlossen und am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025). Mit dem Gesetz entsteht auch eine neue Aufsichtsbehörde, das Bundesamt für Cybersicherheit im Innenministerium. Laut Schätzungen aus der Parlamentsdebatte sind rund 4.000 Unternehmen und Einrichtungen betroffen.

Die wichtigsten Termine im Überblick:

• 1. Oktober 2026: Das NISG 2026 tritt in Kraft. Ab diesem Tag gelten die Risikomanagement- und Meldepflichten, das bisherige NISG 2018 tritt außer Kraft.
• 31. Dezember 2026: Ende der Registrierungsfrist. Betroffene Unternehmen müssen sich binnen drei Monaten ab Inkrafttreten bei der Cybersicherheitsbehörde registrieren, laut WKO über das Unternehmensserviceportal (USP).
• 30. September 2027: Frist für die Selbstdeklaration. Binnen zwölf Monaten nach Eintritt der Registrierungspflicht ist der Behörde strukturiert zu berichten, welche Risikomanagementmaßnahmen umgesetzt wurden.
• Danach: Auf Aufforderung der Behörde ist binnen zwei Jahren eine Prüfung durch eine unabhängige Stelle nachzuweisen. Den Prüfbericht muss die Geschäftsleitung persönlich unterzeichnen.

Wer ist betroffen?

Das NISG 2026 erfasst 18 Sektoren, von Energie, Verkehr und Gesundheit über digitale Infrastruktur und IT-Dienstleistungen bis zum verarbeitenden Gewerbe. Innerhalb dieser Sektoren entscheidet grundsätzlich die Unternehmensgröße:

• Mittlere Unternehmen: ab 50 Mitarbeitern oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme. Sie gelten in der Regel als wichtige Einrichtungen.
• Große Unternehmen: ab 250 Mitarbeitern oder mehr als 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme. In den Sektoren hoher Kritikalität gelten sie als wesentliche Einrichtungen und unterliegen damit einer strengeren, auch anlasslosen Aufsicht.
• Sonderfälle unabhängig von der Größe: etwa DNS-Diensteanbieter, Vertrauensdiensteanbieter, Teile der öffentlichen Verwaltung oder Einrichtungen, die die Behörde per Bescheid einstuft.

Wichtig zu wissen: Die Einstufung erfolgt als Selbsteinschätzung, einen Bescheid der Behörde gibt es im Regelfall nicht. Einen guten ersten Anhaltspunkt liefert der kostenlose Online-Ratgeber der WKO. Befragungen von KPMG zeigen, dass sich viele Unternehmen bei der eigenen Betroffenheit verschätzen, etliche halten sich fälschlich für nicht betroffen. Und selbst wer unter den Schwellenwerten liegt, bekommt NIS2 oft über die Lieferkette zu spüren, dazu weiter unten mehr.

Die wichtigsten Pflichten im Überblick

• Governance: Cybersicherheit ist Chefsache. Die Geschäftsleitung muss die Umsetzung der Maßnahmen sicherstellen, ihre Einhaltung beaufsichtigen und an eigenen Cybersicherheitsschulungen teilnehmen. Unterlassene Schulungen sind ein eigener Straftatbestand (§ 31 und § 45 NISG 2026).
• Risikomanagement: § 32 NISG 2026 schreibt zehn Mindestmaßnahmen vor, vom Incident Management bis zur Lieferkettensicherheit. Details im nächsten Abschnitt.
• Meldepflichten: Erhebliche Sicherheitsvorfälle sind an das zuständige CSIRT zu melden: Frühwarnung binnen 24 Stunden, ausführliche Meldung mit Erstbewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
• Registrierung: bis 31. Dezember 2026 mit Stammdaten, Sektor und Einstufung bei der Cybersicherheitsbehörde. Änderungen sind binnen zwei Wochen nachzumelden.
• Nachweise: Selbstdeklaration bis 30. September 2027, danach Prüfungen durch unabhängige Stellen auf Aufforderung der Behörde.

Die zehn Risikomanagementmaßnahmen

Der Maßnahmenkatalog in § 32 Abs. 4 NISG 2026 übernimmt die zehn Mindestmaßnahmen aus Art. 21 der NIS2-Richtlinie. Gefordert sind:

1. Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
2. Bewältigung von Sicherheitsvorfällen (Incident Management)
3. Betriebskontinuität, also Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement
4. Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen inklusive Management und Offenlegung von Schwachstellen
6. Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
7. Cyberhygiene und regelmäßige Cybersicherheitsschulungen
8. Konzepte für Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Asset-Management
10. Multi-Faktor-Authentifizierung und gesicherte Sprach-, Video- und Textkommunikation

Maßstab ist der Stand der Technik, die Maßnahmen dürfen aber verhältnismäßig zu Risiko und Unternehmensgröße ausfallen. Als Orientierung dienen Normen wie ISO/IEC 27001. Achtung: Eine ISO-27001-Zertifizierung gilt nicht automatisch als NIS2-konform. Das deutsche BSI empfiehlt auch zertifizierten Unternehmen ausdrücklich eine ergänzende Gap-Analyse, weil NIS2 unter anderem beim Geltungsbereich, bei den Meldefristen und bei den Governance-Pflichten über die Norm hinausgeht.

Strafen: bis zu 10 Millionen Euro

Das NISG 2026 sieht empfindliche Geldstrafen vor:

• Wesentliche Einrichtungen: bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 Prozent des weltweiten Vorjahresumsatzes.
• Formelle Verstöße: etwa eine versäumte Registrierung oder Selbstdeklaration kosten bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.

Dazu kommt ein oft übersehener Punkt: Bei wesentlichen Einrichtungen kann die Behörde als Durchsetzungsmaßnahme einzelnen Führungskräften vorübergehend untersagen, Leitungsaufgaben wahrzunehmen. Diese Untersagung wird ins Firmenbuch eingetragen.

Die Bedrohungslage in Zahlen

Dass der Gesetzgeber Druck macht, hat einen realen Hintergrund. Ein Blick auf aktuelle, belegte Zahlen:

• 2025 wurden in Österreich 63.459 Delikte der Internetkriminalität angezeigt. Cybercrime im engeren Sinn, also Hacking, Datenbeschädigung, DDoS und Co, stieg dabei um 8,6 Prozent (Bundeskriminalamt, Kriminalitätsbericht 2025).
• Jeder achte Cyberangriff auf heimische Unternehmen war zuletzt erfolgreich, jedes vierte von Ransomware betroffene Unternehmen hat Lösegeld bezahlt. Bei 40 Prozent der Angriffe war ineffektives Patch-Management das Einfallstor (KPMG-Studie Cybersecurity in Österreich 2026, 1.396 befragte Unternehmen).
• 22 Prozent der österreichischen Unternehmen erlebten Angriffe über kompromittierte Dienstleister, bei 39 Prozent wurden Dienstleister oder Lieferanten innerhalb eines Jahres selbst Opfer eines Angriffs (KPMG 2026).
• Weltweit hat sich der Anteil der Datenpannen mit Beteiligung Dritter binnen eines Jahres auf 30 Prozent verdoppelt. Bei kleinen und mittleren Unternehmen war Ransomware in 88 Prozent der untersuchten Sicherheitsverletzungen im Spiel (Verizon Data Breach Investigations Report 2025).
• Phishing bleibt mit rund 60 Prozent der mit Abstand häufigste Einstiegsvektor in Europa (ENISA Threat Landscape 2025).

NIS2 und die Lieferkette: Warum auch kleine Dienstleister betroffen sind

Für die Vergabe von Software- und Webentwicklungsaufträgen ist ein Punkt zentral: Die Sicherheit der Lieferkette ist eine der zehn Pflichtmaßnahmen. Betroffene Unternehmen müssen die Cybersicherheitspraxis ihrer unmittelbaren Anbieter bewerten, ausdrücklich auch die Sicherheit von deren Entwicklungsprozessen. Die WKO bringt es auf den Punkt: Dienstleister und Lieferanten betroffener Einrichtungen werden vertraglich zu Risikomanagementmaßnahmen verpflichtet.

Als Auftraggeber sollten Sie daher:

• Sicherheitsanforderungen und Meldepflichten vertraglich festhalten, inklusive der Frage, wer welchen Vorfall binnen welcher Frist an wen meldet.
• Nachweise verlangen. Anerkannt sind laut WKO etwa ISO/IEC 27001, IEC 62443 oder das österreichische CyberRisk-Rating nach dem KSÖ-Schema, das über den KSV1870 abgewickelt wird.
• Dienstleister regelmäßig neu bewerten statt nur einmalig beim Onboarding, und auch deren Unterlieferanten im Blick behalten.

Umgekehrt gilt: Wer als Softwareentwickler, IT-Dienstleister oder Zulieferer für NIS2-pflichtige Kunden arbeitet, bekommt die Anforderungen über Sicherheitsfragebögen und Vertragsklauseln herein, ganz ohne eigene gesetzliche Pflicht. Wer Nachweise wie eine Zertifizierung oder ein Rating proaktiv vorbereitet, macht aus der Pflicht einen Wettbewerbsvorteil. Für Anbieter wie Managed Service Provider, Cloud-Anbieter oder Rechenzentren gelten zusätzlich EU-weit einheitliche technische Anforderungen direkt aus der Durchführungsverordnung (EU) 2024/2690.

Unsere Tipps: So bereiten Sie Ihr Unternehmen jetzt vor

1. Betroffenheit prüfen: Sektor und Größenschwellen checken, zum Beispiel mit dem kostenlosen Online-Ratgeber der WKO. Verlassen Sie sich nicht auf das Bauchgefühl, viele Unternehmen verschätzen sich hier.
2. Verantwortung klären: Geschäftsführung einbinden, Budget und Zuständigkeiten festlegen und die verpflichtende Schulung der Leitungsebene gleich einplanen.
3. Gap-Analyse durchführen: den Ist-Stand strukturiert mit den zehn Maßnahmenbereichen abgleichen und die Lücken nach Risiko priorisieren. Die ENISA hat dafür im Juni 2025 eine praxisnahe Umsetzungshilfe mit Mapping auf ISO 27001 und NIST CSF veröffentlicht.
4. Meldeprozess aufsetzen und üben: Wer erst im Ernstfall klärt, wer binnen 24 Stunden was an das CSIRT meldet, verliert wertvolle Zeit. Notfallkontakte, Meldevorlagen und ein Probelauf gehören dazu.
5. Lieferkette erfassen: kritische Dienstleister auflisten, Sicherheitsnachweise einfordern und Verträge um Sicherheits- und Meldeklauseln ergänzen.
6. Basismaßnahmen sofort umsetzen: Multi-Faktor-Authentifizierung, getestete Backups und konsequentes Patch-Management wirken sofort und decken einen großen Teil der realen Angriffe ab.
7. Registrierung und Dokumentation vorbereiten: Stammdaten, Einstufung und Maßnahmendokumentation rechtzeitig vor dem 31. Dezember 2026 beisammen haben. Auch ein Blick auf Förderungen lohnt sich, der Stand ändert sich laufend. KMU.DIGITAL war mit Stand Juli 2026 ausgeschöpft, in Tirol läuft die Digitalisierungsförderung des Landes hingegen noch.

Fazit

Mit dem NISG 2026 ist die jahrelange Hängepartie rund um die österreichische NIS2-Umsetzung vorbei. Die Fristen sind jetzt fix: Inkrafttreten am 1. Oktober 2026, Registrierung bis 31. Dezember 2026, Selbstdeklaration bis 30. September 2027. Wer früh startet, arbeitet die Anforderungen ohne Hektik ab und macht aus der Pflicht einen Vertrauensvorsprung bei Kunden und Partnern. Die aktuellen Zahlen zur Bedrohungslage zeigen, dass es dabei um deutlich mehr geht als um Compliance.

Sie wollen wissen, wo Ihr Unternehmen steht? Wir prüfen Ihre Betroffenheit kostenlos und erstellen eine priorisierte Roadmap bis zur Registrierungsfrist.

Zur kostenlosen NIS2-Gap-Analyse

Quellen und weiterführende Links

• RIS: NISG 2026, BGBl. I Nr. 94/2025 (Volltext)
• Parlamentskorrespondenz: Nationalratsbeschluss zum NISG 2026 vom 12. Dezember 2025
• WKO: NISG 2026, Überblick zu Pflichten und Fristen
• WKO: Online-Ratgeber zur NIS2-Betroffenheit
• WKO: Sicherheit in der Lieferkette nach NIS2
• EUR-Lex: NIS2-Richtlinie (EU) 2022/2555
• EUR-Lex: Durchführungsverordnung (EU) 2024/2690 für digitale Dienste
• EU-Kommission: Vertragsverletzungsverfahren zur NIS2-Umsetzung (November 2024)
• Bundeskriminalamt: Kriminalitätsbericht 2025 (Anzeigenstatistik)
• KPMG und KSÖ: Studie Cybersecurity in Österreich 2026
• ENISA: Threat Landscape 2025
• ENISA: Technical Implementation Guidance zur NIS2-Umsetzung (Juni 2025)
• Verizon: Data Breach Investigations Report 2025
• BSI: NIS-2 und ISO 27001 im Vergleich
• nis.gv.at: Offizielle NIS-Anlaufstelle des BMI