{"id":5805,"date":"2026-10-02T09:58:02","date_gmt":"2026-10-02T07:58:02","guid":{"rendered":"https:\/\/teamkindl.com\/?p=5805"},"modified":"2026-10-14T15:13:03","modified_gmt":"2026-10-14T13:13:03","slug":"nisg-2026-in-oesterreich-pflichten-fristen-und-handlungsbedarf-fuer-unternehmen","status":"publish","type":"post","link":"https:\/\/teamkindl.com\/en\/news\/nisg-2026-in-oesterreich-pflichten-fristen-und-handlungsbedarf-fuer-unternehmen\/","title":{"rendered":"NISG 2026 in \u00d6sterreich: Pflichten, Fristen und Handlungsbedarf f\u00fcr Unternehmen"},"content":{"rendered":"\n

Einleitung: Warum das NISG 2026 jetzt auf die Agenda geh\u00f6rt<\/strong><\/p>\n\n\n\n

Das NISG 2026 setzt die europ\u00e4ische NIS-2-Richtlinie in \u00f6sterreichisches Recht um und trat am 1. Oktober 2026 in Kraft.<\/strong> Es erweitert den Kreis der betroffenen Unternehmen deutlich und macht Cybersicherheit zur F\u00fchrungs-, Organisations- und Compliance-Aufgabe.<\/p>\n\n\n\n

F\u00fcr Unternehmen geht es daher nicht nur um Firewalls, Back-ups oder technische Schutzsysteme. Gefordert sind nachvollziehbare Risikomanagementma\u00dfnahmen, belastbare Meldeprozesse, dokumentierte Verantwortlichkeiten und eine aktive Einbindung der Gesch\u00e4ftsleitung. Dieser Beitrag fasst zusammen, wer betroffen sein kann, welche Fristen und Sanktionen gelten und welche Schritte Unternehmen bereits jetzt setzen sollten.<\/p>\n\n\n\n

Was ist das NISG 2026 und wann ist es in Kraft getreten?<\/strong><\/p>\n\n\n\n

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist die \u00f6sterreichische Umsetzung der EU-NIS-2-Richtlinie.<\/strong> Es trat am 1. Oktober 2026 in Kraft und l\u00f6st f\u00fcr wesentlich mehr Organisationen verbindliche Anforderungen an die Cybersicherheit aus als die Vorg\u00e4ngerrichtlinie (\u201eNIS-1\u201c; NISG 2018).<\/p>\n\n\n\n

Der regulatorische Ansatz ist risikobasiert: Betroffene Einrichtungen m\u00fcssen jene technischen, operativen und organisatorischen Ma\u00dfnahmen treffen, die zu ihren konkreten Cyberrisiken passen. Das Gesetz verlangt damit kein isoliertes IT-Projekt, sondern ein gesteuertes und dokumentiertes Sicherheitsprogramm, das in die Unternehmensf\u00fchrung eingebettet ist.<\/p>\n\n\n\n

Welche Ziele verfolgt NIS-2 in \u00d6sterreich?<\/strong><\/p>\n\n\n\n

Das NISG 2026 soll die Widerstandsf\u00e4higkeit wichtiger Wirtschafts- und Verwaltungsbereiche gegen Cyberangriffe und Systemausf\u00e4lle erh\u00f6hen. Unternehmen sollen Risiken fr\u00fch erkennen, Sicherheitsvorf\u00e4lle strukturiert bew\u00e4ltigen und gegen\u00fcber der Cybersicherheitsbeh\u00f6rde innerhalb kurzer Fristen auskunfts- und meldef\u00e4hig sein.<\/p>\n\n\n\n

Welche Unternehmen fallen unter das NISG 2026?<\/strong><\/p>\n\n\n\n

Der Anwendungsbereich w\u00e4chst von sieben auf 18 Sektoren.<\/strong> Damit k\u00f6nnen zahlreiche mittlere und gro\u00dfe Unternehmen erfasst sein, die bisher nicht dem NISG 2018 unterlagen.<\/p>\n\n\n\n

Ob ein Unternehmen tats\u00e4chlich in den Anwendungsbereich f\u00e4llt und wie es einzuordnen ist, muss anhand seiner T\u00e4tigkeit, seines Sektors und seiner konkreten Struktur gepr\u00fcft werden. Eine belastbare Betroffenheitsanalyse ist deshalb der Ausgangspunkt jeder NISG-2026-Umsetzung.<\/p>\n\n\n\n

Welche neuen und erweiterten Sektoren sind betroffen?<\/strong><\/p>\n\n\n\n

<\/p>\n\n\n\n

Erweiterung<\/strong><\/td>Beispiele aus dem NISG-2026-Umfeld<\/strong><\/td><\/tr><\/thead>
Neu erfasste Bereiche<\/td>Abwasser; Verwaltung von IKT-Diensten (B2B); Weltraum; Post- und Kurierdienste; Abfallbewirtschaftung; Chemie; Lebensmittel; verarbeitendes Gewerbe; Forschungseinrichtungen.<\/td><\/tr>
Inhaltlich erweiterte Bereiche<\/td>Energie, insbesondere Fernw\u00e4rme und Wasserstoff; digitale Infrastruktur, insbesondere Rechenzentren, Cloud-Dienste und Vertrauensdiensteanbieter; \u00f6ffentliche Verwaltung auf Landesebene.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

<\/p>\n\n\n\n

Die sektorale Zuordnung ist nicht immer anhand der Unternehmensbezeichnung erkennbar. Ma\u00dfgeblich sind die tats\u00e4chlich erbrachten Leistungen und die Rolle des Unternehmens in der jeweiligen Wertsch\u00f6pfungs- oder Versorgungskette.<\/p>\n\n\n\n

Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?<\/strong><\/p>\n\n\n\n

Das NISG 2026 unterscheidet zwischen \u201ewesentlichen Einrichtungen\u201c und \u201ewichtigen Einrichtungen\u201c.<\/strong> Diese Einordnung wirkt sich vor allem auf die beh\u00f6rdliche Aufsicht und den Sanktionsrahmen aus.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Kategorie<\/strong><\/td>Aufsicht<\/strong><\/td>Maximaler Sanktionsrahmen<\/strong><\/td><\/tr><\/thead>
Wesentliche Einrichtungen<\/td>Proaktive beh\u00f6rdliche Pr\u00fcfungen sind auch ohne konkreten Anlass m\u00f6glich.<\/td>Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Gesch\u00e4ftsjahres \u2013 je nachdem, welcher Betrag h\u00f6her ist.<\/td><\/tr>
Wichtige Einrichtungen<\/td>Pr\u00fcfungen erfolgen bei begr\u00fcndetem Verdacht.<\/td>Bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes des vorangegangenen Gesch\u00e4ftsjahres \u2013 je nachdem, welcher Betrag h\u00f6her ist.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

<\/p>\n\n\n\n

Wichtig f\u00fcr die Praxis<\/strong><\/p>\n\n\n\n

Die Kategorie sollte nicht vorschnell allein aus Branche oder Unternehmensgr\u00f6\u00dfe abgeleitet werden. Eine rechtliche Einzelfallpr\u00fcfung schafft Klarheit \u00fcber Anwendbarkeit, Einordnung und konkrete Pflichten.<\/p>\n\n\n\n

Welche Fristen m\u00fcssen Unternehmen beachten?<\/strong><\/p>\n\n\n\n

Drei Termine strukturieren die Vorbereitung: 1. Oktober 2026, 31. Dezember 2026 und 30. September 2027.<\/strong> Unternehmen sollten ihre internen Arbeitspakete r\u00fcckw\u00e4rts von diesen Stichtagen planen.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Stichtag<\/strong><\/td>Pflicht beziehungsweise Ereignis<\/strong><\/td>Konsequenz<\/strong><\/td><\/tr><\/thead>
1. Oktober 2026<\/td>Inkrafttreten des NISG 2026; Aufnahme der T\u00e4tigkeit des Bundesamts f\u00fcr Cybersicherheit.<\/td>Die gesetzlichen Pflichten gelten ab diesem Zeitpunkt.<\/td><\/tr>
31. Dezember 2026<\/td>Frist f\u00fcr die Registrierung bei der Cybersicherheitsbeh\u00f6rde.<\/td>Bei Fristvers\u00e4umnis drohen bis zu 50.000 Euro; im Wiederholungsfall bis zum Doppelten.<\/td><\/tr>
30. September 2027<\/td>Frist f\u00fcr die Selbstdeklaration.<\/td>Strukturierte Darstellung der tats\u00e4chlich umgesetzten Risikomanagementma\u00dfnahmen.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

<\/p>\n\n\n\n

Praxisempfehlung:<\/strong> Die Registrierung ist nicht der Startpunkt der Umsetzung. Betroffenheit, Zust\u00e4ndigkeiten, Nachweise und Meldewege sollten bereits zuvor gekl\u00e4rt sein, damit das Unternehmen ab Inkrafttreten handlungsf\u00e4hig ist.<\/p>\n\n\n\n

Welche Risikomanagementpflichten verlangt das NISG 2026?<\/strong><\/p>\n\n\n\n

Betroffene Einrichtungen m\u00fcssen risikobasierte technische, operative und organisatorische Sicherheitsma\u00dfnahmen umsetzen.<\/strong> Entscheidend ist ein abgestimmtes Gesamtsystem, das Risiken identifiziert, Ma\u00dfnahmen priorisiert und die Wirksamkeit nachvollziehbar \u00fcberpr\u00fcft.<\/p>\n\n\n\n

Die Anforderungen reichen damit \u00fcber die IT-Abteilung hinaus. Recht, Compliance, Informationssicherheit, Risikomanagement, Einkauf, Personal, Kommunikation und Gesch\u00e4ftsleitung m\u00fcssen zusammenarbeiten. Typische Umsetzungsfelder sind:<\/p>\n\n\n\n

    \n
  • Risikobewertung und Ma\u00dfnahmenplanung:<\/strong> Cyberrisiken erfassen, bewerten, priorisieren und mit Verantwortlichkeiten sowie Fristen hinterlegen.<\/li>\n\n\n\n
  • Governance und Zust\u00e4ndigkeiten:<\/strong> Entscheidungs-, Berichts- und Eskalationswege eindeutig definieren.<\/li>\n\n\n\n
  • Vorfallmanagement:<\/strong> Erkennung, Bewertung, interne Eskalation und beh\u00f6rdliche Meldung erheblicher Vorf\u00e4lle organisatorisch absichern.<\/li>\n\n\n\n
  • Lieferkettenrisiken:<\/strong> Abh\u00e4ngigkeiten von Dienstleistern und sonstigen Partnern analysieren und in das Sicherheitskonzept einbeziehen.<\/li>\n\n\n\n
  • Dokumentation und Nachweise:<\/strong> Ma\u00dfnahmen, Freigaben, Kontrollen und Verbesserungen so dokumentieren, dass sie intern und gegen\u00fcber der Beh\u00f6rde nachvollziehbar sind.<\/li>\n\n\n\n
  • Schulung und Awareness:<\/strong> Leitungsorgane und relevante Mitarbeitende auf ihre Rollen vorbereiten und regelm\u00e4\u00dfig sensibilisieren.<\/li>\n<\/ul>\n\n\n\n

    Was bedeutet \u201erisikobasiert\u201c in der praktischen Umsetzung?<\/strong><\/p>\n\n\n\n

    Risikobasiert bedeutet, dass Ma\u00dfnahmen nicht schematisch, sondern passend zu Bedrohungslage, Gesch\u00e4ftsmodell, Systemlandschaft und m\u00f6glichen Schadensfolgen ausgew\u00e4hlt werden. Unternehmen ben\u00f6tigen daher zun\u00e4chst Transparenz \u00fcber kritische Prozesse, Systeme, Daten, Abh\u00e4ngigkeiten und bestehende Kontrollen.<\/p>\n\n\n\n

    Featured-Snippet-Antwort<\/em><\/strong><\/p>\n\n\n\n

    NISG-2026-Risikomanagement verbindet rechtliche Vorgaben mit operativer Cybersicherheit: Risiken werden bewertet, angemessene Ma\u00dfnahmen beschlossen, Verantwortlichkeiten festgelegt, Kontrollen dokumentiert und Verbesserungen laufend nachverfolgt.<\/p>\n\n\n\n

    Wie funktioniert die Meldepflicht bei Cybersicherheitsvorf\u00e4llen?<\/strong><\/p>\n\n\n\n

    F\u00fcr erhebliche Cybersicherheitsvorf\u00e4lle gilt ein dreistufiges Meldeverfahren: Fr\u00fchwarnung binnen 24 Stunden, vollst\u00e4ndige Meldung binnen 72 Stunden und Abschlussbericht binnen eines Monats nach der Fr\u00fchwarnung.<\/strong> Die kurzen Fristen erfordern vorbereitete Abl\u00e4ufe und klare Entscheidungsbefugnisse.<\/p>\n\n\n\n

    <\/p>\n\n\n\n

    Zeitpunkt<\/strong><\/td>Meldestufe<\/strong><\/td>Operativer Fokus<\/strong><\/td><\/tr><\/thead>
    Binnen 24 Stunden<\/td>Fr\u00fchwarnung<\/td>Vorfall rasch einordnen, intern eskalieren und die erste beh\u00f6rdliche Information erm\u00f6glichen.<\/td><\/tr>
    Binnen 72 Stunden<\/td>Vollst\u00e4ndige Meldung<\/td>Den bis dahin verf\u00fcgbaren Sachstand konsolidieren und strukturiert melden.<\/td><\/tr>
    Binnen eines Monats nach der Fr\u00fchwarnung<\/td>Abschlussbericht<\/td>Vorfall, Auswirkungen und Bearbeitung abschlie\u00dfend dokumentieren.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

    <\/p>\n\n\n\n

    Ein Unternehmen kann diese Fristen nur einhalten, wenn technische Erkennung, rechtliche Bewertung, Management-Eskalation und externe Kommunikation ineinandergreifen. Ein belastbarer Incident-Response-Prozess sollte deshalb Ansprechpartner, Stellvertretungen, Freigaben, Dokumentationsvorlagen und einen jederzeit erreichbaren Meldeweg vorsehen.<\/p>\n\n\n\n

    Wie l\u00e4sst sich der Meldeprozess belastbar vorbereiten?<\/strong><\/p>\n\n\n\n

      \n
    • Interne Schwellen und Kriterien f\u00fcr die Eskalation eines Vorfalls festlegen.<\/li>\n\n\n\n
    • Ein interdisziplin\u00e4res Reaktionsteam mit eindeutigen Rollen und Stellvertretungen benennen.<\/li>\n\n\n\n
    • Entscheidungs- und Freigabewege auf die 24- und 72-Stunden-Fristen ausrichten.<\/li>\n\n\n\n
    • Vorlagen f\u00fcr Fr\u00fchwarnung, vollst\u00e4ndige Meldung und Abschlussbericht vorbereiten.<\/li>\n\n\n\n
    • Meldeabl\u00e4ufe in \u00dcbungen testen und erkannte L\u00fccken dokumentiert schlie\u00dfen.<\/li>\n<\/ul>\n\n\n\n

      Welche Verantwortung tr\u00e4gt die Gesch\u00e4ftsleitung?<\/strong><\/p>\n\n\n\n

      Die Gesch\u00e4ftsleitung tr\u00e4gt eine pers\u00f6nliche Verantwortung f\u00fcr die NISG-2026-Compliance.<\/strong> Sie muss die Risikomanagementma\u00dfnahmen genehmigen, deren Umsetzung \u00fcberwachen und an Cybersicherheitsschulungen teilnehmen.<\/p>\n\n\n\n

      Cybersicherheit kann damit nicht vollst\u00e4ndig an IT, Informationssicherheitsbeauftragte oder externe Dienstleister delegiert werden. Die operative Umsetzung darf zwar verteilt werden; die Leitungsorgane m\u00fcssen aber f\u00fcr eine angemessene Governance sorgen, Entscheidungen nachvollziehbar treffen und die Wirksamkeit der Ma\u00dfnahmen beaufsichtigen.<\/p>\n\n\n\n

      Welche Leitungsaufgaben sollten dokumentiert werden?<\/strong><\/p>\n\n\n\n