NIS2 in Österreich: Fristen und Pflichten im NISG 2026

NIS2 in Österreich: drei Fragen an das NISG 2026

Bin ich betroffen, bis wann muss ich was tun, und womit fange ich an? Diese drei Fragen stellen sich Geschäftsführer und IT-Leiter, seit das NISG 2026 kundgemacht ist. Dieser Ratgeber antwortet mit Paragraf und Datum.

Was das NISG 2026 ist

Das Netz- und Informationssystemsicherheitsgesetz 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht (Volltext: ris.bka.gv.at) und setzt die Richtlinie (EU) 2022/2555 um, die NIS-2-Richtlinie. Gemäß § 51 Abs. 1 und 2 tritt es neun Monate nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft, also am 1. Oktober 2026. Seit dem Tag nach der Kundmachung laufen die Vorbereitungen der Behörde: Das Gesetz trägt dem Bund auf, „alle vorbereitenden Maßnahmen“ zu setzen, die die Cybersicherheitsbehörde für ihre Arbeit braucht (§ 51 Abs. 4) – eine Pflicht des Bundes, nicht Ihres Betriebs. Vollzogen wird das Gesetz vom Bundesminister für Inneres (§ 50 Z 5); das Informationsangebot der Cybersicherheitsbehörde steht unter nis.gv.at. Rechtsberatung ersetzt dieser Beitrag nicht.

Wer ist betroffen – und gilt NIS2 auch für KMU?

Das Gesetz kennt zwei Gruppen (§ 24): Wesentliche Einrichtungen sind solche der Anlage 1, die ein großes Unternehmen betreiben; wichtige Einrichtungen sind solche der Anlagen 1 und 2, die ein großes oder mittleres Unternehmen betreiben. Größenunabhängig erfasst sind u. a. DNS-Anbieter, Register für Top-Level-Domains und die Bundesverwaltung als wesentliche, Kommunikationsanbieter und die Landesverwaltung als wichtige Einrichtungen.

Die Größe legt § 25 fest. Ein großes Unternehmen beschäftigt zumindest 250 Mitarbeiter oder hat einen Jahresumsatz von über 50 Millionen Euro und eine Jahresbilanzsumme von über 43 Millionen Euro (Abs. 2). Ein mittleres Unternehmen beschäftigt zumindest 50 Mitarbeiter oder hat einen Jahresumsatz von über zehn Millionen Euro und eine Jahresbilanzsumme von über zehn Millionen Euro (Abs. 3). Gerechnet wird nach der Empfehlung 2003/361/EG; Partnerunternehmen und verbundene Unternehmen zählen grundsätzlich mit – aber nicht, wenn Ihr Betrieb bei den Netz- und Informationssystemen, mit denen er seine Dienste erbringt, organisatorisch, technisch und operativ unabhängig von ihnen ist (Abs. 4). Für die Frage, ob NIS2 auch KMU trifft, folgt aus dem Wortlaut: Ein Betrieb mit weniger als 50 Mitarbeitern ist nicht ausgenommen, wenn Umsatz und Bilanzsumme über zehn Millionen Euro liegen und der Sektor passt.

Die 18 Sektoren stehen in zwei Anlagen:

• Anlage 1, „Sektoren mit hoher Kritikalität“ (elf): Energie; Verkehr; Bankwesen; Finanzmarktinfrastrukturen; Gesundheitswesen; Trinkwasser; Abwasser; digitale Infrastruktur; Verwaltung von IKT-Diensten (Managed-Service- und Managed-Security-Service-Anbieter); öffentliche Verwaltung; Weltraum.
• Anlage 2, „Sonstige kritische Sektoren“ (sieben): Post- und Kurierdienste; Abfallbewirtschaftung; Produktion, Herstellung und Handel mit chemischen Stoffen; Produktion, Verarbeitung und Vertrieb von Lebensmitteln; verarbeitendes Gewerbe und Herstellung von Waren (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau); Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke); Forschung.

NIS2-Fristen in Österreich

Die Termine im Überblick:

• 1. Oktober 2026 – Inkrafttreten. Ab diesem Tag gelten die §§ 2 bis 45 samt Anlagen (§ 51 Abs. 1 und 2).
• 31. Dezember 2026 – Registrierung. Die Registrierung bei der Cybersicherheitsbehörde erfolgt „innerhalb von drei Monaten ab Inkrafttreten dieses Bundesgesetzes“ (§ 29 Abs. 3). Zu melden sind u. a. Sektor, Anschrift, IP-Adressbereiche, Schwellenwerte und Einstufung (§ 29 Abs. 2). Wer erst später unter das Gesetz fällt, hat ab dann drei Monate.
• 30. September 2027 – Selbstdeklaration. Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln Sie der Behörde „Informationen hinsichtlich umgesetzter Risikomanagementmaßnahmen gemäß § 32 […] in strukturierter Form“ (§ 33 Abs. 1).
• Nachweis durch eine unabhängige Stelle – auf Aufforderung. Auf Verlangen der Behörde weisen Sie die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nach; für den operativen und organisatorischen Teil genügen „einschlägige gültige Zertifikate“. Wesentliche Einrichtungen haben für genau diesen Teil nur zwei Monate ab der Aufforderung. Die erste Aufforderung darf „frühestens nach Ablauf von zwei Jahren ab Inkrafttreten“ ergehen, also ab Oktober 2028 (§ 33 Abs. 2).

NIS2-Checkliste: die zehn Maßnahmenbereiche des § 32

§ 32 Abs. 4 nennt „zumindest folgende Inhalte“ der Risikomanagementmaßnahmen – hier in Alltagssprache, jeweils mit der Frage an den eigenen Betrieb:

1. Risikoanalyse und Sicherheitskonzepte: Wissen wir, welche Systeme den Betrieb tragen, und steht geschrieben, wie wir sie schützen?
2. Bewältigung von Cybersicherheitsvorfällen: Wer tut was bei einem Angriff – und liegt der Plan auch vor, wenn das Netz ausgefallen ist?
3. Aufrechterhaltung des Betriebs: Ausdrücklich genannt sind Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Wann haben wir zuletzt eine Wiederherstellung durchgespielt, und wo ist das Protokoll?
4. Sicherheit der Lieferkette: Kennen wir die Sicherheitsvorkehrungen unserer unmittelbaren Anbieter und Dienstleister, und stehen sie im Vertrag?
5. Erwerb, Entwicklung und Wartung: Wie erfahren wir von Schwachstellen in unserer Software, und wie schnell schließen wir sie?
6. Wirksamkeit bewerten: Prüfen wir regelmäßig, ob die Maßnahmen wirken – oder nur, ob sie beschlossen sind?
7. Cyberhygiene und Schulung: Kennt jeder im Haus die Grundregeln, und wann war die letzte Schulung?
8. Kryptografie und Verschlüsselung: Ist festgelegt, welche Daten verschlüsselt werden – auf dem Speicher, auf dem Weg, in der Sicherung?
9. Personal, Zugriffskontrolle und Anlagen: Wer hat Zugriff worauf, wer entzieht ihn beim Austritt, und gibt es eine Liste der Geräte?
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation: Reicht bei uns noch ein Passwort, und wie erreichen wir einander, wenn E-Mail und Telefonanlage ausfallen?

Die Maßnahmen sind „unter Berücksichtigung des Stands der Technik […] und der Kosten der Umsetzung“ zu treffen (§ 32 Abs. 2) und müssen zu Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere verhältnismäßig sein (Abs. 3). Der Aufwand richtet sich nach Ihrem Risiko, beantworten müssen Sie aber jeden der zehn Punkte. Näheres kann die Behörde per Verordnung festlegen (Abs. 5).

Meldepflicht: 24 Stunden, 72 Stunden, ein Monat

Jeden erheblichen Cybersicherheitsvorfall (§ 35) melden Sie nach § 34 an das zuständige sektorspezifische CSIRT, sonst an das nationale CSIRT – in drei Stufen: eine Frühwarnung „innerhalb von 24 Stunden nach Kenntnisnahme“, eine Meldung mit erster Bewertung „innerhalb von 72 Stunden“ und einen Abschlussbericht „spätestens einen Monat nach Übermittlung der Meldung“. Dauert der Vorfall an, tritt ein Fortschrittsbericht an diese Stelle; der Abschlussbericht folgt einen Monat nach Ende der Vorfallsbehandlung. Beeinträchtigte Empfänger Ihrer Dienste unterrichten Sie unverzüglich (Abs. 3).

Diese Fristen sind eine Frage der Organisation: Wer entscheidet um drei Uhr früh, dass ein Vorfall erheblich ist, wer schreibt die Meldung, woher kommen die Fakten, wenn die eigenen Systeme ausgefallen sind? Diese Rollen legen Sie vorher fest, samt Vertretung.

Lieferkette: was Zulieferer erwarten müssen

§ 32 Abs. 4 verpflichtet betroffene Einrichtungen, die Sicherheit ihrer Beziehungen zu den „unmittelbaren Anbietern oder Diensteanbietern“ zu berücksichtigen, „einschließlich der Sicherheit ihrer Entwicklungsprozesse“. Die Pflicht trifft den Kunden, nicht den Zulieferer. Die Folgerung daraus – sie steht nicht im Gesetz – lautet: Wer selbst unter keiner Schwelle liegt, bekommt die Fragen trotzdem, sobald ein Kunde betroffen ist. Wie sichern Sie seine Daten, wo liegen sie, wer hat Zugriff, wie schnell melden Sie ihm einen Vorfall? Wer diese Antworten schriftlich hat, verhandelt leichter.

Was bei Verstößen droht

§ 45 sieht Geldstrafen bis zu zehn Millionen Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes für wesentliche Einrichtungen vor und bis zu sieben Millionen Euro oder bis zu 1,4 % für wichtige Einrichtungen – je nachdem, welcher Betrag höher ist.

Womit anfangen: Backup und Wiederherstellung brauchen Vorlauf

Von den zehn Punkten lässt sich einer nicht in wenigen Wochen nachholen: die Aufrechterhaltung des Betriebs. Konzepte kann man schreiben, Schulungen ansetzen, die Multi-Faktor-Authentifizierung einführen. Ein Wiederherstellungstest dagegen braucht eine Sicherung, die es schon gibt, eine Umgebung, in der sie hochfährt, und ein Protokoll, das den Test belegt. In der Selbstdeklaration zählt, was umgesetzt ist: ein dokumentierter Test, kein geplanter.

Damit ein Backup als Nachweis taugt, muss es vier Dinge leisten:

• Verschlüsselt: Die Daten sind verschlüsselt, bevor sie das Haus verlassen; der Schlüssel bleibt bei Ihnen (das deckt zugleich den Punkt Kryptografie ab).
• Geprüft: Jede Sicherung wird nach dem Schreiben planmäßig auf Unversehrtheit kontrolliert.
• Wiederherstellungsgetestet: Eine Maschine wird tatsächlich aus der Sicherung gestartet, in festen Abständen, nicht nur einmal im Jahr.
• Dokumentiert: Sicherungs-, Prüf- und Wiederherstellungsprotokolle liegen vor und lassen sich vorlegen.

Dazu gehört eine Kopie außer Haus, sonst trifft ein Brand oder ein Erpressungstrojaner auch die Sicherung.

Unser Angebot dazu: Mit dem Managed Proxmox Backup Server sichern Sie Ihre Proxmox-VE-Umgebung aus dem eigenen Haus auf einen von uns betriebenen Backup-Server in Österreich, ab 25 € pro TB und Monat. Die Daten werden bei Ihnen mit Ihrem Schlüssel verschlüsselt, Verify-Jobs prüfen jede Sicherung automatisch, und im Ernstfall startet jedes VM-Backup per Klick als Cloud-VM bei uns – Notbetrieb, bis die eigene Hardware wieder läuft. Alle Daten liegen ausschließlich in Österreich. Proxmox Backup Server ist Software der Proxmox Server Solutions GmbH, Wien; wir betreiben sie für Sie und sind kein Vertriebs- oder Zertifizierungspartner des Herstellers. Wir liefern den Baustein Backup und Wiederherstellung und unterstützen Sie bei dessen Umsetzung; die Einstufung Ihres Betriebs und die übrigen neun Punkte bleiben Ihre Aufgabe. Mehr dazu auf unserer NIS2-Seite; einen Wiederherstellungstest mit einer Ihrer Maschinen richten wir mit Ihnen ein – Kontakt aufnehmen.