NISG 2026 und NISV 2026: Was das österreichische NIS2-Gesetz von Ihrem Unternehmen verlangt

Was ist NIS2? Und was sind NISG 2026 und NISV 2026?

Die Richtlinie (EU) 2022/2555, kurz NIS2, verpflichtet Unternehmen ab einer bestimmten Größe, etwa in Energie, Gesundheit, Verkehr oder digitaler Infrastruktur, ihre Netz- und Informationssysteme nachweisbar zu schützen und erhebliche Sicherheitsvorfälle zu melden. In Österreich setzt das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, die Richtlinie um. Wenn hierzulande von „NIS2“ die Rede ist, meint das für Unternehmen genau dieses Gesetz.

Die NISV 2026, die Netz- und Informationssystemsicherheits-Verordnung, ergänzt das Gesetz seit 2. Oktober 2026. Das NISG 2026 nennt die Pflichten und die zehn Maßnahmenbereiche, die NISV 2026 füllt sie mit konkreten Anforderungen und legt fest, wann ein Sicherheitsvorfall als erheblich gilt und damit zu melden ist. Mehr dazu weiter unten unter „Was regelt die NISV 2026 im Detail?“.

Zuständige Behörde ist das neu gegründete Bundesamt für Cybersicherheit im Innenministerium. Registriert und gemeldet wird über das Unternehmensserviceportal (USP).

Sind wir betroffen? Wer unter das NISG 2026 fällt

Das entscheiden zwei Fragen: In welchem Sektor ist Ihr Unternehmen tätig, und wie groß ist es? Aus beidem ergibt sich die Einstufung:

Auch eine Nebentätigkeit in einem dieser Sektoren kann genügen. Verbundene Unternehmen zählen bei der Größe mit; eine IT-Tochter im Konzern ist deshalb meist erfasst. Die Pflichten sind für beide Einstufungen weitgehend dieselben, Strafrahmen und Aufsicht unterscheiden sich. Sie stufen sich selbst ein. Die Behörde entscheidet nur in Ausnahmefällen per Bescheid.

Tipp: Nähere Infos zur Bewertung der Betroffenheit und auch ein konkretes Beispiel finden Sie im Blog „Chefsache“ unter Registrierung nach NISG 2026.

Bis wann müssen wir was erledigt haben?

Besonders knifflig: Die Meldefristen laufen auch am Wochenende und an Feiertagen. Legen Sie deshalb jetzt fest, wer die Frühwarnung abgibt und wer diese Person vertritt, und tragen Sie beide im USP ein.

Tipp: Ablauf der Registrierung, USP-Zugang und die sieben Pflichtangaben im auszufüllenden Formular finden Sie im Blog „Chefsache“ unter Registrierung nach NISG 2026: Frist, Ablauf und Pflichtangaben.

Was müssen wir genau umsetzen?

Das NISG 2026 verlangt geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht. Was angemessen ist, bemisst sich am Risiko, an der Größe des Unternehmens, an Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Stand der Technik und Umsetzungskosten werden berücksichtigt. Eine Produktliste für bestimmte technische Lösungen oder Tools gibt das Gesetz nicht vor. Es verlangt eine begründete Auswahl, die mindestens zehn Bereiche abdeckt:

1. Risikoanalyse und Sicherheitskonzepte
2. Bewältigung von Sicherheitsvorfällen
3. Datensicherung, Notfallwiederherstellung, Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheit bei Erwerb, Entwicklung und Wartung, inklusive Umgang mit Schwachstellen
6. Bewertung der Wirksamkeit der Maßnahmen
7. Cyberhygiene und Schulungen
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle, Verwaltung der Anlagen
10. Mehr-Faktor-Authentifizierung (MFA) und gesicherte Kommunikation

Wie tief jeder Bereich auszugestalten ist, regelt seit Oktober die NISV 2026 (siehe unten). Wenn Sie bereits ein Managementsystem nach ISO 27001 betreiben, decken Sie damit die organisatorischen und operativen Maßnahmen ab (sofern der Anwendungsbereich passt). Die technischen Maßnahmen müssen Sie zusätzlich nachweisen. Dazu kommen die verpflichtenden Meldungen bei erheblichen Vorfällen und die Schulung der Geschäftsführung.

Was muss ich als Geschäftsführer selbst tun?

§ 31 NISG 2026 richtet sich an die Leitungsorgane: in der GmbH an die Geschäftsführung, in der AG an den Vorstand. Daraus folgen drei Pflichten, die Sie nicht delegieren können:

1. Maßnahmen verantworten: die Risikomanagementmaßnahmen genehmigen und auf Basis einer Risikoeinschätzung entscheiden, was behandelt und was akzeptiert wird.
2. Umsetzung überwachen: mit regelmäßigem Reporting verfolgen, ob die Maßnahmen umgesetzt werden und wirken.
3. Sich selbst schulen lassen: anhand einer zyklischen Geschäftsführungs-Schulung, die zur Rolle passt. Zudem müssen alle Mitarbeitenden ebenfalls regelmäßig Schulungen im Bereich der Informationssicherheit absolvieren.

Die Verwaltungsstrafen können das Unternehmen treffen oder Sie persönlich als Geschäftsführung (§ 9 VStG, § 44 NISG 2026). Dazu kommt die Haftung nach Gesellschaftsrecht, wenn Sie diese Pflichten vernachlässigen.

Tipp: Wie weit die persönliche Haftung als Geschäftsführung reicht und was Sie jedenfalls dokumentieren sollten, finden Sie im „Chefsache“-Blog unter NISG 2026: Die Arbeit lässt sich delegieren, die Verantwortung nicht.

Was droht bei Verstößen? Die Strafen nach NISG 2026

Zuständig ist die Bezirksverwaltungsbehörde, in der Regel auf Anzeige des Bundesamts für Cybersicherheit. Für denselben Verstoß wird nicht doppelt gestraft: Wird das Unternehmen bestraft, entfällt die Strafe gegen die Person (§ 44 Abs. 5). Ergänzend kann das Bundesamt Nachweise verlangen, Prüfungen anordnen und die Behebung von Mängeln einfordern.

Was regelt die NISV 2026 im Detail?

Die NISV 2026 ist die Verordnung des Bundesamts für Cybersicherheit zum NISG 2026 (BGBl. II Nr. 290/2026). Sie gilt seit 2. Oktober 2026 und regelt im Kern zwei Dinge:

• Konkrete Anforderungen an die Maßnahmen. Der Anhang der EU-Durchführungsverordnung (EU) 2024/2690 gilt über die NISV für alle wesentlichen und wichtigen Einrichtungen, nicht nur für digitale Dienste. Er gliedert die Anforderungen in 13 Themen. Ihre Risikoanalyse muss außerdem mindestens vier Risikokategorien abdecken.
• Wann ein Vorfall erheblich ist. Neun Kriterien legen fest, wann ein Vorfall jedenfalls erheblich und damit meldepflichtig ist, etwa ein direkter Schaden über 500 000 Euro oder die Aktivierung Ihres Krisenmanagements.

Für Ihre Risikoanalyse heißt das, die Maßnahmen gegen die 13 Themen zu prüfen und nicht nur gegen die zehn grob beschriebenen Bereiche des Gesetzes.

Tipp: Was jedes der 13 Themen verlangt und wie Sie es als KMU umsetzen, finden Sie im Blog „Chefsache“ unter NISV 2026: Was Sie konkret umsetzen müssen.

Wo steht das im Gesetz?

• NISG 2026 im Rechtsinformationssystem des Bundes, BGBl. I Nr. 94/2025
• § 24 wesentliche und wichtige Einrichtungen · § 25 Größenschwellen und Konzern · § 29 Registrierung
• § 31 Pflichten der Leitungsorgane · § 32 Risikomanagementmaßnahmen · § 33 Nachweise · § 34 Meldepflichten · § 45 Strafen
• NISV 2026, BGBl. II Nr. 290/2026
• Bundesamt für Cybersicherheit mit FAQ · NIS2-Services im Unternehmensserviceportal
• Fragen und Antworten der Wirtschaftskammer · WKO-Online-Ratgeber zur Betroffenheit

Die Beiträge zu dieser Seite

Diese Übersicht bleibt kurz. Zu jedem Thema, das mehr Platz braucht, gibt es einen Beitrag im Blog „Chefsache“ oder er ist in Arbeit — neue Beiträge ergänze ich hier.

• Beitrag aus „Chefsache“, dem Blog von NextSecureRegistrierung nach NISG 2026: Frist, Ablauf und PflichtangabenWer sich registrieren muss, USP-Zugang, Rollen, die sieben Pflichtangaben, Konzernfälle
• Beitrag aus „Chefsache“, dem Blog von NextSecureNISV 2026: Was Sie konkret umsetzen müssen, alle Themen im ÜberblickDie 13 Themen des Maßnahmenkatalogs, Umsetzungstipps für KMU, Prüffragen und eine Reihenfolge für den Start
• Beitrag aus „Chefsache“, dem Blog von NextSecureNISG 2026: Die Arbeit lässt sich delegieren, die Verantwortung nichtDie drei Pflichten nach § 31, Strafrahmen, persönliche Haftung nach GmbHG und AktG, was zu dokumentieren ist

Autor

Lukas Kulmitzer, MSc

Gründer von NextSecure. Seit über zehn Jahren in der Informationssicherheit, unter anderem als CISO, Auditor und Notfallmanager; CISSP, CISM und ISO/IEC 27001 Manager & Auditor. Begleitet Unternehmen in Österreich und im DACH-Raum bei NIS2, ISO 27001 und als externer CISO. Mehr über Lukas Kulmitzer