NISV 2026: Was Sie konkret umsetzen müssen, alle Themen im Überblick

Grundlagen: Ob Ihr Unternehmen betroffen ist, welche Fristen gelten und was der Geschäftsführung droht, steht auf meiner laufend gepflegten Seite NIS2 in Österreich: Was das NISG 2026 von Ihnen verlangt →. In diesem Beitrag geht es nur um die Maßnahmen.

Was die NISV 2026 konkret verlangt

Die NISV 2026 (Netz- und Informationssystemsicherheits-Verordnung) ist die Verordnung des Bundesamts für Cybersicherheit zum NISG 2026 und gilt seit 2. Oktober 2026. Das Gesetz verlangt „angemessene“ Sicherheitsmaßnahmen, sagt aber nicht, was das konkret heißt. Die NISV schließt diese Lücke. Sie legt einen Katalog mit 13 Themen fest, der für alle betroffenen Unternehmen in Österreich verbindlich ist, egal ob wesentliche oder wichtige Einrichtung.

So lesen Sie den Anforderungskatalog

Das Prinzip. Fast alle Themen funktionieren nach demselben Prinzip: festlegen, umsetzen, dokumentieren und regelmäßig überprüfen. Es reicht also nicht, dass Ihre IT „das schon macht“. Entscheidend ist, dass es schriftlich festgehalten ist und jemand es in festen Abständen prüft.

Die Verhältnismäßigkeit. Ein Betrieb mit 60 Mitarbeitenden muss die Maßnahmen nicht im selben Umfang aufbauen wie ein Konzern. Die Verordnung verlangt ein Sicherheitsniveau, das zu Ihrem Risiko und Ihrer Größe passt, und viele Anforderungen gelten nur „soweit angemessen“. Wenn Sie etwas weglassen, müssen Sie es aber gut begründen. Halten Sie schriftlich fest, warum Sie es weglassen, wie hoch das verbleibende Risiko ist und was Sie stattdessen tun.

Der rote Faden. Fast alle Themen bauen auf zwei Grundpfeilern auf: einer Liste Ihrer Systeme (Thema 12) und Ihrer Risikobewertung (Thema 2). Ob Backup-Plan, Protokollierung, Lieferantenverträge oder Netztrennung — immer wieder heißt es „auf Basis der Risikobewertung“. Wenn Sie nicht wissen, womit Sie anfangen sollen, beginnen Sie am besten mit diesen beiden.

Wie fange ich an?

Dreizehn Themen auf einmal können ein Unternehmen leicht überfordern. Deshalb empfehle ich, eine sinnvolle Reihenfolge einzuhalten. Wenn Sie noch nicht sicher sind, ob das NISG 2026 Sie überhaupt betrifft, klären Sie das zuerst mit meinem kostenlosen NIS2 Schnellcheck, in rund fünf Minuten.

1. Wissen, was Sie haben. Die Liste Ihrer Systeme (Thema 12) und die Risikobewertung (Thema 2). Beides zusammen dauert in einem KMU meist zwei bis vier Wochen und ist die Grundlage für alles Weitere.
2. Verantwortung klären. Sicherheitskonzept erstellen und unterschreiben, sowie zumindest eine zuständige Person benennen (Thema 1). Das kostet wenig Zeit und zeigt der Behörde, dass die Geschäftsführung das Thema verantwortet.
3. Die großen technischen Hebel. Backup testen, Multi-Faktor-Authentifizierung einführen, Fristen für Updates und Patches festlegen, Endgeräteschutz prüfen (Themen 4, 6 und 11). Diese vier Maßnahmen verhindern einen großen Teil der Schäden, die in der Praxis auftreten.
4. Vorbereitet sein, wenn etwas passiert. Meldekette und Notfallhandbuch (Themen 3 und 4). Spätestens hier merken Sie, ob die 24-Stunden-Frist für die Erstmeldung bei Ihnen funktionieren würde.
5. Lieferanten in die Pflicht nehmen. Liste anlegen, Verträge ergänzen, Lieferanten verpflichten und überwachen (Thema 5). Weil dafür Gespräche mit Dritten nötig sind, beginnen Sie damit am besten recht früh.
6. Die restlichen Themen nachziehen. Schulungen, Kennzahlen, Verschlüsselung, Personalregeln, Sicherheit im Serverraum (Themen 7 bis 10 und 13). Einiges davon ist oft schon umgesetzt, oft fehlt aber die schriftliche Dokumentation.

Die 13 Themen im Überblick

Die Tabelle zeigt den Katalog auf einen Blick. Jede Zeile führt zur ausführlichen Erklärung.

1 · Sicherheitskonzept: Wer ist zuständig, und was wollen wir erreichen?

Anhang der Durchführungsverordnung, Nummer 1.1 und 1.2 · Art. 21 Abs. 2 lit. a NIS2

Was das Gesetz will. Ein schriftliches und gültiges Sicherheitskonzept, mit Freigabe der Geschäftsführung. Darin stehen Ziele, Zuständigkeiten, die wichtigsten Regeln und die Zusage, Personal und Budget bereitzustellen. Mindestens eine Person ist der Geschäftsführung direkt für Sicherheitsfragen verantwortlich. Das Konzept wird einmal im Jahr überprüft und bei Bedarf angepasst.

So setzen Sie es um. Eine kompakte „Leitlinie Informationssicherheit“, die die Geschäftsführung unterschreibt. Ergänzend eine benannte Person für Informationssicherheit, intern oder extern besetzt. Tragen Sie die jährliche Überprüfung des Dokuments gleich in den Kalender ein. Bei kleinen Teams darf die Geschäftsführung auchselbst die Kontrolle übernehmen, wo sich Aufgaben nicht trennen lassen.

2 · Risiken: Was kann uns treffen, und was tun wir dagegen?

Anhang, Nummer 2.1 bis 2.3 und § 3 NISV 2026 · Art. 21 Abs. 2 lit. a NIS2

Was das Gesetz will. Ein festes Verfahren, mit dem Sie Risiken finden, bewerten und behandeln. Sie schreiben auf, was Ihre Systeme bedroht, und legen fest, was Sie dagegen tun, wer das macht und bis wann es umgesetzt wird. Die Risiken, die bleiben, akzeptiert die Geschäftsführung nachweislich. Die NISV ergänzt in § 3 vier Risikoarten, die vorkommen müssen: Technik, Menschen, IT-Lieferkette und Standort. Dazu kommen Berichte an die Geschäftsführung und eine unabhängige Überprüfung.

So setzen Sie es um. Für den Start reicht ein Risikoregister als Tabelle, dazu ein Maßnahmenplan mit Namen und Terminen. Einmal im Jahr gibt es einen Termin mit der Geschäftsführung, bei dem die verbleibenden Risiken nachweislich abgenommen werden. Wenn Sie bereits ein Risikomanagement haben, müssen Sie es nicht umbauen. Das Bundesamt für Cybersicherheit erlaubt eigene Kategorien, solange sich die vier Risikoarten daraus ableiten lassen.

3 · Vorfälle: Wie merken wir, dass etwas passiert, und was tun wir dann?

Anhang, Nummer 3.1 bis 3.6 · Art. 21 Abs. 2 lit. b NIS2

Was das Gesetz will. Einen klaren Prozess für die Behandlung von Sicherheitsvorfällen mit Zuständigkeiten, Kontaktlisten und Vorlagen. Kritische Systeme werden laufend überwacht, und alle wichtigen Ereignisse werden protokolliert. Am besten geschieht das automatisiert, damit Sie schnell reagieren können. Mitarbeitende, Lieferanten und Kunden können verdächtige Ereignisse auf einfachem Weg melden. Jedes relevante Ereignis wird nach klaren Kriterien bewertet. Die Reaktion folgt drei Schritten: eindämmen, beseitigen, wiederherstellen. Nach jedem Vorfall wird ausgewertet, was die Ursache war und was Sie daraus für die Zukunft lernen.

So setzen Sie es um. Die Protokolle kritischer Systeme wie Firewall, Active Directory, Microsoft 365 / Entra ID und Endgeräteschutz zentral sammeln und sicherstellen, dass jemand mit der nötigen Kompetenz die Alarme auswertet. Da die erste Meldung an die Behörde innerhalb von 24 Stunden erfolgen muss, auch am Wochenende, muss außerdem jemand erreichbar sein, der im Zweifel entscheiden darf.

4 · Notfall: Wie arbeiten wir weiter, wenn die IT plötzlich steht?

Anhang, Nummer 4.1 bis 4.3 · Art. 21 Abs. 2 lit. c NIS2

Was das Gesetz will. Einen Notfallplan, der festlegt, wer was tut und in welcher Reihenfolge Sie Systeme wiederherstellen. Vollständige Sicherungskopien, von denen mindestens eine getrennt vom eigenen Netz liegt. Dokumentierte Tests, ob die Wiederherstellung funktioniert. Und einen Krisenplan mit Zuständigkeiten, der regelmäßig geübt wird.

So setzen Sie es um. Bewährt hat sich die 3-2-1-Regel: drei Kopien auf zwei verschiedenen Medien, eine davon offline oder so gespeichert, dass sie nicht verändert werden kann. Mindestens einmal im Jahr eine Wiederherstellung üben und das Ergebnis festhalten. Ein Notfallhandbuch mit Kontaktliste, das auch auf Papier existiert, weil im Ernstfall vielleicht kein Computer läuft. Und eine Vertretungsregel für den Fall, dass die Geschäftsführung nicht erreichbar ist.

5 · Lieferanten: Wie sicher sind eigentlich die, von denen wir abhängen?

Anhang, Nummer 5.1 und 5.2 · Art. 21 Abs. 2 lit. d NIS2

Was das Gesetz will. Klare Vorgaben für den Umgang mit Ihren IT-Lieferanten und Dienstleistern, von der Auswahl bis zum Vertragsende. In die Verträge gehören, soweit angemessen, die Pflicht des Lieferanten, Ihnen Vorfälle sofort zu melden und Schwachstellen zu beheben, sowie idealerweise ein Prüfrecht für Sie. Außerdem regelt der Vertrag, was bei Vertragsende mit Ihren Daten passiert. Dazu führen Sie eine Liste aller direkten Lieferanten mit Ansprechpartner und gelieferter Leistung.

So setzen Sie es um. Legen Sie eine Liste Ihrer IT-nahen Lieferanten an. Dazu gehören Systemhäuser, Cloud-Anbieter und Softwarehersteller, aber beispielsweise auch die Firma, die die Klimaanlage im Serverraum wartet. Ergänzen Sie die Verträge um ein Zusatzblatt bzw. Vereinbarung mit den genannten Pflichten. Ein allgemeiner Satz in den Einkaufsbedingungen reicht nicht aus.

6 · Systeme: Wie kaufen, betreiben und warten wir unsere technischen Systeme?

Anhang, Nummer 6.1 bis 6.10 · Art. 21 Abs. 2 lit. e NIS2

Was das Gesetz will. Das ist das umfangreichste Thema. Es bündelt alles, was den Lebenszyklus Ihrer IT betrifft.

• Einkauf und Updates. Neue Geräte und Programme müssen Sicherheitsanforderungen erfüllen, Updates werden in einer festgelegten Frist eingespielt.
• Grundeinstellungen und Änderungen. Sichere Standardkonfigurationen sind festgelegt und durchgesetzt. Änderungen werden dokumentiert und getestet, bevor sie umgesetzt werden.
• Netz und Netztrennung. Ein aktueller Netzplan, kontrollierte Fernzugriffe und nur befristete Zugänge für Dienstleister. Das Netz ist in Zonen unterteilt.
• Schutzsoftware und Schwachstellen. Eine Schutzsoftware, die Angriffe erkennt, und ein Prozess, mit dem kritische Lücken sofort geschlossen werden.
• Sicherheitstests. Sie legen fest, was wie oft geprüft wird, etwa durch einen Penetrationstest, und beheben kritische Funde.

So setzen Sie es um. Für ein KMU sind vier Dinge entscheidend.

• Eine feste Frist für kritische Updates.
• Ein moderner Endgeräteschutz, der Angriffe erkennt und nicht nur Viren sucht.
• Multi-Faktor-Authentifizierung für jeden Zugang von außen und intern für alle Administratorkonten.
• Eine Netztrennung zumindest zwischen Büro, Servern und Gästenetz sowie gegebenenfalls der Produktion.

7 · Wirksamkeit: Woher wissen wir, dass unsere Maßnahmen wirken?

Anhang, Nummer 7 · Art. 21 Abs. 2 lit. f NIS2

Was das Gesetz will. Ein Prozess, mit dem Sie messen, ob Ihre Maßnahmen umgesetzt sind und ob sie auch wirklich etwas bringen. Festzulegen ist, was gemessen wird, aber auch wie, wann und von wem die Ergebnisse bewertet werden.

So setzen Sie es um. Definieren Sie passende Kennzahlen, die idealerweise einmal im Quartal an die Geschäftsführung berichtet werden. Wie lange hat das Schließen kritischer Lücken gedauert? Wie viele haben bei der letzten Phishing-Übung geklickt bzw. wie hoch ist die aktuelle Schulungsquote? Hat der letzte Wiederherstellungstest funktioniert? Wie viele Risiken sind noch offen? Mehr braucht es am Anfang meist auch gar nicht.

8 · Schulungen: Wissen alle, worauf sie achten müssen?

Anhang, Nummer 8.1 und 8.2 · Art. 21 Abs. 2 lit. g NIS2

Was das Gesetz will. Ein Awareness-Programm für alle Mitarbeitenden und die Geschäftsführung. Falls passend, können auch Lieferanten und externe Mitarbeitende berücksichtigt werden. Die Lerninhalte werden laufend vermittelt, für neue wie für bestehende Mitarbeitende. Die Wirksamkeit ist zu überprüfen. Bestimmte Zielgruppen wie Administratoren oder Softwareentwickler bekommen zusätzliche Schulungen für ihre Aufgaben.

So setzen Sie es um. Ein Awareness-Programm mit einer umfassenderen Schulung für neue Mitarbeitende und laufende Awareness-Schulungen für alle anderen. Phishing-Übungen eignen sich gut als regelmäßiger Test. Planen Sie für die Geschäftsführung zusätzlich eine eigene Schulung ein, wie sie § 31 Abs. 2 NISG 2026 vorschreibt. Diese sollte mindestens alle zwei Jahre wiederholt werden, ein festes Intervall nennt das Gesetz jedoch nicht. Die allgemeine Mitarbeiterschulung reicht für die Geschäftsführung jedenfalls nicht aus, weil sie andere Schwerpunkte abdecken soll.

9 · Verschlüsselung: Sind unsere Daten geschützt, wenn ein Gerät verloren geht?

Anhang, Nummer 9 · Art. 21 Abs. 2 lit. h NIS2

Was das Gesetz will. Regeln, welche Daten wie stark verschlüsselt werden, beim Speichern ebenso wie beim Übertragen. Dazu klare Vorgaben, wie Sie mit den Schlüsseln umgehen, vom Erzeugen bis zum Vernichten.

So setzen Sie es um. Festplattenverschlüsselung auf allen Laptops und verschlüsselte Verbindungen überall dort, wo Daten übertragen werden. Dazu Transport- bzw. Ende-zu-Ende-Verschlüsselung für E-Mail und ein Passwort-Manager für die Teams. Legen Sie außerdem fest, wer die Wiederherstellungsschlüssel verwahrt, damit nach einem Austritt die Daten eines Laptops nicht verloren sind.

10 · Personal: Kennen alle ihre Pflichten, auch nach dem Austritt?

Anhang, Nummer 10.1 bis 10.4 · Art. 21 Abs. 2 lit. i NIS2

Was das Gesetz will. Mitarbeitende und Dienstleister kennen ihre Sicherheitspflichten und verpflichten sich dazu. Für Rollen mit privilegierten Zugriffsrechten wird, soweit möglich, vor Beginn der Tätigkeit eine Zuverlässigkeitsprüfung (Background-Check) durchgeführt. Die Pflicht zur Vertraulichkeit gilt auch nach dem Austritt weiter. Für Verstöße gegen die Regeln gibt es ein festgelegtes Disziplinarverfahren.

So setzen Sie es um. Eine IT-Nutzungsrichtlinie, die jeder unterschreibt, eine Vertraulichkeitsklausel (NDA) im Dienstvertrag und eine Liste der Rollen mit privilegierten Berechtigungen, bei denen Sie vor der Besetzung genauer prüfen sollen.

11 · Zugriff: Wer darf auf welche Systeme und Daten zugreifen?

Anhang, Nummer 11.1 bis 11.7 · Art. 21 Abs. 2 lit. i und j NIS2

Was das Gesetz will. Jeder bekommt nur die Rechte, die er für seine Arbeit braucht. Rechte werden genehmigt, in einer Liste geführt und bei Austritt oder Wechsel der Rolle angepasst oder entfernt. Für Administratoren gelten strengere Regeln. Sie haben eigene Konten nur für Administrationsaufgaben, mit möglichst begrenzten Rechten. Jede Person hat ein individuelles Konto, ungenutzte Konten werden sofort gesperrt. Dazu kommt, soweit angemessen, die Multi-Faktor-Authentifizierung, also eine Anmeldung mit zweitem Faktor wie App oder Hardware-Schlüssel.

So setzen Sie es um. Multi-Faktor-Authentifizierung auf E-Mail, VPN, Cloud-Diensten und allen Administratorzugängen. Administratoren arbeiten mit zwei Konten, einem normalen für den Alltag und einem Admin-Konto für Verwaltungsaufgaben. Erstellen Sie eine Austrittscheckliste, die noch am letzten Arbeitstag eines Mitarbeitenden abgearbeitet wird, und prüfen Sie die Berechtigungen in festen Abständen darauf, ob sie noch stimmen und angemessen sind.

12 · Inventar: Wissen wir, was wir haben und wie kritisch es ist?

Anhang, Nummer 12.1 bis 12.5 · Art. 21 Abs. 2 lit. i NIS2

Was das Gesetz will. Eine vollständige, aktuelle Liste Ihrer Geschäftsprozesse und der Systeme, auf denen sie laufen. Jedes System bekommt eine Schutzstufe. Für den Umgang mit Systemen und Informationen gibt es Regeln bis zur sicheren Entsorgung, USB-Sticks und andere Wechseldatenträger werden nur eingeschränkt eingesetzt, und beim Austritt werden alle Geräte zurückgegeben.

So setzen Sie es um. Eine Inventarliste mit zwei Ebenen: welche Geschäftsprozesse es gibt und welche Systeme daran hängen, jeweils mit Schutzbedarf nach einem festgelegten Klassifizierungsschema. Dazu eine USB-Sperre mit dokumentierter Ausnahmeliste und ein Nachweis, wie alte Datenträger bzw. auch Daten sicher entsorgt werden.

13 · Räume und Versorgung: Was passiert bei Stromausfall, Hitze oder Einbruch?

Anhang, Nummer 13.1 bis 13.3 · Art. 21 Abs. 2 lit. c, e und i NIS2

Was das Gesetz will. Schutz vor Ausfällen von Strom, Telekommunikation, Wasser, Lüftung und Klimaanlage. Ersatzversorgung erwägen, Verträge für den Notfall abschließen, Grenzwerte überwachen und Alarm auslösen. Schutz vor Naturgefahren und anderen physischen Bedrohungen nach Ihrer Risikobewertung. Räume mit wichtigen Systemen sind abgegrenzt, der Zutritt ist kontrolliert und wird überwacht.

So setzen Sie es um. Eine unterbrechungsfreie Stromversorgung mit getesteter Überbrückungszeit. Temperatur- und Feuchtigkeitsüberwachung im Serverraum mit Alarm auf ein Handy. Ein versperrter Serverraum mit Zutrittsprotokoll. Und ein Plan, was bei Hochwasser oder Brand mit dem Serverraum passiert.

Wann muss ein Vorfall gemeldet werden?

Die NISV regelt in den §§ 5 bis 7 außerdem, ab wann ein Vorfall erheblich und damit meldepflichtig ist. Ein eigener Beitrag dazu folgt im Blog „Chefsache“. Wer betroffen ist, bis wann registriert werden muss und was die Geschäftsführung persönlich zu verantworten hat, finden Sie übrigens bereits auf der Übersichtsseite zum NISG 2026 und in den Beiträgen zur Registrierung und zur Haftung der Geschäftsführung.

Fazit

Mit der NISV 2026 ist aus „angemessenen Maßnahmen“ eine konkrete, greifbare Liste geworden. Sie wissen jetzt, was das Bundesamt für Cybersicherheit im September 2027 von Ihnen erwartet, und können sich gezielt darauf vorbereiten.

Autor

Lukas Kulmitzer, MSc

Gründer von NextSecure. Seit über zehn Jahren in der Informationssicherheit, unter anderem als CISO, Auditor und Notfallmanager; CISSP, CISM und ISO/IEC 27001 Manager & Auditor. Begleitet Unternehmen in Österreich und im DACH-Raum bei NIS2, ISO 27001 und als externer CISO. Mehr über Lukas Kulmitzer