Ab dem 1. Oktober 2026 ist Cybersicherheit für rund 4.000 österreichische Unternehmen aus 18 Sektoren gesetzliche Pflicht – deutlich mehr als die rund 100 Unternehmen, die bisher unter die alte NIS-Richtlinie fielen. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die EU-NIS2-Richtlinie in nationales Recht um: Wer betroffen ist, muss sich registrieren, Sicherheitsvorfälle melden und ein nachweisbares Risikomanagement aufbauen. Bei Verstößen drohen Geldbußen von bis zu 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes.
Der Handlungsbedarf ist entsprechend hoch – ein signifikanter Teil der betroffenen Unternehmen in Österreich kann eine NIS2-Compliance derzeit noch nicht nachweisen. Die Umsetzung sollte dabei nicht unterschätzt werden: Die Anforderungen sind komplex, und je nach Ausgangslage kann es bis zu 18 Monate dauern, sie vollständig zu erfüllen. Wer jetzt noch nicht begonnen hat, sollte also zügig handeln.
In diesem Blogpost erfahren Sie, ob Sie von NIS2 betroffen sind, was zu tun ist und bis wann.
Sind Sie vom NIS2G betroffen?
Anders als bisher gibt es keinen behördlichen Bescheid: Unternehmen müssen sich selbst einstufen. Das NISG 2026 ist anwendbar, wenn Einrichtungen zwei Voraussetzungen erfüllen:
1. Tätigkeit in einem NIS-Sektor
Betroffen sind Unternehmen in Sektoren mit hoher Kritikalität, beispielsweise Bankwesen, Energie, Gesundheitswesen, öffentliche Verwaltung, Telekommunikation oder Verkehr – sowie in sonstigen kritischen Sektoren, beispielsweise Anbieter digitaler Dienste, Chemie, Forschung, Lebensmittel, Post- und Kurierdienste oder das verarbeitende Gewerbe.
2. Erreichen der Größenschwelle
Zusätzlich müssen Unternehmen eine gewisse Größe aufweisen, um unter NIS2 zu fallen.
- Großes Unternehmen: ab 250 Mitarbeitenden oder über 50 Mio. Euro Jahresumsatz und über 43 Mio. Euro Bilanzsumme
- Mittleres Unternehmen: ab 50 Mitarbeitenden oder über 10 Mio. Euro-Jahresumsatz und Bilanzsumme
Ein paar Ausnahmen gelten unabhängig von der Größe – etwa für Vertrauensdiensteanbieter, bestimmte Telekommunikationsanbieter sowie TLD- und DNS-Diensteanbieter.
Wesentlich oder wichtig? Das hängt von Sektor und Größe zusammen ab: In Sektoren mit hoher Kritikalität gelten große Unternehmen als „wesentliche“, mittlere als „wichtige“ Einrichtungen. In den sonstigen kritischen Sektoren gilt man dagegen immer als „wichtige“ Einrichtung.
Diese Einstufung ändert nichts an den Sicherheitsanforderungen selbst – die gelten für beide gleichermaßen. Sie entscheidet aber darüber, wie streng Sie beaufsichtigt werden, welche Nachweise Sie erbringen müssen und wie hoch mögliche Bußgelder ausfallen können (mehr dazu weiter unten).
Nützliche Links zur ersten Einschätzung: Selbst-Check der WKO: ratgeber.wko.at/nis2; Überblick der WKO: wko.at/it-sicherheit/nis2-uebersicht.
Die wichtigsten Fristen im Überblick
| Zeitraum | Was passiert |
|---|---|
| 1.10. – 31.12.2026 | Registrierung über das Unternehmensserviceportal (USP): usp.gv.at |
| Ab 1.10.2026 | Meldepflichten gelten: Frühwarnung binnen 24 h, Vollmeldung binnen 72 h, Abschlussbericht binnen einem Monat |
| Bis rund 30.9.2027 | Selbstdeklaration zum Stand der Risikomanagementmaßnahmen ans Bundesamt für Cybersicherheit |
| Danach gestaffelt | Operative Umsetzungsnachweise ab 30.11.2028, unabhängige Prüfberichte ab 30.9.2030 |
Was bei Verstößen droht
Die Konsequenzen bei Nichteinhaltung sind ernst zu nehmen. Bereits kleinere organisatorische Versäumnisse werden mit Geldbußen geahndet, bei schweren Verstößen drohen deutlich höhere Summen.
- Organisatorische Pflichten (z.B. fehlende Registrierung oder Selbstdeklaration): bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro.
- Schwere Verstöße gegen die Sicherheitspflichten: wesentliche Einrichtungen bis 10 Mio. Euro bzw. 2 % des weltweiten Jahresumsatzes, wichtige Einrichtungen bis 7 Mio. Euro bzw. 1,4 % – jeweils der höhere Betrag.
- Persönliche Verantwortung: Leitungsorgane müssen die Maßnahmen genehmigen, überwachen und sich schulen lassen (§ 31). Bei Pflichtverletzung kann das Unternehmen sie intern in Regress nehmen
Außerdem können wesentliche Einrichtungen jederzeit anlasslos geprüft werden, wichtige Einrichtungen nur anlassbezogen – die Strafrahmen sind in beiden Fällen aber gleich. Und auch wenn erste Bußgeldverfahren nicht vor 2027/2028 erwartet werden: Wer erst dann mit der Umsetzung beginnt, hat kaum noch Zeit für eine saubere IAM-Strategie.
Die wichtigsten Maßnahmen, um NIS2 umzusetzen
Ein Großteil der NIS2-Anforderungen lässt sich mit einer durchdachten Identity- & Access-Management-Strategie abdecken. Konkret gefordert sind:
- Cybersecurity Risk Management: Risikomanagement-Prozesse etablieren, die Bedrohungen frühzeitig erkennen und abwehren
- Incident Response, Reporting und Recovery: Bedrohungen erkennen und gezielt bewältigen mit Identity Threat Detection and Response (ITDR) und Security Information and Event Management (SIEM)
- Business Continuity und Krisenmanagement: Bei Sicherheitsvorfällen handlungsfähig bleiben und schnell, gezielt reagieren
- Supply Chain Security: Lieferanten auf NIS2- und ISO-27001-Konformität prüfen, und klare Service Level Agreements (SLAs) definieren
- Security in Network and Information Systems: Kritische IT-Systeme regelmäßig auf Schwachstellen prüfen
- Access Controls, Policies and Procedures: Multi-Faktor-Authentifizierung und Zero-Trust umsetzen, um unbefugten Zugriff zu verhindern
- Advanced Monitoring und Reporting: Sicherheitsvorfälle durch Echtzeitüberwachung und automatisiertes Reporting schnell erkennen
- Compliance und Audits: Sicherheitsmaßnahmen dokumentieren und regelmäßig auf regulatorische Konformität prüfen
- Cyber Hygiene: Mitarbeitende schulen, um menschliche Fehler im Umgang mit IT-Systemen zu minimieren
Zusätzlich bringt NIS2 klare Meldepflichten mit sich: Sicherheitsvorfälle – unabhängig davon, ob ein Angriff erfolgreich war oder nicht – müssen unverzüglich gemeldet werden. Dabei gelten gestaffelte Fristen: eine Frühwarnung binnen 24 Stunden, ein detaillierter Bericht binnen 72 Stunden und ein Abschlussbericht binnen eines Monats, der Ursachen, Maßnahmen und mögliche grenzüberschreitende Auswirkungen darlegt.
Mit iC Consult zur NIS2-Compliance
Eine integrierte IAM-Strategie aus Privileged Access Management (PAM) und Identity Governance & Administration (IGA) deckt den Großteil der NIS2-Anforderungen ab und stärkt zugleich Ihre gesamte Sicherheitsarchitektur.
Unser 3-Tage-Workshop-Paket bringt Sie schnell in die Umsetzung:
- Analyse der gesetzlichen Anforderungen und ihrer Auswirkungen auf Ihre IAM-Landschaft.
- Ermittlung von Sicherheitslücken durch eine detaillierte Analyse des aktuellen Stands Ihrer PAM- und IGA-Systeme.
- Maßgeschneiderte Empfehlungen zur Einhaltung von NIS2 (und DORA) Compliance, einschließlich Lösungen zur Lückenbehebung.
Das Ergebnis: Ein klarer Mitigations-Plan und eine Compliance-Roadmap, die Sie gezielt zur NIS2-Compliance führen. Handeln Sie jetzt: Erfahren Sie mehr über unsere NIS2-Angebote, oder kontaktieren Sie uns, und wir setzen NIS2 gemeinsam um!
