NISG 2026: Was österreichische Unternehmen ab 1. Oktober 2026 wirklich tun müssen

Warum eine deutsche NIS2-Checkliste in Österreich nicht trägt

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wurde als Artikel 1 des Bundesgesetzes BGBl. I Nr. 94/2025 am 23. Dezember 2025 kundgemacht. Nach § 51 Abs. 1 und 2 NISG 2026 treten seine Bestimmungen nach Ablauf von neun Monaten nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft — das ist der 1. Oktober 2026 (siehe https://ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.pdf). Gleichzeitig treten das alte NISG 2018, die Netz- und Informationssystemsicherheitsverordnung und die Verordnung über qualifizierte Stellen außer Kraft.

Beide Gesetze — das österreichische NISG 2026 und das deutsche NIS2-Umsetzungsgesetz — setzen dieselbe Richtlinie (EU) 2022/2555 um, die die Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht zu gießen hatten und ab dem 18. Oktober 2024 anzuwenden (Art. 41 der Richtlinie, siehe https://eur-lex.europa.eu/eli/dir/2022/2555/oj). Beide Länder waren damit deutlich verspätet. Die inhaltliche Substanz — Risikomanagement, Lieferkettensicherheit, gestufte Meldefristen — ist folgerichtig ähnlich. Was sich unterscheidet, ist alles, was ein Umsetzungsprojekt tatsächlich steuert: bei welcher Behörde man sich registriert, über welchen Kanal, bis wann, wer prüft, wer straft und wie der Nachweis aussieht.

Genau deshalb ist eine aus Deutschland importierte NIS2-Checkliste in Österreich kein Zeitgewinn, sondern eine Fehlerquelle. Sie nennt das BSI als Ansprechpartner, führt eine abgelaufene Registrierungsfrist, kennt die Kategorie „besonders wichtige Einrichtung" statt „wesentliche Einrichtung" und enthält den zentralen österreichischen Mechanismus — die Selbstdeklaration nach § 33 NISG 2026 — überhaupt nicht. Die folgende Gegenüberstellung zeigt die Unterschiede an den Stellen, an denen sie im Projektplan wehtun.

Betroffenheit: 18 Sektoren und zwei Größenschwellen

§ 2 NISG 2026 zählt 18 Sektoren auf: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Produktion und Handel mit chemischen Stoffen, Lebensmittel, verarbeitendes Gewerbe und Herstellung von Waren, Anbieter digitaler Dienste sowie Forschung. Die Teilsektoren stehen in den Anlagen 1 und 2 des Gesetzes.

Die Größeneinstufung regelt § 25 NISG 2026 über die EU-KMU-Empfehlung 2003/361/EG. Als großes Unternehmen gilt eine Einrichtung, die zumindest 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro erzielt und deren Jahresbilanzsumme über 43 Millionen Euro liegt. Als mittleres Unternehmen gilt, wer zumindest 50 Mitarbeiter beschäftigt oder über zehn Millionen Euro Jahresumsatz bei gleichzeitig über zehn Millionen Euro Jahresbilanzsumme erreicht. Bemerkenswert für Konzernstrukturen: Nach § 25 Abs. 4 werden Daten von Partner- oder verbundenen Unternehmen nicht hinzugerechnet, wenn die Einrichtung hinsichtlich der genutzten Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig ist. Diese Unabhängigkeit ist eine Tatsachenfrage, die man belegen können muss — geteilte Active-Directory-Domänen oder ein Konzern-SOC sprechen dagegen.

Zusätzlich kann die Cybersicherheitsbehörde nach § 26 NISG 2026 eine Einrichtung, die die Größenschwelle nicht erreicht, mit Bescheid als wesentliche oder wichtige Einrichtung einstufen — und eine wichtige Einrichtung zur wesentlichen hochstufen. Die Größenschwelle ist also eine Regelvermutung, keine Obergrenze.

Zur Zahl der betroffenen Unternehmen ist Ehrlichkeit angebracht: Die Wirtschaftskammer Österreich nennt rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 Sektoren (siehe https://www.wko.at/it-sicherheit/nis2-uebersicht). In den Gesetzesmaterialien selbst findet sich diese Zahl nicht: Die wirkungsorientierte Folgenabschätzung zur Regierungsvorlage 308 der Beilagen XXVIII. GP hält ausdrücklich fest, dass das konkrete Ausmaß an betroffenen Einrichtungen erst im Register der Behörde ersichtlich sein wird (siehe https://www.parlament.gv.at/gegenstand/XXVIII/I/308). Die 4.000 sind daher eine Schätzung der Kammer, keine gesetzgeberische Festlegung. Zum Vergleich: Für Deutschland nennt das BSI rund 29.500 erfasste Einrichtungen (siehe https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html).

Die Fristenkette ab 1. Oktober 2026

Anders als in Deutschland, wo die Pflichten mit dem Inkrafttreten sofort scharf gestellt wurden und die Registrierungsfrist bereits abgelaufen ist, gibt Österreich eine gestaffelte Anlaufzeit. Diese Staffelung ist kein Aufschub, sondern ein Terminplan mit vier harten Punkten.

1. 11. Oktober 2026 — Inkrafttreten: Die §§ 2 bis 45 NISG 2026 samt Anlagen treten in Kraft (§ 51 Abs. 2). Ab diesem Tag gelten die Risikomanagementpflichten des § 32 und die Meldepflichten des § 34 unmittelbar. Es gibt keine Schonfrist für Vorfälle, die am 2. Oktober passieren.
2. 231. Dezember 2026 — Registrierung: Die Registrierung nach § 29 Abs. 2 hat innerhalb von drei Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 3). Zu übermitteln sind unter anderem Name, Anschrift und Kontaktdaten, Sektor und Teilsektor, die EU-Mitgliedstaaten mit Diensterbringung, die IP-Adressbereiche, die Anschrift der Hauptniederlassung sowie die Angaben zu den Schwellenwerten und zur Einstufung als wesentliche oder wichtige Einrichtung.
3. 330. September 2027 — Selbstdeklaration: Nach § 33 Abs. 1 sind binnen zwölf Monaten nach Eintritt der Registrierungspflicht Informationen über die umgesetzten Risikomanagementmaßnahmen an die Cybersicherheitsbehörde zu übermitteln, insbesondere zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferketten und zu den Ergebnissen der Risikoanalyse.
4. 4Ab 1. Oktober 2028 — Prüfung durch unabhängige Stellen: Die erstmalige Aufforderung zum Nachweis nach § 33 Abs. 2 kann frühestens nach Ablauf von zwei Jahren ab Inkrafttreten erfolgen. Danach gilt: zwei Jahre Zeit ab Aufforderung — für wesentliche Einrichtungen jedoch nur zwei Monate, soweit es um die operative und organisatorische Umsetzung geht.
5. 5Laufend — Änderungsmeldungen: Änderungen an Name, Anschrift, Kontaktdaten, Sektor oder IP-Bereichen sind binnen zwei Wochen zu melden, Änderungen an Niederlassung und Schwellenwerteinstufung binnen drei Monaten (§ 29 Abs. 4). Diese kurze Zwei-Wochen-Frist wird in der Praxis am häufigsten übersehen, weil sie an ganz normale Betriebsereignisse anknüpft.

Die Selbstdeklaration: der österreichische Sonderweg

Der größte strukturelle Unterschied zum deutschen Recht ist § 33 NISG 2026. In Deutschland trifft eine wiederkehrende Nachweispflicht durch Audits, Prüfungen oder Zertifizierungen alle drei Jahre nur die Betreiber kritischer Anlagen (§ 39 BSIG 2025, siehe https://www.gesetze-im-internet.de/bsig_2025/BJNR12D0B0025.html). Die große Masse der besonders wichtigen und wichtigen Einrichtungen liefert in Deutschland zunächst nichts proaktiv ab — sie muss liefern können, wenn das BSI fragt.

Österreich dreht das um. Jede wesentliche und jede wichtige Einrichtung muss von sich aus, ohne Aufforderung, binnen zwölf Monaten strukturiert darlegen, welche Risikomanagementmaßnahmen sie umgesetzt hat. Das Format gibt die Cybersicherheitsbehörde vor. Damit entsteht eine Bringschuld, die es in Deutschland in dieser Breite nicht gibt — und ein Dokument, das die Behörde später gegen den tatsächlichen Zustand halten kann.

Die zweite Stufe ist die Prüfung durch eine unabhängige Stelle nach § 33 Abs. 2. Sie erfolgt auf Aufforderung, auf Basis der eigenen Risikoanalyse, und der Nachweis der operativen und organisatorischen Umsetzung ist auch über einschlägige gültige Zertifikate möglich — eine praktisch wichtige Öffnung für Häuser mit ISO/IEC 27001. Nach § 33 Abs. 3 ist der Cybersicherheitsbehörde ein Prüfbericht zu übermitteln, der von den Leitungsorganen und den eingesetzten unabhängigen Prüfern unterzeichnet ist und festgestellte Mängel samt Maßnahmenplan zu deren Beseitigung enthält. Die Kosten dieser Prüfungen trägt nach § 33 Abs. 4 grundsätzlich die geprüfte Einrichtung. Geplante Prüfungen sind der Behörde nach § 33 Abs. 5 spätestens einen Monat im Voraus mit Prüfplan bekanntzugeben.

Zwei Konsequenzen folgen daraus unmittelbar. Erstens: Die Unterschrift der Leitungsorgane unter einem Bericht, der die eigenen Mängel benennt, ist ein Governance-Vorgang, kein IT-Vorgang — er gehört terminlich und inhaltlich in die Geschäftsleitungssitzung, nicht in die letzte Woche vor der Frist. Zweitens: Wer sich in der Selbstdeklaration besser darstellt, als er ist, riskiert nach § 45 Abs. 4 Z 8 eine eigene Strafbarkeit für wissentlich falsche Angaben über die Umsetzung von Risikomanagementmaßnahmen. Bemerkenswert ist die Gegenrichtung: Nach § 45 Abs. 1 Z 3 ist die fehlende Umsetzung von Risikomanagementmaßnahmen nur strafbar, soweit dieser Umstand der Behörde nicht nur aufgrund der Selbstdeklaration bekanntgeworden ist. Das Gesetz privilegiert die ehrliche Selbstauskunft und bestraft die geschönte.

Für die inhaltliche Vorbereitung ist ein strukturiertes Reifegradbild der wirksamste Hebel. Unser Cybersecurity Assessment bildet die Maßnahmenbereiche ab, die § 32 NISG 2026 verlangt, und liefert genau die Struktur, in der die Selbstdeklaration argumentiert werden muss. Eine erste, unverbindliche Standortbestimmung gibt der kostenlose NIS2-Readiness-Check — wichtig zu wissen: Dieser Quick-Check prüft die strukturelle Reife entlang der NIS2-Maßnahmenlogik, seine Rechtsbezüge sind jedoch am deutschen Recht ausgerichtet. Für die österreichische Rechtslage ersetzt er die Prüfung am NISG 2026 nicht, er priorisiert sie.

Meldepflichten: gleiche Uhr, andere Adresse

Die Meldefristen des § 34 Abs. 2 NISG 2026 folgen der Richtlinie und sind daher deckungsgleich mit den deutschen: eine Frühwarnung unverzüglich, jedenfalls binnen 24 Stunden nach Kenntnisnahme des erheblichen Vorfalls, eine Meldung mit erster Bewertung von Schweregrad, Auswirkungen und Kompromittierungsindikatoren binnen 72 Stunden, ein Zwischenbericht auf Ersuchen und ein Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung. Dauert die Vorfallsbehandlung noch an, tritt zunächst ein Fortschrittsbericht an die Stelle des Abschlussberichts, der dann binnen eines Monats nach Beendigung der Behandlung folgt.

Der Unterschied liegt im Adressaten. In Deutschland meldet man an das BSI. In Österreich meldet man nach § 34 Abs. 1 an das für die eigene Einrichtung zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter. Die offiziellen Meldeplattformen sind über die NIS-Anlaufstelle des Innenministeriums erreichbar (siehe https://www.nis.gv.at/). Für ein Unternehmen mit Sitz in beiden Ländern heißt das: zwei getrennte Meldekanäle, zwei Zugangsverfahren, zwei Kontaktlisten — bei identischer Uhr.

Angenehmer als in Deutschland ist die Gegenleistung: Nach § 34 Abs. 4 hat das CSIRT der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung eine Antwort zu übermitteln, einschließlich einer ersten Rückmeldung und auf Ersuchen operativer Beratung zu möglichen Abhilfemaßnahmen. Wird ein strafrechtlich relevanter Hintergrund vermutet, gibt das CSIRT zusätzlich Orientierungshilfe für die Meldung an die Strafverfolgungsbehörden. Diese Rückkanalpflicht macht die Erstmeldung operativ wertvoll und nicht nur zur Pflichtübung.

§ 34 Abs. 3 ergänzt eine Pflicht, die in Krisenübungen regelmäßig fehlt: Beeinträchtigt der Vorfall die Diensterbringung, sind die Empfänger der Dienste unverzüglich zu unterrichten, samt möglicher Gegenmaßnahmen auf deren Seite. Das ist Kundenkommunikation unter Zeitdruck — sie braucht vorbereitete Textbausteine und eine geklärte Freigabekette, sonst kollidiert sie mit dem laufenden Incident Response. Wie sich eine solche Meldekette im Team verankern lässt, behandelt unser Beitrag NIS2-Compliance für IT-Teams.

Leitungsorgane, Strafrahmen und der Weg ins Firmenbuch

§ 31 Abs. 1 NISG 2026 verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. § 31 Abs. 2 verlangt, dass die Leitungsorgane an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten. Beides ist eigenständig strafbewehrt: § 45 Abs. 1 Z 1 und Z 2 stellen das Unterlassen der Schulungen für Leitungsorgane und für Mitarbeiter ausdrücklich unter Strafe.

Der deutsche Gegenpart ist anders konstruiert. § 38 BSIG 2025 verpflichtet die Geschäftsleitungen ebenfalls zur Umsetzung und Überwachung und schreibt regelmäßige Schulungen vor — die Haftung führt in Abs. 2 jedoch ins Gesellschaftsrecht: Geschäftsleitungen haften ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den auf die Rechtsform anwendbaren Regeln, und nach dem BSIG selbst nur dann, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Das NISG 2026 enthält keine solche Innenhaftungsnorm, dafür ein schärferes aufsichtsrechtliches Schwert.

Nach § 39 Abs. 4 Z 2 NISG 2026 kann Leitungsorganen einer wesentlichen Einrichtung mit Bescheid vorübergehend untersagt werden, Leitungsaufgaben in dieser Einrichtung wahrzunehmen — und dieser Bescheid ist von der Cybersicherheitsbehörde dem Firmenbuchgericht zur Eintragung in das Firmenbuch zu übermitteln. Die Untersagung ist unverzüglich aufzuheben, sobald die angeordneten Maßnahmen nachweislich ergriffen wurden, und sie gilt nach § 39 Abs. 6 nicht gegenüber Stellen der öffentlichen Verwaltung. Der Reputationsunterschied zur deutschen Regelung ist trotzdem erheblich: Eine Eintragung im Firmenbuch ist öffentlich einsehbar.

Bei den Geldstrafen sind die Obergrenzen nahezu identisch. § 45 Abs. 2 NISG 2026 sieht für wesentliche Einrichtungen bis zu 10.000.000 Euro oder bis zu 2 Prozent des gesamten weltweiten Umsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist; § 45 Abs. 3 für wichtige Einrichtungen bis zu 7.000.000 Euro oder 1,4 Prozent. Das BSIG 2025 kennt für besonders wichtige Einrichtungen ebenfalls bis zu zehn Millionen Euro beziehungsweise 2 Prozent des Gesamtumsatzes und für wichtige Einrichtungen bis zu sieben Millionen Euro beziehungsweise 1,4 Prozent.

Österreich-spezifisch ist der zweite Strafrahmen: § 45 Abs. 4 NISG 2026 belegt eine lange Liste formaler Verstöße — verspätete oder falsche Registrierung, versäumte Änderungsmeldung, unterlassene oder unwahre Selbstdeklaration, nicht fristgerechter Prüfbericht, Behinderung von Kontrollen und Sicherheitsscans — mit einer Geldstrafe bis zu 50.000 Euro und im Wiederholungsfall bis zu 100.000 Euro. Diese Beträge sind niedrig genug, um unterschätzt zu werden, und die auslösenden Tatbestände sind reine Formalpflichten. Sie treffen genau jene Organisationen, die technisch solide, administrativ aber nachlässig arbeiten.

Verfahrensrechtlich ist die Zuständigkeit klar getrennt: Nach § 44 Abs. 1 obliegt die Verhängung von Verwaltungsstrafen den Bezirksverwaltungsbehörden; die Cybersicherheitsbehörde zeigt den Verdacht lediglich an. Nach § 44 Abs. 3 und 4 können Geldstrafen auch gegen die juristische Person verhängt werden, unter anderem wenn mangelnde Überwachung oder Kontrolle durch eine Führungsperson den Verstoß ermöglicht hat. § 44 Abs. 7 enthält eine praktisch wichtige Doppelbestrafungssperre: Hat die Datenschutzbehörde für dasselbe Verhalten bereits eine Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO verhängt, darf die Bezirksverwaltungsbehörde keine Strafe nach dem NISG 2026 mehr verhängen.

Die dokumentarische Seite dieser Pflichten — datierte Billigung, nachvollziehbare Aufsicht, belegte Schulungsteilnahme — lässt sich mit unserem Governance Doc Generator systematisch erzeugen. Welche Leistungsstufe Sie dafür brauchen, zeigt die Preisübersicht.

Konzerne mit Standorten in beiden Ländern: was doppelt läuft, was einmal

Für Gruppen mit Gesellschaften in Deutschland und Österreich ist die entscheidende Frage nicht, ob man zweimal compliant sein muss — das ist man, weil beide Gesetze an die einzelne Einrichtung anknüpfen und nicht an den Konzern. Die Frage ist, welche Artefakte man einmal baut und nur unterschiedlich einreicht.

Einmal bauen lässt sich alles Inhaltliche: die Risikoanalyse, das Sicherheitskonzept, der Incident-Response-Plan, das Lieferantenregister mit Risikoklassen, die Backup- und Restore-Nachweise, die Kryptographie- und Zugriffskonzepte, die Schulungsinhalte. Beide Gesetze setzen denselben Maßnahmenkatalog der Richtlinie um; die Substanz ist deckungsgleich genug, um ein gemeinsames Kontrollset zu tragen.

Zweimal laufen muss dagegen alles Formale und Behördenbezogene. Das sind die beiden Registrierungen mit unterschiedlichen Zugangswegen, die beiden Meldeketten mit unterschiedlichen Empfängern und Zugangsdaten, die Fristenkalender mit unterschiedlichen Stichtagen, die Nachweisformate — deutsche Nachweispflicht für kritische Anlagen gegenüber österreichischer Selbstdeklaration für alle Einrichtungen — sowie die jeweiligen Schulungsnachweise pro Leitungsorgan und Gesellschaft.

Ein Sonderfall verdient Aufmerksamkeit: die Einstufung nach § 25 Abs. 4 NISG 2026. Wenn eine österreichische Tochter organisatorisch, technisch und operativ unabhängig von der Gruppe ist, werden die Konzernzahlen für die Größenschwelle nicht hinzugerechnet. Zentralisierte IT hebt diese Unabhängigkeit faktisch auf und zieht damit möglicherweise erst die Betroffenheit herbei. Wer die Frage nicht dokumentiert entscheidet, entscheidet sie trotzdem — nur unbewusst.

Wie sich mehrere Regelwerke ohne Doppelarbeit übereinanderlegen lassen, behandeln wir vertieft in Die Regulierungs-Kollision 2026. Die dortige Grundlogik gilt hier eins zu eins: Kontrollen einmal bauen, Nachweisform je Regelwerk und je Rechtsordnung variieren. Eine Übersicht der dafür passenden Instrumente finden Sie in unserer Template-Bibliothek.

Fahrplan bis zum 1. Oktober 2026

Bis zum Inkrafttreten bleiben wenige Monate. Der folgende Fahrplan priorisiert nach Haftungsexposition und Fristenrisiko, nicht nach technischer Eleganz — was die Leitungsorgane in einem Verfahren schützt, kommt zuerst.

1. 1Sofort — Betroffenheit dokumentiert entscheiden: Sektorzugehörigkeit nach § 2 und den Anlagen 1 und 2 prüfen, Größeneinstufung nach § 25 rechnen, bei Konzernzugehörigkeit die Unabhängigkeitsfrage nach § 25 Abs. 4 begründen. Ergebnis als datierten Beschluss der Leitungsorgane festhalten — auch und gerade ein negatives.
2. 2Bis Ende September 2026 — Registrierungsdaten vorbereiten: Alle nach § 29 Abs. 2 geforderten Angaben zusammenstellen, insbesondere die IP-Adressbereiche und die Liste der EU-Mitgliedstaaten mit Diensterbringung. Diese beiden Punkte brauchen erfahrungsgemäß am längsten, weil sie Netzbetrieb und Vertrieb gleichzeitig betreffen.
3. 3Bis Ende Oktober 2026 — Meldekette scharf stellen: Zuständiges sektorspezifisches CSIRT bestimmen, Zugänge zur Meldeplattform einrichten, Rollen mit Vertretung benennen, Textvorlagen für Frühwarnung, 72-Stunden-Meldung und Kundeninformation nach § 34 Abs. 3 vorbereiten und in einer Tabletop-Übung testen. Die Meldepflicht gilt ab 1. Oktober 2026, nicht erst ab der Registrierung.
4. 4Bis November 2026 — Registrierung einreichen: Nicht bis zum 31. Dezember warten. Ein Puffer von sechs Wochen fängt Rückfragen der Behörde und Zugangsprobleme ab, ohne die Frist zu gefährden.
5. 5Q1 bis Q3 2027 — Substanz für die Selbstdeklaration aufbauen: Risikoanalyse aktualisieren, Lieferantenregister mit Risikoklassen aufsetzen, Restore-Tests mit Datum und Ergebnis protokollieren, Schulungen der Leitungsorgane absolvieren und Teilnahme belegen. Die Selbstdeklaration ist kein Schreibprojekt, sondern die Zusammenfassung dessen, was vorher tatsächlich getan wurde.
6. 6Bis September 2027 — Selbstdeklaration einreichen und Prüffähigkeit herstellen: Deklaration nach den Vorgaben der Behörde übermitteln, parallel prüfen, ob vorhandene Zertifikate den Nachweis nach § 33 Abs. 2 tragen. Wer ab Oktober 2028 mit einer Aufforderung rechnen muss, sollte den Prüfpfad zu diesem Zeitpunkt bereits kennen.