NISG 2026: Was österreichische Unternehmen ab 1. Oktober 2026 wirklich tun müssen

Warum eine deutsche NIS2-Checkliste in Österreich nicht trägt

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wurde als Artikel 1 des Bundesgesetzes BGBl. I Nr. 94/2025 am 23. Dezember 2025 kundgemacht. Nach § 51 Abs. 1 und 2 NISG 2026 treten seine Bestimmungen nach Ablauf von neun Monaten nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft — das ist der 1. Oktober 2026 (siehe https://ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.pdf). Gleichzeitig treten das alte NISG 2018, die Netz- und Informationssystemsicherheitsverordnung und die Verordnung über qualifizierte Stellen außer Kraft. Zuständige Behörde ist nach § 3a Abs. 1 das Bundesamt für Cybersicherheit, im Gesetz „Cybersicherheitsbehörde" genannt; zum Direktor wurde mit 1. Oktober 2026 Markus Kasinger bestellt (siehe https://www.bundesamt-cybersicherheit.gv.at/102/start.html). Die zugehörige Verordnung NISV 2026 (BGBl. II Nr. 290/2026) wurde am 1. Oktober 2026 kundgemacht (siehe https://www.ris.bka.gv.at/eli/bgbl/II/2026/290).

Beide Gesetze — das österreichische NISG 2026 und das deutsche NIS2-Umsetzungsgesetz — setzen dieselbe Richtlinie (EU) 2022/2555 um, die die Mitgliedstaaten bis zum 17. Oktober 2024 in nationales Recht zu gießen hatten und ab dem 18. Oktober 2024 anzuwenden (Art. 41 der Richtlinie, siehe https://eur-lex.europa.eu/eli/dir/2022/2555/oj). Beide Länder waren damit deutlich verspätet. Die inhaltliche Substanz — Risikomanagement, Lieferkettensicherheit, gestufte Meldefristen — ist folgerichtig ähnlich. Was sich unterscheidet, ist alles, was ein Umsetzungsprojekt tatsächlich steuert: bei welcher Behörde man sich registriert, über welchen Kanal, bis wann, wer prüft, wer straft und wie der Nachweis aussieht.

Genau deshalb ist eine aus Deutschland importierte NIS2-Checkliste in Österreich kein Zeitgewinn, sondern eine Fehlerquelle. Sie nennt das BSI als Ansprechpartner, führt eine abgelaufene Registrierungsfrist, kennt die Kategorie „besonders wichtige Einrichtung" statt „wesentliche Einrichtung" und enthält den zentralen österreichischen Mechanismus — die Selbstdeklaration nach § 33 NISG 2026 — überhaupt nicht. Die folgende Gegenüberstellung zeigt die Unterschiede an den Stellen, an denen sie im Projektplan wehtun. Wer die deutschen Pflichten im Detail benötigt — zehn Risikomanagement-Bereiche, Meldekaskade, Geschäftsleitungshaftung — findet sie vertieft im Artikel zum NIS2-Umsetzungsgesetz.

Betroffenheit: 18 Sektoren und zwei Größenschwellen

§ 2 NISG 2026 zählt 18 Sektoren auf: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Produktion und Handel mit chemischen Stoffen, Lebensmittel, verarbeitendes Gewerbe und Herstellung von Waren, Anbieter digitaler Dienste sowie Forschung. Die Teilsektoren stehen in den Anlagen 1 und 2 des Gesetzes.

Die Größeneinstufung regelt § 25 NISG 2026 über die EU-KMU-Empfehlung 2003/361/EG. Als großes Unternehmen gilt eine Einrichtung, die zumindest 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro erzielt und deren Jahresbilanzsumme über 43 Millionen Euro liegt. Als mittleres Unternehmen gilt, wer zumindest 50 Mitarbeiter beschäftigt oder über zehn Millionen Euro Jahresumsatz bei gleichzeitig über zehn Millionen Euro Jahresbilanzsumme erreicht. Bemerkenswert für Konzernstrukturen: Nach § 25 Abs. 4 werden Daten von Partner- oder verbundenen Unternehmen nicht hinzugerechnet, wenn die Einrichtung hinsichtlich der genutzten Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig ist. Diese Unabhängigkeit ist eine Tatsachenfrage, die man belegen können muss — geteilte Active-Directory-Domänen oder ein Konzern-SOC sprechen dagegen.

Zusätzlich kann die Cybersicherheitsbehörde nach § 26 NISG 2026 eine Einrichtung, die die Größenschwelle nicht erreicht, mit Bescheid als wesentliche oder wichtige Einrichtung einstufen — und eine wichtige Einrichtung zur wesentlichen hochstufen. Die Größenschwelle ist also eine Regelvermutung, keine Obergrenze.

Zur Zahl der betroffenen Unternehmen ist Ehrlichkeit angebracht: Die Wirtschaftskammer Österreich nennt rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 Sektoren (siehe https://www.wko.at/it-sicherheit/nis2-uebersicht). In den Gesetzesmaterialien selbst findet sich diese Zahl nicht: Die wirkungsorientierte Folgenabschätzung zur Regierungsvorlage 308 der Beilagen XXVIII. GP hält ausdrücklich fest, dass das konkrete Ausmaß an betroffenen Einrichtungen erst im Register der Behörde ersichtlich sein wird (siehe https://www.parlament.gv.at/gegenstand/XXVIII/I/308). Die 4.000 sind daher eine Schätzung der Kammer, keine gesetzgeberische Festlegung. Zum Vergleich: Für Deutschland nennt das BSI rund 29.500 erfasste Einrichtungen (siehe https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html).

Die Fristenkette ab 1. Oktober 2026

Anders als in Deutschland, wo die Pflichten mit dem Inkrafttreten sofort scharf gestellt wurden und die Registrierungsfrist bereits abgelaufen ist, gibt Österreich eine gestaffelte Anlaufzeit. Diese Staffelung ist kein Aufschub, sondern ein Terminplan mit vier harten Punkten.

1. 11. Oktober 2026 — Inkrafttreten (eingetreten): Die §§ 2 bis 45 NISG 2026 samt Anlagen sind in Kraft getreten (§ 51 Abs. 2). Seit diesem Tag gelten die Risikomanagementpflichten des § 32 und die Meldepflichten des § 34 unmittelbar. Es gibt keine Schonfrist: Vorfälle ab dem Inkrafttreten sind nach § 34 meldepflichtig.
2. 21. Jänner 2027, spätestens 4. Jänner 2027 — Registrierung: Die Registrierung nach § 29 Abs. 2 hat innerhalb von drei Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 3). Das Bundesamt für Cybersicherheit nennt dafür „grundsätzlich bis 1. Jänner 2027, aufgrund § 33 Abs. 2 AVG bis spätestens 4. Jänner 2027" (Stand 2. Oktober 2026, siehe https://www.bundesamt-cybersicherheit.gv.at/303/registrierung.html). Registriert wird über die Anwendung „NIS2-Services" im Unternehmensserviceportal (USP). Zu übermitteln sind unter anderem Name, Anschrift und Kontaktdaten, Sektor und Teilsektor, die EU-Mitgliedstaaten mit Diensterbringung, die IP-Adressbereiche, die Anschrift der Hauptniederlassung sowie die Angaben zu den Schwellenwerten und zur Einstufung als wesentliche oder wichtige Einrichtung.
3. 330. September 2027 — Selbstdeklaration: Nach § 33 Abs. 1 sind binnen zwölf Monaten nach Eintritt der Registrierungspflicht Informationen über die umgesetzten Risikomanagementmaßnahmen an die Cybersicherheitsbehörde zu übermitteln, insbesondere zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferketten und zu den Ergebnissen der Risikoanalyse.
4. 4Ab 1. Oktober 2028 — Prüfung durch unabhängige Stellen: Die erstmalige Aufforderung zum Nachweis nach § 33 Abs. 2 kann frühestens nach Ablauf von zwei Jahren ab Inkrafttreten erfolgen. Danach gilt: zwei Jahre Zeit ab Aufforderung — für wesentliche Einrichtungen jedoch nur zwei Monate, soweit es um die operative und organisatorische Umsetzung geht.
5. 5Laufend — Änderungsmeldungen: Änderungen an Name, Anschrift, Kontaktdaten, Sektor oder IP-Bereichen sind binnen zwei Wochen zu melden, Änderungen an Niederlassung und Schwellenwerteinstufung binnen drei Monaten (§ 29 Abs. 4). Diese kurze Zwei-Wochen-Frist wird in der Praxis am häufigsten übersehen, weil sie an ganz normale Betriebsereignisse anknüpft.

Neu zum Start: Die NISV 2026 konkretisiert Risikomanagement und Meldeschwellen

Am Tag des Inkrafttretens wurde im Bundesgesetzblatt die Netz- und Informationssystemsicherheits-Verordnung der Cybersicherheitsbehörde kundgemacht (NISV 2026, BGBl. II Nr. 290/2026, ausgegeben am 1. Oktober 2026). Sie stützt sich auf § 32 Abs. 5 und § 35 Abs. 3 NISG 2026 und tritt nach ihrem § 9 mit Ablauf des Tages der Kundmachung in Kraft (siehe https://www.ris.bka.gv.at/eli/bgbl/II/2026/290). Sie ergänzt das Gesetz um zwei Konkretisierungen, die ein Umsetzungsprojekt unmittelbar betreffen: die Anforderungen an das Risikomanagement und die Kriterien für erhebliche Vorfälle.

Beim Risikomanagement trifft § 2 NISV 2026 eine Weichenstellung: Die Anforderungen aus Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690 sind auch auf die in den Anlagen 1 und 2 NISG 2026 gelisteten Einrichtungsarten anwendbar, die diese Durchführungsverordnung nicht erfasst. Im EU-Recht richtet sie sich an DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-, Rechenzentrums- und Managed-Services sowie weitere digitale Dienste (siehe https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32024R2690). Der technische Anforderungskatalog gilt in Österreich damit für alle wesentlichen und wichtigen Einrichtungen. Hinzu kommen die Risikokategorien des § 3 — technologische, menschliche, IKT-Lieferketten- und standortbezogene Risiken — und die Regel des § 4: Wer einzelne Anforderungen vorübergehend oder größenbedingt nicht erfüllen kann, setzt kompensierende Maßnahmen um, dokumentiert sie nachvollziehbar und begründet und prüft ihre Wirksamkeit mindestens jährlich.

Für die Meldekette ist § 5 Abs. 1 der wichtigere Teil. Ein Cybersicherheitsvorfall gilt danach jedenfalls als erheblich im Sinne des § 35 Abs. 1 NISG 2026, wenn eines von neun Kriterien erfüllt ist; bei sechs davon genügt, dass die Folge eintreten kann. Die Schwellen sind konkret: ein direkter finanzieller Verlust von mehr als 500.000 Euro oder 5 Prozent des Jahresgesamtumsatzes des Vorjahres (der niedrigere Wert zählt, § 5 Abs. 1 Z 1 NISV 2026) und ein Ausfall oder eine eingeschränkte Verfügbarkeit für mehr als 100.000 Nutzer oder 10 Prozent der Nutzer länger als 24 Stunden (Z 7). Praktisch besonders relevant ist Z 9: Wer Krisenmanagement oder Notfallwiederherstellung aktiviert, hat jedenfalls einen erheblichen Vorfall — die Eskalationsstufe im Incident-Runbook sollte deshalb mit der Meldeentscheidung verknüpft sein. Planmäßige Betriebsunterbrechungen und geplante Wartungsfolgen sind nach § 6 ausgenommen, wiederholte Einzelvorfälle werden nach § 7 zusammengerechnet. Die neun Kriterien im Überblick:

Die Selbstdeklaration: der österreichische Sonderweg

Der größte strukturelle Unterschied zum deutschen Recht ist § 33 NISG 2026. In Deutschland trifft eine wiederkehrende Nachweispflicht durch Audits, Prüfungen oder Zertifizierungen alle drei Jahre nur die Betreiber kritischer Anlagen (§ 39 BSIG 2025, siehe https://www.gesetze-im-internet.de/bsig_2025/BJNR12D0B0025.html). Die große Masse der besonders wichtigen und wichtigen Einrichtungen liefert in Deutschland zunächst nichts proaktiv ab — sie muss liefern können, wenn das BSI fragt.

Österreich dreht das um. Jede wesentliche und jede wichtige Einrichtung muss von sich aus, ohne Aufforderung, binnen zwölf Monaten strukturiert darlegen, welche Risikomanagementmaßnahmen sie umgesetzt hat. Das Format gibt die Cybersicherheitsbehörde vor. Damit entsteht eine Bringschuld, die es in Deutschland in dieser Breite nicht gibt — und ein Dokument, das die Behörde später gegen den tatsächlichen Zustand halten kann.

Die zweite Stufe ist die Prüfung durch eine unabhängige Stelle nach § 33 Abs. 2. Sie erfolgt auf Aufforderung, auf Basis der eigenen Risikoanalyse, und der Nachweis der operativen und organisatorischen Umsetzung ist auch über einschlägige gültige Zertifikate möglich — eine praktisch wichtige Öffnung für Häuser mit ISO/IEC 27001. Nach § 33 Abs. 3 ist der Cybersicherheitsbehörde ein Prüfbericht zu übermitteln, der von den Leitungsorganen und den eingesetzten unabhängigen Prüfern unterzeichnet ist und festgestellte Mängel samt Maßnahmenplan zu deren Beseitigung enthält. Die Kosten dieser Prüfungen trägt nach § 33 Abs. 4 grundsätzlich die geprüfte Einrichtung. Geplante Prüfungen sind der Behörde nach § 33 Abs. 5 spätestens einen Monat im Voraus mit Prüfplan bekanntzugeben.

Zwei Konsequenzen folgen daraus unmittelbar. Erstens: Die Unterschrift der Leitungsorgane unter einem Bericht, der die eigenen Mängel benennt, ist ein Governance-Vorgang, kein IT-Vorgang — er gehört terminlich und inhaltlich in die Geschäftsleitungssitzung, nicht in die letzte Woche vor der Frist. Zweitens: Wer sich in der Selbstdeklaration besser darstellt, als er ist, riskiert nach § 45 Abs. 4 Z 8 eine eigene Strafbarkeit für wissentlich falsche Angaben über die Umsetzung von Risikomanagementmaßnahmen. Bemerkenswert ist die Gegenrichtung: Nach § 45 Abs. 1 Z 3 ist die fehlende Umsetzung von Risikomanagementmaßnahmen nur strafbar, soweit dieser Umstand der Behörde nicht nur aufgrund der Selbstdeklaration bekanntgeworden ist. Das Gesetz privilegiert die ehrliche Selbstauskunft und bestraft die geschönte.

Für die inhaltliche Vorbereitung ist ein strukturiertes Reifegradbild der wirksamste Hebel. Unser Cybersecurity Assessment bildet die Maßnahmenbereiche ab, die § 32 NISG 2026 verlangt, und liefert genau die Struktur, in der die Selbstdeklaration argumentiert werden muss. Eine erste, unverbindliche Standortbestimmung gibt der kostenlose NIS2-Readiness-Check — wichtig zu wissen: Dieser Quick-Check prüft die strukturelle Reife entlang der NIS2-Maßnahmenlogik, seine Rechtsbezüge sind jedoch am deutschen Recht ausgerichtet. Für die österreichische Rechtslage ersetzt er die Prüfung am NISG 2026 nicht, er priorisiert sie.

Meldepflichten: gleiche Uhr, andere Adresse

Die Meldefristen des § 34 Abs. 2 NISG 2026 folgen der Richtlinie und sind daher deckungsgleich mit den deutschen: eine Frühwarnung unverzüglich, jedenfalls binnen 24 Stunden nach Kenntnisnahme des erheblichen Vorfalls, eine Meldung mit erster Bewertung von Schweregrad, Auswirkungen und Kompromittierungsindikatoren binnen 72 Stunden, ein Zwischenbericht auf Ersuchen und ein Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung. Dauert die Vorfallsbehandlung noch an, tritt zunächst ein Fortschrittsbericht an die Stelle des Abschlussberichts, der dann binnen eines Monats nach Beendigung der Behandlung folgt.

Der Unterschied liegt im Adressaten. In Deutschland meldet man an das BSI. In Österreich meldet man nach § 34 Abs. 1 an das für die eigene Einrichtung zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter. Seit 1. Oktober 2026 bestehen als Computer-Notfallteams das GovCERT für die öffentliche Verwaltung, das HealthCERT für den Gesundheitssektor und das nationale CSIRT mit allgemeiner Zuständigkeit (siehe https://www.bundesamt-cybersicherheit.gv.at/204/start.html); solange für einen Sektor kein eigenes CSIRT ermächtigt ist, nimmt CERT.at als nationales CSIRT dessen Aufgaben übergangsweise wahr. Wer in mehreren Sektoren tätig ist, meldet auch an die jeweils zuständigen CSIRTs. Gemeldet wird über die Meldeplattform im Unternehmensserviceportal (USP), die seit 1. Oktober 2026 in Betrieb ist und ein USP-Konto voraussetzt; bei einem Ausfall des Portals gelten PDF-Formulare, die an reports@cert.at gesendet werden (siehe https://www.cert.at/de/nis2/ und https://www.bundesamt-cybersicherheit.gv.at/303/meldepflicht-und-fristen.html). Für ein Unternehmen mit Sitz in beiden Ländern heißt das: zwei getrennte Meldekanäle, zwei Zugangsverfahren, zwei Kontaktlisten — bei identischer Uhr.

Angenehmer als in Deutschland ist die Gegenleistung: Nach § 34 Abs. 4 hat das CSIRT der meldenden Einrichtung spätestens 24 Stunden nach Eingang der Frühwarnung eine Antwort zu übermitteln, einschließlich einer ersten Rückmeldung und auf Ersuchen operativer Beratung zu möglichen Abhilfemaßnahmen. Wird ein strafrechtlich relevanter Hintergrund vermutet, gibt das CSIRT zusätzlich Orientierungshilfe für die Meldung an die Strafverfolgungsbehörden. Diese Rückkanalpflicht macht die Erstmeldung operativ wertvoll und nicht nur zur Pflichtübung.

§ 34 Abs. 3 ergänzt eine Pflicht, die in Krisenübungen regelmäßig fehlt: Beeinträchtigt der Vorfall die Diensterbringung, sind die Empfänger der Dienste unverzüglich zu unterrichten, samt möglicher Gegenmaßnahmen auf deren Seite. Das ist Kundenkommunikation unter Zeitdruck — sie braucht vorbereitete Textbausteine und eine geklärte Freigabekette, sonst kollidiert sie mit dem laufenden Incident Response. Wie sich eine solche Meldekette im Team verankern lässt, behandelt unser Beitrag NIS2-Compliance für IT-Teams.

Leitungsorgane, Strafrahmen und der Weg ins Firmenbuch

§ 31 Abs. 1 NISG 2026 verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. § 31 Abs. 2 verlangt, dass die Leitungsorgane an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten. Beides ist eigenständig strafbewehrt: § 45 Abs. 1 Z 1 und Z 2 stellen das Unterlassen der Schulungen für Leitungsorgane und für Mitarbeiter ausdrücklich unter Strafe.

Der deutsche Gegenpart ist anders konstruiert. § 38 BSIG 2025 verpflichtet die Geschäftsleitungen ebenfalls zur Umsetzung und Überwachung und schreibt regelmäßige Schulungen vor — die Haftung führt in Abs. 2 jedoch ins Gesellschaftsrecht: Geschäftsleitungen haften ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den auf die Rechtsform anwendbaren Regeln, und nach dem BSIG selbst nur dann, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Das NISG 2026 enthält keine solche Innenhaftungsnorm, dafür ein schärferes aufsichtsrechtliches Schwert.

Nach § 39 Abs. 4 Z 2 NISG 2026 kann Leitungsorganen einer wesentlichen Einrichtung mit Bescheid vorübergehend untersagt werden, Leitungsaufgaben in dieser Einrichtung wahrzunehmen — und dieser Bescheid ist von der Cybersicherheitsbehörde dem Firmenbuchgericht zur Eintragung in das Firmenbuch zu übermitteln. Die Untersagung ist unverzüglich aufzuheben, sobald die angeordneten Maßnahmen nachweislich ergriffen wurden, und sie gilt nach § 39 Abs. 6 nicht gegenüber Stellen der öffentlichen Verwaltung. Der Reputationsunterschied zur deutschen Regelung ist trotzdem erheblich: Eine Eintragung im Firmenbuch ist öffentlich einsehbar.

Bei den Geldstrafen sind die Obergrenzen nahezu identisch. § 45 Abs. 2 NISG 2026 sieht für wesentliche Einrichtungen bis zu 10.000.000 Euro oder bis zu 2 Prozent des gesamten weltweiten Umsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist; § 45 Abs. 3 für wichtige Einrichtungen bis zu 7.000.000 Euro oder 1,4 Prozent. Das BSIG 2025 kennt für besonders wichtige Einrichtungen ebenfalls bis zu zehn Millionen Euro beziehungsweise 2 Prozent des Gesamtumsatzes und für wichtige Einrichtungen bis zu sieben Millionen Euro beziehungsweise 1,4 Prozent.

Österreich-spezifisch ist der zweite Strafrahmen: § 45 Abs. 4 NISG 2026 belegt eine lange Liste formaler Verstöße — verspätete oder falsche Registrierung, versäumte Änderungsmeldung, unterlassene oder unwahre Selbstdeklaration, nicht fristgerechter Prüfbericht, Behinderung von Kontrollen und Sicherheitsscans — mit einer Geldstrafe bis zu 50.000 Euro und im Wiederholungsfall bis zu 100.000 Euro. Diese Beträge sind niedrig genug, um unterschätzt zu werden, und die auslösenden Tatbestände sind reine Formalpflichten. Sie treffen genau jene Organisationen, die technisch solide, administrativ aber nachlässig arbeiten.

Verfahrensrechtlich ist die Zuständigkeit klar getrennt: Nach § 44 Abs. 1 obliegt die Verhängung von Verwaltungsstrafen den Bezirksverwaltungsbehörden; die Cybersicherheitsbehörde zeigt den Verdacht lediglich an. Nach § 44 Abs. 3 und 4 können Geldstrafen auch gegen die juristische Person verhängt werden, unter anderem wenn mangelnde Überwachung oder Kontrolle durch eine Führungsperson den Verstoß ermöglicht hat. § 44 Abs. 7 enthält eine praktisch wichtige Doppelbestrafungssperre: Hat die Datenschutzbehörde für dasselbe Verhalten bereits eine Geldbuße nach Art. 58 Abs. 2 lit. i DSGVO verhängt, darf die Bezirksverwaltungsbehörde keine Strafe nach dem NISG 2026 mehr verhängen.

Die dokumentarische Seite dieser Pflichten — datierte Billigung, nachvollziehbare Aufsicht, belegte Schulungsteilnahme — lässt sich mit unserem Governance Doc Generator systematisch erzeugen. Welche Leistungsstufe Sie dafür brauchen, zeigt die Preisübersicht.

Konzerne mit Standorten in beiden Ländern: was doppelt läuft, was einmal

Für Gruppen mit Gesellschaften in Deutschland und Österreich ist die entscheidende Frage nicht, ob man zweimal compliant sein muss — das ist man, weil beide Gesetze an die einzelne Einrichtung anknüpfen und nicht an den Konzern. Die Frage ist, welche Artefakte man einmal baut und nur unterschiedlich einreicht.

Einmal bauen lässt sich alles Inhaltliche: die Risikoanalyse, das Sicherheitskonzept, der Incident-Response-Plan, das Lieferantenregister mit Risikoklassen, die Backup- und Restore-Nachweise, die Kryptographie- und Zugriffskonzepte, die Schulungsinhalte. Beide Gesetze setzen denselben Maßnahmenkatalog der Richtlinie um; die Substanz ist deckungsgleich genug, um ein gemeinsames Kontrollset zu tragen.

Zweimal laufen muss dagegen alles Formale und Behördenbezogene. Das sind die beiden Registrierungen mit unterschiedlichen Zugangswegen, die beiden Meldeketten mit unterschiedlichen Empfängern und Zugangsdaten, die Fristenkalender mit unterschiedlichen Stichtagen, die Nachweisformate — deutsche Nachweispflicht für kritische Anlagen gegenüber österreichischer Selbstdeklaration für alle Einrichtungen — sowie die jeweiligen Schulungsnachweise pro Leitungsorgan und Gesellschaft.

Ein Sonderfall verdient Aufmerksamkeit: die Einstufung nach § 25 Abs. 4 NISG 2026. Wenn eine österreichische Tochter organisatorisch, technisch und operativ unabhängig von der Gruppe ist, werden die Konzernzahlen für die Größenschwelle nicht hinzugerechnet. Zentralisierte IT hebt diese Unabhängigkeit faktisch auf und zieht damit möglicherweise erst die Betroffenheit herbei. Wer die Frage nicht dokumentiert entscheidet, entscheidet sie trotzdem — nur unbewusst.

Wie sich mehrere Regelwerke ohne Doppelarbeit übereinanderlegen lassen, behandeln wir vertieft in Die Regulierungs-Kollision 2026. Die dortige Grundlogik gilt hier eins zu eins: Kontrollen einmal bauen, Nachweisform je Regelwerk und je Rechtsordnung variieren. Eine Übersicht der dafür passenden Instrumente finden Sie in unserer Template-Bibliothek.

Fahrplan nach dem Start am 1. Oktober 2026

Das Gesetz gilt seit dem 1. Oktober 2026, die Registrierungsfrist läuft. Der folgende Fahrplan priorisiert nach Haftungsexposition und Fristenrisiko, nicht nach technischer Eleganz — was die Leitungsorgane in einem Verfahren schützt, kommt zuerst.

1. 1Sofort — Betroffenheit dokumentiert entscheiden: Sektorzugehörigkeit nach § 2 und den Anlagen 1 und 2 prüfen, Größeneinstufung nach § 25 rechnen, bei Konzernzugehörigkeit die Unabhängigkeitsfrage nach § 25 Abs. 4 begründen. Ergebnis als datierten Beschluss der Leitungsorgane festhalten — auch und gerade ein negatives.
2. 2Bis Mitte Oktober 2026 — Zugang und Registrierungsdaten vorbereiten: USP-Zugang sicherstellen, vorgesehene Nutzer mit ID Austria ausstatten und die Rollen „NIS Registrierung" und „NIS Meldung" vergeben. Alle nach § 29 Abs. 2 geforderten Angaben zusammenstellen, insbesondere die IP-Adressbereiche und die Liste der EU-Mitgliedstaaten mit Diensterbringung. Diese beiden Punkte brauchen erfahrungsgemäß am längsten, weil sie Netzbetrieb und Vertrieb gleichzeitig betreffen.
3. 3Bis Ende Oktober 2026 — Meldekette scharf stellen: Zuständiges CSIRT bestimmen (GovCERT, HealthCERT oder das nationale CSIRT CERT.at), Zugang zur Meldeplattform im USP einrichten, die Erheblichkeit anhand der neun Kriterien des § 5 NISV 2026 dokumentiert prüfen, Rollen mit Vertretung benennen, Textvorlagen für Frühwarnung, 72-Stunden-Meldung und Kundeninformation nach § 34 Abs. 3 vorbereiten und in einer Tabletop-Übung testen. Die Meldepflicht gilt seit 1. Oktober 2026, nicht erst ab der Registrierung.
4. 4Bis November 2026 — Registrierung einreichen: Nicht bis zum Jahresende warten. Ein Puffer von sechs Wochen fängt Rückfragen der Behörde und Zugangsprobleme ab, ohne die Frist zu gefährden.
5. 5Q1 bis Q3 2027 — Substanz für die Selbstdeklaration aufbauen: Risikoanalyse aktualisieren, Lieferantenregister mit Risikoklassen aufsetzen, Restore-Tests mit Datum und Ergebnis protokollieren, Schulungen der Leitungsorgane absolvieren und Teilnahme belegen. Die Selbstdeklaration ist kein Schreibprojekt, sondern die Zusammenfassung dessen, was vorher tatsächlich getan wurde.
6. 6Bis September 2027 — Selbstdeklaration einreichen und Prüffähigkeit herstellen: Deklaration nach den Vorgaben der Behörde übermitteln, parallel prüfen, ob vorhandene Zertifikate den Nachweis nach § 33 Abs. 2 tragen. Wer ab Oktober 2028 mit einer Aufforderung rechnen muss, sollte den Prüfpfad zu diesem Zeitpunkt bereits kennen.