NIS2 in Österreich: Was das NISG 2026 jetzt von KMU, Gemeinden und Lieferanten verlangt

Seit 1. Oktober 2026 gilt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025). Es setzt die europäische NIS-2-Richtlinie um und löst das NISG aus 2018 ab. Zuständig ist das Bundesamt für Cybersicherheit, eine dem Innenminister unmittelbar nachgeordnete Behörde (§ 3a).

Dieser Beitrag fasst den Rechtsstand vom 25. Oktober 2026 zusammen, mit der Fundstelle zu jeder Aussage. Er ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung; maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.

Wer unter das NISG 2026 fällt

Erfasst sind Einrichtungen der Sektoren in den Anlagen 1 und 2, die in Österreich niedergelassen sind (§ 28 Abs. 1). Anlage 1 nennt Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur und die Verwaltung von IKT-Diensten für andere Unternehmen. Anlage 2 nennt sonstige kritische Sektoren wie Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes, digitale Dienste und Forschung.

Innerhalb dieser Sektoren entscheidet in der Regel die Größe (§ 25):

• Mittleres Unternehmen: mindestens 50 Mitarbeiter oder mehr als 10 Mio. Euro Jahresumsatz und zugleich mehr als 10 Mio. Euro Jahresbilanzsumme.
• Großes Unternehmen: mindestens 250 Mitarbeiter oder mehr als 50 Mio. Euro Jahresumsatz und zugleich mehr als 43 Mio. Euro Jahresbilanzsumme.

Große Unternehmen in Anlage 1 sind wesentliche Einrichtungen (§ 24 Abs. 1 Z 3). Mittlere Unternehmen in Anlage 1 sowie mittlere und große in Anlage 2 sind wichtige Einrichtungen (§ 24 Abs. 2 Z 1). Gezählt wird nach der KMU-Empfehlung der EU-Kommission 2003/361/EG. Daten von Partner- und verbundenen Unternehmen bleiben außen vor, wenn die Einrichtung ihre Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig betreibt (§ 25 Abs. 4).

Unabhängig von der Größe erfasst sind unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter als wesentliche Einrichtungen (§ 24 Abs. 1 Z 1) sowie nicht qualifizierte Vertrauensdiensteanbieter und Anbieter öffentlicher Kommunikationsnetze und -dienste als wichtige Einrichtungen (§ 24 Abs. 2 Z 3); Letztere sind ab mittlerer Größe wesentliche Einrichtungen (§ 24 Abs. 1 Z 2). Zudem kann die Behörde Einrichtungen per Bescheid einstufen, etwa wenn sie einziger Anbieter eines unerlässlichen Dienstes in Österreich sind (§ 26).

Ob Ihr Unternehmen betroffen ist, klärt der kostenlose NIS2-Betroffenheitscheck in wenigen Minuten, mit dem Paragrafen zu jeder Aussage.

Gemeinden: Was für die kommunale Ebene gilt

Für die öffentliche Verwaltung unterscheidet das Gesetz nach Ebenen. Einrichtungen der öffentlichen Verwaltung auf Bundesebene sind wesentliche Einrichtungen (§ 24 Abs. 1 Z 1 lit. d und Abs. 4). Die Ämter der Landesregierungen, die Bezirkshauptmannschaften und weitere Einrichtungen der Landesverwaltung mit Rechtspersönlichkeit sind wichtige Einrichtungen (§ 24 Abs. 2 Z 2 und Abs. 5).

Gemeinden und Gemeindeverbände nimmt das Gesetz ausdrücklich aus dem Sektor der öffentlichen Verwaltung aus (§ 24 Abs. 3). Eine vollständige Entwarnung ist das nicht:

• Betreibt eine Gemeinde, ein Verband oder ein kommunales Unternehmen eine Tätigkeit aus den Anlagen, etwa Trinkwasserversorgung, Abwasser oder Abfallbewirtschaftung, kann die Einstufung über Sektor und Größe greifen. Das ist im Einzelfall zu prüfen.
• IT-Dienstleister und Rechenzentren, mit denen Gemeinden arbeiten, können selbst unter das Gesetz fallen und geben dessen Anforderungen weiter.
• Vorfälle, Bedrohungen und Beinahe-Vorfälle freiwillig an das nationale CSIRT zu melden, steht auch Einrichtungen außerhalb des Gesetzes offen (§ 37 Abs. 2).

Wie TOMORIS Gemeinden in Betrieb und Sicherheit unterstützt, zeigt die Seite IT für Gemeinden.

Lieferanten: betroffen über die Lieferkette

Viele Zulieferer fallen nicht selbst unter das Gesetz und spüren es trotzdem. Wesentliche und wichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern, einschließlich der Cybersicherheitspraxis und der Entwicklungsprozesse ihrer unmittelbaren Anbieter und Diensteanbieter (§ 32 Abs. 4 lit. d). Die Verordnung NISV 2026 nennt Risiken in der IKT-Lieferkette als eine von vier Risikokategorien, an denen sich jede Risikoanalyse orientieren muss (§ 3 NISV 2026). Und in der Selbstdeklaration an die Behörde ist die Sicherheit der Lieferketten ausdrücklich Thema (§ 33 Abs. 1).

Für Lieferanten heißt das: Rechnen Sie mit Fragebögen, Nachweisforderungen und Vertragsklauseln, etwa zu Zugriffsrechten, Schwachstellenmanagement, Verschlüsselung und der Meldung von Vorfällen. Wer IT-Dienste für andere Unternehmen betreibt, also verwaltete Dienste oder verwaltete Sicherheitsdienste, zählt zum Sektor der Anlage 1 und ist ab mittlerer Größe selbst erfasst.

Pflichten und Fristen im Überblick

Für wesentliche und wichtige Einrichtungen gelten seit 1. Oktober 2026 diese Pflichten:

1. Registrieren bei der Cybersicherheitsbehörde, elektronisch über einen sicheren Kanal, innerhalb von drei Monaten ab Inkrafttreten (§ 29 Abs. 2 und 3). Ob der letzte Tag der 31. Dezember 2026 oder der 1. Jänner 2027 ist, wird unterschiedlich gelesen; registrieren Sie sich deshalb vor Jahresende. Wer nicht fristgerecht registriert, begeht eine Verwaltungsübertretung (§ 45 Abs. 4 Z 1).
2. Leitung in die Pflicht nehmen: Die Leitungsorgane stellen die Umsetzung der Risikomanagementmaßnahmen sicher, beaufsichtigen sie und nehmen an eigenen Cybersicherheitsschulungen teil; Mitarbeitende erhalten regelmäßig Schulungen (§ 31).
3. Risikomanagement umsetzen nach § 32 Abs. 4, mindestens zu diesen Themen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Vorfällen, Betriebskontinuität mit Backup-Management und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung samt Schwachstellenmanagement, Wirksamkeitsprüfung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Die näheren Anforderungen der EU-Durchführungsverordnung 2024/2690 gelten über die NISV 2026 für alle Einrichtungsarten der Anlagen (§ 2 NISV 2026).
4. Selbstdeklaration innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht: Angaben zu den umgesetzten Maßnahmen, den genutzten Systemen, der Lieferkette und den Ergebnissen der Risikoanalyse, nach Vorgaben der Behörde (§ 33 Abs. 1). Eine Prüfung durch eine unabhängige Stelle kann die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen; die operative und organisatorische Umsetzung lässt sich dann auch mit einschlägigen gültigen Zertifikaten nachweisen (§ 33 Abs. 2).
5. Melden erheblicher Vorfälle an das zuständige CSIRT: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung (§ 34). Die Einzelheiten fasst der Leitfaden NIS2-Meldepflichten zusammen.

Bei Verstößen gegen Schulungs-, Risikomanagement- und Meldepflichten drohen wesentlichen Einrichtungen Geldstrafen bis 10 Mio. Euro oder 2 % des weltweiten Vorjahresumsatzes, wichtigen Einrichtungen bis 7 Mio. Euro oder 1,4 %, jeweils der höhere Betrag (§ 45 Abs. 1 bis 3).

Was Sie jetzt tun sollten

KMU, die betroffen sein könnten

• Betroffenheit mit Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme prüfen und das Ergebnis dokumentieren.
• Die Registrierung vorbereiten: Kontaktdaten, Sektor und Art der Einrichtung, Mitgliedstaaten, in denen Sie Dienste erbringen, und gegebenenfalls IP-Adressbereiche (§ 29 Abs. 2).
• Verantwortliche in der Geschäftsführung benennen und die Leitungsschulung einplanen.
• Eine Risikoanalyse durchführen und die Themen aus § 32 Abs. 4 als Gliederung für Maßnahmen und Nachweise nutzen, zum Beispiel in einem ISMS.
• Die Meldekette mit CSIRT, Datenschutz und Information der Kunden festlegen.

Gemeinden und Verbände

• Kommunale Betriebe und Beteiligungen auf Tätigkeiten aus den Anlagen prüfen, etwa Wasser, Abwasser und Abfall.
• IT-Dienstleister nach ihrer eigenen Einstufung und ihren Sicherheitsmaßnahmen fragen.
• Unabhängig von der Pflicht den Grundschutz sichern: Multi-Faktor-Authentifizierung, Backups mit Offline-Kopie und einen geübten Notfallplan.

Lieferanten und IT-Dienstleister

• Die eigene Einstufung prüfen, besonders bei verwalteten Diensten, Rechenzentrums- und Cloud-Leistungen.
• Nachweise vorbereiten: Sicherheitskonzept, Zugriffskontrolle, Schwachstellenmanagement und Meldeweg.
• Vertragsklauseln zur Meldung von Vorfällen an Kunden aktiv anbieten, statt auf den Fragebogen zu warten.

Für die strukturierte Arbeit an Geltungsbereich, Risikomanagement und Lieferkette bietet TOMORIS das NIS2 Cockpit auf der Plattform GRID.SupplyCheck an, mit öffentlicher Demo und begleiteter Einführung. Es ersetzt keine Rechtsberatung und bestätigt keine Konformität.

Häufige Fragen

Wir haben 30 Mitarbeiter. Betrifft uns das NISG 2026?

Meist nicht direkt, solange nicht zugleich Jahresumsatz und Bilanzsumme über 10 Mio. Euro liegen und Sie nicht zu den größenunabhängigen Fällen gehören, etwa als DNS-Diensteanbieter oder Vertrauensdiensteanbieter. Zwei Wege führen trotzdem hinein: die Einstufung per Bescheid (§ 26) und indirekt die Lieferkettenpflichten Ihrer Kunden.

Reicht eine Zertifizierung nach ISO 27001?

Sie ist eine gute Grundlage, aber kein Ersatz für die gesetzlichen Pflichten. Das Gesetz erlaubt, die operative und organisatorische Umsetzung bei einer Prüfung durch einschlägige gültige Zertifikate nachzuweisen (§ 33 Abs. 2). Registrierung, Selbstdeklaration, Meldepflichten und der Nachweis der technischen Umsetzung bleiben eigene Aufgaben. Mehr zur Norm im Lexikon unter ISO 27001.

Müssen wir uns als Lieferant registrieren?

Nur wenn Sie selbst eine wesentliche oder wichtige Einrichtung sind. Die Anforderungen Ihrer Kunden aus deren Lieferkettenpflicht erreichen Sie trotzdem, über Verträge und Nachweise.

Stand dieses Beitrags: 25. Oktober 2026. Die Cybersicherheitsbehörde kann weitere Vorgaben veröffentlichen, etwa zur Selbstdeklaration, und Verordnungen können Details ergänzen.

Quellen

• NISG 2026, BGBl. I Nr. 94/2025, authentische Kundmachung im RIS: §§ 3a, 24, 25, 26, 28, 29, 31 bis 34, 37, 45 und 51 sowie Anlagen 1 und 2
• NISG 2026, geltende Fassung im RIS
• NISV 2026, BGBl. II Nr. 290/2026, im RIS: §§ 2 und 3
• Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie)
• Durchführungsverordnung (EU) 2024/2690
• Empfehlung 2003/361/EG der Kommission zur Definition der KMU