DAS NISG 2026. KLAR EINGEORDNET.
NIS2 in Österreich: was das NISG 2026 jetzt verlangt
Seit 1. Oktober 2026 gilt in Österreich das NISG 2026 (BGBl. I Nr. 94/2025). Hier steht, wer erfasst ist, welche Pflichten gelten und wo sie im Gesetz stehen. Als Hinweis auf die Gesetzeslage, nicht als Rechtsberatung.
WER BETROFFEN IST
Sektor und Größe.
Dann die Einstufung.
Das NISG 2026 unterscheidet wesentliche und wichtige Einrichtungen (§ 24). Maßgeblich sind die Sektoren der Anlagen 1 und 2 und die Unternehmensgröße nach § 25.
Anlage 1
Sektoren mit hoher Kritikalität
- Energie: Elektrizität, Fernwärme und Fernkälte, Erdöl, Erdgas, Wasserstoff
- Verkehr: Luft, Schiene, Schifffahrt, Straße
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser und Abwasser
- Digitale Infrastruktur
- Verwaltung von IKT-Diensten für andere Unternehmen
- Öffentliche Verwaltung auf Bundes- und Landesebene
- Weltraum
Anlage 2
Sonstige kritische Sektoren
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe: Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinenbau, Fahrzeuge
- Anbieter digitaler Dienste
- Forschung
- Mittleres Unternehmen
- ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Jahresbilanzsumme
- Großes Unternehmen
- ab 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Jahresbilanzsumme
Anlage 1 und groß: wesentliche Einrichtung. Anlage 1 und mittel sowie Anlage 2 ab mittlerer Größe: wichtige Einrichtung (§ 24). Einige Einrichtungen sind unabhängig von der Größe erfasst, etwa qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter. Die Behörde kann Einrichtungen zudem per Bescheid einstufen (§ 26).
Ob Ihr Unternehmen nach dem NISG 2026 als wesentliche oder wichtige Einrichtung gilt, prüfen Sie im kostenlosen NIS2-Check: regelbasiert, mit der Fundstelle zu jeder Aussage. Ihre Angaben bleiben im Browser.
DIE PFLICHTEN
Fünf Pflichten.
Jede mit Fundstelle.
Für wesentliche und wichtige Einrichtungen gelten die Pflichten des NISG 2026 seit 1. Oktober 2026.
Registrierung§ 29
Wesentliche und wichtige Einrichtungen müssen sich bei der Cybersicherheitsbehörde registrieren. Die Erstregistrierung ist binnen drei Monaten ab Inkrafttreten fällig (§ 29 Abs. 3). Sicher fristgerecht ist, wer sich bis 31.12.2026 registriert.
Leitung und Schulung§ 31
Die Leitungsorgane stellen die Umsetzung der Risikomanagementmaßnahmen sicher und beaufsichtigen sie. Leitungsorgane müssen an Cybersicherheitsschulungen teilnehmen (§ 31 Abs. 2).
Risikomanagement§ 32 Abs. 4 lit. a bis j
Technische, operative und organisatorische Maßnahmen, mindestens zu diesen zehn Themen:
- lit. aRisikoanalyse und Sicherheitskonzepte
- lit. bBewältigung von Sicherheitsvorfällen
- lit. cBetriebskontinuität, Backup- und Krisenmanagement
- lit. dSicherheit der Lieferkette
- lit. eSicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellenmanagement
- lit. fBewertung der Wirksamkeit
- lit. gCyberhygiene und Schulungen
- lit. hKryptografie und Verschlüsselung
- lit. iPersonalsicherheit, Zugriffskontrolle, Anlagenmanagement
- lit. jMulti-Faktor-Authentifizierung, gesicherte Kommunikation
Selbstdeklaration§ 33 Abs. 1
Die Einrichtungen legen der Behörde in einer Selbstdeklaration dar, wie sie die Maßnahmen umgesetzt haben. Die Sicherheit der Lieferkette ist ein ausdrücklicher Gegenstand der Selbstdeklaration.
Meldepflichten§ 34 Abs. 2
Erhebliche Cybersicherheitsvorfälle werden in Stufen gemeldet. Die Meldekette sieht 24 Stunden, 72 Stunden und einen Monat vor: Frühwarnung, Meldung und Abschlussbericht.
STRAFRAHMEN
Was das Gesetz
bei Verstößen vorsieht.
Der Strafrahmen beträgt für wesentliche Einrichtungen bis zu 10 Mio. € oder bis zu 2 % des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist; für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % (§ 45 Abs. 2 und 3). Wer sich nicht fristgerecht registriert, kann mit bis zu 50.000 € bestraft werden, im Wiederholungsfall mit bis zu 100.000 € (§ 45 Abs. 4 Z 1).
Das Gesetz behandelt Offenlegung und Verschweigen unterschiedlich: Wer die Nichtumsetzung in der Selbstdeklaration offenlegt, wird allein deswegen nicht bestraft (§ 45 Abs. 1 Z 3). Wissentlich falsche Angaben sind dagegen strafbar (§ 45 Abs. 4 Z 8). Was das für Ihren Fall bedeutet, gehört in Ihre Rechtsberatung.
Hinweis auf die Gesetzeslage, keine Rechtsberatung.
- Wesentliche Einrichtungen
- bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes§ 45 Abs. 2
- Wichtige Einrichtungen
- bis 7 Mio. € oder 1,4 % des weltweiten Vorjahresumsatzes§ 45 Abs. 3
- Registrierung nicht fristgerecht
- bis 50.000 €, im Wiederholungsfall bis 100.000 €§ 45 Abs. 4 Z 1
LIEFERANTEN
Nicht selbst erfasst.
Trotzdem gefragt.
Wesentliche und wichtige Einrichtungen müssen auch die Sicherheit ihrer Lieferkette berücksichtigen, einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern (§ 32 Abs. 4 lit. d). Nach Schätzung der WKO sind rund 4.000 Unternehmen aus kritischen Sektoren direkt erfasst und zehntausende kleinere Betriebe indirekt über die Lieferkette.
Kunden, die selbst unter das NISG 2026 fallen, können deshalb Sicherheitsnachweise von ihren Lieferanten verlangen: Fragebögen, Vertragsklauseln und Angaben zu Zugriffen, Schwachstellen und Meldewegen. Wer verwaltete IT-Dienste oder Sicherheitsdienste für andere Unternehmen erbringt, zählt zur Anlage 1 und ist ab mittlerer Größe selbst erfasst.
NIS2 Cockpit · TOMORIS GRID
Das NIS2 Cockpit unterstützt bei der strukturierten Umsetzung: Betroffenheit, Maßnahmen, Lieferkette und Nachweise in einer versionierten Akte, als Arbeitsgrundlage für Selbstdeklaration und Prüfung. Es ersetzt keine Rechtsberatung oder unabhängige Prüfung.
NIS2 Cockpit ab 149 € pro Monat, netto zzgl. USt. Das Paket NIS2 Lieferant können Sie 30 Tage kostenlos testen.
GEMEINDEN
Ausgenommen.
Mit Ausnahmen.
Gemeinden und Gemeindeverbände sind vom Sektor öffentliche Verwaltung ausgenommen (§ 24 Abs. 3). Betreiben sie Trinkwasser, Abwasser oder Energie als mittlere oder große Einrichtung, können sie über Anlage 1 trotzdem erfasst sein.
Für Stellen der öffentlichen Verwaltung einschließlich Gebietskörperschaften sieht das Gesetz statt einer Geldstrafe einen Feststellungsbescheid mit Frist und gegebenenfalls eine öffentliche Bekanntmachung vor (§ 46 Abs. 2).
NIS2 für Gemeinden im NIS2 Cockpit Leitfaden NIS2 und Gemeinden IT für Gemeinden
HÄUFIGE FRAGEN
NIS2 in Österreich.
Kurz beantwortet.
Bis wann muss ich mich registrieren?
Wesentliche und wichtige Einrichtungen müssen sich bei der Cybersicherheitsbehörde registrieren. Die Erstregistrierung ist binnen drei Monaten ab Inkrafttreten des NISG 2026 fällig (§ 29 Abs. 3); das Gesetz gilt seit 1. Oktober 2026. Sicher fristgerecht ist, wer sich bis 31.12.2026 registriert.
Was passiert, wenn ich nichts tue?
Das NISG 2026 sieht Verwaltungsstrafen vor. Wer sich nicht fristgerecht registriert, kann mit bis zu 50.000 € bestraft werden, im Wiederholungsfall mit bis zu 100.000 € (§ 45 Abs. 4 Z 1). Der Strafrahmen beträgt für wesentliche Einrichtungen bis zu 10 Mio. € oder bis zu 2 % des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist; für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % (§ 45 Abs. 2 und 3). Das ist ein Hinweis auf die Gesetzeslage, keine Rechtsberatung.
Wie finde ich heraus, ob mein Unternehmen unter das NISG 2026 fällt?
Maßgeblich sind der Sektor (Anlagen 1 und 2) und die Unternehmensgröße (§ 25); einige Einrichtungen sind unabhängig von der Größe erfasst. Mit dem kostenlosen NIS2-Check prüfen Sie, ob Ihr Unternehmen nach dem NISG 2026 als wesentliche oder wichtige Einrichtung gilt, mit der Fundstelle zu jeder Aussage. Ihre Angaben bleiben im Browser. Das Ergebnis ist eine Indikation; die zuständige Behörde kann abweichend entscheiden.
Was unterscheidet wesentliche und wichtige Einrichtungen?
Wesentlich sind vor allem große Unternehmen in den Sektoren der Anlage 1. Wichtig sind mittlere Unternehmen der Anlage 1 sowie mittlere und große Unternehmen der Anlage 2 (§ 24). Für beide gelten Registrierung, Risikomanagement, Selbstdeklaration und Meldepflichten; der Strafrahmen ist unterschiedlich (§ 45 Abs. 2 und 3).
Betrifft NIS2 auch Lieferanten?
Indirekt ja. Wesentliche und wichtige Einrichtungen müssen auch die Sicherheit ihrer Lieferkette berücksichtigen, einschließlich der Beziehungen zu ihren unmittelbaren Anbietern und Diensteanbietern (§ 32 Abs. 4 lit. d). Die Sicherheit der Lieferkette ist ein ausdrücklicher Gegenstand der Selbstdeklaration (§ 33 Abs. 1). Kunden, die selbst unter das NISG 2026 fallen, können deshalb Sicherheitsnachweise von ihren Lieferanten verlangen.
Gilt das NISG 2026 für Gemeinden?
Gemeinden und Gemeindeverbände sind vom Sektor öffentliche Verwaltung ausgenommen (§ 24 Abs. 3). Betreiben sie Trinkwasser, Abwasser oder Energie als mittlere oder große Einrichtung, können sie über Anlage 1 trotzdem erfasst sein. Für Stellen der öffentlichen Verwaltung einschließlich Gebietskörperschaften sieht das Gesetz statt einer Geldstrafe einen Feststellungsbescheid mit Frist und gegebenenfalls eine öffentliche Bekanntmachung vor (§ 46 Abs. 2).
Welche Fristen gelten bei einem Sicherheitsvorfall?
Erhebliche Cybersicherheitsvorfälle werden in Stufen gemeldet. Die Meldekette sieht 24 Stunden, 72 Stunden und einen Monat vor (§ 34 Abs. 2): Frühwarnung, Meldung und Abschlussbericht.
Was leistet das NIS2 Cockpit?
Das NIS2 Cockpit von TOMORIS GRID unterstützt bei der strukturierten Umsetzung: Betroffenheit, Maßnahmen und Nachweise in einer versionierten Akte, als Arbeitsgrundlage für Selbstdeklaration und Prüfung. Nicht erhobene Punkte bleiben sichtbar und werden nicht als erfüllt gewertet. Es ersetzt keine Rechtsberatung oder unabhängige Prüfung.
WEITERLESEN
Tiefer einsteigen.
- BegriffNIS2 im Lexikon
- FachbeitragNISG 2026 für KMU, Gemeinden und Lieferanten
- PDFNIS2-Meldepflichten
- PDFRisikomanagement-Checkliste
- WerkzeugMeldefristen-Rechner
Stand 02.11.2026: Die Angaben folgen dem NISG 2026 in der geltenden Fassung im RIS. Diese Seite ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung; maßgeblich ist der Gesetzestext.
NÄCHSTER SCHRITT
Erst prüfen.
Dann strukturiert umsetzen.
Der NIS2-Check zeigt in wenigen Fragen, ob sich nach dem NISG 2026 eine Einstufung ergibt. Das NIS2 Cockpit führt Maßnahmen und Nachweise in einer Akte zusammen.