NIS2

NIS2-Selbstdeklaration bis 30. September 2027: Inhalt, Form, Vorbereitung

Wesentliche und wichtige Einrichtungen müssen innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht – also bis 30. September 2027 – eine Selbstdeklaration über die umgesetzten Maßnahmen nach § 32 abgeben, insbesondere zu ihren Netz- und Informationssystemen, zur Lieferkette und zu den Ergebnissen der Risikoanalyse. Die Form legt die Cybersicherheitsbehörde fest. Später kann die Behörde zusätzlich einen Nachweis durch eine unabhängige Prüfung verlangen.

6 Min. LesezeitAktualisiert am 11. September 2026 Ing. Özgür Deli, MSc CMSE

Ausgezeichnet 2026Kurier Gütesiegel TopberaterGeprüfte Beratungsqualität

Was die Selbstdeklaration ist

Mit der Selbstdeklaration erklären wesentliche und wichtige Einrichtungen gegenüber der Cybersicherheitsbehörde, welche Risikomanagementmaßnahmen sie umgesetzt haben. Geregelt ist sie in § 33 Abs. 1 NISG 2026. Die Frist beträgt zwölf Monate ab Eintritt der Registrierungspflicht – für Einrichtungen, die ab Inkrafttreten erfasst sind, der 30. September 2027. Eine Wiederholung in festen Abständen sieht das Gesetz nicht vor.

Was hinein muss

Das Gesetz nennt die umgesetzten Maßnahmen nach § 32 und hebt drei Punkte hervor: die Netz- und Informationssysteme, die Lieferketten und die Ergebnisse der Risikoanalyse. Wie die Angaben aussehen, gibt die Cybersicherheitsbehörde vor; übermittelt wird in strukturierter Form. Praktisch heißt das: Sie brauchen eine aktuelle Systemübersicht, eine Aufstellung Ihrer kritischen Lieferanten und Dienstleister samt Anforderungen und eine dokumentierte Risikoanalyse – und zu jedem der zehn Maßnahmenbereiche eine Aussage, was umgesetzt ist.

Ein Jahr klingt lang

Zwölf Monate reichen, wenn man sie nutzt. Die Risikoanalyse ist die Grundlage für alles andere und sollte im ersten Quartal stehen, parallel zur Registrierung. Die Umsetzung braucht die meiste Zeit, weil sie Dienstleister, Budget und Wartungsfenster einbezieht. Am Ende muss jemand die Nachweise sammeln und prüfen, ob die Angaben stimmen. Wer im Sommer 2027 beginnt, deklariert entweder Lücken oder Maßnahmen, die es nur auf dem Papier gibt – beides ist schlechter als ein ehrlicher Stand mit Plan.

Ein möglicher Fahrplan von Oktober 2026 bis zur Selbstdeklaration

Bestandsaufnahme & Risikoanalyse3 Monate
Oktober bis Dezember 2026, parallel zur Registrierung: Systeme, Lieferanten, Risiken.
Maßnahmen umsetzen6 Monate
Jänner bis Juni 2027: die Lücken nach Risiko schließen, mit Dienstleistern und in Wartungsfenstern.
Nachweise sammeln & prüfen2 Monate
Juli und August 2027: Belege zu jeder Maßnahme, Stichproben, ehrlicher Stand.
Selbstdeklaration1 Monat
September 2027: Übermittlung in der von der Behörde vorgegebenen Form.

Gesamt: 12 Monate

Richtwerte für einen Betrieb, der im Oktober 2026 beginnt. Wer später startet, verdichtet – die Frist bleibt.

Danach: Nachweis auf Verlangen

§ 33 Abs. 2 geht einen Schritt weiter: Die Behörde kann verlangen, dass die Umsetzung durch eine unabhängige Stelle geprüft und nachgewiesen wird – grundsätzlich binnen zwei Jahren, bei wesentlichen Einrichtungen für den operativen und organisatorischen Teil binnen zwei Monaten. Dieser Teil kann auch durch einschlägige gültige Zertifikate belegt werden. Ein erstes solches Verlangen ist frühestens zwei Jahre nach Inkrafttreten möglich. Die Selbstdeklaration sollte deshalb so geschrieben sein, dass sie einer späteren Prüfung standhält.

Die Methode: Anforderung, Maßnahme, Nachweis

Bereiten Sie die Selbstdeklaration nicht als Dokument vor, sondern als Liste: jede Anforderung aus § 32, die Maßnahme im Betrieb, der Nachweis, der Status. Aus dieser Liste lassen sich die Selbstdeklaration, Kundenfragebögen und später eine Prüfung bedienen. Das ist die Arbeitsweise aus dem Testmanagement, übertragen auf Informationssicherheit: Was nicht belegt ist, gilt als nicht erledigt.

Häufige Fragen

Müssen auch wichtige Einrichtungen eine Selbstdeklaration abgeben?

Ja. § 33 Abs. 1 gilt für wesentliche und wichtige Einrichtungen gleichermaßen.

Gibt es schon ein Formular?

Die Form gibt die Cybersicherheitsbehörde vor – prüfen Sie den aktuellen Stand auf ihren Seiten und bei CERT.at. Die Inhalte stehen im Gesetz und lassen sich unabhängig vom späteren Formular vorbereiten.

Was, wenn bis dahin nicht alles umgesetzt ist?

Dann deklarieren Sie den tatsächlichen Stand. Eine ehrliche Angabe mit Umsetzungsplan ist belastbarer als eine geschönte, die bei einer späteren Prüfung nach § 33 Abs. 2 auffällt.

Was droht, wenn die Selbstdeklaration fehlt?

Verstöße gegen die Pflicht zur Selbstdeklaration sind nach § 45 Abs. 4 mit Geldstrafe bis 50.000 € bedroht, im Wiederholungsfall bis 100.000 €.

Quellen

Stand: 11. September 2026. Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.

Geschrieben von

Ing. Özgür Deli, MSc CMSE

Geschäftsführer & Gründer, WeDev-IT GmbH

Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.

Mehr über uns

Selbstdeklaration vorbereiten

Vorbereitung und Befüllung aus einer Nachweisliste, die auch einer späteren Prüfung standhält – ab 990 € netto. Wer noch am Anfang steht, beginnt mit der Gap-Analyse.

Zur Gap-Analyse