NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Ab 1. Oktober 2026 gilt in Österreich das NISG 2026, die Umsetzung der EU-Richtlinie NIS2. Mittlere und große Unternehmen in den erfassten Sektoren müssen sich bis 31. Dezember 2026 registrieren, Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle melden und bis 30. September 2027 eine Selbstdeklaration abgeben. Für alle anderen ändert sich rechtlich nichts – praktisch oft doch, weil betroffene Kunden Nachweise von ihren Lieferanten verlangen.
Was das NISG 2026 ist
NIS2 ist die EU-Richtlinie zur Cybersicherheit, das NISG 2026 das österreichische Gesetz, das sie umsetzt. Es wurde am 23. Dezember 2025 kundgemacht und gilt ab 1. Oktober 2026. Es ersetzt das bisherige NIS-Gesetz, das nur eine überschaubare Zahl von Betreibern kritischer Dienste erfasst hat. Der Kreis der betroffenen Unternehmen wird dadurch deutlich größer – und erstmals richtet sich das Gesetz ausdrücklich an die Geschäftsführung.
Bis zur Registrierung3 Monate
1. Oktober bis 31. Dezember 2026: Betroffene Einrichtungen registrieren sich bei der Behörde.
Bis zur Selbstdeklaration9 Monate
Bis 30. September 2027 übermitteln wesentliche und wichtige Einrichtungen ihre Selbstdeklaration.
Gesamt: 12 Monate
Die Pflichten zu Risikomanagement, Governance und Meldung gelten ab dem Inkrafttreten am 1. Oktober 2026. Stand: September 2026.
Wer betroffen ist
Zwei Kriterien entscheiden: der Sektor der Haupttätigkeit und die Größe. Die Anlage 1 umfasst Sektoren mit hoher Kritikalität wie Energie, Verkehr, Gesundheit oder digitale Infrastruktur, die Anlage 2 weitere Sektoren wie Chemie, Lebensmittel, Abfall und Teile des verarbeitenden Gewerbes – darunter Maschinenbau und Fahrzeugbau. Direkt erfasst sind mittlere Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz und Bilanzsumme sowie große Unternehmen. Große Unternehmen in Anlage 1 gelten als wesentliche, die übrigen als wichtige Einrichtungen. Einige Dienste – etwa öffentliche Telekommunikation oder DNS – sind unabhängig von der Größe erfasst.
Was betroffene Unternehmen tun müssen
Erstens registrieren, bis 31. Dezember 2026. Zweitens Risikomanagementmaßnahmen nach § 32 umsetzen: geeignet und verhältnismäßig, nach dem Stand der Technik, in zehn Bereichen von der Risikoanalyse über Backup und Lieferkette bis zur Mehr-Faktor-Anmeldung. Drittens die Geschäftsführung einbinden: Nach § 31 genehmigt sie die Maßnahmen, überwacht die Umsetzung und nimmt an Cybersicherheitsschulungen teil. Viertens erhebliche Sicherheitsvorfälle melden, beginnend mit einer Frühwarnung binnen 24 Stunden. Fünftens bis 30. September 2027 eine Selbstdeklaration abgeben.
Was sich nicht ändert
Es gibt kein staatliches NIS2-Zertifikat, und das Gesetz schreibt keine ISO-27001-Zertifizierung vor – sie hilft, ersetzt die Pflichten aber nicht automatisch. Kleine Unternehmen außerhalb der größenunabhängigen Sonderfälle sind nicht direkt erfasst. Und die Maßnahmen müssen verhältnismäßig sein: Ein Maschinenbauer mit 80 Mitarbeitenden braucht kein Sicherheitsprogramm im Konzernformat, sondern eines, das zu seinem Betrieb passt.
Warum es auch Nicht-Betroffene trifft
Zu den zehn Maßnahmenbereichen gehört die Sicherheit der Lieferkette. Betroffene Unternehmen müssen also prüfen, wie sicher ihre Lieferanten und Dienstleister arbeiten – und fragen nach: mit Fragebögen, Vertragsnachträgen oder Audits. Für viele kleinere Zulieferer ist das der eigentliche Berührungspunkt mit NIS2. Rechtlich nicht betroffen zu sein, hilft wenig, wenn ein wichtiger Auftrag an der Antwort auf den Fragebogen hängt.
Häufige Fragen
Muss am 1. Oktober schon alles umgesetzt sein?
Die Pflichten gelten ab diesem Tag, die Registrierung ist bis Jahresende und die Selbstdeklaration bis Herbst 2027 fällig. Wer jetzt mit einer Bestandsaufnahme beginnt und einen Plan hat, ist gut aufgestellt. Wer gar nicht beginnt, nicht.
Wo registriert man sich?
Bei der zuständigen Cybersicherheitsbehörde. Die genauen Angaben und der Weg der Registrierung werden per Verordnung festgelegt – prüfen Sie den aktuellen Stand auf den Seiten der Behörde oder der WKO.
Gilt das auch für Einzelunternehmer?
In aller Regel nicht, weil sie unter den Größenschwellen liegen – außer bei den größenunabhängigen Diensten. Indirekt können aber auch sie über Kundenanforderungen betroffen sein.
Ist dieser Artikel eine Rechtsberatung?
Nein. Er gibt den Stand September 2026 wieder, geprüft gegen öffentliche Quellen wie die WKO. Für die Einstufung im Einzelfall – etwa bei Konzernstrukturen – ist eine rechtliche Prüfung sinnvoll.
Sind Sie betroffen?
Sechs Fragen, drei Minuten, eine erste Einschätzung – wesentlich, wichtig, indirekt oder nicht betroffen. Kostenlos und anonym.
Zum BetroffenheitscheckWeiterlesen
Bin ich von NIS2 betroffen? Das Prüfschema in sechs Schritten
Sektor, Größe, Konzern, Sonderfälle, Lieferkette – in dieser Reihenfolge prüfen und am Ende eine von vier Einstufungen haben.
NIS2-Fragebogen vom Kunden erhalten: So antworten Zulieferer richtig
Warum ein „Ja“ ohne Beleg mehr schadet als ein ehrliches „teilweise“ – und wie man in acht Wochen prüfbar antwortet.
Was kostet eine Website? Ein ehrlicher Überblick für Österreich
Von 0 € im Baukasten bis fünfstellig – warum die Spanne so groß ist und woran Sie erkennen, was Sie brauchen.