NISG 2026: Registrieren, absichern, nachweisen

Wer betroffen ist

Das NISG 2026 (BGBl. I Nr. 94/2025) setzt die EU-Richtlinie NIS2 in Österreich um. Betroffen sind Einrichtungen aus 18 Sektoren der Anlagen 1 und 2 des Gesetzes – von Energie, Verkehr und Gesundheit bis zu Lebensmitteln und digitalen Diensten –, wenn sie mindestens mittelgroß sind. Vorsicht beim Wort „Herstellung“: Erfasst sind dort nur bestimmte Zweige – Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinenbau und Fahrzeugbau. Ein reiner Metall- oder Kunststoffverarbeiter fällt nicht automatisch darunter.

• Mittleres Unternehmen: ab 50 Beschäftigten, oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme.
• Großes Unternehmen: ab 250 Beschäftigten, oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme.
• Gezählt wird nach der EU-KMU-Definition: Beteiligungen und verbundene Unternehmen zählen mit.

Je nach Sektor und Größe gilt ein Betrieb als wesentliche oder wichtige Einrichtung. Manche Einrichtungen fallen unabhängig von ihrer Größe darunter.

Ob der eigene Betrieb betroffen ist, steht selten auf den ersten Blick fest. Bei einem Industriebetrieb, den wir geprüft haben, stand die eigene Branche gar nicht in der Sektorliste – ein möglicher Anknüpfungspunkt lag woanders, nämlich in der Herstellung registrierungspflichtiger Stoffe. Solche Fragen klären wir am Gesetzestext und benennen offen, was noch fehlt.

Was bis wann zu tun ist

• Registrieren: innerhalb von drei Monaten ab Inkrafttreten (§ 29 Abs. 3), laut WKO also bis 4. Jänner 2027. Wer später in den Anwendungsbereich fällt, hat ebenfalls drei Monate.
• Risikomanagement: angemessene technische, operative und organisatorische Maßnahmen, einschließlich der Sicherheit der Lieferkette (§ 32).
• Leitung in der Pflicht: Die Geschäftsführung muss die Maßnahmen beaufsichtigen und selbst an Cybersicherheitsschulungen teilnehmen (§ 31).
• Vorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat (§ 34).
• Selbstdeklaration: binnen zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1), laut WKO bis 30. September 2027.
• Prüfnachweis: Die Behörde kann frühestens ab Oktober 2028 einen Nachweis durch eine unabhängige Stelle verlangen (§ 33 Abs. 2).

Wer gegen die Pflichten verstößt, riskiert Geldstrafen bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes (wesentliche Einrichtungen) bzw. bis zu 7 Mio. € oder 1,4 % (wichtige Einrichtungen) (§ 45).

Wie das mit ISO 27001 zusammenhängt

NIS2 verlangt kein Zertifikat, aber vieles, was ein Informationssicherheits-Managementsystem nach ISO 27001 ohnehin leistet: Risikoanalyse, Maßnahmen, Verantwortliche, Nachweise. Unser ISMS im ERP bringt alle 93 Controls aus Anhang A von ISO 27001 vorbelegt mit und ordnet sie BSI-Grundschutz, NIST CSF 2.0 und NIS2 zu. So wird aus „Wie hängt Artikel 21 mit Anhang A zusammen?“ keine Suchaktion, sondern ein Klick.

Was wir konkret tun

• Ersteinschätzung: Sektor, Größe, Konzernverbund, Rolle in der Lieferkette – am Gesetzestext geprüft, offene Fakten benannt.
• Lücken finden: Wo fehlen Backups, die zurückkommen, Alarme, die jemand liest, Zugänge, die dokumentiert sind?
• Maßnahmen umsetzen: zum Beispiel Server aus dem Mitarbeiternetz in ein eigenes Netzsegment verlegen, Schritt für Schritt und jeder Schritt einzeln rücknehmbar. Oder Firewall-Logs zentral sammeln, mit Alarm aufs Handy, wenn mehr als 30 Anmeldeversuche in fünf Minuten scheitern.
• Nachweise führen: Maßnahmen, Verantwortliche und Belege an einem Ort, verknüpft mit echten Aufgaben – damit die Selbstdeklaration keine Sammelaktion wird.
• Melden können: Monitoring, das echte Vorfälle von Rauschen trennt, und ein festgelegter Meldeweg – wer entscheidet, wer meldet, wer vertritt –, damit die 24-Stunden-Frist nicht an einem Urlaub scheitert.

Für Produktionsbetriebe gehört die Betriebstechnik dazu: Steuerungen und Anlagennetze lassen sich passiv beobachten, ohne in die Anlage einzugreifen.

Und in Deutschland?

Dort gilt seit 6. Dezember 2025 das NIS-2-Umsetzungsgesetz. Zuständig ist das BSI; die Registrierungsfrist für bereits betroffene Einrichtungen endete am 6. März 2026. Wer sie verpasst hat, sollte nicht bis zur nächsten Frage der Behörde warten.

Wichtig

Diese Seite fasst den Rechtsstand vom Oktober 2026 zusammen und ist keine Rechtsberatung. Verbindlich sind der Gesetzestext und die Auskünfte der Behörden:

• NISG 2026 im Rechtsinformationssystem (RIS)
• WKO: NISG 2026 im Überblick
• BSI: NIS-2-Pflichten (Deutschland)

Für wen das passt

Für mittlere und große Betriebe aus den NIS2-Sektoren, die wissen wollen, ob und wie sehr sie betroffen sind – und für alle, die ihre Sicherheit ohnehin nachweisbar machen wollen, ob Pflicht oder nicht.