NIS-2-Richtlinie in Österreich: Überblick und Fristen von NISG 2026 und NISV 2026

Seit 1. Oktober 2026 ist das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft, einen Tag später folgte die dazugehörige Verordnung (NISV 2026). Damit setzt Österreich die NIS-2-Vorgaben um: Mittlere und große Unternehmen aus zahlreichen Branchen – von Energie und Verkehr über das Gesundheitswesen bis zur Produktion – müssen ihre Cyber-Resilienz stärken. Die Pflichten zum Schutz und zur Meldung von Vorfällen gelten bereits jetzt, die Registrierung bei der Cybersicherheitsbehörde muss bis 31. Dezember 2026 erfolgen.

Wir haben die neuen Regelungen analysiert und aufbereitet. Im Folgenden stellen wir zusammengefasst die wesentlichen Eckpunkte vor: Anwendungsbereich, Fristen, Risikomanagement, Meldepflichten und drohende Strafen von bis zu EUR 10 Millionen:

Worum geht es bei NISG 2026?

Seit 1. Oktober 2026 ist das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft. Einen Tag später ist auch die dazugehörige Verordnung, die NISV 2026 (BGBl. II Nr. 290/2026), in Kraft getreten.

Das NISG 2026 verpflichtet wichtige und wesentliche Einrichtungen zu einer Reihe von Maßnahmen zur Erhöhung ihrer Cyber-Resilienz. Bei Nichteinhaltung der Pflichten drohen hohe Geldbußen.

Wer ist von NISG 2026 betroffen?

Betroffen sind mittlere und große Unternehmen in folgenden Branchen:

elektronische Kommunikationsnetze oder -dienste, Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten, Öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Produktion, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe/Herstellung von Waren, Anbieter digitaler Dienste, Forschung.

Beim Pflichtenumfang wird zwischen wesentlichen und wichtigen Einrichtungen unterschieden.

NISG 2026 Fristen: Was ist bis wann zu tun?

Bis 31. Dezember 2026 müssen sich betroffene Unternehmen bei der neuen Cybersicherheitsbehörde registrieren. Die Pflichten und Fristen zum Schutz und zur Meldung von Vorfällen gelten aber schon jetzt.

NISV 2026: Neue Pflichten im Risikomanagement

1 Anforderungen an Risikomanagementmaßnahmen (§ 2 NISV 2026)

Die EU-Kommission hat in der Durchführungsverordnung (EU) 2024/2690 einen ausführlichen Katalog an Sicherheitsmaßnahmen festgelegt. Er galt bisher nur für DNS-Diensteanbieter, TLD-Namensregister, Betreiber von Zustellnetzen und digitale Anbieter wie Cloud-Dienste und Rechenzentren.

Die NISV 2026 erklärt die Durchführungsverordnung (EU) 2024/2690 nun für alle vom NISG 2026 betroffenen Unternehmen anwendbar. Der Katalog reicht von Sicherheitsrichtlinien, Notfallplänen und Backups über die Absicherung von Lieferanten bis zu Zugriffsrechten, Verschlüsselung und Mitarbeiterschulungen.

2 Risikoanalyse und kompensierende Maßnahmen (§§ 3 und 4 NISV 2026)

Jedes Unternehmen muss seine Risiken analysieren. Dabei sind zumindest technische Risiken, menschliche Fehler, Risiken durch Lieferanten und IT-Dienstleister sowie Risiken am Standort zu berücksichtigen, etwa durch Brand oder Stromausfall.

Können einzelne Anforderungen an das Risikomanagementsystem vorübergehend oder aufgrund der Größe der Einrichtung nicht umgesetzt werden, kann die Einrichtung stattdessen geeignete „kompensierende Maßnahmen“ umsetzen, die denselben Zweck erfüllen. Diese Maßnahmen müssen jedoch schriftlich dokumentiert und begründet werden.

3 Definition erheblicher Cybersicherheitsvorfälle (§ 5 NISV 2026)

Weiters definiert die Verordnung, ab wann ein „erheblicher Cybersicherheitsvorfall“ iSd § 35 Abs 1 NISG 2026 vorliegt. Nur erhebliche Cybersicherheitsvorfälle sind meldepflichtig.

Ein erheblicher Cybersicherheitsvorfall liegt vor, wenn

• er der Einrichtung einen direkten finanziellen Verlust in Höhe von mehr als 500 000 EUR oder 5 % ihres jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr – je nachdem, welcher Wert niedriger ist – verursacht oder verursachen kann
• er den Abfluss von Geschäftsgeheimnissen der betreffenden Einrichtung oder von Informationen, die gem § 6 IFG der Geheimhaltung unterliegen, verursacht oder verursachen kann
• er den Tod einer natürlichen Person verursacht oder verursachen kann
• er eine schwere Schädigung der Gesundheit einer natürlichen Person verursacht oder verursachen kann
• es einen erfolgreichen, mutmaßlich böswilligen und unbefugten Zugriff auf Netz- und Informationssysteme gegeben hat, der wahrscheinlich dazu führt, schwerwiegende Betriebsstörungen zu verursachen
• es sich um einen „wiederholten Cybersicherheitsvorfall“ handelt (zweimal binnen 6 Monaten, offensichtlich selbe Ursache und Auswirkung, kumulativer finanzieller Verlust von EUR 500.000,00 oder 5 % des Jahresumsatzes)
• er zum Ausfall oder zur eingeschränkten Verfügbarkeit der von der Einrichtung erbrachten Dienste für mehr als 100 000 Nutzer oder 10 % der Nutzer – je nachdem, welcher Wert niedriger ist – für mehr als 24 Stunden führt oder führen kann (Ausbreitung auf Nutzer)
• er zum Ausfall oder zur eingeschränkten Verfügbarkeit für die Nutzer der erbrachten Dienste im Gebiet zumindest eines Bundeslandes für mehr als 24 Stunden geführt hat oder dazu führen kann (geografische Ausbreitung)
• er zur Aktivierung des Krisenmanagements oder von Notfallwiederherstellungsplänen des Betriebskontinuitätsmanagements geführt hat.

Planmäßige Betriebsunterbrechungen gelten nicht als erhebliche Cybersicherheitsvorfälle.

NISG 2026: Was droht bei Verstößen?

Bei Verstößen gegen die Schulungspflicht, Meldepflichten oder bei Nichtumsetzung von Risikomanagementmaßnahmen drohen wesentlichen Einrichtungen Verwaltungsstrafen bis zu EUR 10 Millionen oder 2 % des gesamten weltweiten Jahresumsatzes. Besondere Bedeutung kommt hier der Managementverantwortung und folglich der persönlichen Haftung der Geschäftsführung zu.

Für wichtige Einrichtungen drohen Verwaltungsstrafen bis zu EUR 7 Millionen oder 1,4 % des weltweiten Jahresumsatzes.

Bereits ein Verstoß gegen die Registrierungspflicht kann mit bis zu EUR 50.000 bestraft werden.

NISG 2026: 6 Fragen, die sich Unternehmer:innen jetzt stellen sollten

Seit 1. Oktober 2026 gilt in Österreich das neue Netz- und Informationssystemsicherheitsgesetz (NISG 2026). Folgende Fragen sollten sich Unternehmen jetzt zum NISG 2026 stellen:

1. Bin ich überhaupt betroffen?
2. Was muss die Geschäftsleitung persönlich tun?
3. Was ist im Unternehmen umzusetzen?
4. Welche Fristen laufen bereits?
5. Was droht bei Nichteinhaltung?
6. Wie halte ich die Compliance dauerhaft aufrecht?

Unsere Expertise bei Benn-Ibler: Beratung zu NISG 2026 und NISV 2026

Benn-Ibler unterstützt Sie gerne mit umfassender Expertise aus Mandaten und detailliertem Know-how bei der Klärung von NIS-2-Fragen: Wir prüfen für Sie, ob Ihre Einrichtung von den Pflichten nach dem NISG 2026 umfasst ist, und beraten Sie dabei, Verantwortlichkeiten klar zu verteilen, Prozesse nachweisbar zu dokumentieren und so das persönliche Haftungsrisiko der Geschäftsführung wirksam zu begrenzen. Unter anderem mit entsprechenden Maßnahmen: Betroffenheit klären, Lücken analysieren, Meldeprozesse aufsetzen, Schulungen für Mitarbeitende und Management, Verträge von (IT-)Dienstleister:innen und Lieferant:innen prüfen, Informationsaustausch mit der Behörde. Zudem prüfen wir Ihre Cyber- und D&O-Versicherungsverträge auf Obliegenheiten und mögliche Deckungslücken. Bei Cyberangriffen begleiten wir Sie in allen Phasen zur Durchsetzung Ihrer Ansprüche.

Dieser Beitrag dient der allgemeinen Information und ersetzt nicht die Beratung im Einzelfall.