Auf einen Blick
Das NISG 2026 gilt seit 1. Oktober
Seit 1. Oktober 2026 gilt in Österreich das NISG 2026, die nationale Umsetzung der EU-Richtlinie NIS2. Rund 4.000 Unternehmen und Einrichtungen in 18 Sektoren sind direkt betroffen, viele davon wissen es noch nicht. Die erste harte Frist läuft bereits: Bis 31. Dezember 2026 müssen sich betroffene Unternehmen registrieren. Was Geschäftsführung und IT-Leitung bis dahin klären sollten, zeigt dieser Überblick.
Das Wichtigste in Kürze
- Registrierung: bis 31. Dezember 2026
- Selbstdeklaration: bis 30. September 2027
- Betroffen: rund 4.000 Unternehmen in 18 Sektoren
- Meldepflicht: Frühwarnung binnen 24 Stunden
- Strafen: bis 10 Mio. € oder 2 % des Umsatzes
Die Fristen
NISG 2026: vier Termine, die zählen
Wichtig: Die Registrierungsfrist ist keine Schonfrist für die Umsetzung. Die Wirtschaftskammer weist ausdrücklich darauf hin, dass die Sicherheitsanforderungen bereits seit 1. Oktober gelten.
1. Oktober 2026
Das NISG 2026 ist in Kraft. Risikomanagement, Meldepflichten und die Schulung der Leitungsorgane gelten ab sofort.
Für Sie: Maßnahmen jetzt starten, nicht erst nach der Registrierung.
31. Dezember 2026
Registrierung bei der Cybersicherheitsbehörde über das Unternehmensserviceportal (USP).
Für Sie: Ansprechpartner, Sektor und Einstufung vorab klären.
30. September 2027
Selbstdeklaration: Sie melden, welche Sicherheitsmaßnahmen umgesetzt sind.
Für Sie: Maßnahmen von Beginn an nachvollziehbar dokumentieren.
Ab 1. Oktober 2028
Die Behörde kann Nachweise anfordern und prüfen.
Für Sie: Ein ISMS nach ISO 27001 liefert die nötigen Nachweise.
Im Detail
Was das Gesetz konkret verlangt
Betroffenheit klären
Betroffen sind grundsätzlich mittlere und große Unternehmen, also ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz bzw. Bilanzsumme, wenn sie in einem der 18 Sektoren tätig sind. Dazu zählen etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, Chemie und Teile der Produktion. Das Gesetz unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Auch wer selbst nicht betroffen ist, spürt das Gesetz oft über die Lieferkette: Betroffene Unternehmen geben ihre Anforderungen an IT-Dienstleister, Zulieferer und Partner weiter.
Registrierung vorbereiten
Klären Sie intern, wer Ansprechpartner für die Behörde ist, welche Sektoren und Tätigkeiten zutreffen und welche IP-Adressbereiche und Dienste gemeldet werden. Wer die Registrierung versäumt, riskiert laut WKO eine Strafe von bis zu 50.000 €, im Wiederholungsfall bis zu 100.000 €.
Risikomanagement nach § 32 NISG 2026
Den Kern bilden zehn Maßnahmenbereiche: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung. Ein bewährter Weg ist ein Informationssicherheits-Managementsystem nach ISO 27001. Eine Zertifizierung ist dafür nicht zwingend nötig.
Meldeprozesse festlegen
Bei einem erheblichen Vorfall gelten kurze Fristen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht innerhalb eines Monats. Legen Sie vorab fest, wer bewertet, wer meldet und wer erreichbar ist, auch am Wochenende.
Geschäftsleitung in der Pflicht
Die Leitungsorgane müssen die Maßnahmen billigen, ihre Umsetzung überwachen und selbst an Cybersicherheitsschulungen teilnehmen. Bei schuldhaften Pflichtverletzungen drohen Haftungsfolgen. Geldbußen reichen für wesentliche Einrichtungen bis 10 Mio. € oder 2 % des weltweiten Umsatzes, für wichtige bis 7 Mio. € oder 1,4 %. Eine passende Schulung bietet tecTrain aus unserer Unternehmensgruppe: ein eintägiges NIS2-Training, online, in Wien, Graz und Linz oder als firmeninterne Schulung.
Unsere Empfehlung
Ihre Checkliste bis 31. Dezember
Betroffenheit klären
Sektor, Größe und Einstufung als wesentliche oder wichtige Einrichtung prüfen und dokumentieren.
Registrieren
Verantwortliche benennen und die Registrierung im USP rechtzeitig vor dem 31. Dezember abschließen.
Gap-Analyse
Ist-Stand der IT-Sicherheit gegen § 32 erheben und einen Maßnahmenplan bis September 2027 erstellen.
Melden und schulen
Meldeprozess und Notfallkontakte festlegen, Schulung der Geschäftsleitung einplanen.
Gezielte Weiterbildung: Schulungen zu NIS2 und Informationssicherheit bietet tecTrain aus unserer Unternehmensgruppe, als offenes Training online, in Wien, Graz und Linz oder als firmeninterne Schulung für Ihr Team.
Quellen: WKO – Fragen und Antworten zum NISG 2026 und WKO – NISG 2026 ab 1. Oktober. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Stand: Oktober 2026. Mehr zu unserer NIS2-Beratung.
