NIS2 in Österreich: Der vollständige Überblick für Unternehmen

Das NISG 2026 wurde mit BGBl. I Nr. 94/2025 kundgemacht und tritt am 1. Oktober 2026 in Kraft. Es setzt die NIS2-Richtlinie in Österreich um und regelt unter anderem Betroffenheit, Registrierung, Governance, Risikomanagement, Nachweise und Vorfallmeldungen.

Wer betroffen sein kann

Entscheidend sind die in den Anlagen genannten Einrichtungsarten, die gesetzlichen Größenregeln und besondere Fälle, die unabhängig von der Größe oder durch behördliche Einstufung erfasst werden können. Eine einfache Aussage nur anhand von Mitarbeiterzahl oder Umsatz reicht daher nicht.

Welche Pflichten zentral sind

Leitungsorgane müssen die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen sowie an spezifischen Schulungen teilnehmen. § 32 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen, einschließlich Lieferkettensicherheit.

Welche Fristen gelten

Erhebliche Cybersicherheitsvorfälle erfordern grundsätzlich eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden nach Kenntnisnahme. Weitere Berichte richten sich nach § 34. Die Registrierung hat für bei Inkrafttreten erfasste Einrichtungen innerhalb von drei Monaten zu erfolgen.

Wie der Start aussieht

Sinnvoll sind eine belastbare Betroffenheitsprüfung, benannte Verantwortung, ein Inventar kritischer Dienste, eine Risikoanalyse und ein priorisierter Maßnahmenplan. Nachweise sollten während der Umsetzung entstehen, nicht erst vor einer Kontrolle.

Konkrete nächste Schritte

1. Betroffenheit anhand des Gesetzes prüfen.
2. Leitungs- und operative Verantwortung festlegen.
3. Kritische Dienste und Risiken dokumentieren.
4. Meldeweg und Maßnahmenwirksamkeit testen.

Die verlinkte RIS-Fassung ist die maßgebliche Quelle. Eine technische Gap-Analyse ersetzt keine verbindliche Rechtsberatung.