Barrierefreiheit
NISG 2026
Das NISG 2026 tritt am 1. Oktober 2026 in Kraft. Registrierung bis 31. Dezember 2026 18 Sektoren
NIS2 erreicht Unternehmen auf zwei Wegen. Als wesentliche oder wichtige Einrichtung nach dem NISG 2026. Oder über den Vertrag eines Auftraggebers, der selbst betroffen ist. Der Check unten zeigt in zwei Minuten, welcher Fall vorliegt.
Drei Fragen. Die Antworten bleiben in Ihrem Browser, es wird nichts übertragen.
Dieses Werkzeug liefert eine unverbindliche Ersteinschätzung. Es kann eine Betroffenheit nahelegen. Es kann eine Betroffenheit nicht ausschließen. Die Beurteilung hat jede Einrichtung selbst vorzunehmen.
Auch eine Nebentätigkeit in einem dieser Sektoren kann die gesamte juristische Person erfassen.
Diese Dienste sind unabhängig von der Unternehmensgröße erfasst.
Maßgeblich ist der Rechtsträger, nicht die Sparte. Zahlen verbundener Unternehmen werden voll, jene von Partnerunternehmen anteilig hinzugerechnet (§ 25 Abs. 1). Wird ein Betrieb als Eigenbetrieb einer Gemeinde geführt, ist die Gemeinde die Einrichtung.
Die Belieferung begründet für sich genommen keine Betroffenheit. Sie ändert das Ergebnis nicht.
Ordnen Sie das Ergebnis in einem 20-minütigen Erstgespräch ein. Ihre Antworten übertragen wir nicht, Sie bringen nur das Ergebnis mit.
Ohne Gewähr. Diese Ersteinschätzung gibt unsere Interpretation des NISG 2026 wieder und ist keine Rechtsberatung. Das NISG 2026 (BGBl. I Nr. 94/2025) tritt am 1. Oktober 2026 in Kraft. Erfasste Einrichtungen haben sich bis 31. Dezember 2026 zu registrieren.
§ 32 Abs. 4 NISG 2026 nennt zehn Anforderungen. Unsere Prüfgrundlage sind die Controls der ISO/IEC 27002:2022. Wir haben jede Anforderung den zugehörigen Controls zugeordnet, insgesamt 35, und prüfen jedes davon einzeln.
| Anforderung aus § 32 Abs. 4 | Was wir ansehen | Zugehörige Controls, ISO/IEC 27002:2022 |
|---|---|---|
| a) Risikoanalyse und Sicherheit für Informationssysteme | Welche Systeme es gibt, welche Daten darauf liegen, was davon aus dem Internet erreichbar ist | 4Controls |
| b) Bewältigung von Cybersicherheitsvorfällen | Ob es einen Notfallplan gibt, wer im Ernstfall was tut und wohin Alarme laufen | 4Controls |
| c) Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement | Ob Sicherungen vollständig sind und ob die Wiederherstellung getestet wurde | 4Controls |
| d) Sicherheit der Lieferkette, bei unmittelbaren Anbietern | Welche Dienstleister Zugriff haben, worüber, und was vertraglich vereinbart ist | 4Controls |
| e) Sicherheit bei Erwerb, Entwicklung und Wartung, Umgang mit Schwachstellen | Ob Updates zuverlässig ankommen und wie mit bekannten Schwachstellen umgegangen wird | 4Controls |
| f) Bewertung der Wirksamkeit der Maßnahmen | Ob jemand nachsieht, ob die Maßnahmen im Alltag wirklich greifen | 3Controls |
| g) Cyberhygiene und Schulungen | Ob Mitarbeiter geschult werden und ob die Leitung selbst teilnimmt, wie es § 31 verlangt | 4Controls |
| h) Kryptografie und Verschlüsselung | Ob Geräte, Datenträger und Übertragungswege verschlüsselt sind | 2Controls |
| i) Personalsicherheit, Zugriffskontrolle, Management von Anlagen | Wer worauf zugreifen darf, wie Konten vergeben und wieder entzogen werden | 4Controls |
| j) Mehr-Faktor-Authentifizierung und gesicherte Kommunikation | Ob ein zweiter Faktor eingerichtet ist, besonders bei Fernzugriff und E-Mail | 4Controls |
Zur Zuordnung: Sie folgt der Mapping-Tabelle der ENISA zur Durchführungsverordnung (EU) 2024/2690. Zwei Controls decken je zwei Anforderungen ab, daher ergibt die Spalte in Summe 37 Nennungen bei 35 verschiedenen Controls. Die ENISA hält dazu fest, dass eine solche Zuordnung nicht als Gleichwertigkeit zwischen Standards zu verstehen ist. Ein erfülltes Control belegt daher vermutlich keine Erfüllung der gesetzlichen Anforderung. Zwei Punkte liegen zudem außerhalb der ISO/IEC 27002: die Risikobeurteilung selbst (a) und die Bewertung der Wirksamkeit (f) sind in den Managementsystem-Kapiteln der ISO/IEC 27001 geregelt, nicht in einem Control.
Der Gesetzestext spricht von „zumindest" diesen Inhalten. Die Liste ist also eine Untergrenze, keine Obergrenze. Die Cybersicherheitsbehörde kann die Anforderungen per Verordnung genauer festlegen (§ 32 Abs. 5).
Das Gesetz gilt unmittelbar. Zu erfüllen sind die Registrierung, die Risikomanagementmaßnahmen nach § 32, die Meldepflichten nach § 34 und die Schulung der Leitungsorgane nach § 31. Die Sicherheit der unmittelbaren Anbieter ist zu berücksichtigen und wird in der Praxis über Verträge weitergegeben.
§ 29 Registrierung, § 31 Leitung, § 32 Risikomanagement, § 34 Meldepflichten
Das NISG 2026 verpflichtet wesentliche und wichtige Einrichtungen. Wer selbst keine ist, trifft insoweit keine unmittelbare gesetzliche Pflicht. Die Anforderungen kommen über den Vertrag des Auftraggebers, Nachweise werden damit zur Voraussetzung für den Auftrag. IT-Dienstleister sind häufig selbst erfasst, etwa als MSP, MSSP, Cloud- oder Rechenzentrumsanbieter.
§ 32 Abs. 4 lit. d NISG 2026, Erwägungsgrund 85 der NIS2-Richtlinie
Was Zulieferer gefragt werden
Die Durchführungsverordnung (EU) 2024/2690 nennt, was Auftraggeber, soweit angemessen, in ihre Verträge aufnehmen sollen. Das landet in der Regel bei Ihnen im Fragebogen:
Zwei Pakete, je nachdem, auf welchem Weg NIS2 Sie erreicht.
Sie sind direkt betroffen
Für wesentliche und wichtige Einrichtungen. Unsere Prüfgrundlage sind die Controls der ISO/IEC 27002:2022. Wir haben sie den zehn Anforderungen des § 32 Abs. 4 zugeordnet und prüfen jedes zugeordnete Control einzeln.
Die Sicherheit Ihrer unmittelbaren Anbieter ist nach § 32 Abs. 4 lit. d zu berücksichtigen. Ihre Zulieferer schicken Sie am besten direkt zum Zulieferer-Paket.
Erstgespräch vereinbarenSie sind Zulieferer
Für Unternehmen, die von einem Auftraggeber einen Fragebogen oder Sicherheitsanforderungen erhalten haben. Technischer IT-Check und Organisations-Check entlang genau der Punkte, die im Fragebogen stehen.
Wir bestätigen keine Konformität und beantworten den Fragebogen nicht an Ihrer Stelle. Wir erheben, was tatsächlich vorhanden ist, und benennen die Lücken.
Sie haben einen Fragebogen erhalten?Umsetzung
Monitoring und Protokollierung, ein SIEM für die zentrale Auswertung, gehärtete Server, Netzwerksegmentierung, EDR und Backup-Strecken, die sich zurückspielen lassen. Wir planen, errichten und betreiben das, gemeinsam mit Ihrem IT-Team.
Zu den IT-Lösungen| 1. Oktober 2026 | Das NISG 2026 tritt in Kraft (§ 51) |
| 31. Dezember 2026 | Registrierung beim Bundesamt für Cybersicherheit, drei Monate ab Inkrafttreten (§ 29) |
| 24 Stunden | Frühwarnung an das zuständige CSIRT nach Kenntnis eines erheblichen Vorfalls (§ 34) |
| 72 Stunden | Meldung des Vorfalls, Abschlussbericht spätestens einen Monat später (§ 34) |
| bis 10 Mio. Euro | oder 2 Prozent des weltweiten Jahresumsatzes des Unternehmens, dem die Einrichtung angehört, je nachdem, welcher Betrag höher ist. Für wesentliche Einrichtungen (§ 45 Abs. 2) |
| bis 7 Mio. Euro | oder 1,4 Prozent des weltweiten Jahresumsatzes des Unternehmens, dem die Einrichtung angehört, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen (§ 45 Abs. 3) |
Die hohen Strafrahmen gelten für die schweren Versäumnisse, etwa fehlende Risikomaßnahmen oder unterlassene Meldungen. Für eine versäumte Registrierung sieht das Gesetz einen eigenen, niedrigeren Rahmen von bis zu 50.000 Euro vor, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4).
Nachweis
Das NISG 2026 kennt die Selbstdeklaration (§ 33 Abs. 1) und, auf Aufforderung der Behörde, den Nachweis der technischen, operativen und organisatorischen Umsetzung durch eine unabhängige Stelle (§ 33 Abs. 2). Den Nachweis der operativen und organisatorischen Umsetzung lässt das Gesetz auch durch einschlägige gültige Zertifikate zu, etwa nach ISO 27001. Die technische Umsetzung deckt ein solches Zertifikat nicht ab.
Wir liefern den Betroffenheits-Check und die Gap-Analyse: Ist-Zustand gegen § 32, dokumentierte Lücken, priorisierte Reihenfolge. Die Maßnahmen setzen wir mit Ihnen um. Eine Konformitätsbestätigung sprechen wir nicht aus.
Prüfgrundlage sind 35 annotierte Controls der ISO/IEC 27002:2022, jedes einzeln geprüft. Auf Wunsch alle 93 Controls der Norm. Das Ergebnis ist zugleich Vorarbeit für eine Zertifizierung nach ISO 27001.
§ 33 NISG 2026 (Selbstdeklaration und Nachweis), WKO, NIS-FAQ. Das ist keine Rechtsberatung. Wir bewerten ausschließlich technische und organisatorische Maßnahmen.Verlassen Sie sich nicht auf eine einzige Quelle. Diese Stellen sind maßgeblich.
Der IT-Check prüft Ihre IT in 8 Bereichen mit über 100 Prüfpunkten. Befund innerhalb von zwei Wochen, ab 1.299 € exkl. USt.