Zusammenfassung
- Das NISG 2026 gilt seit 1. Oktober 2026, aber nicht pauschal für jedes Unternehmen.
- Prüfen Sie zuerst Sektor und Dienst, dann Größe und mögliche Sonderfälle.
- Betroffene Einrichtungen müssen sich innerhalb von drei Monaten registrieren und Maßnahmen nachweisbar umsetzen.
Das NISG 2026 gilt in Österreich seit 1. Oktober 2026. Es betrifft bestimmte Einrichtungen in den gesetzlich genannten Sektoren und Diensten; oft kommt es zusätzlich auf die Unternehmensgröße an. Einige Kategorien können unabhängig von der Größe erfasst sein. Prüfen Sie deshalb Tätigkeit und konkrete Leistung, nicht nur den Firmennamen oder die Mitarbeiterzahl.
1. Prüfen Sie den Anwendungsbereich
Vergleichen Sie Ihre Tätigkeit und tatsächlich erbrachten Dienste mit den Sektoren und Kategorien in den Anlagen 1 und 2 des Gesetzes. Prüfen Sie dann die Unternehmensgröße einschließlich verbundener Unternehmen und Umsatz-/Bilanzdaten. Für einzelne Anbieter gelten Sonderregeln oder eine Einstufung durch die Behörde. Wenn die Einordnung unklar ist, holen Sie Beratung ein und dokumentieren Sie Ihre Prüfung.
2. Notieren Sie die Fristen
Das Gesetz sieht für bereits betroffene Einrichtungen eine Registrierung innerhalb von drei Monaten ab Inkrafttreten am 1. Oktober 2026 vor. Später neu in den Anwendungsbereich fallende Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten ab Erfüllung der Voraussetzungen registrieren. Für die Selbstdeklaration zu Maßnahmen und Risikoanalyse sieht das Gesetz eine Frist von zwölf Monaten ab Eintritt der Registrierungspflicht vor. Prüfen Sie die konkreten Fristen für Ihre Situation.
3. Bauen Sie ein brauchbares Sicherheitsprogramm
Benennen Sie eine verantwortliche Person und lassen Sie die Leitung regelmäßig über Risiken und offene Maßnahmen sprechen. Erfassen Sie wichtige Dienste, Systeme, Zugänge und Lieferanten. Priorisieren Sie dann MFA und Rechte, Updates und Schwachstellen, Vorfallbehandlung, Backups und Wiederanlauf sowie Mitarbeiterschulungen. Umfang und technische Maßnahmen sollen zu Ihren Risiken und Ihrem Betrieb passen.
4. Bereiten Sie den Vorfallablauf vor
Für erhebliche Cybersicherheitsvorfälle gelten für betroffene Einrichtungen gestufte Meldungen: eine Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden; eine ausführlichere Meldung spätestens innerhalb von 72 Stunden; und einen Abschlussbericht grundsätzlich innerhalb eines Monats. Dauert der Vorfall dann noch an, ist zunächst ein Fortschrittsbericht vorgesehen; der Abschlussbericht folgt nach Behebung. Legen Sie jetzt fest, wer den Vorfall erkennt, wer die Erheblichkeit bewertet und wer Meldungen vorbereitet. Diese Fristen gelten nicht pauschal für jeden IT-Ausfall oder jedes Unternehmen.
5. Sammeln Sie Nachweise im Betrieb
Bewahren Sie Risikoanalyse, System- und Lieferantenübersicht, Zuständigkeiten, Schulungen, Zugriffsprüfungen, Update- und Backup-Ergebnisse sowie Vorfallübungen geordnet auf. Dokumentation sollte zeigen, was tatsächlich umgesetzt und geprüft wurde, und nicht nur, was in einer Richtlinie steht.
Konkrete nächste Schritte
- Tätigkeit, Sektor und Unternehmensgröße mit den gesetzlichen Kategorien abgleichen.
- Registrierungs- und Selbstdeklarationsfristen samt Eigentümer notieren.
- Wichtige Systeme, Zugänge, Lieferanten und Wiederanlaufziele erfassen.
- Vorfallkontakt und 24-/72-Stunden-Meldeablauf festlegen und üben.
- Maßnahmenplan mit Verantwortlichen, Terminen und Nachweisen führen.
Dieser Überblick hilft bei der Vorbereitung, ersetzt aber keine formale Betroffenheitsprüfung. Lassen Sie offene Scope- und Meldefragen für Ihre konkrete Organisation fachkundig klären.