NIS2 Österreich (NISG 2026): Pflichten ab 01.10.2026

1. NISG 2026 — Überblick

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die NIS2-Richtlinie (EU 2022/2555) in Österreich um. Es ersetzt das NISG 2018 und implementiert die EU-Vorgaben für wesentliche und wichtige Einrichtungen in Österreich.

Das NISG 2026 ist bereits erlassen und kundgemacht: BGBl. I Nr. 94/2025, ausgegeben am 23.12.2025; anwendbar wird es am 01.10.2026 (Herleitung der Frist in Abschnitt 2). Die EU-Umsetzungsfrist war der 17.10.2024; Österreich setzte NIS2 — wie viele Mitgliedstaaten — verspätet um.

Zeitliche Einordnung: Sämtliche nachstehend beschriebenen österreichischen Pflichten greifen erst ab dem 01.10.2026.

Der Anwendungsbereich stützt sich auf zwei Sektorlisten: Anlage 1 erfasst die elf hochkritischen Sektoren (§ 2 Z 1 bis 11: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten, Öffentliche Verwaltung, Weltraum), Anlage 2 die sieben sonstigen kritischen Sektoren (§ 2 Z 12 bis 18: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung). Zusammen sind das die 18 Sektoren der Richtlinie; die Zuordnung zu einer Anlage-1- oder Anlage-2-Art ist Voraussetzung der Einstufung nach § 24 NISG 2026.

2. Anwendungsbeginn: 01.10.2026

Das NISG 2026 tritt nach § 51 Abs. 1 und 2 mit Ablauf von neun Monaten nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft — also am 01.10.2026. Ab diesem Tag greifen die Risikomanagement-Pflichten des § 32; die weiteren Termine laufen daran anschließend:

Zwei Punkte sind für die Planung wichtig. Erstens knüpft die Registrierungsfrist nicht an ein Kalenderdatum, sondern an das Inkrafttreten beziehungsweise an den Zeitpunkt, ab dem eine Einrichtung die Voraussetzungen erfüllt (§ 29 Abs. 3) — wer erst später in den Anwendungsbereich hineinwächst, hat ab diesem Zeitpunkt drei Monate. Zweitens läuft die Zwölf-Monats-Frist der Selbstdeklaration ab Eintritt der Registrierungspflicht, nicht ab der tatsächlichen Registrierung. Praxisempfehlung: Beide Startzeitpunkte je Gesellschaft dokumentieren, sobald sie feststehen; ohne diesen Vermerk lässt sich später nicht belegen, welche Frist wann zu laufen begann.

3. Wer ist betroffen?

Betroffen sind wesentliche und wichtige Einrichtungen; für Deutschland nennt das BSI ca. 29.500. Ob eine österreichische Einrichtung dazugehört, entscheidet keine Gesamtzahl, sondern der Betroffenheits-Check:

1. Sektor: Liegt eine Einrichtungsart nach Anlage 1 oder Anlage 2 NISG 2026 vor (§ 2 Z 1 bis 18; entspricht Anhang I und II der Richtlinie (EU) 2022/2555)?
2. Größe (§ 25 Abs. 2 und 3): groß = ab 250 Mitarbeiter ODER (Jahresumsatz über 50 Mio. EUR UND Bilanzsumme über 43 Mio. EUR); mittel = ab 50 Mitarbeiter ODER (Jahresumsatz über 10 Mio. EUR UND Bilanzsumme über 10 Mio. EUR). Große Unternehmen der Anlage-1-Arten sind wesentliche Einrichtungen (§ 24 Abs. 1 Z 3), Anlage-1- und Anlage-2-Arten mit großem oder mittlerem Unternehmen sind wichtige Einrichtungen (§ 24 Abs. 2 Z 1). Für die Berechnung gelten Art. 1 bis 6 des Anhangs der Empfehlung 2003/361/EG, ausgenommen Art. 3 Abs. 4.
3. Größenunabhängig (§ 24 Abs. 1 Z 1): qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister (.at) und DNS-Diensteanbieter sind wesentliche Einrichtungen; nicht qualifizierte Vertrauensdiensteanbieter und Anbieter öffentlicher elektronischer Kommunikationsnetze/-dienste sind größenunabhängig wichtige Einrichtungen (§ 24 Abs. 2 Z 3).

Daraus ergeben sich vier Einordnungen:

Zwei Abgrenzungen fallen in der Praxis häufig an. Gemeinden und Gemeindeverbände sind ausgenommen (§ 24 Abs. 3 letzter Satz). Und für Einrichtungen im Anwendungsbereich von DORA gehen die dortigen Bestimmungen samt nationalen Durchführungsvorschriften vor (§ 4 Abs. 2, § 24 Abs. 7).

Unterschied zu Deutschland: Die Größenschwellen entsprechen der Formel oben, die Klassennamen und die größenunabhängigen Tatbestände nicht: Die obere Klasse heißt dort besonders wichtige Einrichtung und setzt bei der größenabhängigen Einstufung eine Einrichtungsart nach Anlage 1 BSIG voraus, die wichtige Einrichtung eine Art nach Anlage 1 oder 2 (§ 28 Abs. 1 und 2 BSIG). Größenunabhängig sind in Deutschland Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG); Vertrauensdiensteanbieter sind größenunabhängig wichtige Einrichtungen (§ 28 Abs. 2 BSIG). Für TK-Anbieter enthält § 28 Abs. 1 und 2 BSIG eigene Einstufungsregeln. Eine deutsche Scope-Analyse lässt sich für die österreichische Tochter deshalb nicht ungeprüft übernehmen.

4. Pflichten im Vergleich DE vs. AT

Die Pflichtenkataloge laufen inhaltlich parallel, der Maßstab unterscheidet sich im Wortlaut: § 32 Abs. 1 NISG 2026 verlangt geeignete und verhältnismäßige Risikomanagementmaßnahmen in technischer, operativer und organisatorischer Hinsicht, § 30 Abs. 1 BSIG dagegen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen — und verlangt zusätzlich ausdrücklich, die Einhaltung zu dokumentieren. Beide Kataloge beruhen auf einem gefahrenübergreifenden Ansatz und nennen zehn Bereiche in derselben Reihenfolge:

Für die Umsetzungsarbeit heißt das: Die inhaltlichen Bausteine — Risikoanalyse-Methodik, Incident-Response-Playbook, Business-Continuity-Plan, Lieferantenbewertung, Berechtigungskonzept, MFA-Policy — sind zwischen beiden Rechtsräumen übertragbar, weil die zehn Bereiche inhaltlich gleichlaufen und in derselben Reihenfolge stehen. Nicht übertragbar sind die Zuordnung der Fundstellen sowie der Wirksamkeits-Zusatz und die Dokumentationsanordnung, die § 30 Abs. 1 BSIG im Unterschied zum Wortlaut des § 32 Abs. 1 NISG 2026 enthält, und die Geschäftsleitungs-Norm: § 31 NISG 2026 verlangt von den Leitungsorganen, die Einhaltung der Maßnahmen nach § 32 sicherzustellen und zu beaufsichtigen und an spezifisch gestalteten Cybersicherheitsschulungen teilzunehmen; die Einrichtungen haben ihren Mitarbeitern regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 2). Praxiseinschätzung: Der Großteil der Bausteine eines bestehenden DE-Programms ist übertragbar; AT-spezifisch anzupassen sind im Wesentlichen Fundstellen, Aufsichts- und Meldewege, Selbstdeklaration und Strafbestimmungen (keine Rechtsaussage).

5. Aufsicht: Cybersicherheitsbehörde vs. BSI

Anders als oft dargestellt ist die NIS2-Aufsicht in Österreich zentral organisiert: Zuständige Behörde ist nach § 3a Abs. 1 NISG 2026 das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde) — eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit bundesweiter Zuständigkeit (§ 3a Abs. 2) und Sitz in Wien (§ 3b Abs. 3). Sie übt Aufsicht und Durchsetzung gegenüber wesentlichen und wichtigen Einrichtungen aus (§ 4 Abs. 1 Z 13, §§ 38 und 39). Das BMI selbst ist nicht Aufsichtsbehörde. Sektoral differenziert wird in Österreich nur auf CSIRT-Ebene (§ 8 Abs. 3), nicht bei der Aufsicht.

Für die Praxis folgt daraus ein Unterschied zu Deutschland, wo Meldestelle (gemeinsam von BSI und BBK, § 32 Abs. 1 BSIG), Aufsicht (§ 1 BSIG) und Geldbuße (§ 65 BSIG) beim BSI zusammenlaufen: In Österreich fallen Melde-Adressat und Aufsichtsbehörde auseinander. Meldungen erheblicher Vorfälle gehen an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT; die Weiterleitung an die Cybersicherheitsbehörde regelt § 34 Abs. 1. Registrierung, Selbstdeklaration und Nachweis laufen dagegen direkt gegenüber der Cybersicherheitsbehörde (§ 29, § 33). Die Verwaltungsstrafe verhängt eine dritte Stelle, die Bezirksverwaltungsbehörde (§ 44 Abs. 1). Praxisempfehlung: Diese drei Kanäle vor dem 01.10.2026 getrennt im Notfall- und Kontaktverzeichnis hinterlegen — mit benannter Vertretung, weil die 24-Stunden-Frist auch außerhalb der Bürozeiten läuft.

6. Bußgelder nach NISG 2026

Die Verwaltungsstrafen des NISG 2026 reichen bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche und bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen — jeweils der höhere Wert und damit die EU-Maxima 1:1 (§ 45 Abs. 2 und 3). Im Einzelnen:

• Wesentliche Einrichtungen: bei Verwaltungsübertretungen nach § 45 Abs. 1 bis 10 Mio. EUR oder 2 % weltweiter Jahresumsatz (höherer Wert) — § 45 Abs. 2
• Wichtige Einrichtungen: bei Verwaltungsübertretungen nach § 45 Abs. 1 bis 7 Mio. EUR oder 1,4 % weltweiter Jahresumsatz — § 45 Abs. 3
• Sonstige Übertretungen: bis 50.000 EUR, im Wiederholungsfall bis 100.000 EUR — § 45 Abs. 4
• Zuständigkeit: Die Verwaltungsstrafen verhängt die Bezirksverwaltungsbehörde (§ 44 Abs. 1); die Cybersicherheitsbehörde zeigt den Verdacht einer Verwaltungsübertretung an und bleibt Aufsichtsbehörde

Zwei Unterschiede zum deutschen Recht sind für Konzern-Risikoabschätzungen erheblich. Erstens die Rechenlogik: Österreich stellt in § 45 Abs. 2 und 3 unmittelbar auf den höheren Betrag ab — Festbetrag oder Prozentsatz des weltweiten Jahresumsatzes. Deutschland nennt in § 65 Abs. 5 BSIG zunächst die Festbeträge (10 Mio. EUR für besonders wichtige, 7 Mio. EUR für wichtige Einrichtungen); die Umsatzvariante von 2 % beziehungsweise 1,4 % greift dort erst ab einem Gesamtumsatz über 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße. Zweitens die Haftungsseite: § 31 NISG 2026 nimmt die Leitungsorgane in die Pflicht (Abschnitt 4), sieht aber keinen ausdrücklichen Schadensersatzanspruch der eigenen Einrichtung gegen die Geschäftsleitung vor, wie ihn § 38 Abs. 2 BSIG für Deutschland regelt.

7. 7-Schritte-Checkliste für AT-Unternehmen

Sieben Schritte führen von der Betroffenheitsprüfung bis zur abgeschlossenen Registrierung Ende 2026. Der Monatsraster der Schritte 1 bis 5 zählt ab Projektstart und ist ein Praxis-Zeitplan (Empfehlung, keine gesetzlichen Fristen); gesetzlich datiert sind nur Schritt 6 (Anwendungsbeginn 01.10.2026, § 51 Abs. 1 und 2) und Schritt 7 (Registrierung binnen drei Monaten, § 29 Abs. 2 und 3). Wer mit weniger Vorlauf beginnt, verdichtet die Schritte (Rest-Vorlauf unten).

1. Monat 1: Betroffenheits-Analyse: Sektor + Größe, Konzern-Konsolidierung — je Gesellschaft prüfen, ob eine Art nach Anlage 1 oder 2 vorliegt und ob die Schwellen des § 25 Abs. 2 oder 3 erreicht sind. Das Ergebnis entscheidet über die Klasse nach § 24 und damit über Nachweistiefe und Strafrahmen (Abschnitt 3).
2. Monat 2: Geschäftsleitung informieren — § 31 NISG 2026 mit Schulungspflicht. Die Leitungsorgane tragen die Verantwortung für die Einhaltung der Maßnahmen nach § 32 und müssen selbst geschult werden (Abschnitt 4); das Briefing sollte vor dem Aufbau des ISMS liegen, weil es dessen Umfang freigibt.
3. Monat 3: ISMS aufsetzen (sofern noch nicht ISO 27001-zertifiziert) — es trägt die zehn Inhalte des § 32 Abs. 4 lit. a bis j und liefert zugleich die Grundlage für die spätere Selbstdeklaration nach § 33 Abs. 1.
4. Monat 4: Incident Response Playbook + Meldevorlagen für das zuständige CSIRT (§ 34 Abs. 1 NISG 2026: sektorspezifisches, sonst nationales CSIRT) — je eine Vorlage für Frühwarnung, 72-Stunden-Meldung und Abschlussbericht (Abschnitt 8).
5. Monat 5: Lieferanten-Bewertung + Vertragsklauseln Cybersecurity — Pflichtbereich § 32 Abs. 4 lit. d NISG 2026; die Bewertung braucht eine Risikoklassifizierung, damit die Tiefe der Prüfung begründbar bleibt.
6. 10/2026: Inkrafttreten — Risikomanagement nach § 32 NISG 2026 aktiviert; ab diesem Tag greifen zugleich Melde-, Registrierungs- und Nachweispflichten sowie die Strafbestimmungen.
7. 12/2026: Registrierung bei der Cybersicherheitsbehörde abschließen (§ 29 Abs. 2 und 3 NISG 2026) — drei Monate ab Inkrafttreten. Mit Eintritt der Registrierungspflicht beginnt die Zwölf-Monats-Frist für die Selbstdeklaration nach § 33 Abs. 1 (Abschnitt 9).

Rest-Vorlauf (Praxisempfehlung): Wer kurz vor oder erst nach dem 01.10.2026 einsteigt, erledigt die Schritte 1 und 2 in derselben Woche (Betroffenheitsprüfung und Leitungs-Briefing), führt die Schritte 4 und 5 parallel und stellt beim ISMS zunächst das Grundgerüst der zehn Bereiche des § 32 Abs. 4 — die Vertiefung kann danach weiterlaufen; die Pflichten des § 32 gelten allerdings ab 01.10.2026 vollständig, die Zwölf-Monats-Frist des § 33 Abs. 1 betrifft allein den Zeitpunkt der Selbstdeklaration.

8. Meldepflichten bei erheblichen Cybersicherheitsvorfällen

Die Meldekette hat in Österreich drei feste Stufen — Frühwarnung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats (§ 34 Abs. 2 Z 1, 2 und 4); hinzu kommen zwei bedingte Stufen: Zwischenbericht auf Ersuchen (Z 3) und Fortschrittsbericht bei andauerndem Vorfall (Z 5). Adressat ist in jeder Stufe das zuständige sektorspezifische CSIRT, sonst das nationale CSIRT (§ 34 Abs. 1). Die 24-Stunden-Frist läuft ab Kenntnis des Vorfalls, nicht ab dessen Beginn (§ 34 Abs. 2 Z 1); die 72-Stunden-Meldung ist unverzüglich, in jedem Fall binnen 72 Stunden zu übermitteln (Z 2).

Was die zweite Stufe inhaltlich trägt, beschreibt die Richtlinie: eine erste Bewertung mit Schweregrad, Auswirkungen und gegebenenfalls Kompromittierungsindikatoren (Art. 23 Abs. 4 Buchst. b der Richtlinie (EU) 2022/2555).

Wann ein Vorfall erheblich ist, sagt § 35 Abs. 1 NISG 2026: wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann (Z 1), oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (Z 2). Die Schwelle ist damit vorwärtsgerichtet — es genügt, dass der Vorfall solche Folgen verursachen kann. Praxisempfehlung: Die Erheblichkeits-Prüfung als kurzen, protokollierten Entscheidungsschritt im Playbook verankern und auch die Entscheidung gegen eine Meldung mit Begründung festhalten; ohne diesen Vermerk lässt sich später nicht zeigen, dass geprüft wurde.

9. Registrierung, Selbstdeklaration und Nachweis

Österreich verlangt drei aufeinander aufbauende Nachweisschritte gegenüber der Cybersicherheitsbehörde — und geht damit weiter als Deutschland, wo die turnusmäßige Nachweispflicht alle drei Jahre nach § 39 Abs. 1 BSIG an Betreiber kritischer Anlagen adressiert ist.

Erstens die Registrierung (§ 29 Abs. 2 bis 4). Wesentliche und wichtige Einrichtungen sowie Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, registrieren sich elektronisch bei der Cybersicherheitsbehörde und übermitteln unter anderem Name, Anschrift und Kontaktdaten, den Sektor beziehungsweise Teilsektor nach Anlage 1 oder 2, die Mitgliedstaaten der Diensterbringung, die Hauptniederlassung und Angaben zu den Schwellenwerten. Die Frist beträgt drei Monate ab Inkrafttreten beziehungsweise ab Erfüllung der Voraussetzungen; Änderungen der Kerndaten nach § 29 Abs. 2 Z 1 bis 5 sind binnen zwei Wochen nachzumelden. Das Register selbst führt die Cybersicherheitsbehörde (§ 29 Abs. 1).

Zweitens die Selbstdeklaration (§ 33 Abs. 1). Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht sind der Cybersicherheitsbehörde strukturierte Informationen zu den umgesetzten Risikomanagementmaßnahmen zu übermitteln. Diese Pflicht trifft alle wesentlichen und wichtigen Einrichtungen — nicht nur eine Teilmenge.

Drittens der Nachweis durch eine unabhängige Stelle (§ 33 Abs. 2). Auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen; wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung bereits binnen zwei Monaten nach der Aufforderung nachweisen. Die erstmalige Aufforderung kann frühestens zwei Jahre nach Inkrafttreten erfolgen.

Konzerne mit deutschen und österreichischen Gesellschaften registrieren getrennt: in Deutschland über die gemeinsame Registrierungsmöglichkeit von BSI und BBK (§ 33 Abs. 1 BSIG), in Österreich bei der Cybersicherheitsbehörde (§ 29 Abs. 2 NISG 2026). Eine Registrierung ersetzt die andere nicht, und die Fristen laufen unabhängig voneinander. Praxisempfehlung: Für die Zwei-Wochen-Nachmeldung einen festen Auslöser definieren — etwa jede Änderung von Firmenwortlaut, Sitz, Kontaktpostfach oder Diensterbringung in weiteren Mitgliedstaaten —, weil diese Daten sonst unbemerkt veralten.