NIS2 und NISG 2026: Was Betriebe in Österreich ab 1. Oktober wissen müssen

In den letzten Monaten bekomme ich immer dieselbe Frage: „Betrifft mich dieses NIS2 eigentlich auch?" Die meisten Betriebe, die fragen, sind nicht direkt betroffen, und trotzdem landet die Anforderung bei ihnen auf dem Tisch. Der Grund ist die Lieferkette, und genau darum lohnt sich der Blick auch für kleine Unternehmen.

Was NIS2 überhaupt ist

NIS2 ist die EU-Richtlinie 2022/2555 zur Cybersicherheit. Sie ist seit Januar 2023 in Kraft, die Mitgliedstaaten hätten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen müssen. Sie löst die alte NIS-Richtlinie ab und erweitert deren Geltungsbereich massiv: Statt einiger weniger Betreiber kritischer Infrastruktur fallen jetzt ganze Wirtschaftszweige darunter.

Österreich: Das NISG 2026 gilt ab 1. Oktober 2026

Österreich ist spät dran: Ein erster Anlauf ist 2024 im Parlament gescheitert. Am 12. Dezember 2025 hat der Nationalrat dann das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) mit der nötigen Zweidrittelmehrheit beschlossen. Es tritt am 1. Oktober 2026 in Kraft. Zuständig ist ein neu geschaffenes Bundesamt für Cybersicherheit im Innenministerium. Die Wirtschaftskammer rechnet mit rund 4.000 direkt betroffenen Unternehmen.

• Registrierung: Betroffene Einrichtungen müssen sich innerhalb von drei Monaten nach Inkrafttreten bei der Behörde registrieren, also bis Ende 2026.
• Selbstdeklaration: Innerhalb von zwölf Monaten nach Beginn der Registrierungspflicht ist darzulegen, welche Sicherheitsmaßnahmen umgesetzt sind.
• Prüfungen: Behördliche Überprüfungen sind frühestens zwei Jahre nach Inkrafttreten vorgesehen. Die Pflichten selbst (Risikomanagement und Meldung von Vorfällen) gelten aber ab dem ersten Tag.

Bin ich überhaupt betroffen?

Zwei Dinge müssen zusammenkommen: dein Sektor und deine Betriebsgröße. Als Faustregel gilt die Schwelle für mittlere Unternehmen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Darunter bist du in der Regel nicht direkt erfasst, mit Ausnahmen für besonders kritische Anbieter.

• Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum.
• Weitere kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -vertrieb, Herstellung (unter anderem Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Anbieter, Forschung.
• Unterschieden wird zwischen „wesentlichen" und „wichtigen" Einrichtungen. Der Unterschied liegt vor allem in der Aufsicht und in der Höhe möglicher Strafen.

Für die meisten Betriebe in Vorarlberg lautet die Antwort damit: nicht direkt betroffen. Der wichtigere Punkt kommt aber jetzt.

Der eigentliche Hebel: die Lieferkette

NIS2 verpflichtet betroffene Unternehmen ausdrücklich dazu, die Sicherheit ihrer Lieferkette zu berücksichtigen. Auf Deutsch: Dein großer Kunde muss nachweisen, dass auch seine Dienstleister sauber arbeiten. Genau deshalb bekommen kleine Zulieferer, Werkstätten, Planungsbüros und IT-Dienstleister derzeit Sicherheitsfragebögen und neue Vertragsklauseln zugeschickt.

Du musst NIS2 nicht erfüllen, weil ein Gesetz dich dazu zwingt, sondern weil dein wichtigster Kunde sonst irgendwann einen anderen Lieferanten nimmt.

Die zehn Mindestmaßnahmen aus Artikel 21

Die Richtlinie listet zehn Bereiche auf, die betroffene Unternehmen abdecken müssen. Diese Liste ist auch für nicht betroffene Betriebe eine brauchbare Checkliste. Sie beschreibt schlicht solide IT-Hygiene:

• Konzepte für Risikoanalyse und Informationssicherheit
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Grundlegende Cyberhygiene und Schulungen für Mitarbeitende
• Konzepte für Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Verwaltung der Anlagen
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Wenn du diese Liste durchgehst und bei mehr als der Hälfte ins Grübeln kommst, ist das kein NIS2-Problem, sondern schlicht ein IT-Sicherheitsproblem, unabhängig von jeder Regulierung.

Die Meldefristen sind kurz

Was viele unterschätzt: Bei einem erheblichen Sicherheitsvorfall läuft die Uhr sehr schnell. Betroffene Einrichtungen müssen in drei Stufen melden.

Vierundzwanzig Stunden klingen nach viel. Wenn der Vorfall an einem Freitagabend beginnt und erst am Montag jemand merkt, dass etwas nicht stimmt, sind sie längst verstrichen. Deshalb ist Monitoring kein Luxus, sondern die Voraussetzung dafür, eine Frist überhaupt einhalten zu können.

Die Geschäftsführung haftet persönlich

Das ist die vielleicht unangenehmste Neuerung: Die Leitungsebene muss die Risikomaßnahmen nicht nur billigen, sondern ihre Umsetzung auch überwachen und sich selbst regelmäßig schulen lassen. Bei Verstößen drohen wesentlichen Einrichtungen Geldbußen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent. IT-Sicherheit ist damit endgültig kein reines Technikthema mehr, das man nach unten delegiert.

NIS2 ist nicht das einzige Regelwerk

Parallel läuft eine ganze Reihe weiterer EU-Vorgaben. Die wichtigsten mit ihren Stichtagen:

• DORA (Verordnung (EU) 2022/2554): digitale Betriebsstabilität im Finanzsektor, gilt seit 17. Januar 2025, auch für IT-Dienstleister von Finanzunternehmen.
• Cyber Resilience Act (Verordnung (EU) 2024/2847): Sicherheitsanforderungen an Produkte mit digitalen Elementen. Meldepflichten gelten seit 11. September 2026, die vollständige Anwendung folgt ab 11. Dezember 2027.
• KI-Verordnung (Verordnung (EU) 2024/1689): Verbote und die Pflicht zur KI-Kompetenz gelten seit 2. Februar 2025, weitere Stufen folgen gestaffelt.
• Data Act (Verordnung (EU) 2023/2854): Zugang zu und Weitergabe von Daten vernetzter Produkte, gilt seit 12. September 2025.

Wer vernetzte Geräte herstellt oder Software ausliefert, sollte sich vor allem den Cyber Resilience Act genauer ansehen. Der trifft deutlich mehr Betriebe, als der sperrige Name vermuten lässt.

Was du jetzt konkret tun kannst

• Kläre zuerst, ob du direkt betroffen bist: Sektor und Größenschwelle prüfen, schriftlich festhalten. Wenn ja: rechtzeitig bis Ende 2026 beim Bundesamt für Cybersicherheit registrieren.
• Frag bei deinen größten Kunden nach, ob diese unter NIS2 fallen. Dann kommen die Anforderungen ohnehin auf dich zu.
• Bring die Basis in Ordnung: getestete Backups, Multi-Faktor-Authentifizierung, aktuelle Systeme, dokumentierte Zugriffsrechte.
• Schreib auf, wer bei einem Vorfall was tut und wen anruft. Zwei Seiten reichen. Wichtig ist, dass es sie überhaupt gibt.
• Schule dein Team einmal jährlich. Der häufigste Einstiegspunkt bleibt eine E-Mail, die jemand öffnet.

Das meiste davon ist keine Compliance-Übung, sondern schlicht sinnvoll. Ein sauberes Backup hilft dir bei einem Verschlüsselungsangriff völlig unabhängig davon, ob eine Richtlinie es verlangt. Wenn du dabei Unterstützung brauchst: Genau das ist Teil meiner laufenden IT-Betreuung.

Ein ehrlicher Hinweis zum Schluss

Ich bin IT-Dienstleister, kein Jurist. Dieser Artikel ist eine praxisnahe Einordnung und keine Rechtsberatung. Stand dieses Artikels ist der 26. September 2026. Ob und wie das NISG 2026 deinen Betrieb im Einzelfall erfasst, kläre bitte mit der Wirtschaftskammer oder deinem Rechtsbeistand, bevor du größere Entscheidungen triffst. Bei der technischen Umsetzung (Backup, Monitoring, Zugriffskontrolle, Schulung) bin ich dein Ansprechpartner.