NIS2 in Österreich: Was das NISG 2026 für KMU bedeutet

Am 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) vollumfänglich in Kraft – Österreichs Umsetzung der EU-Richtlinie NIS2. Erstmals gelten damit verbindliche Cybersicherheitspflichten für tausende heimische Unternehmen, viele davon klassische KMU. Wir erklären, wer betroffen ist, was zu tun ist und warum auch Zulieferer jetzt handeln sollten.

Worum geht es bei NIS2 und dem NISG 2026?

Die EU-Richtlinie NIS2 (Richtlinie (EU) 2022/2555) verpflichtet Unternehmen in kritischen und wichtigen Sektoren zu einem Mindestniveau an Cybersicherheit. Österreich hat sie mit dem NISG 2026 umgesetzt: im Dezember 2025 im Nationalrat beschlossen, im Bundesgesetzblatt veröffentlicht – und ab 1. Oktober 2026 voll wirksam. Geschätzt sind davon über 5.000 österreichische Unternehmen direkt betroffen, dazu kommen zehntausende Zulieferer, die über die Lieferkette mitverpflichtet werden.

Ist Ihr Unternehmen betroffen?

Direkt unter das Gesetz fallen Sie in der Regel, wenn beide Kriterien zutreffen:

• Größe: ab 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz/Bilanzsumme.
• Sektor: Ihr Unternehmen ist in einem der 18 definierten Sektoren tätig – darunter Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, IKT-Dienste, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Medizinprodukte, Maschinenbau, Fahrzeugbau), digitale Dienste und Forschung.

Unterschieden wird zwischen wesentlichen und wichtigen Einrichtungen – mit unterschiedlich strenger Aufsicht und Strafhöhe. Und selbst wer die Schwellen nicht erreicht: Als Zulieferer oder Dienstleister eines betroffenen Unternehmens werden Sie über dessen Lieferketten-Pflichten sehr wahrscheinlich vertraglich zu Sicherheitsmaßnahmen verpflichtet. Das trifft nach Schätzungen bis zu 50.000 weitere Betriebe in Österreich.

Diese Pflichten kommen auf betroffene Unternehmen zu

• Registrierung: Betroffene Einrichtungen müssen sich binnen drei Monaten bei der Behörde registrieren (§ 29 NISG 2026).
• Risikomanagement (§ 32): technische und organisatorische Maßnahmen – von Zugriffskontrolle, Verschlüsselung und Multi-Faktor-Authentifizierung über Backup- und Notfallkonzepte bis zum Umgang mit Schwachstellen.
• Governance & Schulung (§ 31): Die Geschäftsleitung muss die Maßnahmen genehmigen, überwachen – und sich selbst nachweislich schulen lassen. Cybersicherheit ist damit offiziell Chefsache.
• Meldepflichten (§ 34): Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) an das zuständige CSIRT zu melden.
• Lieferkettensicherheit: Die Sicherheit eingekaufter IT-Dienste und Zulieferer muss bewertet und vertraglich abgesichert werden.

Was passiert bei Verstößen?

Die Strafen orientieren sich an der DSGVO – und sind empfindlich: Für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % (§ 45 NISG 2026). Dazu kommt: Leitungsorgane haften für die Einhaltung der Pflichten persönlich mit – wegsehen ist keine Option mehr.

Die gute Nachricht: Vieles davon ist einfach gute IT-Praxis

Wer seine IT professionell betreiben lässt, erfüllt viele NIS2-Anforderungen bereits oder ist nah dran: gepflegtes Patch-Management, Monitoring, saubere Backups, Firewall und Endpoint-Schutz, dokumentierte Prozesse. Das NISG macht aus Best Practice nun eine Pflicht – mit Nachweisbarkeit als entscheidendem Unterschied.

Ihre 8-Punkte-Checkliste bis Oktober

1. Betroffenheit klären: Sektor und Schwellenwerte prüfen – auch die Rolle als Zulieferer.
2. Ist-Stand erheben: Systeme, Zugänge, Datenflüsse und bestehende Schutzmaßnahmen inventarisieren.
3. Lücken bewerten: Gap-Analyse gegen die § 32-Maßnahmenliste.
4. Basisschutz schließen: MFA, Patch-Management, Endpoint-Security, Firewall, Verschlüsselung.
5. Backup & Notfallplan: getestete Wiederherstellung, definierte Abläufe für den Ernstfall.
6. Meldeprozess aufsetzen: Wer erkennt, wer entscheidet, wer meldet binnen 24 Stunden?
7. Team & Führung schulen: Security-Awareness für alle, verpflichtende Schulung für die Geschäftsleitung.
8. Dokumentieren: Maßnahmen, Zuständigkeiten und Nachweise sauber festhalten.

Wie wir Sie dabei unterstützen

Genau diese Punkte sind unser Tagesgeschäft: Wir erheben Ihren Ist-Stand, schließen die Lücken mit erprobter Technologie – Endpoint- und Firewall-Schutz mit Sophos, Backup-Strategien mit Veeam, Security-Awareness-Trainings mit SoSafe – und liefern mit Monitoring und Dokumentation die Nachweisbarkeit, die das NISG verlangt. Als Managed-Services-Kunde haben Sie viele Pflichten damit bereits strukturell abgedeckt.

Hinweis: Dieser Beitrag ist eine praxisorientierte Übersicht und ersetzt keine Rechtsberatung. Für die rechtliche Einstufung Ihres Unternehmens empfehlen wir die Abstimmung mit Ihrer Rechtsberatung – die technische Umsetzung übernehmen wir.