Ab dem 1.10.2026 gilt in Österreich das neue Netz- und Informationssystemsicherheits-gesetz „NISG“ 2026

Anders, als nach der bisherigen Gesetzeslage (NISG 2018) werden nun wesentlich mehr Unternehmen sowie Einrichtungen des öffentlichen Bereichs betroffen sein. Die Verpflichtungen dieses Gesetzes sind weitreichend - sie umfassen vor allem umfangreiche Sicherheitsmaßnahmen im Bereich der Netz- und Informationssysteme sowie gesetzlich definierte (Fristen, Inhalte) Meldepflichten im Fall eines erheblichen Sicherheitsvorfalls. Aufgrund einer Registrierungspflicht, die innerhalb relativ kurzer Zeit zu erfüllen ist, muss der Anwendungsbereich des Gesetzes proaktiv geprüft werden

Ab wann gelten die Regelungen des NISG-2026?

Der Gesetzesentwurf zu NIS-2 / NISG 2026 wurde am 20.11.2025 in den Nationalrat eingebracht und am 12.12.2025 mit einer 2/3 Mehrheit im Parlament beschlossen.

Das NISG-2026 wird somit 9 Monate nach dem im BGBl kundgemachten Datum in Kraft treten.

Wofür steht NIS?

Das Akronym „NIS“ steht für „Network and Information Security“ oder „Netzwerk- und Informationssicherheit“. Aktuell gilt in Österreich das NIS-Gesetz mit welchem die eine EU-Richtlinie aus dem Jahr 2016 umgesetzt wurde. Hiervon waren nur rund 100 Unternehmen in Österreich betroffen.

Warum NIS-2?

Die neue Cybersicherheits-Richtlinie (EU-Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union) zielt darauf ab, die Resilienz und die Reaktion auf Sicherheitsvorfälle des öffentlichen und des privaten Sektors in der EU verbessern. Erforderliche Maßnahmen und Meldepflichten werden verschärft. Betroffen sind mittlere und große Unternehmen aus den sogenannten „wesentlichen“ und „wichtigen Sektoren“. Über die Lieferkette und als Tochterunternehmen eines großen oder mittleren Unternehmens können auch kleine Unternehmen betroffen sein. Angeblich sind dies ca. 15.000 Unternehmen in Österreich.

EIN ÜBERBLICK - Was ist zu tun?

Aktuell:

• Prüfung, ob Ihre Einrichtung NISG 2026 unterworfen ist; Wenn ja: Kategorie wesentliche oder wichtige Einrichtung?
• Risikomanagementmaßnahmen nach NISG - planen und umsetzen
• Schulungen starten (konkrete Vorgaben des Gesetzes)

Ab 1.10.2026:

• Registrierungsverfahren bei der Cybersicherheitsbehörde (bis spätestens 31.12.2026)
• Nachweis der Wirksamkeit: Sogenannte Selbstdeklaration bis spätestens 30.9.2027
• Behördliche Meldepflichten beachten (keine Übergangsfristen)
• Lieferkettenauflage: das Gesetz enthält auch Vorschriften in Bezug auf Zulieferer (Zulieferer können insbesondere auch Cloud Anbieter, Anbieter von Managed Services o.ä. sein;)
• damit können auch Einrichtungen, die ursprünglich nicht unter die Bestimmungen von NIS-2 fallen, von NIS-2 betroffen sein