NIS2 und NISG 2026: Was für Ihr Unternehmen gilt

Das österreichische NISG 2026 setzt die europäische NIS2-Richtlinie um. Die wesentlichen Bestimmungen treten am 1. Oktober 2026 in Kraft. Grundlage ist das BGBl. I Nr. 94/2025. Einzelne vorbereitende Bestimmungen gelten bereits früher.

Einrichtungen, die beim Inkrafttreten registrierungspflichtig sind, müssen sich bis 31. Dezember 2026 registrieren. Werden die Voraussetzungen erst später erfüllt, verlangt § 29 eine Registrierung ehestmöglich, spätestens innerhalb von drei Monaten.

Quellen: § 51 NISG 2026, Inkrafttreten, § 29 NISG 2026, Registrierung und WKO-Übersicht zu NIS2.

Eine Mitarbeiterzahl allein reicht für die Einordnung nicht aus. Zunächst ist zu prüfen, ob Ihre konkrete Tätigkeit unter eine Einrichtungsart in Anlage 1 oder 2 des NISG 2026 fällt. Dazu gehören etwa bestimmte Gesundheitsdienste und Tätigkeiten in der Lebensmittelproduktion. Nicht jedes Unternehmen einer grob bezeichneten Branche ist automatisch erfasst.

Als mittleres Unternehmen gilt eine Einrichtung grundsätzlich ab 50 Mitarbeitern oder wenn sowohl Jahresumsatz als auch Jahresbilanzsumme jeweils über zehn Millionen Euro liegen, sofern sie nicht bereits groß ist. Als groß gilt sie ab 250 Mitarbeitern oder bei mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme.

Bei Beteiligungen können Daten von Partnerunternehmen oder verbundenen Unternehmen hinzukommen. Die Ausnahme bei unabhängigen Netz- und Informationssystemen ist im Einzelfall zu prüfen.

• Wesentliche Einrichtungen: grundsätzlich große Unternehmen aus Anlage 1. Für bestimmte Einrichtungsarten gelten Sonderregeln.
• Wichtige Einrichtungen: grundsätzlich mittlere Unternehmen aus Anlage 1 sowie mittlere und große Unternehmen aus Anlage 2, soweit keine Einstufung als wesentlich greift.

Für einzelne Dienste, etwa DNS-Diensteanbieter und qualifizierte Vertrauensdiensteanbieter, gelten größenunabhängige Regeln. Auch eine behördliche Einstufung kann maßgeblich sein. Weniger als 50 Mitarbeiter bedeuten daher nicht automatisch, dass Ihr Unternehmen ausgenommen ist.

Quellen: § 25 NISG 2026, Unternehmensgröße, § 26, Einstufung durch Bescheid und WKO zu Einrichtungsarten und Ausnahmen. Die Darstellung ist eine Orientierung und keine vollständige Prüfung aller Sonderfälle.

Artikel 20 NIS2 sieht vor, dass Leitungsorgane die Maßnahmen nach Artikel 21 billigen und deren Umsetzung überwachen. In Österreich verpflichtet § 31 NISG 2026 die Leitungsorgane wesentlicher und wichtiger Einrichtungen dazu, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. Vorgesehen sind außerdem spezifische Cybersicherheitsschulungen für die Leitung.

Artikel 21 NIS2 und § 32 NISG 2026 verlangen geeignete und verhältnismäßige Maßnahmen. Bei der Auswahl sind unter anderem das Risiko und die Größe der Einrichtung zu berücksichtigen. Ein begrenztes Budget entbindet nicht von diesen Pflichten. Die Geschäftsführung braucht eine fachliche Grundlage, um Prioritäten nachvollziehbar zu entscheiden.

Quellen: Artikel 20 und 21 der Richtlinie (EU) 2022/2555, § 31 NISG 2026, Governance und § 32 NISG 2026, Risikomanagementmaßnahmen.

Der 360° Security Check untersucht Ihre bestehende IT-Sicherheitslage in einer von drei vereinbarten Prüftiefen. Sie erhalten eine persönliche Bewertung durch Harald Trippolt auf Basis von über 25 Jahren IT-Erfahrung. Ein automatisierter Scan allein liefert diese Einordnung nicht.

Der Check ist zu 100 % remote möglich, ohne Vor-Ort-Termin. Die Bewertung erfolgt unabhängig und ohne Produktbindung. Daten aus dem Check werden ausschließlich in Österreich beziehungsweise der EU verarbeitet.

Die Ergebnisse helfen Ihnen, technische Lücken zu erkennen und Verbesserungen zu priorisieren. Der Check bestätigt weder Ihre rechtliche Einstufung noch die vollständige Erfüllung aller NISG-Pflichten. Er ersetzt auch keinen gesetzlich geforderten Nachweis durch eine unabhängige Stelle.

Der NIS2/NISG-Quick-Check (öffnet in einem neuen Tab) bietet eine kostenlose automatisierte Orientierung. Er ist vom persönlichen 360° Security Check zu unterscheiden und ersetzt keine rechtliche Einzelfallprüfung.