Was steckt hinter NIS2 und dem NISG 2026?
Die EU-Richtlinie NIS2 (Richtlinie (EU) 2022/2555) ist seit Jänner 2023 in Kraft und hat das bisherige Cybersicherheitsregime mit Oktober 2024 abgelöst. Ziel ist ein einheitlich hohes Sicherheitsniveau in der gesamten Union – mit deutlich mehr betroffenen Unternehmen und schärferen Anforderungen als der Vorgänger.
Österreich hat die Umsetzung am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025). Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) tritt neun Monate später – am 1. Oktober 2026 – vollumfänglich in Kraft. Das bisherige NISG 2018 läuft gleichzeitig aus.
Neu gegenüber NIS1: Das NISG 2026 gilt unternehmensweit – nicht mehr nur für einzelne kritische Dienste. Deutlich mehr Unternehmen fallen in den Anwendungsbereich, und die Anforderungen an Risikomanagement und Nachweispflichten sind spürbar gestiegen.
Gilt das NISG 2026 für Ihr Unternehmen?
Betroffen sind mittlere und große Unternehmen, die einem der 18 festgelegten Sektoren angehören. Die Schwelle liegt bei:
- ≥ 50 Mitarbeiterinnen und Mitarbeiter, oder
- Jahresumsatz bzw. Bilanzsumme über 10 Mio. Euro
In Österreich sind schätzungsweise 4.000 bis 7.000 Einrichtungen direkt betroffen – ein Vielfaches der bisherigen NIS1-Betroffenen. Manche Anbieter (etwa qualifizierte Vertrauensdiensteanbieter oder DNS-Resolver-Betreiber) fallen unabhängig von ihrer Größe unter das Gesetz.
Die 18 Sektoren umfassen unter anderem:
Lieferkette beachten: Auch wenn Ihr Unternehmen die Größenschwelle nicht erreicht – als Dienstleister oder Zulieferer einer betroffenen Einrichtung können Sie über vertragliche Anforderungen trotzdem zur Umsetzung von Sicherheitsmaßnahmen verpflichtet werden.
Der Zeitplan – was bis wann erledigt sein muss
Das NISG 2026 kennt keine Übergangsfrist für die materiellen Pflichten. Am Stichtag müssen Risikomanagement und Meldeprozesse stehen. Danach folgt eine Kette weiterer Termine:
Ab diesem Tag gelten alle Risikomanagementmaßnahmen als verpflichtend, Meldepflichten bei Sicherheitsvorfällen werden wirksam, und Ihr Management muss nachweislich geschult sein. Das bisherige NISG 2018 tritt gleichzeitig außer Kraft.
Wesentliche und wichtige Einrichtungen müssen sich bis spätestens 31. Dezember 2026 beim neu eingerichteten Bundesamt für Cybersicherheit (BfC) registrieren. Die genaue Form der Registrierung wird noch per Verordnung geregelt.
Zwölf Monate nach Inkrafttreten muss Ihre Selbstdeklaration der umgesetzten Maßnahmen beim BfC eingereicht sein. Je besser IT-Dokumentation, Berechtigungsanalysen und Netzwerkpläne heute aufbereitet sind, desto reibungsloser verläuft dieser Schritt.
Ab zwei Jahre nach Inkrafttreten sind unabhängige externe Nachweise der getroffenen Maßnahmen zu erbringen. Wer strukturiert aufbaut und dokumentiert, spart sich später erheblichen Aufwand.
⚠ Sanktionen – und persönliche Haftung der Geschäftsleitung
Das NISG 2026 macht Cybersicherheit zur Chefsache. Leitungsorgane müssen Maßnahmen genehmigen und überwachen – und haften persönlich für Versäumnisse.
Wesentliche Einrichtungen: Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Wichtige Einrichtungen: Bußgelder bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.
Ihre Checkliste: zehn Schritte zur NIS2-Compliance
Das NISG 2026 verlangt keinen starren Maßnahmenkatalog, sondern einen risikobasierten Ansatz. Sie identifizieren Risiken, bewerten sie und leiten daraus geeignete technische und organisatorische Maßnahmen ab. Diese Bereiche stehen im Fokus:
- Betroffenheit klären: Prüfen Sie anhand von Sektor und Unternehmensgröße, ob Sie als wesentliche oder wichtige Einrichtung eingestuft werden. Die WKO bietet dafür einen Online-Ratgeber an.
- IT-Infrastruktur vollständig inventarisieren: Alle Systeme, Netzwerke, Anwendungen und Zugriffsrechte dokumentieren – das ist die Basis für jedes Risikomanagement und jeden späteren Nachweis.
- Risikoanalyse durchführen: Bedrohungsszenarien identifizieren und nach Kritikalität bewerten. Konzepte für Risikoanalyse und Informationssystemsicherheit erarbeiten und schriftlich festhalten.
- Technische Schutzmaßnahmen umsetzen: Zugangskontrolle, Netzwerksegmentierung, Patch- und Schwachstellenmanagement, Verschlüsselung, Multi-Faktor-Authentifizierung – systematisch, nicht punktuell.
- Backup- und Business-Continuity-Strategie etablieren: Regelungen für Datensicherung, Wiederherstellung und Betriebskontinuität im Ernstfall schriftlich definieren und regelmäßig testen.
- Meldeprozesse für Sicherheitsvorfälle definieren: Erhebliche Vorfälle müssen innerhalb von 24 Stunden als Frühwarnung gemeldet werden. Klare interne Verantwortlichkeiten festlegen – wer entscheidet, wer meldet, wer kommuniziert.
- Lieferkettensicherheit prüfen: Sicherheitsanforderungen an eigene Dienstleister und Zulieferer vertraglich festlegen und deren Einhaltung nachverfolgen.
- Management schulen und einbinden: Nachweisliche Schulung der Geschäftsführung zu Cybersicherheitsrisiken und Compliance-Pflichten – Pflicht ab 1. Oktober 2026.
- Registrierung vorbereiten: Unterlagen und Angaben für die Registrierung beim Bundesamt für Cybersicherheit frühzeitig zusammenstellen. Frist: 31. Dezember 2026.
- Dokumentation strukturieren: IT-Dokumentation, Netzwerkpläne und Maßnahmennachweise so aufbauen, dass sie bei Selbstdeklaration und externer Prüfung belastbar sind.
Konkrete Lösungen für jeden Compliance-Bereich
Technische Anforderungen lassen sich heute mit leistungsfähigen Tools strukturiert und effizient abbilden. Hier ein Überblick, welche Lösungen für welchen NIS2-Bereich besonders gut geeignet sind:
Automatisiertes Scanning, KI-gestützte Bedrohungspriorisierung und eingebaute Compliance-Checks nach NIST und Cyber Essentials. Sie sehen auf Anhieb, welche Schwachstellen kritisch sind – und können das gegenüber Behörden lückenlos nachweisen.
ManageEngineLückenlose Überwachung aller Active-Directory-Änderungen, Anmeldeaktivitäten und privilegierten Zugriffe in Echtzeit. Erkennt ungewöhnliches Verhalten sofort – und liefert den Audit-Trail, den Sie für Nachweise brauchen.
ManageEngineZentrales SIEM mit Echtzeit-Korrelation, Threat Intelligence und automatisierten Benachrichtigungen. Unterstützt die 24-Stunden-Meldepflicht mit klarem Audit-Trail und vorkonfigurierten Compliance-Reports für NIS2, DSGVO und mehr.
ManageEngineGovernance, Verwaltung und Automatisierung im Active Directory – jetzt auch als Cloud-Lösung verfügbar. Zugriffsrechteverwaltung, Rollenkonzepte und Lifecycle-Automatisierung schaffen Ordnung und Nachvollziehbarkeit.
ManageEngineZentrale Verwaltung und automatisches Patching aller Endgeräte – Windows, Mac, Linux, Mobile. Sicherheitslücken werden systematisch geschlossen, bevor sie zum Einfallstor werden. Inklusive Device-Härtung und Software-Kontrolle.
ManageEngineIhr virtueller Cybersecurity-Experte: automatisierte Scans Ihrer Infrastruktur, verständliche Risikoberichte und kontinuierliches Monitoring. Ideal als Einstieg für eine NIS2-Gap-Analyse – und als laufende Grundlage für Ihre Selbstdeklaration. Hosting auf europäischer Infrastruktur.
LywandMehrfach ausgezeichneter Schutz – entwickelt in der EU. Von klassischem Antivirus über EDR bis zu vollständigen Schutzpaketen für alle Endgeräte. Erkennt und blockiert Bedrohungen, bevor sie Schaden anrichten können.
ESETAnti-Spam, Anti-Phishing, E-Mail-Archivierung und M365-Backup in einer Lösung. E-Mail ist nach wie vor der häufigste Angriffsvektor – mit Hornet Security schließen Sie diese Lücke zuverlässig und DSGVO-konform.
Hornet SecurityPreisgekröntes Backup für physische Umgebungen, VMware und Hyper-V. Schnelle, verlässliche Wiederherstellung im Ernstfall – und der Nachweis einer funktionierenden Business-Continuity-Strategie, wie NIS2 sie fordert.
AltaroProfessioneller Cloud-Speicher mit Immutable Buckets – Backup-Daten werden damit unveränderlich gespeichert und sind gegen Ransomware-Angriffe geschützt. Ergänzt On-Premises-Strategien zur vollständigen Datensicherung.
WasabiProaktive Überwachung Ihrer gesamten Netzwerkinfrastruktur in Echtzeit. Anomalien werden frühzeitig erkannt, bevor sie zu Incidents werden – und Sie haben die Netzwerksichtbarkeit, die ein fundiertes Risikomanagement nach NIS2 voraussetzt.
DomotzVerschlüsselte Kommunikation ist eine der Kernanforderungen von NIS2. Mit vertrauenswürdigen SSL- und S/MIME-Zertifikaten sichern Sie Web-Kommunikation und E-Mail-Verkehr nachweisbar ab – in allen gängigen Browsern und Clients direkt verankert.
NESTEC ZertifikatePraxis-Tipp: Wer seinen Ansatz an ISO 27001 ausrichtet, deckt einen Großteil der NISG-Anforderungen direkt mit ab. ManageEngine Log360 und lywand eignen sich hervorragend als Einstieg für eine strukturierte Gap-Analyse – und als Fundament für die spätere Selbstdeklaration.
Jetzt handeln zahlt sich aus – Abwarten nicht
Der 1. Oktober 2026 kommt schneller als viele Verantwortliche ahnen. Und anders als bei manchen EU-Regularien gibt es hier keine Gnadenfrist: Wer am Stichtag kein nachweisbares Risikomanagement vorweisen kann, riskiert empfindliche Strafen – und das persönlich auf Ebene der Geschäftsführung.
Gleichzeitig gilt: NIS2-Compliance ist kein Sprint, sondern ein strukturierter Prozess. Mit den richtigen Tools und einem klaren Plan lässt sich vieles effizient umsetzen – und schafft nebenbei echten Mehrwert für die eigene IT-Sicherheitslage, unabhängig von gesetzlichen Anforderungen.
Haben Sie Fragen, welche Lösung für Ihre Infrastruktur am besten passt? Wir helfen Ihnen, den richtigen Einstieg zu finden.
