Österreich: Das NISG 2026 gilt seit 1. Oktober 2026
Österreichs NIS2-Gesetz gilt seit 1. Oktober 2026 für rund 4.000 Organisationen. Registrierung, Selbstdeklaration und Meldefristen im Überblick.
Österreichs Umsetzung von NIS2, das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025). Seine wesentlichen Bestimmungen gelten seit dem 1. Oktober 2026; das NISG 2018 ist am selben Tag außer Kraft getreten.
Wer betroffen ist
Laut Wirtschaftskammer Österreich (WKO) fallen rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 Sektoren als wesentliche oder wichtige Einrichtungen unter das Gesetz.
Die wichtigsten Fristen
- Registrierung: Wesentliche und wichtige Einrichtungen registrieren sich über das Unternehmensserviceportal (USP); die WKO nennt den 31. Dezember 2026 als Frist. Die Einzelheiten des Formulars werden durch Verordnung festgelegt.
- Selbstdeklaration: Innerhalb von zwölf Monaten nach Beginn der Registrierungspflicht übermitteln die Einrichtungen Angaben zu den umgesetzten Risikomanagementmaßnahmen (die WKO nennt den 30. September 2027).
- Meldung von Vorfällen: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Frühwarnung.
Strafen
Laut WKO können Strafen für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Konzernjahresumsatzes erreichen, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Wer die Registrierung oder die Selbstdeklaration versäumt, riskiert bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.
Was jetzt zu tun ist
- Klären Sie, ob Sie betroffen sind und ob Sie als wesentliche oder wichtige Einrichtung gelten.
- Bereiten Sie die Registrierung vor: Unternehmensdaten, rund um die Uhr erreichbare Kontakte sowie Sektor und Dienste.
- Beginnen Sie die Gap-Analyse für die Selbstdeklaration: Die Maßnahmen folgen Artikel 21 der NIS2-Richtlinie.
- Richten Sie ein Vorfallverfahren ein, das die 24-Stunden-Frühwarnung schafft.
Mehr zum österreichischen Gesetz: NISG 2026 in Österreich.
Quellen
- RIS: BGBl. I Nr. 94/2025, Netz- und Informationssystemsicherheitsgesetz 2026
- WKO: NIS2 overview (registration, self-declaration, reporting, fines)
- Directive (EU) 2022/2555 (NIS2)
Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 19. Oktober 2026.
Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål