NISG 2026: NIS2 in Österreich verständlich erklärt

Das NISG 2026 in Kürze

Stand: 19. Oktober 2026. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die NIS-2-Richtlinie in Österreich um. Es wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und ist am 1. Oktober 2026 in Kraft getreten; das NISG von 2018 ist damit abgelöst. Zuständige Behörde ist das neue Bundesamt für Cybersicherheit (Cybersicherheitsbehörde), eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde (§ 3a).

Wer ist betroffen?

• Wesentliche und wichtige Einrichtungen (§ 24) aus den Sektoren der Anlagen 1 und 2, die in Österreich niedergelassen sind (§ 28 Abs. 1); manche Dienste, etwa DNS-Diensteanbieter, TLD-Namenregister oder qualifizierte Vertrauensdiensteanbieter, unabhängig von der Größe (§ 24 Abs. 1 Z 1).
• Unternehmensgröße (§ 25): ein „großes Unternehmen“ hat mindestens 250 Mitarbeiter oder über 50 Mio. Euro Jahresumsatz und über 43 Mio. Euro Bilanzsumme; ein „mittleres Unternehmen“ mindestens 50 Mitarbeiter oder über 10 Mio. Euro Umsatz und über 10 Mio. Euro Bilanzsumme. Partner- und verbundene Unternehmen zählen nach der KMU-Empfehlung mit.
• DORA geht vor: Für Finanzunternehmen im Anwendungsbereich der Verordnung (EU) 2022/2554 gelten deren Bestimmungen vorrangig (§ 24 Abs. 7).
• Beispiel: Ein Managed-Service-Provider mit 80 Mitarbeitern ist in der Regel ein mittleres Unternehmen aus Anlage 1 und damit eine wichtige Einrichtung; ab den Schwellen eines großen Unternehmens wird er wesentlich.

Eine erste Einschätzung gibt die kostenlose NIS2-Betroffenheitsprüfung; maßgeblich sind das NISG 2026 und das Bundesamt für Cybersicherheit.

Registrierung beim Bundesamt für Cybersicherheit

• Wie: elektronisch über einen sicheren Kanal (§ 29 Abs. 2). Im Unternehmensserviceportal (USP) steht dafür die Anwendung „NIS2 Services“ bereit; Sie brauchen ein Benutzerkonto für Mein USP mit dem passenden Verfahrensrecht, das die USP-Administration Ihres Unternehmens vergibt.
• Welche Angaben: Name, Anschrift und Kontaktdaten (gegebenenfalls Vertreter), Sektoren und Art der Einrichtung nach Anlage 1 oder 2, EU-Staaten der Leistungserbringung, IP-Adressbereiche, Haupt- und sonstige Niederlassungen in der EU sowie Angaben zu den Schwellenwerten und ob Sie wesentlich oder wichtig sind.
• Kontaktstelle: mindestens eine Telefonnummer und eine E-Mail-Adresse für den Austausch mit der Behörde (§ 29 Abs. 6).

Bis wann?

Das Gesetz verlangt die Registrierung „innerhalb von drei Monaten ab Inkrafttreten“, also gerechnet ab dem 1. Oktober 2026. In Leitfäden finden sich als letzter Tag sowohl der 31. Dezember 2026 als auch der 1. Januar 2027; planen Sie die Registrierung deshalb vor dem Jahreswechsel ein. Wer erst später wesentlich oder wichtig wird, registriert sich ehestmöglich, spätestens drei Monate nach Erfüllung der Voraussetzungen. Eine verspätete Registrierung ist eine Verwaltungsübertretung mit Geldstrafe bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro (§ 45 Abs. 4).

Meldepflichten bei erheblichen Vorfällen

Gemeldet wird an das zuständige sektorspezifische CSIRT, sonst an das nationale CSIRT, das die Meldung an die Cybersicherheitsbehörde weiterleitet; das CSIRT antwortet binnen 24 Stunden auf die Frühwarnung (§ 34 Abs. 1 und 4). Betrifft der Vorfall Ihre Dienste, informieren Sie auch die Empfänger (§ 34 Abs. 3). Ob ein Vorfall erheblich ist, prüfen Sie mit der Prüfung erheblicher Vorfälle, die Fristen berechnet der Fristenrechner.

Risikomanagement, Nachweis und Strafen

Wesentliche und wichtige Einrichtungen setzen Risikomanagementmaßnahmen nach § 32 um, unter anderem zu Risikoanalyse, Bewältigung von Vorfällen, Business Continuity, Lieferkette, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherter Kommunikation. Die Leitungsorgane müssen Schulungen absolvieren (§ 31).

• Selbstdeklaration: binnen zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln Sie Informationen zu den umgesetzten Maßnahmen, den genutzten Systemen, der Lieferkette und den Ergebnissen der Risikoanalyse (§ 33 Abs. 1).
• Prüfung durch eine unabhängige Stelle: binnen zwei Jahren nach Aufforderung durch die Behörde; die operative und organisatorische Umsetzung kann auch durch gültige einschlägige Zertifikate nachgewiesen werden (§ 33 Abs. 2).
• Geldstrafen (§ 45): für wesentliche Einrichtungen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige bis 7 Mio. Euro oder 1,4 %, je nachdem, welcher Betrag höher ist.

So setzen Sie das NISG 2026 in Dazr um

• NIS2-Framework: die Maßnahmen aus Art. 21 als wiederkehrende Kontrollen mit Verantwortlichen, Nachweisen und Erinnerungen; die Inhalte von § 32 NISG 2026 bilden Sie damit ab oder ergänzen eigene Kontrollen.
• Vorfallregister: Countdown für 24 Stunden, 72 Stunden und einen Monat (NIS2) sowie 72 Stunden (DSGVO), mit Zeitstempel jeder Meldung.
• Fristen im Blick: Registrierung, Selbstdeklaration und Prüfaufforderung als Aufgaben mit Termin und Erinnerung.
• Lieferanten (Pro): Lieferantenregister mit Verträgen, Zertifikaten und Prüfterminen für die Sicherheit der Lieferkette.
• Prüfer (Pro): befristeter Lesezugriff für die unabhängige Stelle und Audit-Trail als ein PDF.
• Daten in der EU: Dazr ist ein italienisches Unternehmen, Anwendungsdaten und Backups bleiben in der EU (Deutschland), Workspace-Datensätze sind mit AES-256-GCM verschlüsselt.

Dazr registriert Sie nicht und meldet keine Vorfälle in Ihrem Namen: Das läuft über das USP und das CSIRT. Dazr hält Daten, Nachweise und Zeitachse fest.

Quellen: BGBl. I Nr. 94/2025, Netz- und Informationssystemsicherheitsgesetz 2026 (RIS), Unternehmensserviceportal: NIS2 Services, Richtlinie (EU) 2022/2555. Zuletzt geprüft am 19. Oktober 2026 am authentischen Gesetzestext im RIS.

Häufige Fragen

Gilt für uns das deutsche NIS2UmsuCG oder das NISG 2026?

Für in Österreich niedergelassene Einrichtungen gilt das NISG 2026 (§ 28 Abs. 1). Das deutsche NIS2-Umsetzungsgesetz und die Registrierung beim BSI betreffen Einrichtungen in Deutschland. Für bestimmte digitale Dienste kommt es auf die Hauptniederlassung in der EU an.

Ab wann gelten die Pflichten?

Das Gesetz gilt seit 1. Oktober 2026. Registrieren müssen Sie sich innerhalb von drei Monaten, die Selbstdeklaration folgt binnen zwölf Monaten nach Eintritt der Registrierungspflicht, und den Nachweis durch eine unabhängige Stelle verlangt die Behörde mit einer Frist von zwei Jahren.

Reicht eine ISO-27001-Zertifizierung?

Sie hilft: Die operative und organisatorische Umsetzung kann durch gültige einschlägige Zertifikate nachgewiesen werden (§ 33 Abs. 2). Registrierung, Selbstdeklaration und Meldepflichten bleiben trotzdem bestehen.

Registriert Dazr uns oder meldet Vorfälle?

Nein. Registrierung und Meldungen laufen über das USP und das zuständige CSIRT. Dazr verfolgt Fristen, speichert Zeitstempel und Nachweise und zeigt, wer wann was getan hat.

Welchen Tarif brauchen wir?

Das NIS2-Framework und das Vorfallregister sind im Free-Tarif für einen Nutzer und ein Framework enthalten, ohne Karte. Pro für 99 € im Monat bringt bis zu fünf Nutzer und fünf Frameworks, Erklärung zur Anwendbarkeit, Richtlinien, Lieferantenregister und Prüferzugang; Sie können ihn 14 Tage kostenlos testen.