NISG 2026 · UMSETZUNG IN ÖSTERREICH
NISG 2026: Die NIS2-Umsetzung in Österreich
Lesezeit etwa 12 Minuten · Stand Juli 2026
Das NISG 2026 setzt die NIS2-Richtlinie in Österreich um. Kundgemacht wurde es am 23. Dezember 2025, in Kraft tritt es am 1. Oktober 2026. Betroffene Einrichtungen müssen sich bis 31. Dezember 2026 registrieren. Die Selbstdeklaration folgt bis 30. September 2027. Das NISG 2018 tritt zeitgleich außer Kraft. Stand: Juli 2026.
Was ist das NISG 2026?
Das NISG 2026 ist das österreichische Gesetz, mit dem die EU-Richtlinie NIS2 in nationales Recht überführt wird. Der volle Titel lautet Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen. Kundgemacht wurde es am 23. Dezember 2025 als BGBl. I Nr. 94/2025. Den amtlichen Volltext finden Sie im Rechtsinformationssystem des Bundes.
Der Regelungsgegenstand ist breit angelegt. § 2 nennt 18 Sektoren, darunter Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Post- und Kurierdienste, Abfallbewirtschaftung, das verarbeitende Gewerbe sowie Forschung. Welche Teilsektoren im Einzelnen erfasst sind, steht in den Anlagen 1 und 2. Innerhalb dieser Sektoren unterscheidet das Gesetz zwischen wesentlichen sowie wichtigen Einrichtungen. Von dieser Einstufung hängen Aufsichtsintensität und Sanktionsrahmen ab.
Mit dem Geltungsbeginn verschwindet die alte Rechtslage. § 51 Abs. 2 ordnet an, dass zeitgleich die §§ 2 bis 31 des NISG 2018 außer Kraft treten, dazu die Netz- und Informationssystemsicherheitsverordnung (NISV, BGBl. II Nr. 215/2019) sowie die Verordnung über qualifizierte Stellen (QuaSteV, BGBl. II Nr. 226/2019). Ein Nebeneinander von altem und neuem Recht gibt es also nicht. Auch Bescheide, die nach § 15 Abs. 3, § 16 Abs. 1 sowie § 18 Abs. 1 NISG 2018 erlassen wurden, werden mit dem Inkrafttreten gegenstandslos (§ 51 Abs. 5). Davon gibt es 2 Übergangsausnahmen. Das nach § 15 Abs. 3 NISG 2018 ermächtigte nationale CSIRT nimmt seine Aufgaben weiter wahr, bis ein nationales CSIRT gemäß § 8 Abs. 2 ermächtigt ist, längstens 2 Jahre ab Inkrafttreten (§ 51 Abs. 6). Qualifizierte Stellen nach § 18 Abs. 1 NISG 2018 gelten bis 12 Monate nach Inkrafttreten der Verordnung gemäß § 7 Abs. 6 als unabhängige Stellen im Sinne des § 7 (§ 51 Abs. 7).
Zwischen Kundmachung und Geltung liegen 9 Monate. § 51 formuliert das so: „Nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ treten die Bestimmungen in Kraft. Gerechnet ab dem 23. Dezember 2025 endet die Neunmonatsfrist am 23. September 2026, der nächstfolgende Monatserste ist der 1. Oktober 2026. Diese Zeit ist Vorbereitungszeit auf beiden Seiten. Verordnungen zum Gesetz durften bereits ab dem Tag nach der Kundmachung erlassen werden, in Kraft gesetzt werden dürfen sie frühestens mit dem Gesetz selbst (§ 51 Abs. 3). Parallel hat die Verwaltung alle vorbereitenden Maßnahmen zu setzen, die eine zeitgerechte Aufgabenwahrnehmung durch die Cybersicherheitsbehörde ermöglichen (§ 51 Abs. 4). Den europäischen Rahmen dahinter erklären wir auf unserer NIS2-Übersicht.
Welche Fristen gelten und in welcher Reihenfolge?
Die Reihenfolge steht im Gesetz: erst der Geltungsbeginn, dann die Registrierung, danach die Selbstdeklaration. Jede Frist knüpft an die vorhergehende an. Wer den ersten Termin verpasst, verschiebt damit nicht den zweiten. Die folgende Zeitachse enthält nur Termine, die sich unmittelbar aus dem Gesetzestext ergeben.
| Termin | Was ansteht | Fundstelle |
|---|---|---|
| 23. Dezember 2025 | Kundmachung des NISG 2026 im Bundesgesetzblatt. Für Einrichtungen ergibt sich daraus noch keine Pflicht. | BGBl. I Nr. 94/2025 |
| 1. Oktober 2026 | Geltungsbeginn. Das Gesetz tritt in Kraft, das NISG 2018 sowie die NISV treten außer Kraft. Ab diesem Tag gelten Risikomanagement, Meldepflicht sowie Schulungspflicht. | § 51 Abs. 1 und 2 |
| 31. Dezember 2026 | Registrierung bei der Cybersicherheitsbehörde, also innerhalb von 3 Monaten ab Inkrafttreten. | § 29 Abs. 3 |
| laufend ab Registrierung | Änderungen melden: Name, Anschrift, Kontaktdaten, Sektor, Mitgliedstaaten der Diensterbringung sowie IP-Adressbereiche binnen 2 Wochen ab dem Tag der Änderung. Angaben zu Niederlassungen und Schwellenwerten binnen 3 Monaten ab dem Tag der Änderung. | § 29 Abs. 4 |
| 30. September 2027 | Selbstdeklaration an die Cybersicherheitsbehörde, also innerhalb von 12 Monaten nach Eintritt der Registrierungspflicht. | § 33 Abs. 1 |
| frühestens ab 1. Oktober 2028 | Erste mögliche Aufforderung, die Umsetzung der Risikomanagementmaßnahmen durch eine unabhängige Stelle nachzuweisen. Früher darf die Behörde nicht auffordern. | § 33 Abs. 2 |
2 Details werden an dieser Zeitachse leicht übersehen. Erstens gilt die Dreimonatsfrist des § 29 Abs. 3 nur für Einrichtungen, die am 1. Oktober 2026 bereits erfasst sind. Wer erst später wesentliche oder wichtige Einrichtung wird, etwa durch Wachstum oder eine geänderte Geschäftstätigkeit, hat sich „ehestmöglich, in jedem Fall aber innerhalb von drei Monaten ab Erfüllung der jeweiligen Voraussetzungen“ zu registrieren. Zweitens knüpft die Selbstdeklaration nicht an das Datum der Registrierung an, sondern an den Eintritt der Registrierungspflicht gemäß § 29 Abs. 2. Eine frühe Registrierung verkürzt die Frist zur Selbstdeklaration also nicht. Eine späte verlängert sie ebenso wenig. Inhaltlich verlangt § 33 Abs. 1 Informationen zu den umgesetzten Risikomanagementmaßnahmen, insbesondere zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferketten sowie zu den Ergebnissen der Risikoanalyse. Das Wort „insbesondere“ macht die Aufzählung offen.
Eine Zeile fehlt in dieser Tabelle bewusst. Für die Schulung der Leitungsorgane nennt das NISG 2026 keinen Stichtag. § 31 Abs. 2 lautet lediglich: „Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen an für diese spezifisch gestalteten Cybersicherheitsschulungen teilnehmen.“ Weder § 31 noch die Übergangsbestimmungen des § 51 nennen eine Frist zur Absolvierung. Die Pflicht gilt ab dem 1. Oktober 2026, so wie die übrigen Pflichten des Gesetzes auch. Wer die Schulung erst deutlich danach ansetzt, riskiert allerdings, bei einer Kontrolle ohne Nachweis dazustehen. Das ist ein Argument aus der Praxis. Eine gesetzliche Frist ist es ausdrücklich nicht.
Wer ist vom NISG 2026 betroffen?
Betroffen sind wesentliche sowie wichtige Einrichtungen in den 18 Sektoren, die § 2 NISG 2026 aufzählt: von Energie, Verkehr, Bankwesen und Gesundheitswesen über digitale Infrastruktur bis zu Abfallbewirtschaftung, Lebensmitteln, verarbeitendem Gewerbe und Forschung. Der europäische Rahmen dahinter ist die NIS2-Richtlinie.
Das Gesetz kennt 2 Kategorien, die sich in der Aufsicht unterscheiden. Ex-ante-Aufsicht heißt vorbeugende Kontrolle: Die Behörde darf von sich aus prüfen, auch ohne konkreten Anlass, etwa durch regelmäßige Sicherheitsprüfungen, Vor-Ort-Kontrollen sowie proaktive Scans. Ex-post-Aufsicht heißt nachgelagerte Kontrolle: Hier wird die Behörde erst tätig, wenn ein Auslöser vorliegt, also nach einem Vorfall oder bei einem begründeten Verdacht auf einen Verstoß. Wesentliche Einrichtungen unterliegen der ex-ante-Aufsicht, wichtige Einrichtungen primär der ex-post-Aufsicht. Die Einstufung entscheidet über Aufsichtsintensität, Nachweisfristen sowie die Höhe möglicher Sanktionen.
Die Zuordnung läuft über 2 Anlagen zum Gesetz. Anlage 1 führt die Sektoren mit hoher Kritikalität, Anlage 2 die sonstigen kritischen Sektoren. Der Unterschied hat Folgen: Eine Einrichtung aus Anlage 1, die ein großes Unternehmen betreibt, gilt kraft Gesetzes als wesentliche Einrichtung (§ 24 Abs. 1 Z 3). Wer aus Anlage 2 kommt, ist auch als großes Unternehmen zunächst nur wichtige Einrichtung (§ 24 Abs. 2 Z 1). Mittlere Unternehmen aus beiden Anlagen sind grundsätzlich wichtige Einrichtungen. Eine Ausnahme steht in § 24 Abs. 1 Z 2: Wer als mittleres Unternehmen öffentliche elektronische Kommunikationsnetze oder öffentlich zugängliche elektronische Kommunikationsdienste anbietet, gilt bereits kraft Gesetzes als wesentliche Einrichtung.
Die Größenregel folgt der Empfehlung 2003/361/EG der Kommission. § 25 Abs. 1 verweist auf die Art. 1 bis 6 des Anhangs dieser Empfehlung, ausgenommen ist nur Art. 3 Abs. 4. Als großes Unternehmen gilt, wer zumindest 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro erzielt und dessen Jahresbilanzsumme über 43 Millionen Euro liegt (§ 25 Abs. 2). Als mittleres Unternehmen gilt, wer zumindest 50 Mitarbeiter beschäftigt oder über 10 Millionen Euro Jahresumsatz erzielt und dessen Bilanzsumme ebenfalls über 10 Millionen Euro liegt (§ 25 Abs. 3).
Neben der Größenregel gibt es größenunabhängige Einstufungen. Qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene sowie Einrichtungen, die als kritische Einrichtungen nach der Richtlinie (EU) 2022/2557 ermittelt wurden, sind ohne Rücksicht auf ihre Größe wesentliche Einrichtungen (§ 24 Abs. 1 Z 1). Zusätzlich hat die Cybersicherheitsbehörde eine Einrichtung aus Anlage 1 oder 2, die allein wegen ihrer Unternehmensgröße nicht erfasst wäre, mit Bescheid als wesentliche oder wichtige Einrichtung einzustufen, etwa wenn sie der einzige Anbieter eines Dienstes in Österreich ist, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Tätigkeiten unerlässlich ist (§ 26 Abs. 1 in Verbindung mit Abs. 3). Aus denselben Gründen hat sie eine wichtige Einrichtung mit Bescheid zur wesentlichen Einrichtung hochzustufen (§ 26 Abs. 2). Ermessen räumt das Gesetz der Behörde dabei nicht ein.
Für Konzerne gilt eine Besonderheit, die in der Praxis oft übersehen wird: Das NISG 2026 kennt keine Ausnahme für konzerninterne Dienste. Wer unter eine Art der Anlage 1 oder 2 fällt und die Schwellen erreicht, ist erfasst, auch wenn die Leistungen ausschließlich an Schwestergesellschaften gehen. Das ist ausdrücklich anders als in Deutschland, wo § 28 Abs. 3 BSIG erlaubt, vernachlässigbare Geschäftstätigkeiten bei der Zuordnung außer Betracht zu lassen. Eine vergleichbare Erheblichkeitsschwelle fehlt im österreichischen Text. Auch bei der Größe wirkt der Verbund: Die Zahlen von Partner- und verbundenen Unternehmen bleiben nur dann außen vor, wenn die Einrichtung in Bezug auf ihre Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig ist (§ 25 Abs. 4). Im Regelfall rechnet der Konzern also mit. Wie sich Anforderungen von dort aus weiter nach unten verlagern, zeigt unser Beitrag zur Sicherheit der Lieferkette. Den amtlichen Volltext finden Sie im Rechtsinformationssystem des Bundes.
Welche Pflichten bringt das Gesetz konkret mit?
Das NISG 2026 bündelt 5 Pflichtenblöcke. Sie greifen zu unterschiedlichen Zeitpunkten, hängen inhaltlich aber zusammen.
- Registrierung (§ 29). Wesentliche und wichtige Einrichtungen müssen sich bei der Cybersicherheitsbehörde registrieren und dabei elektronisch über einen sicheren Kommunikationskanal 7 Angaben übermitteln: Name, Anschrift und Kontaktdaten, Sektor und Art der Einrichtung, die Mitgliedstaaten mit Diensterbringung, gegebenenfalls IP-Adressbereiche, Anschrift der Hauptniederlassung sowie Angaben zu den Schwellenwerten des § 25. Änderungen der ersten 5 Angaben sind binnen 2 Wochen zu melden, die übrigen binnen 3 Monaten (§ 29 Abs. 4). Zusätzlich ist eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse vorzusehen.
- Selbstdeklaration (§ 33 Abs. 1). Innerhalb von 12 Monaten nach Eintritt der Registrierungspflicht gemäß § 29 Abs. 2 sind der Behörde Informationen zu den umgesetzten Risikomanagementmaßnahmen zu übermitteln. Die Frist läuft ab dem Eintritt der Pflicht, nicht ab der tatsächlich erfolgten Registrierung. Wer sich spät registriert, gewinnt also keine Zeit. Der Gesetzestext nennt „insbesondere“ die genutzten Netz- und Informationssysteme, die Sicherheit der Lieferketten sowie die Ergebnisse der durchgeführten Risikoanalyse. Durch dieses Wort ist die Aufzählung demonstrativ, die Behörde kann in ihren Vorgaben also mehr abfragen.
- Risikomanagement (§ 32). Verlangt werden geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht, gestützt auf einen gefahrenübergreifenden Ansatz. § 32 Abs. 4 listet 10 Pflichtinhalte von der Risikoanalyse über Backup-Management, Lieferkettensicherheit, Kryptografie bis zur Multi-Faktor-Authentifizierung. Maßstab ist der Stand der Technik, die Verhältnismäßigkeit bemisst sich nach Risikoexposition, Größe der Einrichtung sowie möglicher Schadenshöhe.
- Meldung erheblicher Vorfälle (§ 34). Erhebliche Cybersicherheitsvorfälle sind in einem mehrstufigen Verfahren zu melden, dazu unten mehr. Beeinträchtigt der Vorfall die Erbringung des jeweiligen Dienstes, sind zusätzlich die Empfänger dieses Dienstes unverzüglich zu unterrichten (§ 34 Abs. 3).
- Schulung der Leitungsorgane (§ 31). Die Leitungsorgane haben die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. § 31 Abs. 2 verlangt, dass sie an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten. Einen gesetzlichen Stichtag für diese Schulung gibt es nicht, weder in § 31 noch in den Übergangsbestimmungen des § 51. Die Pflicht gilt ab dem 1. Oktober 2026. Wer die Schulung erst danach ansetzt, riskiert allerdings, in einer Prüfung ohne Nachweis dazustehen. Das ist ein Argument der Praxis, keine gesetzliche Frist.
Wie läuft eine Vorfallmeldung ab?
Die Meldung läuft in 4 Stufen und geht nicht an das Bundesamt, sondern an das zuständige CSIRT. Das ist der Punkt, an dem viele Notfallpläne falsch adressiert sind.
Der Wortlaut des § 34 Abs. 1 lässt daran keinen Zweifel: „Wesentliche und wichtige Einrichtungen haben dem für sie zuständigen sektorspezifischen CSIRT oder den für sie zuständigen sektorspezifischen CSIRTs, in Ermangelung eines solchen dem nationalen CSIRT, unverzüglich jeden erheblichen Cybersicherheitsvorfall (§ 35) zu melden. Das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter.“
| Stufe | Frist | Adressat | Inhalt |
|---|---|---|---|
| Frühwarnung | unverzüglich, längstens 24 Stunden nach Kenntnisnahme | zuständiges CSIRT | Erstinformation, gegebenenfalls Verdacht auf rechtswidrige und schuldhafte Handlungen oder grenzüberschreitende Auswirkungen |
| Meldung | unverzüglich, längstens 72 Stunden nach Kenntnisnahme | zuständiges CSIRT | Aktualisierung der Frühwarnung, erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren |
| Zwischenbericht | auf Ersuchen eines CSIRTs oder gegebenenfalls der Cybersicherheitsbehörde | zuständiges CSIRT | relevante Statusaktualisierungen |
| Abschlussbericht | spätestens 1 Monat nach der Meldung | zuständiges CSIRT | ausführliche Beschreibung, Art der Bedrohung und Ursachen, getroffene sowie laufende Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Dauert der Vorfall zum Fälligkeitstermin des Abschlussberichts noch an, tritt zunächst ein Fortschrittsbericht an dessen Stelle. Der Abschlussbericht folgt dann spätestens 1 Monat nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 2 Z 5). Umgekehrt bekommen Sie eine Reaktion: Das CSIRT hat spätestens 24 Stunden nach Eingang der Frühwarnung zu antworten, auf Ersuchen mit Orientierungshilfen oder operativer Beratung (§ 34 Abs. 4). Welches CSIRT zuständig ist, hängt vom Sektor ab. Für das Gesundheitswesen etwa nimmt das neu eingerichtete Austrian HealthCERT die Rolle des sektorspezifischen CSIRT wahr (§ 8a GTelG 2012 in der Fassung BGBl. I Nr. 94/2025). Registrierung und Selbstdeklaration laufen dagegen weiterhin über die Cybersicherheitsbehörde.
Österreichische Tochter im Konzern?
Ob eine Gesellschaft in Österreich unter das NISG 2026 fällt und was bis zum 1. Oktober 2026 vorliegen sollte, ordnen wir im Strategiegespräch gemeinsam ein. Konkret, ohne Verkaufsdruck.
Welche Behörde ist in Österreich zuständig?
Zuständig ist das Bundesamt für Cybersicherheit, das im Gesetzestext durchgehend „Cybersicherheitsbehörde“ heißt. § 3a Abs. 1 NISG 2026 sagt es wörtlich: „Zuständige Behörde im Sinne dieses Bundesgesetzes ist das Bundesamt für Cybersicherheit (Cybersicherheitsbehörde).“
Diese Behörde ist neu. Sie besteht nach § 3a Abs. 2 als eine dem Bundesminister für Inneres unmittelbar nachgeordnete Stelle mit bundesweiter Zuständigkeit, organisatorisch außerhalb der Generaldirektion für die öffentliche Sicherheit. Sie ist monokratisch aufgebaut: An der Spitze steht ein Direktor (§ 3b Abs. 1), Sitz ist Wien. Weisungen des Bundesministers an den Direktor sind schriftlich zu erteilen, zu begründen sowie halbjährlich zu veröffentlichen (§ 3b Abs. 6). Den Gesetzestext finden Sie im RIS, allgemeine Informationen auf nis.gv.at.
Das BSI ist nicht zuständig. Das Bundesamt für Sicherheit in der Informationstechnik ist die deutsche Behörde nach dem BSIG. Eine Registrierung dort ersetzt keine Registrierung in Wien. Wer Standorte in Deutschland sowie in Österreich betreibt, hat in aller Regel 2 Aufsichtsbehörden, 2 Registrierungen und 2 Meldewege. Eine Ausnahme sieht § 28 Abs. 2 Z 2 für Anbieter digitaler Infrastruktur vor, etwa Cloud-Computing-, Rechenzentrums-, DNS- sowie verwaltete Dienste. Für sie kommt es allein auf die Hauptniederlassung an, also auf den Mitgliedstaat, in dem die Entscheidungen zu den Risikomanagementmaßnahmen vorwiegend getroffen werden (§ 28 Abs. 3). Die Pflichten ähneln sich, weil beide Gesetze dieselbe Richtlinie umsetzen. Deckungsgleich sind sie nicht. Den europäischen Rahmen dazu erklären wir auf unserer NIS2-Übersicht.
Nicht alles läuft über das Bundesamt. Registrierung nach § 29 sowie Selbstdeklaration nach § 33 Abs. 1 gehen an die Cybersicherheitsbehörde. Vorfallsmeldungen gehen dagegen an ein CSIRT. § 34 Abs. 1 verlangt die Meldung an das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT. Erst das CSIRT leitet die Meldung unverzüglich an die Behörde weiter. Für Einrichtungen der öffentlichen Verwaltung nimmt das bei der Behörde eingerichtete GovCERT die Rolle des sektorspezifischen CSIRT wahr (§ 8 Abs. 4). Wer diese Wege verwechselt, verliert im Ernstfall Stunden.
Bei den Nachweisen arbeitet das Gesetz mit gestaffelten Fristen. Die Selbstdeklaration ist innerhalb von 12 Monaten nach Eintritt der Registrierungspflicht fällig (§ 33 Abs. 1). Den Wirksamkeitsnachweis durch eine unabhängige Stelle fordert die Behörde gesondert an: Ab Aufforderung bleiben 2 Jahre für die technische, operative sowie organisatorische Umsetzung. Abweichend davon müssen wesentliche Einrichtungen die operative sowie organisatorische Umsetzung binnen 2 Monaten nachweisen (§ 33 Abs. 2). Die erstmalige Aufforderung darf frühestens 2 Jahre nach Inkrafttreten ergehen, also ab 1. Oktober 2028. Geplante Prüfungen sind der Behörde einen Monat im Voraus per Prüfplan zu melden (§ 33 Abs. 5).
Ein ISO-27001-Zertifikat wird angerechnet, aber nicht für alles. § 33 Abs. 2 lässt den Nachweis der „operativen sowie organisatorischen Umsetzung“ ausdrücklich „auch durch einschlägige gültige Zertifikate“ zu. Der technische Teil bleibt davon unberührt. Die Prüfer müssen von der Cybersicherheitsbehörde zugelassen sein (§ 7 Abs. 2), die Behörde führt dazu eine Liste. Der Prüfbericht ist von den Leitungsorganen sowie den eingesetzten Prüfern zu unterzeichnen und enthält festgestellte Mängel samt Maßnahmenplan (§ 33 Abs. 3). Die Kosten trägt die geprüfte Einrichtung (§ 33 Abs. 4). Ein bestehendes ISMS senkt den Aufwand daher spürbar, zumal Sie ähnliche Nachweise ohnehin für Ihre Lieferkette vorhalten.
Welche Sanktionen und Haftungsrisiken drohen?
Das Gesetz kennt 3 Strafrahmen sowie ein eigenes Regime für die öffentliche Verwaltung. Verhängt werden die Strafen nicht vom Bundesamt: Zuständig sind die Bezirksverwaltungsbehörden (§ 44 Abs. 1). Die Cybersicherheitsbehörde zeigt den Verdacht lediglich an.
| Adressat und Verstoß | Rahmen |
|---|---|
| Wesentliche Einrichtungen bei Verstößen nach § 45 Abs. 1 | bis 10 Mio. Euro oder bis zu 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2) |
| Wichtige Einrichtungen bei Verstößen nach § 45 Abs. 1 | bis 7 Mio. Euro oder bis zu 1,4 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (§ 45 Abs. 3) |
| Alle Einrichtungen bei formellen Verstößen nach § 45 Abs. 4 | bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro |
| Stellen der öffentlichen Verwaltung | keine Geldstrafe, Feststellung mit Bescheid nach § 46 Abs. 2 |
| Verstoß, für den bereits die Datenschutzbehörde bestraft hat | keine Geldstrafe nach dem NISG bei identem Verhalten (§ 44 Abs. 7) |
Der obere Rahmen des § 45 Abs. 1 gilt den inhaltlichen Pflichten: fehlende Schulungen für Leitungsorgane sowie Mitarbeiter, nicht umgesetzte Risikomanagementmaßnahmen, unterlassene Vorfallsmeldungen, die fehlende Unterrichtung der Empfänger der Dienste sowie die Missachtung angeordneter Durchsetzungsmaßnahmen. Eine Einschränkung ist bemerkenswert: Nicht umgesetzte Risikomanagementmaßnahmen sind nur strafbar, soweit der Umstand der Behörde „nicht nur aufgrund einer Selbstdeklaration gemäß § 33 Abs. 1 bekanntgeworden ist“. Eine ehrliche Selbstdeklaration löst für sich genommen also keine Strafe aus.
Der Rahmen von 50.000 Euro betrifft alle Einrichtungen, nicht nur die Verwaltung. § 45 Abs. 4 zählt 19 überwiegend formelle Tatbestände auf: verspätete Registrierung (§ 29 Abs. 3), nicht gemeldete Änderungen, verspätete oder wissentlich falsche Selbstdeklaration (§ 33 Abs. 1), fehlender Prüfbericht, fehlender Prüfplan, Behinderung von Kontrollen, Sicherheitsscans sowie Ad-hoc-Prüfungen (§ 38), Verstöße gegen die Domänennamen-Pflichten (§ 30) und die Behinderung des Überwachungsbeauftragten. Der Wortlaut: „ist mit Geldstrafe in Höhe von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR zu bestrafen.“
Für Stellen der öffentlichen Verwaltung gilt ein eigenes, ausschließliches Regime. § 46 Abs. 2 ist eine Verfassungsbestimmung und gilt „abweichend von § 45“. Eine Geldstrafe ist dort nicht vorgesehen. Stattdessen stellt die Bezirksverwaltungsbehörde die Nichteinhaltung mit Bescheid fest und ordnet eine angemessene Frist zur Herstellung des rechtmäßigen Zustandes an. Wird der rechtmäßige Zustand nicht fristgerecht hergestellt, hat sie die Nichteinhaltung nach Rechtskraft des Bescheides zu veröffentlichen. Ein Ermessen besteht nicht. Vor der Veröffentlichung ist Gelegenheit zur Stellungnahme innerhalb angemessener Frist zu geben. Veröffentlicht wird nur, soweit dies keine Gefahr für die öffentliche Ordnung, die Sicherheit oder die nationale Sicherheit einschließlich der militärischen Landesverteidigung darstellt und keine schutzwürdigen Interessen wesentlicher und wichtiger Einrichtungen beeinträchtigt. Ergänzend stellt § 39 Abs. 6 klar, dass die Durchsetzungsmaßnahmen des § 39 Abs. 4 auf Stellen der öffentlichen Verwaltung nicht anwendbar sind.
Zur Haftung: Das NISG 2026 enthält keine eigene zivilrechtliche Haftungsnorm für Geschäftsführer oder Vorstände. Im Volltext des BGBl. I Nr. 94/2025 kommen weder das GmbHG noch das AktG vor, ebenso wenig eine Beweislastregel. Die Organhaftung nach § 25 GmbHG bzw. § 84 AktG besteht unabhängig vom NISG. Sie wird durch dieses weder begründet noch verschärft. Eine Beweislastumkehr lässt sich aus dem NISG daher nicht ableiten.
Was das Gesetz selbst vorsieht, ist konkreter. § 31 Abs. 1 verpflichtet die Leitungsorgane, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen sowie zu beaufsichtigen. Gegenüber wesentlichen Einrichtungen kann die Behörde einen Überwachungsbeauftragten benennen (§ 39 Abs. 3 Z 2). Kommt eine wesentliche Einrichtung einem Bescheid nicht fristgerecht nach, kann Leitungsorganen die Wahrnehmung von Leitungsaufgaben vorübergehend untersagt werden. Dieser Bescheid geht an das Firmenbuchgericht (§ 39 Abs. 4 Z 2). Er ist aufzuheben, sobald die angeordneten Maßnahmen nachweislich ergriffen sind (§ 39 Abs. 5). Gegen Bescheide der Cybersicherheitsbehörde steht die Beschwerde an das Bundesverwaltungsgericht offen (§ 41 Abs. 1).
Was regelt Österreich anders als Deutschland?
Österreich und Deutschland setzen dieselbe Richtlinie um, unterscheiden sich aber an 5 Stellen spürbar. Stand der Gegenüberstellung: Juli 2026.
| Thema | Österreich, NISG 2026 | Deutschland, BSIG |
|---|---|---|
| Zuständige Behörde | Bundesamt für Cybersicherheit, monokratisch, dem Bundesminister für Inneres nachgeordnet (§ 3a) | Bundesamt für Sicherheit in der Informationstechnik im Geschäftsbereich des Bundesministeriums des Innern |
| Meldeweg für Vorfälle | an das zuständige sektorspezifische CSIRT, ersatzweise an das nationale CSIRT; dieses leitet an die Behörde weiter (§ 34 Abs. 1) | direkt an das BSI über dessen Meldeportal |
| Nachweis der Umsetzung | Selbstdeklaration für alle wesentlichen und wichtigen Einrichtungen (§ 33 Abs. 1), dazu Prüfung durch eine unabhängige Stelle auf Aufforderung, die sich zugelassener unabhängiger Prüfer bedienen muss (§ 33 Abs. 2 sowie § 7 Abs. 1 und 2) | keine flächendeckende Selbstdeklaration; regelmäßige Nachweise treffen im Kern die Betreiber kritischer Anlagen |
| Öffentliche Verwaltung | keine Geldstrafe, sondern Feststellung mit Bescheid und zwingende Veröffentlichung nach fruchtlosem Fristablauf (§ 46 Abs. 2, Verfassungsbestimmung) | § 46 Abs. 2 gilt als Verfassungsbestimmung für Behörden und sonstige Stellen der öffentlichen Verwaltung einschließlich der Gebietskörperschaften, also für Bund, Länder sowie Gemeinden, dazu für in Formen des Privatrechts eingerichtete Stellen. Statt einer Geldstrafe: Feststellung mit Bescheid, Frist zur Herstellung des rechtmäßigen Zustandes, danach zwingende Veröffentlichung |
| Haftung der Leitungsorgane | keine eigene Haftungsnorm im NISG, weder GmbHG noch AktG werden erwähnt; Aufsichtspflicht nach § 31 Abs. 1, vorübergehendes Tätigkeitsverbot nach § 39 Abs. 4 Z 2 | ausdrückliche Pflicht der Geschäftsleitung zur Billigung sowie Überwachung der Risikomanagementmaßnahmen |
In beiden Fällen folgt die zivilrechtliche Organhaftung dem allgemeinen Gesellschaftsrecht, nicht dem Cybersicherheitsrecht. Für Unternehmen mit Standorten in beiden Ländern heißt das in aller Regel: 2 Registrierungen, 2 Meldewege sowie 2 Nachweislogiken. Anbieter digitaler Infrastruktur nach § 28 Abs. 2 Z 2 unterliegen dagegen allein dem Recht ihrer Hauptniederlassung. Die technische Basis lässt sich gemeinsam aufbauen. Die Formalien nicht.
Österreichische Tochter im Konzern?
Ob eine Gesellschaft in Österreich unter das NISG 2026 fällt und was bis zum 1. Oktober 2026 vorliegen sollte, ordnen wir im Strategiegespräch gemeinsam ein. Konkret, ohne Verkaufsdruck.
Häufige Fragen zum NISG 2026 in Österreich
Welche Behörde ist in Österreich für das NISG 2026 zuständig?
Das Bundesamt für Cybersicherheit, im Gesetz „Cybersicherheitsbehörde“ genannt. Es ist dem Bundesminister für Inneres unmittelbar nachgeordnet, monokratisch geführt sowie bundesweit zuständig (§ 3a). Das deutsche BSI hat in Österreich keine Zuständigkeit. Registrierung und Selbstdeklaration laufen über das Bundesamt. Meldungen zu erheblichen Cybersicherheitsvorfällen gehen dagegen an das zuständige CSIRT, das sie an die Behörde weiterleitet.
An wen melde ich einen erheblichen Cybersicherheitsvorfall in Österreich?
An das für Sie zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT (§ 34 Abs. 1). Alle 4 Stufen gehen dorthin: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Zwischenbericht auf Ersuchen eines CSIRT oder der Cybersicherheitsbehörde sowie Abschlussbericht binnen eines Monats. Das CSIRT leitet die Meldung unverzüglich an die Behörde weiter.
Bis wann muss ich mich registrieren und wann ist die Selbstdeklaration fällig?
Die Registrierung hat innerhalb von 3 Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 3), also bis 31. Dezember 2026. Die Selbstdeklaration ist innerhalb von 12 Monaten nach Eintritt der Registrierungspflicht gemäß § 29 Abs. 2 zu übermitteln, damit bis 30. September 2027. Wer erst später betroffen wird, hat 3 Monate ab Erfüllung der Voraussetzungen.
Was muss die Selbstdeklaration enthalten?
§ 33 Abs. 1 verlangt Informationen zu den umgesetzten Risikomanagementmaßnahmen nach § 32, „insbesondere“ zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferketten sowie zu den Ergebnissen der durchgeführten Risikoanalyse. Durch das Wort „insbesondere“ ist diese Aufzählung nicht abschließend. Form sowie Struktur der Übermittlung gibt die Cybersicherheitsbehörde vor.
Was kostet eine verspätete Registrierung oder Selbstdeklaration?
Beides sind formelle Verstöße nach § 45 Abs. 4. Der Rahmen liegt bei bis zu 50.000 Euro, im Wiederholungsfall bei bis zu 100.000 Euro. Er gilt für alle Einrichtungen, nicht nur für die öffentliche Verwaltung. In dieselbe Kategorie fallen etwa die Behinderung von Kontrollen und Sicherheitsscans nach § 38 sowie ein fehlender Prüfbericht nach § 33 Abs. 3.
Zahlen Behörden und Gemeinden Geldstrafen nach dem NISG 2026?
Nein. § 46 Abs. 2 ist eine Verfassungsbestimmung und gilt „abweichend von § 45“. Die Bezirksverwaltungsbehörde stellt die Nichteinhaltung mit Bescheid fest und ordnet eine angemessene Frist an. Wird der rechtmäßige Zustand nicht hergestellt, hat sie die Nichteinhaltung nach Rechtskraft zu veröffentlichen. Ein Ermessen besteht nicht. Die Durchsetzungsmaßnahmen des § 39 Abs. 4 sind auf sie nicht anwendbar (§ 39 Abs. 6).
Gibt es einen Stichtag für die Schulung der Leitungsorgane?
Nein. § 31 Abs. 2 verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen zur Teilnahme an spezifisch gestalteten Cybersicherheitsschulungen. Weder § 31 noch die Übergangsbestimmungen des § 51 nennen eine Frist. Die Pflicht gilt ab 1. Oktober 2026. Wer die Schulung erst danach ansetzt, riskiert, in einer Prüfung ohne Nachweis dazustehen. Das ist ein Argument der Praxis, keine gesetzliche Frist.
Haften Geschäftsführer nach dem NISG 2026 persönlich?
Das NISG 2026 begründet keine eigene zivilrechtliche Haftung. Es verweist weder auf das GmbHG noch auf das AktG und kennt keine Beweislastumkehr. Die Organhaftung folgt unverändert dem allgemeinen Gesellschaftsrecht. Aus dem NISG selbst drohen Leitungsorganen ein Überwachungsbeauftragter (§ 39 Abs. 3 Z 2) sowie ein vorübergehendes Tätigkeitsverbot in wesentlichen Einrichtungen (§ 39 Abs. 4 Z 2).
Fakten auf einen Blick
| Aspekt | Kurzfakt |
|---|---|
| Gesetz | Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) |
| Kundmachung | 23. Dezember 2025, BGBl. I Nr. 94/2025 |
| Inkrafttreten | 1. Oktober 2026 (§ 51), zeitgleich Außerkrafttreten des NISG 2018 |
| Behörde | Bundesamt für Cybersicherheit, Ressortbereich des Bundesministers für Inneres |
| Registrierung | bis 31. Dezember 2026, 3 Monate ab Inkrafttreten (§ 29 Abs. 3) |
| Selbstdeklaration | bis 30. September 2027, 12 Monate ab Eintritt der Registrierungspflicht (§ 33 Abs. 1) |
| Meldeweg | an das zuständige CSIRT (§ 34 Abs. 1), Weiterleitung an die Behörde. 24 Stunden, 72 Stunden, 1 Monat |
| Schulung | Pflicht ab Geltungsbeginn (§ 31 Abs. 2), ohne gesetzliche Absolvierungsfrist |
| Sanktionen | wesentliche Einrichtungen bis 10 Mio. Euro oder 2 %, wichtige bis 7 Mio. Euro oder 1,4 % (§ 45 Abs. 2 und 3). Formelle Verstöße aller Einrichtungen bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro (§ 45 Abs. 4). Öffentliche Verwaltung: keine Geldstrafe, Bescheid mit Veröffentlichung (§ 46 Abs. 2) |
Quelle: Netz- und Informationssystemsicherheitsgesetz 2026, kundgemacht als BGBl. I Nr. 94/2025, abrufbar im Rechtsinformationssystem des Bundes. Alle Angaben sind am amtlichen Volltext geprüft. Stand der Auswertung: 28. Juli 2026. Dieser Beitrag informiert über ausländisches Recht und stellt keine Rechtsberatung dar.
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.