NIS2 in Österreich: Was Unternehmen 2026 jetzt umsetzen müssen

Lange war unklar, wann und wie NIS2 in Österreich tatsächlich Realität wird. Nach einem gescheiterten ersten Anlauf im Nationalrat ist die Rechtslage inzwischen geklärt. Mit dem Netz- und Informationssystemsicherheitsgesetz (NISG 2026) gilt für deutlich mehr österreichische Unternehmen als bisher eine gesetzliche Pflicht zu Risikomanagement, Meldewesen und Nachweisführung in der IT-Sicherheit. Wer glaubt, das betreffe nur große Konzerne aus der Energie- oder Finanzbranche, irrt sich. Auch viele mittelständische Betriebe fallen künftig direkt oder indirekt darunter. Dieser Beitrag fasst zusammen, was jetzt feststeht, wen es betrifft und welche Schritte sinnvoll sind.

Was NIS2 ist und warum sie jetzt auch für Österreich relevant wird

NIS2 ist eine EU-Richtlinie zur Netz- und Informationssicherheit, die bereits Anfang 2023 in Kraft trat und von den Mitgliedstaaten eigentlich bis Oktober 2024 in nationales Recht umgesetzt werden sollte. Österreich hat diese Frist verpasst: Ein erster Gesetzesentwurf scheiterte 2024 an der notwendigen Zweidrittelmehrheit im Parlament. Erst im Dezember 2025 wurde das NISG 2026 mit ausreichender Mehrheit beschlossen und im Bundesgesetzblatt veröffentlicht. Es tritt mit 1. Oktober 2026 in Kraft.

Ziel der Richtlinie ist es, das Sicherheitsniveau kritischer und wichtiger Infrastruktur EU-weit anzuheben. Das ist die Reaktion auf eine Bedrohungslage, die laut europäischen und nationalen Sicherheitsbehörden seit Jahren spürbar zunimmt.

Wer ist betroffen? Schwellenwerte und Sektoren

Anders als die Vorgängerregelung erfasst NIS2 einen deutlich größeren Kreis an Unternehmen. Nach aktuellem Stand sind grundsätzlich betroffen:

• Große Unternehmen mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz beziehungsweise mehr als 43 Millionen Euro Bilanzsumme,
• Mittlere Unternehmen mit 50 bis 249 Beschäftigten oder 10 bis 50 Millionen Euro Jahresumsatz,

sofern sie einem der 18 im Gesetz definierten Sektoren zuzuordnen sind, etwa Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, Abfallwirtschaft, verarbeitendes Gewerbe, Lebensmittelproduktion oder digitale Dienste. Kleinstunternehmen und kleine Unternehmen unter diesen Schwellenwerten fallen in der Regel nicht direkt unter das Gesetz, es gibt jedoch sektorspezifische Ausnahmen. Insgesamt wird von mehreren tausend direkt betroffenen Organisationen in Österreich ausgegangen, ein Vielfaches der bisherigen NIS-Regelung.

Das Gesetz unterscheidet außerdem zwischen wesentlichen Einrichtungen (strengere, proaktive Aufsicht) und wichtigen Einrichtungen (Aufsicht primär im Anlassfall).

Welche Pflichten kommen auf betroffene Unternehmen zu?

Wer unter das NISG 2026 fällt, muss unter anderem:

• sich bei der zuständigen Behörde registrieren,
• angemessene technische und organisatorische Risikomanagementmaßnahmen umsetzen (u. a. Risikoanalyse, Vorfallsbehandlung, Backup- und Krisenmanagement, Lieferkettensicherheit, Verschlüsselung, Zugriffskontrolle),
• Sicherheitsvorfälle innerhalb gesetzlich vorgegebener, sehr kurzer Fristen an die zuständige Stelle melden,
• und die Umsetzung dieser Maßnahmen auf Ebene der Geschäftsführung verantworten. Die Richtlinie sieht eine persönliche Haftungskomponente für das Management vor, nicht nur für die IT-Abteilung.

Registrierungspflichtige Einrichtungen haben laut aktuellem Umsetzungsstand bis Ende 2026 Zeit, sich anzumelden. Da sich Detailfristen und Durchführungsbestimmungen in der Praxis noch konkretisieren können, lohnt sich vor größeren Investitionsentscheidungen ein Blick auf die jeweils aktuellen Informationen der zuständigen Anlaufstelle.

Wie schnell Vorfälle gemeldet werden müssen

Ein zentraler und für viele Unternehmen neuer Punkt ist das straffe Meldewesen. NIS2 sieht ein mehrstufiges Meldeverfahren für erhebliche Sicherheitsvorfälle vor: eine erste Frühwarnung binnen sehr kurzer Zeit nach Bekanntwerden eines Vorfalls, gefolgt von einer detaillierteren Meldung innerhalb weniger Tage und einem Abschlussbericht nach Abschluss der Bearbeitung. Diese Fristen sind deutlich kürzer, als es viele Unternehmen bisher aus internen Prozessen gewohnt sind, und lassen sich ohne vorbereitete Meldewege und klar zugewiesene Verantwortlichkeiten kaum realistisch einhalten. Wer diese Prozesse nicht schon vor einem tatsächlichen Vorfall einmal durchgespielt hat, verliert im Ernstfall wertvolle Zeit.

Bußgelder bei Nichteinhaltung

Das Gesetz sieht spürbare Sanktionen vor: Verspätete oder unterlassene Registrierung kann mit Geldstrafen bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro geahndet werden. Bei schwerwiegenderen Verstößen, etwa der Nichtumsetzung der geforderten Risikomanagementmaßnahmen, drohen wesentlichen Einrichtungen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Was sich gegenüber der alten NIS-Regelung ändert

Die ursprüngliche NIS-Richtlinie aus dem Jahr 2016 betraf in Österreich nur eine überschaubare Anzahl an Betreibern kritischer Infrastruktur, etwa in den Bereichen Energie oder Trinkwasserversorgung. NIS2 weitet den Anwendungsbereich deutlich aus, sowohl auf zusätzliche Sektoren als auch auf kleinere Unternehmensgrößen innerhalb dieser Sektoren. Für viele mittelständische Betriebe, die sich bislang gar nicht als Teil "kritischer Infrastruktur" verstanden haben, ist NIS2 daher die erste verpflichtende Auseinandersetzung mit strukturierten Sicherheitsanforderungen überhaupt. Das erklärt auch, warum die Umsetzung für einen relevanten Teil der betroffenen Unternehmen faktisch bei null beginnt.

Auch nicht direkt betroffene KMU sollten aufmerksam bleiben

Ein Punkt wird in der Diskussion oft übersehen: NIS2 wirkt über Lieferketten auch auf Unternehmen, die selbst gar nicht unter die Schwellenwerte fallen. Wer als Zulieferer, IT-Dienstleister oder Software-Anbieter für eine wesentliche oder wichtige Einrichtung tätig ist, wird in der Praxis zunehmend vertraglich zu Sicherheitsnachweisen verpflichtet, etwa durch Fragebögen, Audits oder die Vorlage von Pentest-Berichten. Wer hier schon jetzt seine Hausaufgaben macht, verschafft sich einen Vorteil im Wettbewerb um größere Aufträge.

Wie du jetzt konkret vorgehen solltest

Unabhängig davon, ob du direkt betroffen bist, hat sich folgender Fahrplan in der Praxis bewährt:

1. Betroffenheit klären: Größe, Sektor und Rolle in der Lieferkette prüfen.
2. Ist-Stand erheben: Eine Schwachstellenanalyse oder ein IT-Sicherheitsaudit zeigt, wo du heute stehst.
3. Risiken priorisieren: Nicht alles gleichzeitig angehen, sondern nach tatsächlichem Risiko und regulatorischer Relevanz staffeln.
4. Technische und organisatorische Maßnahmen umsetzen: Von Multi-Faktor-Authentifizierung über Backup-Konzepte bis zu dokumentierten Meldewegen.
5. Wirksamkeit überprüfen: Ein Penetrationstest zeigt, ob die umgesetzten Maßnahmen im Ernstfall tatsächlich standhalten.
6. Mitarbeitende einbeziehen: Awareness-Training reduziert das Risiko, dass technische Maßnahmen durch menschliches Fehlverhalten ausgehebelt werden.

NIS2 ist kein Bürokratieprojekt, das sich mit einem einmaligen Dokument erledigen lässt, sondern ein fortlaufender Prozess. Wenn du einschätzen möchtest, wo dein Unternehmen in Bezug auf NIS2-relevante Sicherheitsmaßnahmen aktuell steht, hilft ein unverbindliches Gespräch mit Lindorfer Technologies, um Prioritäten realistisch statt alarmistisch zu setzen.