NISG 2026 · in Kraft ab 1. Oktober 2026
Das NISG 2026, umgesetzt statt nur erklärt
Reglyze setzt die zehn Risikomanagementmaßnahmen des § 32 um, Punkt für Punkt, bereitet Ihre Registrierung bei der Cybersicherheitsbehörde und Ihre Selbstdeklaration vor und liefert die Dokumentation auf Deutsch. Kein übersetztes deutsches Material: das Gesetz ist ein anderes, die Behörde auch.
Grundlage: Netz- und Informationssystemsicherheitsgesetz 2026, BGBl. I Nr. 94/2025, kundgemacht am 23. Dezember 2025. Das Inkrafttreten regelt § 51 Abs. 2: neun Monate nach der Kundmachung, mit dem nächstfolgenden Monatsersten.
Vier Termine, nicht einer
Sie werden gern zu einer einzigen Frist zusammengezogen. Das Gesetz staffelt sie.
1. Oktober 2026
Die Pflichten beginnen
Risikomanagement (§ 32), Meldepflicht (§ 34) und Registrierungspflicht (§ 29) gelten ab diesem Tag (§ 51 Abs. 2).
31. Dezember 2026
Registrierung abgeschlossen
Drei Monate ab Inkrafttreten (§ 29 Abs. 3), sieben Angaben, elektronisch und strukturiert. Verspätung ist ein eigener Tatbestand (§ 45 Abs. 4 Z 1).
Zwölf Monate danach
Selbstdeklaration
Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1): Maßnahmen, Systeme, Lieferkette und Ergebnisse der Risikoanalyse, in der von der Behörde vorgegebenen Struktur.
Frühestens Oktober 2028
Nachweis durch eine unabhängige Stelle
Die erste Aufforderung kann frühestens zwei Jahre nach Inkrafttreten ergehen (§ 33 Abs. 2). Gültige Zertifikate können den operativen und organisatorischen Teil belegen.
Was § 32 konkret verlangt
Österreich kennt keinen Maßnahmenkatalog wie den deutschen IT-Grundschutz. Das Gesetz schreibt die zehn Mindestinhalte des Art. 21 Abs. 2 der Richtlinie selbst fest (§ 32 Abs. 4 lit. a bis j) und misst sie an Stand der Technik, einschlägigen Normen und den Kosten der Umsetzung (§ 32 Abs. 2). Die Verhältnismäßigkeit richtet sich nach Risikoexposition, Größe und wahrscheinlicher Schwere (§ 32 Abs. 3).
Risikoanalyse und Sicherheitskonzepte
Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme (lit. a) sowie Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen (lit. f). Das Gesetz verlangt nicht die Absicht, sondern das Konzept, und es verlangt, dass Sie dessen Wirkung selbst messen.
Sicherheit der Lieferkette
Lit. d verlangt die Sicherheit der Lieferkette einschließlich der Beziehungen zu den unmittelbaren Anbietern und Diensteanbietern, unter Berücksichtigung ihrer spezifischen Schwachstellen und ihrer Cybersicherheitspraxis. Ihre IT-Dienstleister werden damit Teil Ihrer Selbstdeklaration.
Bewältigung von Vorfällen und Betriebskontinuität
Bewältigung von Cybersicherheitsvorfällen (lit. b) und Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement (lit. c). Die Meldefristen selbst stehen in § 34: 24 und 72 Stunden ab Kenntnisnahme, an Ihr CSIRT.
Cyberhygiene, Zugriff, Kryptografie, MFA
Lit. e und g bis j: sichere Beschaffung, Entwicklung und Wartung, grundlegende Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit, Zugriffskontrolle und Anlagenmanagement sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Die Leitungsorgane in der Pflicht
§ 31 Abs. 1 legt die Verantwortung dorthin, wo sie in vielen Unternehmen nicht vermutet wird: Die Leitungsorgane haben die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. Sie müssen an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen, und die Einrichtung hat den Mitarbeitern regelmäßig Schulungen anzubieten (§ 31 Abs. 2).
Beide Schulungspflichten stehen an erster Stelle der Verwaltungsübertretungen des § 45 Abs. 1 und fallen damit in dieselben Strafrahmen wie versäumte Maßnahmen und unterlassene Meldungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes bei wesentlichen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen (§ 45 Abs. 2 und 3). Ein Zertifikat schreibt das Gesetz nicht vor.
Was noch nicht feststeht, und warum Sie das betrifft
Drei Dinge, die auf Anbieterseiten gern als sicher dargestellt werden, stehen so nicht im Gesetz. Erstens das Registrierungsformular: § 29 Abs. 2 verlangt nur die elektronische Übermittlung über einen sicheren Kommunikationskanal; am 18. September 2026 hatte die Behörde auf nis.gv.at noch kein Formular für das NISG 2026 veröffentlicht. Zweitens die Verordnung zu den Maßnahmen: § 32 Abs. 5 erlaubt sie, es gibt sie noch nicht. Drittens das nationale CSIRT: die Cybersicherheitsbehörde muss eines ermächtigen (§ 8 Abs. 2); bis dahin nimmt das bisherige, CERT.at, die Aufgaben wahr, längstens zwei Jahre (§ 51 Abs. 6).
Was dagegen feststeht: die Behörde ist das Bundesamt für Cybersicherheit (§ 3a), Vorfälle melden Sie an Ihr CSIRT, das an die Behörde weiterleitet (§ 34 Abs. 1), und die Strafen verhängt die Bezirksverwaltungsbehörde (§ 44 Abs. 1). Reglyze baut auf dem, was im Gesetz steht, und markiert den Rest als offen, statt eine Zahl zu erfinden.