NISG 2026 · in Kraft seit 1. Oktober 2026
Das NISG 2026, umgesetzt statt nur erklärt
Reglyze setzt die zehn Risikomanagementmaßnahmen des § 32 um, Punkt für Punkt, bereitet Ihre Registrierung bei der Cybersicherheitsbehörde und Ihre Selbstdeklaration vor und liefert die Dokumentation auf Deutsch. Kein übersetztes deutsches Material: das Gesetz ist ein anderes, die Behörde auch.
Grundlage: Netz- und Informationssystemsicherheitsgesetz 2026, BGBl. I Nr. 94/2025, kundgemacht am 23. Dezember 2025. Das Inkrafttreten regelt § 51 Abs. 2: neun Monate nach der Kundmachung, mit dem nächstfolgenden Monatsersten. Dazu kommt seit 1. Oktober 2026 die NISV 2026 der Cybersicherheitsbehörde (BGBl. II Nr. 290/2026).
Vier Termine, nicht einer
Sie werden gern zu einer einzigen Frist zusammengezogen. Das Gesetz staffelt sie.
1. Oktober 2026
Die Pflichten gelten
Risikomanagement (§ 32), Meldepflicht (§ 34) und Registrierungspflicht (§ 29) gelten seit diesem Tag (§ 51 Abs. 2), ebenso die NISV 2026.
4. Jänner 2027
Registrierung abgeschlossen
Drei Monate ab Inkrafttreten (§ 29 Abs. 3), wie die Behörde sie rechnet: grundsätzlich bis 1. Jänner 2027, auf Grund des § 33 Abs. 2 AVG bis spätestens 4. Jänner 2027. Sieben Angaben, über NIS2-Services im Unternehmensserviceportal. Verspätung ist ein eigener Tatbestand (§ 45 Abs. 4 Z 1).
Zwölf Monate danach
Selbstdeklaration
Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1): Maßnahmen, Systeme, Lieferkette und Ergebnisse der Risikoanalyse, in der von der Behörde vorgegebenen Struktur.
Frühestens Oktober 2028
Nachweis durch eine unabhängige Stelle
Die erste Aufforderung kann frühestens zwei Jahre nach Inkrafttreten ergehen (§ 33 Abs. 2). Gültige Zertifikate können den operativen und organisatorischen Teil belegen.
Was § 32 konkret verlangt
Österreich kennt keinen eigenen Maßnahmenkatalog wie den deutschen IT-Grundschutz. Das Gesetz schreibt die zehn Mindestinhalte des Art. 21 Abs. 2 der Richtlinie selbst fest (§ 32 Abs. 4 lit. a bis j) und misst sie an Stand der Technik, einschlägigen Normen und den Kosten der Umsetzung (§ 32 Abs. 2). Die Verhältnismäßigkeit richtet sich nach Risikoexposition, Größe und wahrscheinlicher Schwere (§ 32 Abs. 3). Die näheren Anforderungen stehen in Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690; die NISV 2026 erstreckt sie seit 1. Oktober 2026 auf alle in den Anlagen 1 und 2 gelisteten Arten von Einrichtungen.
Risikoanalyse und Sicherheitskonzepte
Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme (lit. a) sowie Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen (lit. f). Das Gesetz verlangt nicht die Absicht, sondern das Konzept, und es verlangt, dass Sie dessen Wirkung selbst messen.
Sicherheit der Lieferkette
Lit. d verlangt die Sicherheit der Lieferkette einschließlich der Beziehungen zu den unmittelbaren Anbietern und Diensteanbietern, unter Berücksichtigung ihrer spezifischen Schwachstellen und ihrer Cybersicherheitspraxis. Ihre IT-Dienstleister werden damit Teil Ihrer Selbstdeklaration.
Bewältigung von Vorfällen und Betriebskontinuität
Bewältigung von Cybersicherheitsvorfällen (lit. b) und Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement (lit. c). Die Meldefristen selbst stehen in § 34: 24 und 72 Stunden ab Kenntnisnahme, an Ihr CSIRT.
Cyberhygiene, Zugriff, Kryptografie, MFA
Lit. e und g bis j: sichere Beschaffung, Entwicklung und Wartung, grundlegende Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit, Zugriffskontrolle und Anlagenmanagement sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Die Leitungsorgane in der Pflicht
§ 31 Abs. 1 legt die Verantwortung dorthin, wo sie in vielen Unternehmen nicht vermutet wird: Die Leitungsorgane haben die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. Sie müssen an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen, und die Einrichtung hat den Mitarbeitern regelmäßig Schulungen anzubieten (§ 31 Abs. 2).
Beide Schulungspflichten stehen an erster Stelle der Verwaltungsübertretungen des § 45 Abs. 1 und fallen damit in dieselben Strafrahmen wie versäumte Maßnahmen und unterlassene Meldungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes bei wesentlichen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen (§ 45 Abs. 2 und 3). Ein Zertifikat schreibt das Gesetz nicht vor.
Was seit Oktober 2026 feststeht, und was offen bleibt
Drei Dinge waren im September 2026 offen und sind es nicht mehr. Der Kanal: Registrierung und alle Meldungen laufen über die Anwendung „NIS2-Services“ der Behörde im Unternehmensserviceportal; das Gesetz selbst verlangt nur die elektronische Übermittlung über einen sicheren Kommunikationskanal (§ 29 Abs. 2). Die Verordnung zu den Maßnahmen: die NISV 2026 (BGBl. II Nr. 290/2026) erstreckt den Anhang der Durchführungsverordnung (EU) 2024/2690 auf alle in den Anlagen 1 und 2 gelisteten Arten von Einrichtungen und nennt in § 5 Kriterien, bei denen ein Vorfall jedenfalls erheblich ist. Die CSIRTs: die Behörde nennt das GovCERT, das Austrian HealthCERT für das Gesundheitswesen und das nationale CSIRT; eines für Energie gibt es nicht.
Offen bleibt zweierlei. Die Anbindung der öffentlichen Verwaltung über den Portalverbund soll laut Behörde zeitnah nach dem 1. Oktober 2026 zur Verfügung gestellt werden. Und die Aufgaben des nationalen CSIRTs nimmt CERT.at als das nach dem NISG 2018 ermächtigte CSIRT wahr, bis die Cybersicherheitsbehörde nach § 8 Abs. 2 eines ermächtigt, längstens zwei Jahre (§ 51 Abs. 6).
Was ebenfalls feststeht: die Behörde ist das Bundesamt für Cybersicherheit (§ 3a), Vorfälle melden Sie an Ihr CSIRT, das an die Behörde weiterleitet (§ 34 Abs. 1), und die Strafen verhängt die Bezirksverwaltungsbehörde (§ 44 Abs. 1). Reglyze baut auf dem, was in Gesetz, Verordnung und den Angaben der Behörde steht, und markiert den Rest als offen, statt eine Zahl zu erfinden.
Registriert bis 4. Jänner 2027, selbstdeklariert bis Herbst 2027
Der 4. Jänner 2027 ist der letzte Tag der ersten Registrierungsfrist, wie die Behörde sie rechnet (§ 29 Abs. 3, § 33 Abs. 2 AVG). Starten Sie mit der Einstufung nach § 24, arbeiten Sie die zehn Maßnahmen ab und exportieren Sie die Selbstdeklaration in der Struktur, die die Behörde vorgibt, sobald sie veröffentlicht ist.