Häufige Fragen · NISG 2026
Häufige Fragen zum NISG 2026
Jede Antwort verweist auf den Paragraphen, aus dem sie stammt. Der letzte Abschnitt nennt drei Dinge, die oft behauptet werden und so nicht im Gesetz stehen.
- Seit wann gilt das NISG 2026?
- Seit 1. Oktober 2026. Kundgemacht wurde es am 23. Dezember 2025 (BGBl. I Nr. 94/2025); § 51 Abs. 2 ließ die §§ 2 bis 45 neun Monate nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft treten. Am selben Tag traten die §§ 2 bis 31 des NISG 2018, die NISV von 2019 und die QuaSteV außer Kraft, und die Cybersicherheitsbehörde machte die NISV 2026 kund (BGBl. II Nr. 290/2026).
- Welche Behörde ist zuständig?
- Das Bundesamt für Cybersicherheit, im Gesetz Cybersicherheitsbehörde genannt: eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit bundesweiter Zuständigkeit (§ 3a). Sie führt das Register, nimmt die Selbstdeklaration entgegen, beaufsichtigt und ordnet Durchsetzungsmaßnahmen an. Die Geldstrafen verhängen die Bezirksverwaltungsbehörden (§ 44 Abs. 1).
- Bin ich betroffen?
- Wenn Sie in einem der achtzehn Sektoren des § 2 tätig sind und ein mittleres oder großes Unternehmen nach § 25 betreiben: zumindest 50 Mitarbeiter, oder mehr als zehn Millionen Euro Umsatz und Bilanzsumme. Bestimmte Anbieter sind unabhängig von der Größe erfasst (§ 24 Abs. 1 Z 1 und Abs. 2 Z 3), und die Behörde kann Einrichtungen mit Bescheid einstufen (§ 26). Verbundene Unternehmen werden nicht mitgezählt, wenn Ihre IT organisatorisch, technisch und operativ unabhängig ist (§ 25 Abs. 4).
- Bis wann muss ich mich registrieren?
- Innerhalb von drei Monaten ab Inkrafttreten (§ 29 Abs. 3), mit den sieben Angaben des § 29 Abs. 2, über die Anwendung „NIS2-Services“ im Unternehmensserviceportal. Die Behörde rechnet die erste Frist grundsätzlich bis 1. Jänner 2027, auf Grund des § 33 Abs. 2 AVG bis spätestens 4. Jänner 2027. Wer erst später in den Anwendungsbereich fällt, hat drei Monate ab diesem Zeitpunkt. Änderungen sind binnen zwei Wochen oder drei Monaten zu melden (§ 29 Abs. 4).
- Was ist die Selbstdeklaration, und wann ist sie fällig?
- Eine strukturierte Übermittlung an die Behörde über die umgesetzten Maßnahmen nach § 32, die genutzten Systeme, die Sicherheit der Lieferketten und die Ergebnisse der Risikoanalyse, innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1), also im Herbst 2027. Die Prüfung durch eine unabhängige Stelle kommt erst auf Aufforderung, frühestens zwei Jahre nach Inkrafttreten (§ 33 Abs. 2).
- An wen melde ich einen Vorfall?
- An Ihr sektorspezifisches CSIRT, sonst an das nationale CSIRT; das CSIRT leitet an die Behörde weiter (§ 34 Abs. 1). Gemeldet wird über die Anwendung „NIS2-Services“ im Unternehmensserviceportal. Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden, jeweils ab Kenntnisnahme, Abschlussbericht spätestens einen Monat nach der Meldung (§ 34 Abs. 2). Die CSIRTs sind seit 1. Oktober 2026 das Austrian HealthCERT für das Gesundheitswesen (§ 8a Abs. 3 GTelG 2012), das GovCERT für die öffentliche Verwaltung und für alle anderen das nationale CSIRT, derzeit CERT.at; ein CSIRT für Energie gibt es nicht.
- Wann ist ein Vorfall erheblich?
- Wenn er schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). Seit 1. Oktober 2026 nennt § 5 Abs. 1 NISV 2026 neun Kriterien, bei denen ein Vorfall jedenfalls erheblich ist, darunter ein direkter finanzieller Verlust von mehr als 500 000 EUR oder 5 % des jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr und ein Ausfall für mehr als 100 000 Nutzer oder 10 % der Nutzer für mehr als 24 Stunden, jeweils der niedrigere Wert. Planmäßige Betriebsunterbrechungen zählen nicht (§ 6 NISV 2026).
- Muss die Geschäftsführung geschult werden?
- Ja. Die Leitungsorgane müssen an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen und die Einhaltung der Maßnahmen sicherstellen und beaufsichtigen; Mitarbeitern sind regelmäßig Schulungen anzubieten (§ 31). Ein bestimmtes Zertifikat verlangt das Gesetz nicht. Unterbleiben die Schulungen, greift der Hauptstrafrahmen des § 45.
- Wie hoch sind die Strafen?
- Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei wesentlichen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen, jeweils der höhere Betrag (§ 45 Abs. 2 und 3). Verspätete oder falsche Registrierung und versäumte Selbstdeklaration haben einen eigenen Rahmen: bis zu 50.000 Euro, im Wiederholungsfall 100.000 Euro (§ 45 Abs. 4).
- Gibt es einen österreichischen Maßnahmenkatalog?
- Keinen eigenen, aber einen verbindlichen Maßstab. § 32 Abs. 4 nennt zehn Mindestinhalte (lit. a bis j). Seit 1. Oktober 2026 erstreckt die NISV 2026 (BGBl. II Nr. 290/2026) die näheren Anforderungen von Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690 auf alle in den Anlagen 1 und 2 gelisteten Arten von Einrichtungen (§ 2) und verlangt kompensierende Maßnahmen, wo eine Anforderung vorübergehend oder aufgrund der Größe nicht erfüllt werden kann (§ 4). Reglyze bewertet auf dem NIS2-Substrat und führt den Anhang der Durchführungsverordnung noch nicht als eigene Prüfliste.
Was nicht im Gesetz steht
- „Das NISG 2026 schreibt das Unternehmensserviceportal vor.“
- Nicht das Gesetz, sondern die Behörde. § 29 Abs. 2 verlangt nur die elektronische Übermittlung über einen sicheren Kommunikationskanal in strukturierter Form. Den Kanal hat die Cybersicherheitsbehörde festgelegt: Registrierung und Meldungen laufen über die Anwendung „NIS2-Services“ im Unternehmensserviceportal; für die öffentliche Verwaltung soll laut Behörde zeitnah nach dem 1. Oktober 2026 eine Anbindung über den Portalverbund zur Verfügung gestellt werden.
- „Ab 1. Oktober 2026 muss die Umsetzung fertig sein.“
- Seit diesem Tag gelten die Pflichten, aber der erste Nachweis ist die Selbstdeklaration zwölf Monate nach Eintritt der Registrierungspflicht (§ 33 Abs. 1), und eine Prüfung durch eine unabhängige Stelle kann die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen (§ 33 Abs. 2). Wer im Oktober 2026 noch Lücken hat, sollte sie kennen und schließen, nicht verschweigen.
- „Rund 4.000 Unternehmen sind betroffen.“
- Das ist eine Schätzung der Wirtschaftskammer, keine amtliche Zahl. Das Register der Einrichtungen entsteht erst mit den Registrierungen seit Oktober 2026 (§ 29 Abs. 1).