Häufige Fragen · NISG 2026
Häufige Fragen zum NISG 2026
Jede Antwort verweist auf den Paragraphen, aus dem sie stammt. Der letzte Abschnitt nennt drei Dinge, die oft behauptet werden und so nicht im Gesetz stehen.
- Ab wann gilt das NISG 2026?
- Ab 1. Oktober 2026. Kundgemacht wurde es am 23. Dezember 2025 (BGBl. I Nr. 94/2025); § 51 Abs. 2 lässt die §§ 2 bis 45 neun Monate nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft treten. Bis dahin gilt das NISG 2018 weiter, das an diesem Tag mit der NISV und der QuaSteV außer Kraft tritt.
- Welche Behörde ist zuständig?
- Das Bundesamt für Cybersicherheit, im Gesetz Cybersicherheitsbehörde genannt: eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit bundesweiter Zuständigkeit (§ 3a). Sie führt das Register, nimmt die Selbstdeklaration entgegen, beaufsichtigt und ordnet Durchsetzungsmaßnahmen an. Die Geldstrafen verhängen die Bezirksverwaltungsbehörden (§ 44 Abs. 1).
- Bin ich betroffen?
- Wenn Sie in einem der achtzehn Sektoren des § 2 tätig sind und ein mittleres oder großes Unternehmen nach § 25 betreiben: zumindest 50 Mitarbeiter, oder mehr als zehn Millionen Euro Umsatz und Bilanzsumme. Bestimmte Anbieter sind unabhängig von der Größe erfasst (§ 24 Abs. 1 Z 1 und Abs. 2 Z 3), und die Behörde kann Einrichtungen mit Bescheid einstufen (§ 26). Verbundene Unternehmen werden nicht mitgezählt, wenn Ihre IT organisatorisch, technisch und operativ unabhängig ist (§ 25 Abs. 4).
- Bis wann muss ich mich registrieren?
- Innerhalb von drei Monaten ab Inkrafttreten, also bis 31. Dezember 2026 (§ 29 Abs. 3), mit den sieben Angaben des § 29 Abs. 2. Wer erst später in den Anwendungsbereich fällt, hat drei Monate ab diesem Zeitpunkt. Änderungen sind binnen zwei Wochen oder drei Monaten zu melden (§ 29 Abs. 4).
- Was ist die Selbstdeklaration, und wann ist sie fällig?
- Eine strukturierte Übermittlung an die Behörde über die umgesetzten Maßnahmen nach § 32, die genutzten Systeme, die Sicherheit der Lieferketten und die Ergebnisse der Risikoanalyse, innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1), also im Herbst 2027. Die Prüfung durch eine unabhängige Stelle kommt erst auf Aufforderung, frühestens zwei Jahre nach Inkrafttreten (§ 33 Abs. 2).
- An wen melde ich einen Vorfall?
- An Ihr sektorspezifisches CSIRT, sonst an das nationale CSIRT; das CSIRT leitet an die Behörde weiter (§ 34 Abs. 1). Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung, jeweils ab Kenntnisnahme (§ 34 Abs. 2). Derzeit ist das CERT.at, für Energie das Austrian Energy CERT, für die öffentliche Verwaltung das GovCERT.
- Muss die Geschäftsführung geschult werden?
- Ja. Die Leitungsorgane müssen an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen und die Einhaltung der Maßnahmen sicherstellen und beaufsichtigen; Mitarbeitern sind regelmäßig Schulungen anzubieten (§ 31). Ein bestimmtes Zertifikat verlangt das Gesetz nicht. Unterbleiben die Schulungen, greift der Hauptstrafrahmen des § 45.
- Wie hoch sind die Strafen?
- Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei wesentlichen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen, jeweils der höhere Betrag (§ 45 Abs. 2 und 3). Verspätete oder falsche Registrierung und versäumte Selbstdeklaration haben einen eigenen Rahmen: bis zu 50.000 Euro, im Wiederholungsfall 100.000 Euro (§ 45 Abs. 4).
- Gibt es einen österreichischen Maßnahmenkatalog?
- Nein. § 32 Abs. 4 nennt zehn Mindestinhalte (lit. a bis j); § 32 Abs. 5 erlaubt der Behörde, nähere Anforderungen durch Verordnung festzulegen. Am 18. September 2026 war keine solche Verordnung kundgemacht. Bis dahin gelten die zehn Inhalte, gemessen am Stand der Technik und an der Verhältnismäßigkeit nach § 32 Abs. 2 und 3.
Was nicht im Gesetz steht
- „Die Registrierung läuft über das Unternehmensserviceportal.“
- Das steht nicht im Gesetz. § 29 Abs. 2 verlangt nur die elektronische Übermittlung über einen sicheren Kommunikationskanal in strukturierter Form; Portal und Formular legt die Behörde fest. Am 18. September 2026 hatte sie auf nis.gv.at noch keines für das NISG 2026 veröffentlicht.
- „Ab 1. Oktober 2026 muss die Umsetzung fertig sein.“
- Ab diesem Tag gelten die Pflichten, aber der erste Nachweis ist die Selbstdeklaration zwölf Monate nach Eintritt der Registrierungspflicht (§ 33 Abs. 1), und eine Prüfung durch eine unabhängige Stelle kann die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen (§ 33 Abs. 2). Wer im Oktober 2026 noch Lücken hat, sollte sie kennen und schließen, nicht verschweigen.
- „Rund 4.000 Unternehmen sind betroffen.“
- Das ist eine Schätzung der Wirtschaftskammer, keine amtliche Zahl. Das Register der Einrichtungen entsteht erst mit den Registrierungen ab Oktober 2026 (§ 29 Abs. 1).