Reglyze
← Zurück zu Reglyze
Umgesetzt und anwendbar

NIS 2 in Österreich: § 32 NISG 2026 und NISV 2026

Risikomanagementmaßnahmen in Österreich: § 32 NISG 2026 und NISV 2026. Die NISV 2026 (BGBl. II Nr. 290/2026) erstreckt Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690 auf alle in den Anlagen 1 und 2 des NISG 2026 gelisteten Arten wesentlicher und wichtiger Einrichtungen, die diese Durchführungsverordnung nicht ohnehin erfasst (§ 2 NISV 2026). Das ist der Maßstab für die Maßnahmen, neben den zehn Themen des § 32 Abs. 4 lit. a bis j. Einen eigenen österreichischen Kontrollkatalog gibt es nicht. Reglyze bewertet auf dem NIS2-Substrat und führt den Anhang der Durchführungsverordnung noch nicht als eigene Prüfliste.

Status: in Kraft: das NISG seit 1.10.2026, die NISV 2026 seit Ablauf des 1.10.2026

Das Wichtigste auf einen Blick

Umsetzungsgesetz

Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026, NISG 2026)

In Kraft seit: 2026-10-01

Zuständige Behörde

Bundesamt für Cybersicherheit (Cybersicherheitsbehörde) (Cybersicherheitsbehörde)

https://www.bundesamt-cybersicherheit.gv.at/
Risikomanagementmaßnahmen

§ 32 NISG 2026 und NISV 2026

Zehn Mindestinhalte nach § 32 Abs. 4 lit. a bis j; Verhältnismäßigkeit nach Risikoexposition, Größe und wahrscheinlicher Schwere (§ 32 Abs. 3); vier Risikokategorien (§ 3 NISV 2026); kompensierende Maßnahmen, wenn eine Anforderung vorübergehend oder aufgrund der Größe nicht erfüllt werden kann, dokumentiert und zumindest jährlich auf ihre Wirksamkeit überprüft (§ 4 NISV 2026).

Bußgelder
  • wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
  • wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes

Wer ist betroffen?

wesentliche Einrichtungen

Große Unternehmen der Anlage 1 (§ 24 Abs. 1 Z 3); unabhängig von der Größe qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Bundesverwaltung, von der Behörde eingestufte und kritische Einrichtungen nach der Richtlinie (EU) 2022/2557 (§ 24 Abs. 1 Z 1).

wichtige Einrichtungen

Mittlere und große Unternehmen der Anlagen 1 und 2, soweit nicht wesentlich (§ 24 Abs. 2 Z 1), Landesverwaltung (§ 24 Abs. 2 Z 2) sowie bestimmte Anbieter unabhängig von der Größe (§ 24 Abs. 2 Z 3).

Früheres Regime: NISG 2018 (BGBl. I Nr. 111/2018), NISV (BGBl. II Nr. 215/2019), QuaSteV. Die Zahl von rund 4.000 Einrichtungen ist eine Schätzung der Wirtschaftskammer (Tier 2), keine amtliche Zahl. Die Sektorenliste ist Gesetzestext (§ 2).

Wichtige Fristen

2024-10-17

EU-Umsetzungsfrist der Richtlinie, von Österreich verfehlt; begründete Stellungnahme der Kommission am 7.5.2025.

2025-12-23

Kundmachung des NISG 2026 im Bundesgesetzblatt (BGBl. I Nr. 94/2025).

2026-10-01

Inkrafttreten der §§ 2 bis 45 (§ 51 Abs. 2). Seit diesem Tag gelten Risikomanagement-, Melde- und Registrierungspflicht. Am selben Tag wurde die NISV 2026 kundgemacht (BGBl. II Nr. 290/2026); sie gilt seit Ablauf dieses Tages (§ 9 NISV 2026).

2027-01-04

Ende der ersten Registrierungsfrist, wie die Behörde sie rechnet: drei Monate ab Inkrafttreten (§ 29 Abs. 3), grundsätzlich bis 1. Jänner 2027, auf Grund des § 33 Abs. 2 AVG bis spätestens 4. Jänner 2027. Später erfasste Einrichtungen: drei Monate ab Erfüllung der Voraussetzungen.

2027-10-01

Selbstdeklaration: zwölf Monate nach Eintritt der Registrierungspflicht (§ 33 Abs. 1), strukturiert nach den Vorgaben der Behörde.

2028-10-01

Frühester Zeitpunkt, ab dem die Behörde einen Nachweis durch eine unabhängige Stelle verlangen kann (§ 33 Abs. 2, zwei Jahre ab Inkrafttreten).

Meldung von Vorfällen: 24 h (Frühwarnung) / 72 h (Meldung) / 1 Monat nach der Meldung (Abschlussbericht), an das zuständige CSIRT über die Anwendung NIS2-Services im Unternehmensserviceportal: das Austrian HealthCERT für das Gesundheitswesen, das GovCERT für die öffentliche Verwaltung, sonst das nationale CSIRT (CERT.at); Weiterleitung an die Cybersicherheitsbehörde (§ 34 Abs. 1).

Prioritäre Sektoren

Energie, Wasser und Verkehr

Die Betreiber wesentlicher Dienste des NISG 2018 werden zu wesentlichen Einrichtungen. Ein eigenes CSIRT für den Sektor Energie gibt es nicht: Energie, Wasser und Verkehr melden über NIS2-Services an das nationale CSIRT, das an die Cybersicherheitsbehörde weiterleitet (§ 34 Abs. 1).

Industrie und Mittelstand

Der Großteil der neu erfassten Einrichtungen sind mittlere Unternehmen der Anlage 2: verarbeitendes Gewerbe, Chemie, Lebensmittel, Post und Kurier. Sie sind wichtige Einrichtungen (§ 24 Abs. 2 Z 1) mit Registrierung in der ersten Frist, laut Behörde bis spätestens 4. Jänner 2027, und Selbstdeklaration binnen zwölf Monaten.

IKT-Dienstleister und MSP

Die Verwaltung von IKT-Diensten (Business-to-Business) ist ein eigener Sektor (§ 2 Z 9). Ein mittelgroßer Managed-Service-Provider ist selbst wichtige Einrichtung und wird zugleich von seinen Kunden im Rahmen der Lieferkettensicherheit geprüft (§ 32 Abs. 4 lit. d).

Häufige Fragen

Seit wann gilt das NISG 2026?
Seit 1. Oktober 2026. Das Gesetz wurde am 23. Dezember 2025 kundgemacht, seine §§ 2 bis 45 traten neun Monate später mit dem nächstfolgenden Monatsersten in Kraft (§ 51 Abs. 2). Am selben Tag traten die §§ 2 bis 31 des NISG 2018 außer Kraft, und die Cybersicherheitsbehörde machte die NISV 2026 kund (BGBl. II Nr. 290/2026).
Bis wann muss ich mich registrieren, und wo?
Innerhalb von drei Monaten ab Inkrafttreten (§ 29 Abs. 3), über die Anwendung „NIS2-Services“ der Cybersicherheitsbehörde im Unternehmensserviceportal. Die Behörde rechnet die erste Frist grundsätzlich bis 1. Jänner 2027, auf Grund des § 33 Abs. 2 AVG bis spätestens 4. Jänner 2027. Zu übermitteln sind sieben Angaben, darunter Sektor, IP-Adressbereiche und die Einstufung als wesentliche oder wichtige Einrichtung (§ 29 Abs. 2).
Was ist die Selbstdeklaration?
Eine strukturierte Meldung an die Cybersicherheitsbehörde über die umgesetzten Maßnahmen nach § 32, die genutzten Systeme, die Sicherheit der Lieferkette und die Ergebnisse der Risikoanalyse, fällig zwölf Monate nach Eintritt der Registrierungspflicht (§ 33 Abs. 1). Eine Prüfung durch eine unabhängige Stelle kann die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen (§ 33 Abs. 2).
An wen melde ich einen erheblichen Cybersicherheitsvorfall?
An das für Sie zuständige CSIRT, über die Anwendung „NIS2-Services“ im Unternehmensserviceportal; das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Für das Gesundheitswesen ist das das Austrian HealthCERT (§ 8a Abs. 3 GTelG 2012), für die öffentliche Verwaltung das GovCERT (§ 8 Abs. 4), sonst das nationale CSIRT, derzeit CERT.at (§ 51 Abs. 6); ein CSIRT für Energie gibt es nicht. Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden, jeweils ab Kenntnisnahme, Abschlussbericht spätestens einen Monat nach der Meldung (§ 34 Abs. 2).
Wann ist ein Vorfall erheblich?
Wenn er schwerwiegende Betriebsstörungen oder schwerwiegende finanzielle Verluste verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 35 Abs. 1). Seit 1. Oktober 2026 nennt § 5 Abs. 1 NISV 2026 neun Kriterien, bei denen ein Vorfall jedenfalls erheblich ist, darunter ein direkter finanzieller Verlust von mehr als 500 000 EUR oder 5 % des jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr und ein Ausfall für mehr als 100 000 Nutzer oder 10 % der Nutzer für mehr als 24 Stunden, jeweils der niedrigere Wert.
Wie hoch sind die Strafen?
Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei wesentlichen, bis zu 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen (§ 45 Abs. 2 und 3). Verspätete oder falsche Registrierung kostet bis zu 50.000 EUR, im Wiederholungsfall 100.000 EUR (§ 45 Abs. 4 Z 1). Zuständig ist die Bezirksverwaltungsbehörde (§ 44 Abs. 1).

Offizielle Quellen

Zuletzt geprüft: 2026-10-28 · nächste Überprüfung nach 2027-01-05.

Bereit für die NIS-2-Konformität in Österreich?

Reglyze führt Sie mit Hilfe von KI Schritt für Schritt durch die Anforderungen von NIS 2: Prüfung der Anwendbarkeit und Gap-Analyse nach den Anforderungen der Richtlinie, danach Dokumente, die das NISG 2026, seine Fristen und den richtigen Empfänger der Meldungen nennen.