NIS 2 in Österreich: § 32 NISG 2026
Der nationale Rahmen, der NIS 2 in Österreich messbar macht, ist § 32 NISG 2026. Kein nationaler Maßnahmenkatalog: § 32 Abs. 4 lit. a bis j schreibt die zehn Themen des Art. 21 Abs. 2 der Richtlinie unmittelbar in das Gesetz, von der Risikoanalyse über die Lieferkette bis zur Multi-Faktor-Authentifizierung. Die Cybersicherheitsbehörde kann nähere Anforderungen durch Verordnung festlegen (§ 32 Abs. 5).
Status: in Kraft ab 1.10.2026, Verordnung nach § 32 Abs. 5 noch nicht kundgemacht
Das Wichtigste auf einen Blick
Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026, NISG 2026)
In Kraft seit: 2026-10-01
Bundesamt für Cybersicherheit (Cybersicherheitsbehörde) (Cybersicherheitsbehörde)
https://www.nis.gv.at§ 32 NISG 2026
Zehn Mindestinhalte nach § 32 Abs. 4 lit. a bis j; Verhältnismäßigkeit nach Risikoexposition, Größe und wahrscheinlicher Schwere (§ 32 Abs. 3).
- wesentliche Einrichtungen : bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
- wichtige Einrichtungen : bis zu 7 Mio. € oder 1.4 % des weltweiten Jahresumsatzes
Wer ist betroffen?
Große Unternehmen der Anlage 1 (§ 24 Abs. 1 Z 3); unabhängig von der Größe qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Bundesverwaltung, von der Behörde eingestufte und kritische Einrichtungen nach der Richtlinie (EU) 2022/2557 (§ 24 Abs. 1 Z 1).
Mittlere und große Unternehmen der Anlagen 1 und 2, soweit nicht wesentlich (§ 24 Abs. 2 Z 1), Landesverwaltung (§ 24 Abs. 2 Z 2) sowie bestimmte Anbieter unabhängig von der Größe (§ 24 Abs. 2 Z 3).
Früheres Regime: NISG 2018 (BGBl. I Nr. 111/2018), NISV, QuaSteV. Die Zahl von rund 4.000 Einrichtungen ist eine Schätzung der Wirtschaftskammer (Tier 2), keine amtliche Zahl. Die Sektorenliste ist Gesetzestext (§ 2).
Wichtige Fristen
2024-10-17
EU-Umsetzungsfrist der Richtlinie, von Österreich verfehlt; begründete Stellungnahme der Kommission am 7.5.2025.
2025-12-23
Kundmachung des NISG 2026 im Bundesgesetzblatt (BGBl. I Nr. 94/2025).
2026-10-01
Inkrafttreten der §§ 2 bis 45 (§ 51 Abs. 2). Ab diesem Tag gelten Risikomanagement-, Melde- und Registrierungspflicht.
2026-12-31
Ende der Registrierungsfrist: drei Monate ab Inkrafttreten (§ 29 Abs. 3). Später erfasste Einrichtungen: drei Monate ab Erfüllung der Voraussetzungen.
2027-10-01
Selbstdeklaration: zwölf Monate nach Eintritt der Registrierungspflicht (§ 33 Abs. 1), strukturiert nach den Vorgaben der Behörde.
2028-10-01
Frühester Zeitpunkt, ab dem die Behörde einen Nachweis durch eine unabhängige Stelle verlangen kann (§ 33 Abs. 2, zwei Jahre ab Inkrafttreten).
Meldung von Vorfällen: 24 h (Frühwarnung) / 72 h (Meldung) / 1 Monat nach der Meldung (Abschlussbericht), an Sektorspezifisches CSIRT, sonst nationales CSIRT (CERT.at); Weiterleitung an die Cybersicherheitsbehörde (§ 34 Abs. 1).
Prioritäre Sektoren
Energie, Wasser und Verkehr
Die Betreiber wesentlicher Dienste des NISG 2018 werden zu wesentlichen Einrichtungen. Der Sektor Energie meldet an das Austrian Energy CERT, alle anderen an das nationale CSIRT, jeweils mit Weiterleitung an die Cybersicherheitsbehörde (§ 34 Abs. 1).
Industrie und Mittelstand
Der Großteil der neu erfassten Einrichtungen sind mittlere Unternehmen der Anlage 2: verarbeitendes Gewerbe, Chemie, Lebensmittel, Post und Kurier. Sie sind wichtige Einrichtungen (§ 24 Abs. 2 Z 1) mit Registrierung bis Jahresende 2026 und Selbstdeklaration binnen zwölf Monaten.
IKT-Dienstleister und MSP
Die Verwaltung von IKT-Diensten (Business-to-Business) ist ein eigener Sektor (§ 2 Z 9). Ein mittelgroßer Managed-Service-Provider ist selbst wichtige Einrichtung und wird zugleich von seinen Kunden im Rahmen der Lieferkettensicherheit geprüft (§ 32 Abs. 4 lit. d).
Häufige Fragen
- Ab wann gilt das NISG 2026?
- Ab 1. Oktober 2026. Das Gesetz wurde am 23. Dezember 2025 kundgemacht, seine §§ 2 bis 45 treten aber erst neun Monate später mit dem nächstfolgenden Monatsersten in Kraft (§ 51 Abs. 2). Bis dahin gilt das NISG 2018 weiter.
- Bis wann muss ich mich registrieren, und wo?
- Innerhalb von drei Monaten ab Inkrafttreten, also bis 31. Dezember 2026, bei der Cybersicherheitsbehörde (§ 29 Abs. 3). Zu übermitteln sind sieben Angaben, darunter Sektor, IP-Adressbereiche und die Einstufung als wesentliche oder wichtige Einrichtung (§ 29 Abs. 2). Formular und Portal legt die Behörde fest.
- Was ist die Selbstdeklaration?
- Eine strukturierte Meldung an die Cybersicherheitsbehörde über die umgesetzten Maßnahmen nach § 32, die genutzten Systeme, die Sicherheit der Lieferkette und die Ergebnisse der Risikoanalyse, fällig zwölf Monate nach Eintritt der Registrierungspflicht (§ 33 Abs. 1). Eine Prüfung durch eine unabhängige Stelle kann die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen (§ 33 Abs. 2).
- An wen melde ich einen erheblichen Cybersicherheitsvorfall?
- An das für Sie zuständige sektorspezifische CSIRT, sonst an das nationale CSIRT; das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung, jeweils ab Kenntnisnahme (§ 34 Abs. 2).
- Wie hoch sind die Strafen?
- Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes bei wesentlichen, bis zu 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen (§ 45 Abs. 2 und 3). Verspätete oder falsche Registrierung kostet bis zu 50.000 EUR, im Wiederholungsfall 100.000 EUR (§ 45 Abs. 4 Z 1). Zuständig ist die Bezirksverwaltungsbehörde (§ 44 Abs. 1).
Offizielle Quellen
- Parlament: NISG 2026, Beschluss des Nationalrates vom 12.12.2025 (308 d.B. XXVIII. GP, BNR 126), GesetzestextTier 1
- RIS: BGBl. I Nr. 94/2025, Netz- und Informationssystemsicherheitsgesetz 2026Tier 1
- nis.gv.at: Portal der NIS-Behörde mit den Meldeplattformen (nis.cert.at, nis.energy-cert.at, nis.govcert.gv.at)Tier 1
- WKO: NISG 2026, neue Pflichten zur Cybersicherheit für Unternehmen (Schätzung der betroffenen Einrichtungen)Tier 2
Zuletzt geprüft: 2026-09-18 · nächste Überprüfung nach 2026-12-18.