NISG 2026: Was KMU in Österreich jetzt wissen und tun müssen
Wichtiger Hinweis – keine Rechtsberatung, keine Gewähr: Diese Übersicht ersetzt keine rechtliche Prüfung. Für Richtigkeit, Vollständigkeit und Aktualität übernehmen wir keine Gewähr. Den vollständigen Hinweis finden Sie am Ende der Seite.
Bin ich betroffen?
Zwei Bedingungen müssen beide erfüllt sein: Ihr Unternehmen ist in einem der Sektoren nach Anlage 1 oder 2 des NISG 2026 tätig und es ist ein mittleres oder großes Unternehmen. Kennzahlen verbundener Unternehmen werden mitgerechnet.
| Größe | Schwelle | Einstufung |
|---|---|---|
| Groß | ab 250 Mitarbeitende – oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | Anlage 1: wesentliche Einrichtung · Anlage 2: wichtige Einrichtung |
| Mittel | ab 50 Mitarbeitende – oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme | wichtige Einrichtung (Anlage 1 und 2) |
| Klein | unter 50 Mitarbeitende und höchstens 10 Mio. € Umsatz bzw. Bilanzsumme | in der Regel nicht erfasst – Ausnahmen z. B. für Telekom-, DNS- und Vertrauensdienste |
Anlage 1 (hohe Kritikalität): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum.
Anlage 2 (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung.
Fristen im Überblick
| Wann | Was |
|---|---|
| 23. Dezember 2025 | NISG 2026 kundgemacht (BGBl. I Nr. 94/2025) |
| 1. Oktober 2026 | Anwendungsbeginn – das NISG 2018 tritt außer Kraft |
| 1. Jänner 2027 (spätestens 4. Jänner 2027) | Registrierung über „NIS2-Services“ im Unternehmensserviceportal (USP) |
| laut WKO bis Ende September 2027 | Selbstdeklaration der Risikomanagement-Maßnahmen |
Wichtig: Für die Registrierung bleibt nur noch wenig Zeit. Verstöße gegen die Registrierungspflicht können bis zu 50.000 € kosten.
Die wichtigsten Pflichten
Verantwortlich ist die Geschäftsleitung. Gefordert sind Risikomanagement-Maßnahmen, unter anderem:
- Risikoanalyse und Sicherheitskonzepte für die Informationssysteme
- Bewältigung von Sicherheitsvorfällen und Notfallplanung (Backup, Krisenmanagement)
- Sicherheit der Lieferkette – auch Ihrer Dienstleister
- Schwachstellenmanagement bei Beschaffung, Entwicklung und Wartung
- Cyberhygiene und Schulungen
- Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung
- Meldung erheblicher Vorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat
Auch nicht betroffen? Ihre Kunden fragen trotzdem
Kleine Unternehmen sind meist nicht direkt erfasst. Betroffene Einrichtungen müssen aber die Sicherheit ihrer Lieferkette berücksichtigen – und geben das per Vertrag an ihre Dienstleister und Lieferanten weiter. Typische Fragen, die Sie dann beantworten müssen:
- Ist Ihre Firmen-Domain gegen gefälschte E-Mails geschützt?
- Nutzen Ihre Mitarbeitenden Zwei-Faktor-Anmeldung?
- Werden Mitarbeitende regelmäßig zu Phishing geschult?
- Gibt es einen Notfallplan und getrennte Sicherungen?
Den ersten Punkt prüfen Sie in Sekunden mit dem Spoofing-Test.
Strafen
| Einrichtung | Höchststrafe |
|---|---|
| Wesentliche Einrichtung | bis 10 Mio. € oder 2 % des weltweiten Konzernumsatzes |
| Wichtige Einrichtung | bis 7 Mio. € oder 1,4 % des weltweiten Konzernumsatzes |
| Organisatorische Pflichten (z. B. Registrierung) | bis 50.000 €, im Wiederholungsfall bis 100.000 € |
Wobei wir helfen
Wir sind auf die technischen und organisatorischen Maßnahmen spezialisiert, die bei KMU am häufigsten fehlen:
| Maßnahme | Was wir tun | Mehr |
|---|---|---|
| E-Mail- und Domain-Sicherheit | SPF, DKIM, DMARC, MTA-STS – Schutz vor Spoofing und CEO-Betrug | ansehen |
| Schulungen und Awareness | Live-Hacking-Vorträge und Phishing-Tests mit Auswertung | ansehen |
| Notfallplan und Vorfallhilfe | Was im Ernstfall zu tun ist – und Hilfe, wenn es passiert | ansehen |
| Passwörter und MFA | Leak-Prüfung, Passwort-Manager und Zwei-Faktor-Anmeldung | ansehen |
Diese Übersicht beruht auf den Angaben des Bundesamts für Cybersicherheit, dem Gesetzestext im RIS und der WKO (Stand 10. November 2026). Verbindliche Auskünfte geben die Behörde, Ihre Wirtschaftskammer oder eine Rechtsberatung.
Haftungsausschluss
Keine Rechtsberatung, keine Gewähr. Diese Seite dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für die Richtigkeit, Vollständigkeit und Aktualität der Angaben. Gesetze, Verordnungen und behördliche Vorgaben können sich jederzeit ändern. Maßgeblich sind ausschließlich der Gesetzestext (NISG 2026, BGBl. I Nr. 94/2025) und die Auskünfte des Bundesamts für Cybersicherheit. Eine Haftung für Entscheidungen, die auf Grundlage dieser Informationen getroffen werden, ist – soweit gesetzlich zulässig – ausgeschlossen. Für eine verbindliche Beurteilung Ihres Unternehmens wenden Sie sich an das Bundesamt für Cybersicherheit, Ihre Wirtschaftskammer oder eine Rechtsberatung.
Stand der Informationen: 10. November 2026. Siehe auch unseren allgemeinen Haftungsausschluss.
Häufige Fragen
Seit wann gilt das NISG 2026?
Das NISG 2026 wurde am 23. Dezember 2025 kundgemacht und ist seit 1. Oktober 2026 anzuwenden. Gleichzeitig ist das NISG 2018 außer Kraft getreten.
Bis wann muss sich mein Unternehmen registrieren?
Laut Bundesamt für Cybersicherheit grundsätzlich bis 1. Jänner 2027, aufgrund der Fristberechnung spätestens bis 4. Jänner 2027 – über die Anwendung „NIS2-Services“ im Unternehmensserviceportal (USP).
Ist mein kleines Unternehmen vom NISG 2026 betroffen?
Unternehmen mit weniger als 50 Mitarbeitenden und höchstens 10 Mio. € Umsatz bzw. Bilanzsumme sind in der Regel nicht direkt erfasst, mit Ausnahmen etwa für Telekom-, DNS- und Vertrauensdienste. Indirekt betroffen sind viele trotzdem: Betroffene Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen und verlangen Nachweise.
Welche Strafen drohen?
Laut Bundesamt für Cybersicherheit bis 10 Mio. € oder 2 % des weltweiten Konzernumsatzes für wesentliche Einrichtungen, bis 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Verstöße gegen organisatorische Pflichten wie die Registrierung können bis 50.000 € kosten, im Wiederholungsfall bis 100.000 €.
Wer ist die zuständige Behörde?
Das Bundesamt für Cybersicherheit (BCS), eine Dienststelle des Innenministeriums. Erhebliche Vorfälle werden an das zuständige CSIRT gemeldet.
Ersetzt diese Seite eine Rechtsberatung?
Nein. Sie gibt einen allgemeinen Überblick nach Stand der amtlichen Informationen, ohne Gewähr für Richtigkeit, Vollständigkeit und Aktualität. Ob und wie Ihr Unternehmen betroffen ist, klären Sie verbindlich mit dem Bundesamt für Cybersicherheit, Ihrer Wirtschaftskammer oder einer Rechtsberatung.
NIS2-Erstgespräch
Wir schauen gemeinsam, welche technischen Maßnahmen bei Ihnen fehlen – kostenlos und unverbindlich. Technische Beratung, keine Rechtsberatung.
Erstgespräch vereinbaren