NIS2 in Österreich (NISG 2026): Wer betroffen ist, was zu tun ist — und was passiert, wenn nicht
Kurzantwort
Das NISG 2026 setzt die EU-Richtlinie NIS2 in Österreich um und gilt ab dem 1. Oktober 2026. Direkt betroffen sind rund 5.000 Unternehmen: alle mit mindestens 50 Mitarbeitern (inkl. Leihpersonal; Beteiligungen ab 25 % werden zusammengerechnet) oder über 10 Mio. € Umsatz, die in einem der 18 regulierten Sektoren tätig sind — dazu größenunabhängig u. a. DNS-/Domain-Anbieter und die öffentliche Verwaltung. Betroffene müssen sich zwischen 1. Oktober und 31. Dezember 2026 beim neuen Bundesamt für Cybersicherheit registrieren und zehn Pflichtbereiche dokumentiert umsetzen. Strafen: bis 7–10 Mio. €, die versäumte Registrierung allein bis 50.000 € — und die Geschäftsführung haftet persönlich. Ob dein Unternehmen dabei ist, zeigt der kostenlose Schnellcheck in 3 Fragen.
Wer ist von NIS2 in Österreich betroffen?
Betroffen ist, wer beide Bedingungen erfüllt — Größe und Sektor — oder unter einen größenunabhängigen Sonderfall fällt:
| Kriterium | Schwelle | Häufig übersehen |
|---|---|---|
| Größe | ≥ 50 Mitarbeiter oder > 10 Mio. € Umsatz | Leihpersonal zählt mit (Jahresarbeitseinheiten); Beteiligungen ab 25 % werden konzernweit zusammengerechnet — auch über gemeinsame Eigentümer |
| Sektor | 18 Sektoren (Anlage 1 & 2): u. a. Produktion/Maschinenbau/Kfz, Lebensmittel, Transport, Energie/Wasser/Abfall, Gesundheit, IT-Dienste, Chemie, Post, Forschung | Schon eine Nebentätigkeit im Sektor kann genügen; die Firmenbuch-Größenklasse (UGB) ist NICHT die NIS2-Größe |
| Sonderfälle (größenunabhängig) | DNS-/Domain-Dienste für Dritte, Telekom, Vertrauensdienste, öffentliche Verwaltung, per Bescheid einbezogene Einrichtungen | Trifft auch Web-Agenturen und Hoster mit eigenen Nameservern — unabhängig von der Mitarbeiterzahl |
Welche Fristen und Strafen gelten?
| Datum / Verstoß | Was gilt |
|---|---|
| 1. Oktober 2026 | NISG 2026 tritt in Kraft |
| 1. Oktober – 31. Dezember 2026 | Registrierung beim Bundesamt für Cybersicherheit (BMI) |
| bis 30. September 2027 | Selbstdeklaration einreichen |
| Vorfall | Frühwarnung ≤ 24 h · Meldung ≤ 72 h · Abschlussbericht ≤ 1 Monat |
| Versäumte Registrierung | bis 50.000 € (Wiederholung: 100.000 €) |
| Verstöße („wichtige“ Einrichtung) | bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Verstöße („wesentliche“ Einrichtung) | bis 10 Mio. € oder 2 % — plus proaktive Behörden-Audits ohne Anlass |
| Geschäftsleitung | muss Maßnahmen genehmigen, überwachen, sich schulen lassen — und haftet persönlich |
Was muss umgesetzt werden? Die 10 Pflichten
- 1Risikoanalyse & Sicherheitskonzepte (Policies)
- 2Erkennung & Behandlung von Sicherheitsvorfällen
- 3Backups, Notfallpläne & Krisenmanagement — nachweislich getestet
- 4Absicherung der eigenen Lieferanten & Dienstleister
- 5Sichere Beschaffung, Wartung & Schwachstellenmanagement
- 6Regelmäßige Messung, ob die Maßnahmen wirken
- 7Cyber-Hygiene & Schulungen für alle — inkl. Geschäftsführung
- 8Verschlüsselungs-Konzepte
- 9Zugriffskontrolle, Personalsicherheit & Asset-Verzeichnis
- 10Multi-Faktor-Anmeldung & abgesicherte Notfall-Kommunikation
Entscheidend ist nicht nur die Umsetzung, sondern der Nachweis: dokumentiert, von der Geschäftsführung genehmigt, prüffest — für Behörde, Kunden und Versicherung.
Nicht betroffen — aber dein Kunde schon? Der Lieferketten-Effekt
NIS2 verpflichtet betroffene Unternehmen, ihre direkten Lieferanten und Dienstleister abzusichern — das einzige Instrument dafür ist der Vertrag. In der Praxis heißt das für Zulieferer: Sicherheits-Fragebögen, neue Einkaufsbedingungen, Vertragsanhänge zur Informationssicherheit, Meldefristen — und bei Ausschreibungen der Nachweis als Eignungskriterium. Schätzungen gehen von über 100.000 indirekt betroffenen Unternehmen aus, ein Vielfaches der direkt regulierten. Wer beim ersten Fragebogen lieferfähig ist, macht daraus einen Wettbewerbsvorteil.
Häufige Fragen zu NIS2 in Österreich
Grundsätzlich nein — aber es gibt drei wichtige Ausnahmen: 1) Konzern-Zurechnung: Beteiligungen ab 25 % werden zusammengerechnet, eine 20-Personen-Tochter kann dadurch „mittel“ sein. 2) Größenunabhängige Sonderfälle wie DNS-/Domain-Anbieter oder Telekom-Dienste. 3) Der Lieferketten-Effekt: Wer betroffene Kunden beliefert, bekommt deren Pflichten vertraglich weitergereicht.
Bist du betroffen? Drei Fragen, fünf Minuten.
Kostenloser Schnellcheck mit sofortigem Ergebnis — inklusive der Konzern-Regel, die fast alle übersehen. Von morebit, einem IT-Dienstleister, der selbst unter NIS2 fällt.
Free initial consultation · No obligation · Response within 24h