NISG 2026 und die institutionelle Cybersicherheits-Aufsicht in Österreich

Das NISG 2026 (Netz- und Informationssystemsicherheitsgesetz 2026) ist die österreichische Umsetzung der EU-NIS-2-Richtlinie (EU) 2022/2555. Der Nationalrat hat es am 12. Dezember 2025 beschlossen, am 23. Dezember 2025 wurde es als BGBl. I Nr. 94/2025 kundgemacht, seit 1. Oktober 2026 ist es anwendbar. Es definiert Cybersicherheitspflichten für rund 4.000 Unternehmen in 18 Sektoren und richtet erstmals ein eigenes Bundesamt für Cybersicherheit ein.

Die drei wichtigsten Punkte vorab:

• Spät, aber verbindlich: Österreich verfehlte die EU-Umsetzungsfrist vom 17. Oktober 2024 deutlich. Der erste Entwurf (NISG 2024) scheiterte am 3. Juli 2024 an der Zweidrittelmehrheit. Erst das NISG 2026 schafft den nationalen Rechtsrahmen, anwendbar seit 1. Oktober 2026.
• Selbst prüfen, selbst registrieren: Ob ein Unternehmen betroffen ist, ergibt sich aus Sektor, Art der Einrichtung und Größe. Einige Arten wie qualifizierte Vertrauensdiensteanbieter oder DNS-Diensteanbieter erfasst das Gesetz unabhängig von der Größe (§ 24 Abs. 1 Z 1 NISG 2026). Das Unternehmen prüft das selbst und registriert sich eigenständig bei der Cybersicherheitsbehörde. Einen Bescheid gibt es nur, wenn die Behörde eine Einrichtung unabhängig von ihrer Größe einstuft (§ 26).
• Die Fristen laufen: Betroffene Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten registrieren (§ 29 Abs. 3 NISG 2026). Die Selbstdeklaration der Risikomanagementmaßnahmen folgt innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1).

Der Weg zum NISG 2026: Verzögerung gegenüber der EU-Frist

Die NIS-2-Richtlinie verpflichtete alle EU-Mitgliedstaaten, die nationalen Umsetzungsgesetze bis zum 17. Oktober 2024 in Kraft zu setzen. Österreich gehört zu den Staaten, die diese Frist nicht eingehalten haben. Der erste Anlauf, das NISG 2024, wurde am 3. Juli 2024 im Nationalrat abgelehnt, weil die für Teile des Gesetzes erforderliche Zweidrittelmehrheit nicht zustande kam. Damit verstrich die EU-Frist ungenutzt.

Erst nach Neuverhandlung und mit veränderten Inhalten beschloss der Nationalrat am 12. Dezember 2025 das NISG 2026. Die Kundmachung im Bundesgesetzblatt erfolgte am 23. Dezember 2025, anwendbar ist das Gesetz seit 1. Oktober 2026 (§ 51 NISG 2026). Zwischen dem Ablauf der EU-Frist und der nationalen Anwendbarkeit lagen damit knapp zwei Jahre. Die NIS-2-Pflichten wurden für Unternehmen in Österreich erst mit dem NISG 2026 verbindlich.

Die zuständige Behörde: Bundesamt für Cybersicherheit

Das institutionell wichtigste Element des NISG 2026 ist das Bundesamt für Cybersicherheit. Seit 1. Oktober 2026 ist es die zuständige Behörde. Es ist dem Bundesminister für Inneres nachgeordnet und organisatorisch außerhalb der Generaldirektion für die öffentliche Sicherheit eingerichtet (§ 3a NISG 2026).

Eine zentrale Besonderheit der österreichischen Konstruktion betrifft die Sanktionierung: Die Cybersicherheitsbehörde verhängt keine Geldbußen selbst. Zuständig für Verwaltungsstrafen sind die Bezirksverwaltungsbehörden. Der Strafrahmen orientiert sich an den Vorgaben der NIS-2-Richtlinie. Diese Trennung zwischen aufsichtsführender Behörde und sanktionierender Stelle ist eine Eigenheit gegenüber anderen Jurisdiktionen, in denen die Aufsichtsbehörde selbst Bußgelder ausspricht.

CSIRT, GovCERT und Meldewege

Das NISG 2026 regelt die Meldewege selbst. Erhebliche Cybersicherheitsvorfälle meldet eine Einrichtung dem zuständigen sektorspezifischen CSIRT. Gibt es keines, geht die Meldung an das nationale CSIRT. Das CSIRT leitet sie an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1 NISG 2026). Zwei sektorspezifische CSIRTs legt der Gesetzgeber selbst fest. GovCERT Austria ist bei der Cybersicherheitsbehörde eingerichtet und betreut die öffentliche Verwaltung (§ 8 Abs. 4 NISG 2026). Für das Gesundheitswesen bestimmt das Gesetz das Austrian HealthCERT als sektorspezifisches CSIRT, das der für Gesundheit zuständige Bundesminister einzurichten und zu betreiben hat. Einrichtungen dieses Sektors melden dorthin (Art. 3 BGBl. I Nr. 94/2025, § 8a GTelG 2012). Weitere sektorspezifische CSIRTs kann die Cybersicherheitsbehörde bei Bedarf ermächtigen und macht das öffentlich bekannt. Für Sektoren ohne eigenes CSIRT übernimmt das nationale CSIRT (§ 8 Abs. 3 und 5). Bis ein nationales CSIRT nach neuem Recht ermächtigt ist, längstens zwei Jahre ab Inkrafttreten, nimmt das nach dem NISG 2018 ermächtigte nationale CSIRT dessen Aufgaben weiter wahr (§ 51 Abs. 6 NISG 2026). Besteht danach kein nationales CSIRT, übernimmt GovCERT diese Aufgaben (§ 8 Abs. 4).

Eckdaten des NISG 2026

Gegenüber dem gescheiterten 2024er-Entwurf (Ausschussfassung, 2638 d.B.) hat sich unter anderem die Behörde geändert: Im Entwurf war der Innenminister selbst die Cybersicherheitsbehörde (§ 4 Abs. 1), jetzt ist es ein eigenes Bundesamt. Die Selbstdeklaration war im Entwurf erst auf Aufforderung fällig, jetzt ist sie binnen zwölf Monaten Pflicht. Die Eckdaten im Überblick, alle Paragraphen aus BGBl. I Nr. 94/2025:

Die Selbsteinstufung verlagert die Verantwortung für die korrekte Bestimmung der Betroffenheit auf das Unternehmen selbst. Wer fälschlich annimmt, nicht in den Anwendungsbereich zu fallen, trägt das Risiko. Das gilt besonders in Konzernen: Für die Größenschwellen verweist § 25 NISG 2026 auf die KMU-Empfehlung 2003/361/EG, Daten von Partner- und verbundenen Unternehmen werden also grundsätzlich mitgerechnet. Nur wenn eine Gesellschaft bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig ist, bleibt sie für sich (§ 25 Abs. 4). Eine kleine Konzerntochter kann so die Schwellen überschreiten. Zum Leitungsorgan zählen nach § 3 Z 11 die Personen oder Organe, die zur Führung der Geschäfte berufen sind. Aufsichtsräte nennt die Definition nicht, eine ausdrückliche Ausnahme enthält das Gesetz aber auch nicht. Der 2024er-Entwurf hatte noch Personen einbezogen, die innerhalb der Einrichtung zur Überwachung der Geschäftsführung berufen sind (§ 3 Z 11 des Entwurfs). Kontrolle bleibt trotzdem relevant: Nach § 44 Abs. 3 und 4 kann die Einrichtung auch bestraft werden, wenn Personen mit Kontrollbefugnis gehandelt oder mangelnde Überwachung den Verstoß ermöglicht haben.

Pflichten der Leitungsorgane

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen. Außerdem müssen sie selbst an Cybersicherheitsschulungen teilnehmen (§ 31 NISG 2026). Damit zieht das NISG 2026, wie die gesamte NIS-2-Architektur, die Verantwortung für Cybersicherheit aus der reinen IT-Abteilung heraus auf die Führungsebene. Die Governance-Verantwortung ist nicht vollständig delegierbar.

Praxisbeispiel: Ein mittelständischer Energieversorger

Ein angenommener österreichischer Energieversorger mit 600 Mitarbeitenden prüft im Frühjahr 2026 seine Betroffenheit. Energie ist einer der 18 Sektoren; aufgrund von Größe und Tätigkeit stuft sich das Unternehmen im Rahmen der Selbsteinstufung als wesentliche Einrichtung ein. Es registriert sich eigenständig bei der Cybersicherheitsbehörde und wartet nicht auf einen Bescheid. Einen solchen erlässt die Behörde nur, wenn sie eine Einrichtung unabhängig von ihrer Größe einstuft (§ 26).

Sein Fahrplan vor und nach dem Stichtag 1. Oktober 2026:

```
Q1 2026 Scoping + Selbsteinstufung (wesentlich/wichtig?)
Q2 2026 ISMS-Reifung, Risikoanalyse, Maßnahmenkatalog
Q2 2026 Incident-Response-Team benennen + Prozesse definieren
Q3 2026 Leitungsorgan-Schulung dokumentieren, Tabletop-Test
Q3 2026 Meldewege für Frühwarnung (24 h), Meldung (72 h) und Abschlussbericht
Okt 2026 Anwendbarkeit, Registrierung (3 Monate), Selbstdeklaration (12 Monate)
```

Weil die Cyberbehörde nicht selbst sanktioniert, führt bei Verstößen die zuständige Bezirksverwaltungsbehörde das Verwaltungsstrafverfahren (§ 44 Abs. 1). Der Energieversorger dokumentiert daher von Beginn an lückenlos: Risk-Approval-Protokolle, Schulungsnachweise und Incident-Response-Tests. Diese Beweiskette ist der praktische Kern jeder Betroffenheitsprüfung.

Was Unternehmen jetzt tun sollten

Seit 1. Oktober 2026 gilt das Gesetz, und die ersten Fristen laufen. Diese Schritte stehen an:

• Scoping und Selbsteinstufung anhand der 18 Sektoren und der Größen-/Tätigkeitskriterien, dokumentiert und nachvollziehbar.
• Registrierung bei der Cybersicherheitsbehörde innerhalb von drei Monaten ab Inkrafttreten (§ 29 Abs. 3 NISG 2026).
• ISMS-Aufbau oder -Reifung als organisatorisches Fundament der Risikomanagementmaßnahmen.
• Selbstdeklaration der umgesetzten Risikomanagementmaßnahmen innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1 NISG 2026). Auf Aufforderung der Behörde ist die Umsetzung durch die Prüfung einer unabhängigen Stelle nachzuweisen, die erste Aufforderung ist frühestens ab 1. Oktober 2028 möglich (§ 33 Abs. 2).
• Incident-Response-Team benennen, Meldewege definieren, Reaktionsprozesse testen. Erhebliche Vorfälle gehen als Frühwarnung binnen 24 Stunden und als Meldung binnen 72 Stunden an das zuständige CSIRT, der Abschlussbericht folgt spätestens einen Monat nach der Meldung (§ 34 NISG 2026).
• Leitungsorgane einbinden: Die Leitungsorgane beaufsichtigen die Einhaltung der Risikomanagementmaßnahmen und nehmen an Cybersicherheitsschulungen teil, beides dokumentiert (§ 31 NISG 2026).
• Konzernstruktur prüfen, denn für die Größenschwellen zählen verbundene Unternehmen grundsätzlich mit (§ 25 NISG 2026).

Hinweis: Dieser Beitrag ist ein fachredaktioneller Überblick und keine Rechtsberatung. Die konkrete Betroffenheit, die korrekte Selbsteinstufung und einzelne Pflichten nach dem NISG 2026 sind mit qualifizierten Rechtsberater:innen zu klären. Die Anforderungen an die Risikomanagementmaßnahmen hat die Cybersicherheitsbehörde bereits konkretisiert: Die NISV 2026 (BGBl. II Nr. 290/2026) vom 1. Oktober 2026 erstreckt die Risikomanagement-Anforderungen der Durchführungsverordnung (EU) 2024/2690 (Art. 2 samt Anhang) auf jene Arten wesentlicher und wichtiger Einrichtungen der Anlagen 1 und 2 des NISG 2026, die die Durchführungsverordnung selbst nicht erfasst (§ 2). Außerdem nennt sie Kriterien, bei denen ein Cybersicherheitsvorfall jedenfalls als erheblich gilt (§ 5).

Für Agenturen und B2B-Entscheider

Für DACH-B2B-Entscheider zählen jetzt vor allem die laufenden Fristen; Einstufung und Dokumentation liegen beim Unternehmen selbst. Wer Lieferketten in Österreich betreibt oder österreichische Tochtergesellschaften hat, sollte deren Betroffenheit rasch klären, denn für die Größenschwellen zählen verbundene Unternehmen grundsätzlich mit. Marketing- und Digitalagenturen, die regulierte Kunden aus den 18 Sektoren betreuen, sollten ihre eigene Rolle als Dienstleister in der Lieferkette mitdenken und Cybersicherheits- sowie Reporting-Anforderungen vertraglich sauber abbilden. Blck Alpaca unterstützt Unternehmen dabei, Compliance-Themen wie NISG 2026 verständlich aufzubereiten und in Content-, Wissens- und Kommunikationsstrukturen zu übersetzen: sachlich, aktuell und ohne juristische Anmaßung.