La loi NISG 2026 et la supervision institutionnelle de la cybersécurité en Autriche

La NISG 2026 (loi de 2026 sur la sécurité des réseaux et des systèmes d'information) est la transposition autrichienne de la directive NIS 2 (UE) 2022/2555. Le Conseil national l'a adoptée le 12 décembre 2025, elle a été publiée le 23 décembre 2025 sous la référence BGBl. I Nr. 94/2025 et s'applique depuis le 1er octobre 2026. Elle définit des obligations de cybersécurité pour environ 4 000 entreprises de 18 secteurs et crée pour la première fois un Office fédéral de la cybersécurité dédié.

Les trois points essentiels en bref :

• Tardive, mais contraignante : l'Autriche a nettement manqué le délai de transposition européen du 17 octobre 2024. Le premier projet (NISG 2024) a échoué le 3 juillet 2024, faute de majorité des deux tiers. Seule la NISG 2026 crée le cadre juridique national, applicable depuis le 1er octobre 2026.
• Vérifier soi-même, s'enregistrer soi-même : savoir si une entreprise est concernée dépend du secteur, du type d'entité et de la taille. Certains types, comme les prestataires de services de confiance qualifiés ou les fournisseurs de services DNS, sont couverts par la loi indépendamment de leur taille (§ 24, al. 1, point 1, NISG 2026). L'entreprise le vérifie elle-même et s'enregistre de sa propre initiative auprès de l'autorité de cybersécurité. Une décision administrative n'intervient que si l'autorité classe une entité indépendamment de sa taille (§ 26).
• Les délais courent : les entités concernées doivent s'enregistrer dans les trois mois suivant l'entrée en vigueur (§ 29, al. 3, NISG 2026). L'autodéclaration des mesures de gestion des risques suit dans les douze mois suivant la naissance de l'obligation d'enregistrement (§ 33, al. 1).

Le chemin vers la NISG 2026 : un retard sur le délai européen

La directive NIS 2 obligeait tous les États membres de l'UE à mettre en vigueur leurs lois nationales de transposition au plus tard le 17 octobre 2024. L'Autriche fait partie des États qui n'ont pas respecté ce délai. La première tentative, la NISG 2024, a été rejetée par le Conseil national le 3 juillet 2024, car la majorité des deux tiers requise pour certaines parties de la loi n'a pas été atteinte. Le délai européen a ainsi expiré sans suite.

Ce n'est qu'après une nouvelle négociation, et avec un contenu modifié, que le Conseil national a adopté la NISG 2026 le 12 décembre 2025. La publication au Journal officiel fédéral a eu lieu le 23 décembre 2025 et la loi s'applique depuis le 1er octobre 2026 (§ 51 NISG 2026). Près de deux ans se sont donc écoulés entre l'expiration du délai européen et l'applicabilité nationale. Les obligations NIS 2 ne sont devenues contraignantes pour les entreprises en Autriche qu'avec la NISG 2026.

L'autorité compétente : l'Office fédéral de la cybersécurité

L'élément institutionnel le plus important de la NISG 2026 est l'Office fédéral de la cybersécurité (Bundesamt für Cybersicherheit). Depuis le 1er octobre 2026, c'est l'autorité compétente. Il est placé sous l'autorité du ministre fédéral de l'Intérieur et organisé en dehors de la Direction générale de la sécurité publique (§ 3a NISG 2026).

Une particularité centrale du dispositif autrichien concerne les sanctions : l'autorité de cybersécurité n'inflige pas elle-même d'amendes. Les sanctions administratives relèvent des autorités administratives de district. Le barème des sanctions s'inspire des exigences de la directive NIS 2. Cette séparation entre l'autorité de supervision et l'instance de sanction constitue une spécificité par rapport à d'autres juridictions, où l'autorité de supervision prononce elle-même les amendes.

CSIRT, GovCERT et canaux de notification

La NISG 2026 règle elle-même les canaux de notification. Une entité notifie les incidents de cybersécurité importants au CSIRT sectoriel compétent. À défaut, la notification est adressée au CSIRT national. Le CSIRT la transmet à l'autorité de cybersécurité (§ 34, al. 1, NISG 2026). Le législateur désigne lui-même deux CSIRT sectoriels. GovCERT Austria est rattaché à l'autorité de cybersécurité et couvre l'administration publique (§ 8, al. 4, NISG 2026). Pour le secteur de la santé, la loi désigne comme CSIRT sectoriel l'Austrian HealthCERT, que le ministre fédéral chargé de la santé doit mettre en place et exploiter. Les entités de ce secteur lui adressent leurs notifications (art. 3 BGBl. I Nr. 94/2025, § 8a GTelG 2012). L'autorité de cybersécurité peut habiliter d'autres CSIRT sectoriels en cas de besoin et le rend public. Pour les secteurs sans CSIRT propre, le CSIRT national prend le relais (§ 8, al. 3 et 5). Tant qu'aucun CSIRT national n'est habilité selon le nouveau droit, et au plus pendant deux ans à compter de l'entrée en vigueur, le CSIRT national habilité en vertu de la NISG 2018 continue d'exercer ses missions (§ 51, al. 6, NISG 2026). S'il n'existe ensuite aucun CSIRT national, GovCERT reprend ces missions (§ 8, al. 4).

Points clés de la NISG 2026

Par rapport au projet de 2024 qui a échoué (version de la commission, 2638 d.B.), plusieurs éléments ont changé, dont l'autorité : dans le projet, le ministre de l'Intérieur était lui-même l'autorité de cybersécurité (§ 4, al. 1) ; c'est désormais un office fédéral dédié. Dans le projet, l'autodéclaration n'était due que sur demande ; elle est désormais obligatoire dans un délai de douze mois. Les points clés en un coup d'œil, tous les paragraphes étant tirés du BGBl. I Nr. 94/2025 :

L'auto-classification fait peser sur l'entreprise elle-même la responsabilité de déterminer correctement si elle est concernée. Toute entreprise qui suppose à tort ne pas entrer dans le champ d'application en assume le risque. C'est particulièrement vrai dans les groupes : pour les seuils de taille, le § 25 NISG 2026 renvoie à la recommandation 2003/361/CE relative aux PME, de sorte que les données des entreprises partenaires et liées sont en principe prises en compte. Une société n'est considérée isolément que si elle est indépendante sur les plans organisationnel, technique et opérationnel pour ses réseaux et systèmes d'information (§ 25, al. 4). Une petite filiale de groupe peut ainsi dépasser les seuils. Selon le § 3, point 11, font partie de l'organe de direction les personnes ou organes appelés à diriger les affaires. La définition ne mentionne pas les membres du conseil de surveillance, mais la loi ne prévoit pas non plus d'exception expresse. Le projet de 2024 incluait encore les personnes chargées, au sein de l'entité, de surveiller la gestion (§ 3, point 11, du projet). Le contrôle reste néanmoins pertinent : selon le § 44, al. 3 et 4, l'entité peut aussi être sanctionnée lorsque des personnes disposant d'un pouvoir de contrôle ont agi ou lorsqu'un défaut de surveillance a rendu l'infraction possible.

Obligations des organes de direction

Les organes de direction des entités essentielles et importantes doivent garantir et superviser le respect des mesures de gestion des risques. Ils doivent en outre suivre eux-mêmes des formations en cybersécurité (§ 31 NISG 2026). Comme l'ensemble de l'architecture NIS 2, la NISG 2026 sort ainsi la responsabilité de la cybersécurité du seul service informatique pour la porter au niveau de la direction. La responsabilité en matière de gouvernance ne peut pas être entièrement déléguée.

Cas pratique : un fournisseur d'énergie de taille moyenne

Un fournisseur d'énergie autrichien fictif comptant 600 salariés vérifie au printemps 2026 s'il est concerné. L'énergie fait partie des 18 secteurs ; compte tenu de sa taille et de son activité, l'entreprise se classe, dans le cadre de l'auto-classification, comme entité essentielle. Elle s'enregistre de sa propre initiative auprès de l'autorité de cybersécurité, sans attendre de décision administrative. L'autorité n'en rend une que si elle classe une entité indépendamment de sa taille (§ 26).

Sa feuille de route avant et après la date clé du 1er octobre 2026 :

```
T1 2026 Périmètre + auto-classification (essentielle/importante ?)
T2 2026 Maturité du SMSI, analyse des risques, catalogue de mesures
T2 2026 Désigner l'équipe de réponse aux incidents + définir les processus
T3 2026 Documenter la formation de l'organe de direction, exercice sur table
T3 2026 Canaux : alerte précoce (24 h), notification (72 h) et rapport final
Oct 2026 Applicabilité, enregistrement (3 mois), autodéclaration (12 mois)
```

Comme l'autorité de cybersécurité ne sanctionne pas elle-même, c'est l'autorité administrative de district compétente qui mène la procédure de sanction administrative en cas d'infraction (§ 44, al. 1). Le fournisseur d'énergie documente donc tout, sans lacune, dès le départ : procès-verbaux d'acceptation des risques, attestations de formation et tests de réponse aux incidents. Cette chaîne de preuves constitue le cœur pratique de toute analyse d'applicabilité.

Ce que les entreprises doivent faire maintenant

La loi s'applique depuis le 1er octobre 2026 et les premiers délais courent. Voici les étapes à mener :

• Périmètre et auto-classification sur la base des 18 secteurs et des critères de taille et d'activité, documentés et traçables.
• Enregistrement auprès de l'autorité de cybersécurité dans les trois mois suivant l'entrée en vigueur (§ 29, al. 3, NISG 2026).
• Mise en place ou montée en maturité du SMSI, socle organisationnel des mesures de gestion des risques.
• Autodéclaration des mesures de gestion des risques mises en œuvre dans les douze mois suivant la naissance de l'obligation d'enregistrement (§ 33, al. 1, NISG 2026). Sur demande de l'autorité, la mise en œuvre doit être prouvée par l'audit d'un organisme indépendant ; la première demande est possible au plus tôt à partir du 1er octobre 2028 (§ 33, al. 2).
• Équipe de réponse aux incidents : la désigner, définir les canaux de notification, tester les processus de réaction. Les incidents importants sont signalés au CSIRT compétent sous forme d'alerte précoce sous 24 heures et de notification sous 72 heures ; le rapport final suit au plus tard un mois après la notification (§ 34 NISG 2026).
• Impliquer les organes de direction : ils supervisent le respect des mesures de gestion des risques et suivent des formations en cybersécurité, le tout documenté (§ 31 NISG 2026).
• Vérifier la structure du groupe, car les entreprises liées sont en principe prises en compte pour les seuils de taille (§ 25 NISG 2026).

Remarque : cet article est une synthèse rédactionnelle spécialisée et ne constitue pas un conseil juridique. L'applicabilité concrète, l'auto-classification correcte et les différentes obligations découlant de la NISG 2026 doivent être vérifiées avec des conseillers juridiques qualifiés. L'autorité de cybersécurité a déjà précisé les exigences relatives aux mesures de gestion des risques : le NISV 2026 (BGBl. II Nr. 290/2026) du 1er octobre 2026 étend les exigences de gestion des risques du règlement d'exécution (UE) 2024/2690 (art. 2 et son annexe) aux types d'entités essentielles et importantes des annexes 1 et 2 de la NISG 2026 que le règlement d'exécution lui-même ne couvre pas (§ 2). Il fixe en outre des critères selon lesquels un incident de cybersécurité est en tout état de cause considéré comme important (§ 5).

Pour les agences et les décideurs B2B

Pour les décideurs B2B en Europe, ce sont surtout les délais en cours qui comptent désormais ; la classification et la documentation incombent à l'entreprise elle-même. Toute entreprise qui exploite des chaînes d'approvisionnement en Autriche ou détient des filiales autrichiennes devrait vérifier rapidement si celles-ci sont concernées, car les entreprises liées sont en principe prises en compte pour les seuils de taille. Les agences marketing et digitales qui accompagnent des clients réglementés des 18 secteurs devraient intégrer leur propre rôle de prestataire dans la chaîne d'approvisionnement et traduire proprement dans leurs contrats les exigences de cybersécurité et de reporting. Blck Alpaca aide les entreprises à rendre compréhensibles des sujets de conformité comme la NISG 2026 et à les traduire en structures de contenu, de connaissances et de communication : de façon factuelle, à jour et sans prétention juridique.