NISG-2026-Hub Österreich

NIS2 in Österreich: Was das NISG 2026 jetzt verlangt

Seit 01.10.2026 gilt das Netz- und Informationssystemsicherheitsgesetz 2026. Hier finden Sie Betroffenheit, Fristen, Pflichten und unser Vorgehen – kompakt und mit Quellen.

Zuletzt aktualisiert:

Kostenfreien Ersttermin buchenSchnellcheck starten

Kurz beantwortet

Was bedeutet NIS2 für Unternehmen in Österreich?

In Österreich wird die NIS-2-Richtlinie durch das umgesetzt, das am 01.10.2026 in Kraft getreten ist. Betroffen sind vor allem mittlere und große Einrichtungen in kritischen Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur oder Herstellung von Waren. Sie müssen sich bis 01.01.2027 über „NIS 2 Services“ im Unternehmensserviceportal registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Cybersicherheitsvorfälle melden. Zuständig ist das Bundesamt für Cybersicherheit.

Fristen, die jetzt zählen

01.01.2027Registrierungsfrist NISG 2026

  • In Kraft01.10.2026

    NISG 2026 gilt

    Seit 01.10.2026; ab diesem Zeitpunkt gelten auch die Meldepflichten.

  • Registrierung01.01.2027

    Frist 01.01.2027

    Registrierung über „NIS 2 Services“ im Unternehmensserviceportal.

  • Frühwarnung24 h

    Nach Kenntnis eines erheblichen Vorfalls

    An das zuständige Computer-Notfallteam (CSIRT).

  • Vorfallmeldung72 h

    Mit erster Bewertung

    Schweregrad, Auswirkungen, ggf. Kompromittierungsindikatoren.

Schnellcheck

Bin ich betroffen? In drei Klicks zur ersten Einschätzung.

Sektor, Größe und Lieferkette – die Auswertung erfolgt nur in Ihrem Browser. Es werden keine Eingaben gespeichert oder übertragen.

Alle Kriterien im Detail

Ihr Weg durch das NISG 2026

Drei Fragen bestimmen, was auf Ihr Unternehmen zukommt: Bin ich betroffen? Welche Maßnahmen brauche ich? Wie registriere und melde ich?

Schritt 1

Betroffenheit prüfen

Sektoren, Unternehmensgröße und Sonderfälle – mit Orientierungsfragen, die keine Daten speichern.

Schritt 2

Maßnahmen umsetzen

Risikomanagement in 11 Paketen: von Risikoanalyse und Incident Response bis zu MFA und sicherer Kommunikation.

Schritt 3

Registrieren & melden

USP-Zugang, ID Austria, Rollen, Meldefristen und Aufsicht – was Sie organisatorisch vorbereiten müssen.

Pflichten betroffener Einrichtungen

  • Registrierung über „NIS 2 Services“ im Unternehmensserviceportal – bis 01.01.2027.
  • Risikomanagementmaßnahmen technischer, operativer und organisatorischer Art, inklusive Sicherheit der Lieferkette.
  • Meldung erheblicher Cybersicherheitsvorfälle – gestaffelt von der Frühwarnung bis zum Abschlussbericht.
  • Verantwortung der Leitungsorgane für die Umsetzung und Überwachung der Maßnahmen.
  • Aufsicht durch das Bundesamt für Cybersicherheit, bei Verstößen mit Sanktionen.

Vorbereitung laut USP

  1. Zugang zum Unternehmensserviceportal (Mein USP) sicherstellen.
  2. Für alle handelnden Personen eine ID Austria bereithalten.
  3. Festlegen, wer registrieren und wer melden darf – Rollen „NIS Gesamt“, „NIS Registrierung“, „NIS Meldung“.
  4. Angaben nach § 29 Abs. 2 NISG 2026 vorbereiten, insbesondere zur Unternehmensgröße (§ 25).
  5. Bei externer Unterstützung Vollmachten im USP einrichten.

Unser Vorgehen

Von der Analyse bis zur Umsetzung – mit einem Team

Persönlicher Austausch statt generischer Beratung: Wir lenken den Blick auf das Wesentliche und wählen mit Ihnen den effizientesten Weg.

  1. Betroffenheit klären

    Sektor, Größe und Sonderfälle prüfen; Einstufung als wesentliche oder wichtige Einrichtung vorbereiten.

  2. Status erheben

    GAP- und Risikoanalyse gegen die Risikomanagementmaßnahmen, technische Checks wie Schwachstellen-Scans.

  3. Maßnahmen planen

    Priorisierter Maßnahmenplan aus Software- und Beratungsbausteinen, inklusive Fördermöglichkeiten.

  4. Umsetzen & melden

    Registrierung, Meldeprozess, Incident Response, Schulungen und laufender Betrieb – auf Wunsch als Managed Service.

Aufsicht und Sanktionen

Das NISG 2026 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht, wichtige Einrichtungen einer nachträglichen Aufsicht – etwa bei Hinweisen auf Verstöße.

Die NIS-2-Richtlinie sieht Geldbußen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis zu 7 Mio. Euro oder 1,4 % (wichtige Einrichtungen) vor – je nachdem, welcher Betrag höher ist. Maßgeblich für Österreich ist der Gesetzestext des NISG 2026.

Bei einem Vorfall

Bei einem Sicherheitsvorfall oder konkreten Verdacht können Sie uns über unsere regulären Kontaktwege erreichen. Wir klären gemeinsam, welche Unterstützung wir leisten können und ob weitere Spezialisten erforderlich sind. Für betroffene Einrichtungen gilt zusätzlich die Meldepflicht an das zuständige Computer-Notfallteam.

Meldepflichten im Detail

Passende Leistungen und Fachartikel

Leistung

ISMS nach ISO 27001

Ein ISMS schafft die organisatorische Grundlage für viele NIS2-Anforderungen.

Häufige Fragen zum NISG 2026

Seit wann gilt das NISG 2026?
Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist am 01.10.2026 in Kraft getreten. Es setzt die NIS-2-Richtlinie der EU in Österreich um. Die Meldepflichten gelten ab dem Inkrafttreten.
Bis wann müssen sich betroffene Einrichtungen registrieren?
Laut Unternehmensserviceportal (USP) ist die Registrierung bis zum 01.01.2027 vorzunehmen – über die Anwendung „NIS 2 Services“ im USP.
Was brauche ich für die Registrierung im USP?
Einen Zugang zu „Mein USP“, Benutzerinnen und Benutzer mit ID Austria sowie ein passendes Verfahrensrecht: „NIS Gesamt“, „NIS Registrierung“ oder „NIS Meldung“. Die Registrierungsangaben nach § 29 Abs. 2 NISG 2026 – insbesondere zur Unternehmensgröße nach § 25 – sollten vorab bereitliegen. Externe Unterstützer können über Vollmachten berechtigt werden.
Welche Behörde ist zuständig?
Das NISG 2026 sieht ein neues Bundesamt für Cybersicherheit vor, das dem Bundesministerium für Inneres nachgeordnet ist.
Bin ich als Zulieferer eines betroffenen Unternehmens auch betroffen?
Nicht automatisch. Betroffene Einrichtungen müssen aber die Sicherheit ihrer Lieferkette berücksichtigen. Zulieferer und IT-Dienstleister werden daher häufig vertraglich zu Sicherheitsmaßnahmen und Nachweisen verpflichtet.
Reicht eine ISO-27001-Zertifizierung für NIS2?
Ein ISMS nach ISO/IEC 27001 deckt viele organisatorische und technische Anforderungen ab und ist eine starke Grundlage. Es ersetzt aber nicht die gesetzlichen Pflichten wie Registrierung und Vorfallmeldung. Ein Abgleich zwischen ISMS und NISG 2026 ist empfehlenswert.
Sind Online-Betroffenheitsanalysen sicher?
Das USP rät zur Vorsicht bei Online-Angeboten, die sensible Unternehmensdaten abfragen. Unsere Betroffenheitsprüfung ist eine reine Leseorientierung und speichert keine Eingaben.

Stand: 30.10.2026. Diese Seite ersetzt keine Rechtsberatung; maßgeblich ist der Gesetzestext des NISG 2026.

NIS2 in Angriff nehmen

Klären Sie in einem kostenfreien Ersttermin, ob und wie stark Ihr Unternehmen vom NISG 2026 betroffen ist.

Ihre Ansprechperson

Ersttermin buchen Kontakt aufnehmen
NISG 2026 Netz- und Informationssystemsicherheitsgesetz 2026, die österreichische Umsetzung der EU-Richtlinie NIS2. In Kraft seit 01.10.2026; betroffene Einrichtungen müssen sich registrieren, Risikomanagement umsetzen und erhebliche Vorfälle melden.