NIS2 in Österreich: Betrifft das meine Firma?

• Das NISG 2026 setzt die EU-Richtlinie NIS2 in Österreich um und gilt seit 1. Oktober 2026.
• Betroffen sind vor allem Betriebe ab 50 Mitarbeitenden in bestimmten Branchen, etwa Energie, Gesundheit, Verkehr, Lebensmittel oder Herstellung von Waren.
• Betroffene Betriebe müssen sich beim Bundesamt für Cybersicherheit registrieren, am sichersten bis Ende Dezember 2026.
• Die meisten kleinen Betriebe sind nicht direkt betroffen. Wer ein betroffenes Unternehmen beliefert, kann aber neue Anforderungen im Vertrag bekommen.

NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit in wichtigen Branchen. Jedes EU-Land muss sie in ein eigenes Gesetz übertragen. In Österreich ist das das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026.

Das Gesetz wurde am 23. Dezember 2025 im Bundesgesetzblatt veröffentlicht (BGBl. I Nr. 94/2025) und gilt seit 1. Oktober 2026. Eine allgemeine Übergangsfrist gibt es nicht. Zuständig ist das Bundesamt für Cybersicherheit.

Ein Betrieb fällt in der Regel unter das Gesetz, wenn zwei Dinge zusammenkommen: Er ist in einer der genannten Branchen tätig, und er ist mindestens mittelgroß.

Die Branchen

Das Gesetz nennt 18 Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für andere Unternehmen, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, chemische Stoffe, Lebensmittel, verarbeitendes Gewerbe und Herstellung von Waren, Anbieter digitaler Dienste sowie Forschung.

Welche Tätigkeiten genau dazugehören, steht in den Anlagen 1 und 2 des Gesetzes. Ein Blick hinein lohnt sich, weil manche Sektoren nur bestimmte Bereiche umfassen.

Die Größe

Mittelgroß ist ein Betrieb ab 50 Mitarbeitenden. Mittelgroß ist er auch, wenn sowohl der Jahresumsatz als auch die Bilanzsumme über 10 Millionen Euro liegen. Als groß gilt ein Betrieb ab 250 Mitarbeitenden oder mit mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme (§ 25).

Bei Unternehmensgruppen zählen die Zahlen verbundener Unternehmen grundsätzlich mit. Das gilt nicht, wenn ein Betrieb bei seiner IT organisatorisch, technisch und betrieblich unabhängig von den anderen ist.

Wann die Größe keine Rolle spielt

Einige Anbieter fallen unabhängig von ihrer Größe unter das Gesetz. Dazu gehören Vertrauensdiensteanbieter, etwa für elektronische Signaturen, DNS-Diensteanbieter, Registrierungsstellen für Top-Level-Domains, Anbieter öffentlicher Kommunikationsnetze und Kommunikationsdienste sowie die Bundesverwaltung. Außerdem kann die Behörde einen kleineren Betrieb per Bescheid einstufen, zum Beispiel wenn er in Österreich als einziger einen unverzichtbaren Dienst anbietet (§ 24 und § 26).

Eine Arztpraxis mit acht Mitarbeitenden gehört zwar zum Gesundheitswesen, liegt aber deutlich unter der Größengrenze. Sie ist nicht direkt betroffen.

Eine Steuerberatungskanzlei oder ein Installateurbetrieb kommt in keinem der Sektoren vor. Auch hier gilt das Gesetz nicht direkt.

Ein Lebensmittelproduzent mit 60 Mitarbeitenden kann dagegen betroffen sein und sollte anhand der Anlagen genau prüfen, ob seine Tätigkeit erfasst ist.

Betroffene Betriebe sind entweder „wesentliche“ oder „wichtige“ Einrichtungen. Welche Einstufung gilt, hängt von Branche und Größe ab.

Die Pflichten sind weitgehend gleich. Der Unterschied liegt in der Aufsicht: Bei wesentlichen Einrichtungen darf die Behörde jederzeit prüfen, bei wichtigen nur, wenn es Hinweise auf Verstöße gibt. Auch die Höchststrafen sind unterschiedlich.

Registrieren

Betroffene Betriebe müssen sich innerhalb von drei Monaten ab Inkrafttreten registrieren (§ 29), also grundsätzlich bis 1. Jänner 2027. Das Bundesamt für Cybersicherheit nennt in seinen FAQ den 31. Dezember 2026 und als spätesten Termin den 4. Jänner 2027, die WKO den 31. Dezember 2026. Am sichersten ist es, die Registrierung noch im Dezember zu erledigen.

Die Registrierung läuft online über die NIS2-Services im Unternehmensserviceportal (USP). Anzugeben sind unter anderem Name und Kontaktdaten, Sektor und Art der Einrichtung, die EU-Länder, in denen der Betrieb Dienste anbietet, und eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse. Wer sich nicht rechtzeitig registriert, riskiert bis zu 50.000 Euro Strafe, im Wiederholungsfall bis zu 100.000 Euro.

Sicherheitsmaßnahmen umsetzen

Das Gesetz verlangt geeignete und verhältnismäßige Maßnahmen für die Sicherheit der IT (§ 32). Dazu gehören:

• eine Risikoanalyse und Sicherheitskonzepte
• ein Plan für den Umgang mit Sicherheitsvorfällen
• Backups, Wiederherstellung und ein Notfallplan, damit der Betrieb weiterläuft
• Sicherheit in der Lieferkette, also auch bei Dienstleistern und Zulieferern
• Sicherheit bei Kauf, Entwicklung und Wartung von Systemen, einschließlich dem Umgang mit Schwachstellen
• regelmäßige Prüfung, ob die Maßnahmen wirken
• grundlegende Sicherheitsregeln im Alltag und Schulungen
• Verschlüsselung
• Regeln für Personal und Zugriffsrechte sowie eine Übersicht über Geräte und Systeme
• Anmeldung mit mehreren Faktoren und abgesicherte Kommunikation, auch für Notfälle

Was verhältnismäßig ist, hängt von Größe, Risiko und den möglichen Folgen eines Vorfalls ab. Genauere Vorgaben enthält die NIS-Verordnung 2026 (BGBl. II Nr. 290/2026).

Geschäftsführung einbinden

Die Geschäftsführung ist dafür verantwortlich, dass die Maßnahmen umgesetzt werden, und muss selbst an Schulungen zur Cybersicherheit teilnehmen. Den Mitarbeitenden müssen regelmäßig Schulungen angeboten werden (§ 31).

Vorfälle melden

Erhebliche Sicherheitsvorfälle müssen gemeldet werden (§ 34). Innerhalb von 24 Stunden ist eine Frühwarnung fällig, innerhalb von 72 Stunden eine Meldung mit einer ersten Bewertung und spätestens einen Monat nach dieser Meldung ein Abschlussbericht. Erheblich ist ein Vorfall zum Beispiel, wenn er den Betrieb schwer stört oder hohen finanziellen Schaden verursacht.

Nachweisen

Betroffene Betriebe müssen innerhalb von zwölf Monaten nach Beginn der Registrierungspflicht eine Selbstdeklaration zu ihren Maßnahmen abgeben, laut WKO bis 30. September 2027. Eine unabhängige Prüfung kann die Behörde frühestens zwei Jahre nach Inkrafttreten verlangen (§ 33).

Strafen

Wesentlichen Einrichtungen drohen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Bei wichtigen Einrichtungen sind es bis zu 7 Millionen Euro oder 1,4 % (§ 45).

Kleine Betriebe merken NIS2 am ehesten über ihre Kunden. Betroffene Unternehmen müssen auch die Sicherheit ihrer Lieferkette absichern. Laut Bundesamt für Cybersicherheit reicht dafür ein pauschaler Hinweis auf das Gesetz in den Geschäftsbedingungen nicht aus. Verträge sollen zum Beispiel Sicherheitsanforderungen, die Meldung von Vorfällen, Prüfrechte, Subunternehmer und den Ausstieg regeln.

Das betrifft vor allem Dienstleister, die mit der IT des Kunden zu tun haben, etwa IT-Dienstleister, Softwareanbieter oder Wartungsfirmen. Schickt dir ein großer Kunde einen Fragebogen zur IT-Sicherheit oder neue Vertragsklauseln, kann NIS2 der Grund sein. Direkt verpflichtet das Gesetz Zulieferer aber nicht.

Ob ein Betrieb betroffen ist, muss er selbst prüfen. Eine erste, unverbindliche Einschätzung gibt der Online-Ratgeber der WKO. Er fragt Branche, Größe und Tätigkeit ab.

Bei Grenzfällen, etwa in Unternehmensgruppen oder wenn die Branche nicht eindeutig ist, helfen die Wirtschaftskammer oder deine Rechtsberatung weiter.

Auch wenn dein Betrieb nicht unter das Gesetz fällt, sind viele der Maßnahmen sinnvoll. Die meisten Probleme entstehen nicht durch raffinierte Angriffe, sondern durch Liegengebliebenes: fehlende Updates, geteilte Passwörter oder alte Zugänge ehemaliger Mitarbeiter. Mit wenigen Grundlagen ist schon viel gewonnen:

• Updates regelmäßig einspielen
• Zwei-Faktor-Anmeldung für E-Mail und wichtige Konten
• Backups, die sich im Ernstfall auch wirklich zurückspielen lassen
• ein Überblick, wer worauf Zugriff hat

Diese Grundlagen richte ich in der IT-Betreuung für Praxen, Kanzleien und Betriebe in Wien und Wiener Neustadt ein.

• NISG 2026, BGBl. I Nr. 94/2025 (RIS)
• NISV 2026, BGBl. II Nr. 290/2026 (RIS)
• Bundesamt für Cybersicherheit: Registrierung
• Bundesamt für Cybersicherheit: Häufige Fragen zum Anwendungsbereich
• Bundesamt für Cybersicherheit: Häufige Fragen zur Lieferkette
• WKO-Ratgeber NISG 2026 und NIS-2
• WKO: NIS2 im Überblick

Stand: 13. November 2026. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.