Aktualisiert: September 2026. Das NISG 2026 ist seit 1. Jänner 2026 in Kraft, die operativen Pflichten gelten ab 1. Oktober 2026, die Registrierung läuft bis 31. Dezember 2026.
Österreich hat NIS2 mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt. Rund 5.000 Unternehmen sind direkt reguliert, geschätzt 50.000 weitere über ihre Lieferketten. Die Dringlichkeit ist nicht theoretisch: 2026 traf eine Ransomware-Welle österreichische Gemeinden, darunter Langenzersdorf, Krieglach, Maria Enzersdorf, Tulln und Korneuburg, mit tagelang stillstehenden Bürgerservices.
Der Countdown: was ab 1. Oktober 2026 gilt
| Frist | Pflicht |
|---|---|
| 1. Jänner 2026 | NISG 2026 in Kraft, neues Bundesamt für Cybersicherheit als Aufsichtsbehörde |
| 1. Oktober 2026 | Operative Pflichten: Risikomanagement-Maßnahmen, Meldepflichten (24 Stunden Erstmeldung, 72 Stunden Folgemeldung), Governance-Pflichten der Geschäftsleitung |
| 31. Dezember 2026 | Registrierung als wesentliche oder wichtige Einrichtung |
| 30. September 2027 | Selbstdeklaration über die Umsetzung der Maßnahmen |
Sind wir betroffen?
Prüfen Sie drei Punkte:
- Größe: ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz in einem der 18 Sektoren (unter anderem Energie, Verkehr, Gesundheit, Lebensmittel, verarbeitendes Gewerbe und Maschinenbau, Chemie, Abfall, Post, digitale Infrastruktur).
- Rolle: Managed Service Provider und Managed Security Service Provider sind ausdrücklich erfasst.
- Lieferkette: auch ohne direkte Regulierung verlangen regulierte Kunden Sicherheitsnachweise von ihren Lieferanten. Das trifft die meisten KMU zuerst.
Welche Strafen drohen?
Bis zu 10 Mio. EUR oder 2 Prozent des weltweiten Umsatzes für wesentliche Einrichtungen, bis zu 7 Mio. EUR oder 1,4 Prozent für wichtige Einrichtungen. Dazu kommt die persönliche Verantwortung der Geschäftsleitung: Cybersicherheit ist unter dem NISG 2026 nicht delegierbar, Schulungspflicht inklusive. Für Geschäftsführer ist das Gesetz damit Chefsache, nicht IT-Thema.
Was Sie bis Oktober noch schaffen können
- Betroffenheitsprüfung dokumentieren (Sektor, Größe, Lieferkettenrolle).
- Lückenanalyse gegen die Maßnahmenliste: Risikoanalyse, Incident-Handling, Backup und Wiederherstellung, MFA, Verschlüsselung, Lieferantenprüfung.
- Meldeprozess aufsetzen: wer meldet was binnen 24 Stunden an wen.
- Registrierung vorbereiten (Fristende 31.12.2026).
- Monitoring klären: ohne 24/7-Überwachung sind die Meldefristen praktisch nicht einhaltbar.
Warum ITSECOPS: wir sind Partner aller marktüblichen Security-Hersteller, dadurch kosten EDR, MDR, Backup und Microsoft-365-Lizenzen über uns in der Regel weniger als im Direktbezug. Preise zeigen wir offen statt hinter einem Vertriebsgespräch: vergleichen Sie selbst mit unserem Preisvergleich für Security-Lösungen, dem Security-Stack-Empfehlungstool und dem Lizenz-Empfehlungstool für Microsoft 365 und Google Workspace (Tools auf Englisch). Dazu betreiben wir 24/7 SOC, MDR und SIEM, auf Wunsch als Open-Source-SIEM (Wazuh, Elastic), das ab etwa 50 GB Logdaten pro Tag die Jahreskosten gegenüber kommerziellen SIEM deutlich senkt.
Kostenloses NISG-2026-Erstgespräch buchen
Häufige Fragen
Gilt das NISG 2026 auch für Unternehmen unter 50 Mitarbeitern?
Direkt meist nicht, indirekt oft ja: regulierte Kunden müssen ihre Lieferkette absichern und verlangen entsprechende Nachweise. Einzelne kritische Anbieter können zudem unabhängig von der Größe erfasst sein.
Was muss bis 1. Oktober 2026 umgesetzt sein?
Die operativen Pflichten: Risikomanagement-Maßnahmen, funktionierende Meldewege (24 und 72 Stunden) und die Governance-Verantwortung der Geschäftsleitung. Die Registrierung selbst hat bis 31. Dezember 2026 Zeit.
Haftet der Geschäftsführer persönlich?
Ja, das NISG 2026 verankert die Verantwortung der Geschäftsleitung ausdrücklich, inklusive Schulungspflicht. Die Umsetzung kann beauftragt, die Verantwortung nicht abgegeben werden.
Was kostet die Umsetzung für ein KMU?
Weniger als viele erwarten, wenn Monitoring und Tools über Partnerschaften eingekauft werden: ein ausgelagertes 24/7 SOC kostet einen Bruchteil eines eigenen Teams, dessen Vollkosten jährlich sechsstellig sind. Eine konkrete Richtpreis-Kalkulation erhalten Sie von uns binnen 24 Stunden.