Was ist NIS2 und warum gibt es das NISG 2026?
Cyberangriffe sind längst kein Ausnahmeereignis mehr. Ransomware, Phishing, kompromittierte Zugangsdaten oder Angriffe über Dienstleister können innerhalb kürzester Zeit wesentliche Geschäftsprozesse lahmlegen. Mit der europäischen NIS2-Richtlinie soll deshalb die Cyberresilienz in der Europäischen Union deutlich erhöht und insbesondere die Fähigkeit von Unternehmen und öffentlichen Einrichtungen verbessert werden, Sicherheitsvorfälle zu verhindern, zu bewältigen und darauf zu reagieren.
Österreich setzt diese Vorgaben mit dem NISG 2026 um.
Während das bisherige NISG 2018 nur einen vergleichsweise kleinen Kreis von Unternehmen erfasst, wird der Anwendungsbereich nun erheblich ausgeweitet. Rund 4.000 Unternehmen und Einrichtungen in Österreich sollen unmittelbar betroffen sein.
Erfasst werden – abhängig von Tätigkeit und Unternehmensgröße – unter anderem Unternehmen aus den Bereichen Energie, Verkehr, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IKT-Dienste, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe, digitale Dienste und Forschung.
Auch Unternehmen, die nicht unmittelbar unter das NISG 2026 fallen, können mittelbar betroffen sein: Die Sicherheit der Lieferkette ist ausdrücklich Teil des verpflichtenden Risikomanagements. NIS2-relevante Unternehmen werden daher auch ihre Dienstleister und Lieferanten zunehmend in ihre Cybersecurity-Anforderungen einbeziehen.
1. Oktober 2026: Ab dann müssen die zentralen Pflichten erfüllt sein
Ein besonders wichtiger Punkt wird derzeit häufig übersehen: Für die zentralen Pflichten besteht keine allgemeine Übergangsfrist nach dem 1. Oktober 2026. Ab diesem Tag müssen betroffene Unternehmen insbesondere die vorgeschriebenen Risikomanagementmaßnahmen einhalten und die gesetzlichen Meldepflichten bei erheblichen Cybersicherheitsvorfällen beachten. Dass für andere Pflichten spätere Fristen vorgesehen sind – insbesondere für die Registrierung und Selbstdeklaration – ändert daran nichts.
Wer mit der Umsetzung erst am 1. Oktober beginnt, beginnt daher zu spät.
Geschäftsleitung muss ebenfalls geschult sein
Besonders relevant für die verbleibenden Wochen: § 31 Abs 2 NISG 2026 sieht eine eigene Schulungspflicht für Leitungsorgane vor. Und eine allgemeine Cyber-Awareness-Schulung für Mitarbeiter reicht dafür nicht aus.
Geschäftsführer und Vorstände müssen an spezifisch für Leitungsorgane gestalteten Cybersicherheitsschulungen teilnehmen. Dabei geht es gerade darum, ihnen jene Kenntnisse zu vermitteln, die sie benötigen, um Cyberrisiken beurteilen und ihrer gesetzlichen Verantwortung für das Risikomanagement nachkommen zu können. Die Teilnahme sollte entsprechend dokumentiert werden.
Bei mehreren Geschäftsführern genügt es auch nicht, lediglich den für IT zuständigen Geschäftsführer zu schulen. Die Schulungspflicht trifft grundsätzlich jedes Mitglied des Leitungsorgans.F ür Unternehmen, die ihre Geschäftsleitung bislang noch nicht entsprechend geschult haben, sollte dieser Punkt daher auf der September-Agenda ganz oben stehen.
Welche NIS2-Pflichten müssen Unternehmen konkret umsetzen?
Zu den zentralen Maßnahmen gehören insbesondere:
- Risikoanalyse und Informationssicherheit: Unternehmen benötigen Konzepte zur Analyse ihrer Cyberrisiken und zur Sicherheit ihrer Netz- und Informationssysteme – einschließlich klarer Rollen, Verantwortlichkeiten und Zuständigkeiten.
- Incident Response: Es müssen Prozesse bestehen, um Cybersicherheitsvorfälle zu erkennen, zu bewerten, einzudämmen und zu bewältigen.
- Business Continuity und Krisenmanagement: Dazu gehören insbesondere Backup-Management, Wiederherstellungsprozesse und Notfall- und Krisenpläne.
- Sicherheit der Lieferkette: Auch Cyberrisiken bei unmittelbaren Lieferanten und Dienstleistern müssen berücksichtigt werden.
- Sicherheit von IT-Systemen: Sicherheitsanforderungen müssen beim Erwerb, bei der Entwicklung und bei der Wartung von Netz- und Informationssystemen berücksichtigt werden. Dazu gehört auch der Umgang mit Schwachstellen.
- Kontrolle der Wirksamkeit: Unternehmen müssen Verfahren vorsehen, mit denen überprüft wird, ob ihre Sicherheitsmaßnahmen tatsächlich funktionieren.
- Cyberhygiene und Schulungen: Mitarbeiter müssen regelmäßig sensibilisiert und geschult werden. Für Leitungsorgane gelten – wie dargestellt – eigene Schulungsanforderungen.
- Kryptografie und Verschlüsselung: Unternehmen müssen entsprechende Konzepte und Verfahren vorsehen, soweit dies erforderlich ist.
- Zugriffs- und Berechtigungsmanagement: Personalsicherheit, Zugriffskontrollen und das Management von IT-Assets müssen strukturiert geregelt werden.
- Multi-Faktor-Authentifizierung und sichere Kommunikation: Wo erforderlich, sind insbesondere Lösungen zur Multi-Faktor- oder kontinuierlichen Authentifizierung sowie sichere Kommunikationssysteme einzusetzen.
Welche Maßnahmen konkret angemessen sind, hängt vom jeweiligen Unternehmen und dessen Risikoprofil ab. Zu berücksichtigen sind insbesondere der Stand der Technik, die Risikoexposition, die Größe des Unternehmens sowie Wahrscheinlichkeit und mögliche Auswirkungen eines Sicherheitsvorfalls.
Der Ernstfall: 24 Stunden können plötzlich sehr kurz sein
NIS2 beschäftigt sich aber nicht nur damit, wie Cyberangriffe verhindert werden sollen. Unternehmen müssen auch organisatorisch darauf vorbereitet sein, wenn ein Angriff tatsächlich passiert.
Bei einem erheblichen Cybersicherheitsvorfall sieht das NISG 2026 ein mehrstufiges Meldeverfahren vor. Eine erste Frühwarnung muss grundsätzlich unverzüglich und innerhalb von 24 Stunden erfolgen. Innerhalb von 72 Stunden folgt eine weitere Meldung mit einer ersten Bewertung des Vorfalls und seiner Auswirkungen. Spätestens einen Monat nach der Frühwarnung ist grundsätzlich ein Abschlussbericht vorgesehen.
Gerade diese kurzen Fristen zeigen, weshalb Incident Response nicht erst während eines Ransomware-Angriffs organisiert werden kann. Unternehmen sollten bereits vor einem Vorfall wissen: Wer entscheidet? Wer informiert die Geschäftsleitung? Wer kommuniziert mit IT-Forensikern, Behörden, Versicherungen und externen Beratern? Welche Meldepflichten bestehen nach dem NISG 2026 – und liegt gleichzeitig etwa ein nach der DSGVO meldepflichtiges Data Breach vor?
Welche Fristen sollten Unternehmen jetzt kennen?
Der 1. Oktober 2026 ist die entscheidende operative Deadline: Ab diesem Zeitpunkt gelten insbesondere die Risikomanagementmaßnahmen und Meldepflichten; auch die Verantwortung und Schulungspflichten der Leitungsorgane sind zu beachten.
Danach folgen weitere Fristen. Die Registrierung wesentlicher und wichtiger Einrichtungen muss innerhalb von drei Monaten erfolgen, somit bis Ende Dezember 2026. Die Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen ist anschließend innerhalb der gesetzlich vorgesehenen Frist zu übermitteln. Diese späteren Nachweis- und Registrierungstermine dürfen aber nicht mit einer Übergangsfrist für die eigentlichen Cybersecurity-Pflichten verwechselt werden.
Was sollten Unternehmen im September noch erledigen?
Der verbleibende Monat sollte für einen gezielten NIS2-Readiness-Check genutzt werden.
Zunächst muss geklärt sein, ob und in welcher Kategorie das Unternehmen vom NISG 2026 erfasst wird. Anschließend sollte überprüft werden, welche der erforderlichen technischen, organisatorischen und rechtlichen Maßnahmen bereits umgesetzt und dokumentiert sind und wo noch Lücken bestehen.
Besonderes Augenmerk sollte dabei auf der Governance liegen: Sind Verantwortlichkeiten definiert? Sind Incident-Response- und Meldeprozesse eingerichtet? Wurde die Lieferkette berücksichtigt? Sind die erforderlichen Schulungsprogramme vorhanden?
Und vor allem: Sind sämtliche Mitglieder der Geschäftsleitung bereits NIS2-konform geschult?
Denn ab 1. Oktober 2026 ist Cybersecurity endgültig nicht mehr nur IT-Thema. Sie wird zur Leitungsaufgabe.
NIS2-Umsetzung und Schulung der Leitungsorgane
Wir unterstützen Unternehmen bei der rechtlichen Umsetzung des NISG 2026 – von der Prüfung der Betroffenheit und einem NIS2-Gap-Check über Governance, interne Richtlinien und Incident-Response-Prozesse bis zur Vorbereitung auf Meldepflichten und den Cyber-Ernstfall.
Ein besonderer Schwerpunkt liegt auf praxisorientierten NIS2-Schulungen für Geschäftsführer und Vorstände. Dabei geht es nicht darum, aus Leitungsorganen IT-Security-Experten zu machen. Sie müssen vielmehr verstehen, welche Verantwortung sie tragen, welche Entscheidungen sie treffen müssen und woran sie erkennen, ob ihr Unternehmen auf einen Cyberangriff tatsächlich vorbereitet ist und welche mögliche Haftungen sie treffen können, soweit die gesetzlichen Vorgaben nicht eingehalten werden.
Für eine individuelle Beratung stehen Ihnen Anela Blöch und ihr Team unter der Telefonnummer 01 3912345 oder per E-Mail bloech@atb.law gerne zur Verfügung.
