NIS2 in Österreich: Betroffenheit nach dem NISG 2026

Was das NISG 2026 regelt

Österreich regelt die Pflichten zur Cybersicherheit seit 1. Oktober 2026 mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026). Es wurde am 23. Dezember 2025 im Bundesgesetzblatt I Nr. 94/2025 kundgemacht und trat nach § 51 Abs. 2 neun Monate später mit dem nächstfolgenden Monatsersten in Kraft. Es ersetzt das NISG 2018 samt Netz- und Informationssystemsicherheitsverordnung 2019 (§ 51 Abs. 1 und 2) und setzt die NIS2-Richtlinie (EU) 2022/2555 um.

Zuständige Behörde ist das Bundesamt für Cybersicherheit beim Bundesminister für Inneres (§ 3a Abs. 1 und 2). Das Gesetz unterscheidet wesentliche und wichtige Einrichtungen (§ 24) und erfasst daneben Einrichtungen, die Domänennamen-Registrierungsdienste erbringen (§§ 29 und 30). Die Pflichten nach §§ 31 bis 34 – Governance und Schulungen, Risikomanagementmaßnahmen, Selbstdeklaration mit Wirksamkeitsnachweis sowie die Meldung erheblicher Vorfälle samt Unterrichtung der Dienstempfänger – richten sich an wesentliche und wichtige Einrichtungen; wer allein Domänennamen-Registrierungsdienste erbringt, trifft die Registrierung nach § 29 und die Datenbankpflicht nach § 30, nicht aber die Pflichten nach §§ 31 bis 34. Nach § 27 sind die §§ 32 und 34 ferner nicht anzuwenden, soweit die Einrichtung als wesentliche oder wichtige Einrichtung aufgrund sektorspezifischer Rechtsakte der Europäischen Union zu gleichwertigen Risikomanagementmaßnahmen oder Vorfallmeldungen verpflichtet ist. Unterschiede zwischen wesentlichen und wichtigen Einrichtungen bestehen bei der Aufsicht (§ 38) und beim Nachweis der Umsetzung nach § 33 Abs. 2. Gegenüber wesentlichen Einrichtungen darf die Behörde die Maßnahmen nach § 38 Abs. 1 ergreifen: Kontrollen der Umsetzung der Risikomanagementmaßnahmen durch Einschau (Z 1), Sicherheitsscans (Z 2), die Anforderung von Informationen (Z 3) und von Zugang zu Daten und Dokumenten (Z 4) sowie Ad-hoc-Prüfungen (Z 5). Gegenüber wichtigen Einrichtungen darf sie Aufsichtsmaßnahmen nach § 38 Abs. 1 Z 1 bis 4 nur setzen, wenn sie durch Nachweise – insbesondere die Selbstdeklaration nach § 33 Abs. 1 – oder sonstige begründete Hinweise und Informationen davon Kenntnis erlangt, dass die Einrichtung ihren Verpflichtungen, insbesondere den §§ 32 und 34, mutmaßlich nicht nachkommt; die Ad-hoc-Prüfung nach Z 5 ist darin nicht enthalten (§ 38 Abs. 2).

Für wen das NISG 2026 gilt: Sektor und Größe

Über die Betroffenheit entscheiden zwei Merkmale zusammen: die Tätigkeit nach Anlage 1 oder 2 und die Unternehmensgröße nach § 25. Ein ERP-System allein begründet keine Betroffenheit, und die Branchenbezeichnung im Firmenbuch entscheidet nicht; maßgeblich ist die tatsächlich ausgeübte Tätigkeit. Für Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, treten die Pflichten nach § 29 und § 30 hinzu; § 29 Abs. 1 nennt sie neben den wesentlichen und wichtigen Einrichtungen des Registers. Die Pflichten nach §§ 31 bis 34 treffen nur, wer als wesentliche oder wichtige Einrichtung nach § 24 eingestuft ist; die §§ 32 und 34 sind nach § 27 nicht anzuwenden, soweit gleichwertige sektorspezifische Unionspflichten bestehen.

Sektor nach Anlage	Unternehmensgröße	Einstufung
Anlage 1: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), Öffentliche Verwaltung, Weltraum	groß	wesentliche Einrichtung, § 24 Abs. 1 Z 3
Anlage 1, dieselben Sektoren	mittel, sofern die Einrichtung nicht schon wesentlich ist	wichtige Einrichtung, § 24 Abs. 2 Z 1
Anlage 1, Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste	mittel	wesentliche Einrichtung, § 24 Abs. 1 Z 2
Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, chemische Stoffe, Lebensmittel, Verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung	groß oder mittel, sofern die Einrichtung nicht schon wesentlich ist	wichtige Einrichtung, § 24 Abs. 2 Z 1
Anlagen 1 und 2	klein	keine Einstufung als wesentliche oder wichtige Einrichtung nach § 24; die Pflichten nach §§ 31 bis 34 treffen nur wesentliche und wichtige Einrichtungen, wobei § 27 die §§ 32 und 34 zurücknimmt, soweit gleichwertige sektorspezifische Unionspflichten bestehen. Größenunabhängige Fälle nach § 24 Abs. 1 Z 1 und Abs. 2 Z 3 sowie eine Einstufung nach § 26 bleiben erfasst
kein Sektor der Anlagen 1 und 2, kein Domänennamen-Registrierungsdienst	jede Größe	keine Einstufung als wesentliche oder wichtige Einrichtung nach § 24; eine Einstufung nach § 26 trifft nach dessen Abs. 1 nur Einrichtungen der in den Anlagen 1 oder 2 genannten Art; die Pflichten nach §§ 31 bis 34 treffen nur wesentliche und wichtige Einrichtungen, wobei § 27 die §§ 32 und 34 zurücknimmt, soweit gleichwertige sektorspezifische Unionspflichten bestehen
Domänennamen-Registrierungsdienst (in keiner der Anlagen genannt)	jede Größe	im Register nach § 29 Abs. 1 erfasst; Registrierung nach § 29 Abs. 2 und Datenbank der Domänennamen-Registrierungsdaten nach § 30; §§ 31 bis 34 begründen ohne Einstufung nach § 24 keine Pflichten; § 27 nimmt die §§ 32 und 34 zusätzlich zurück, soweit gleichwertige sektorspezifische Unionspflichten bestehen

Ausgenommen sind nach § 24 Abs. 6 Einrichtungen der öffentlichen Verwaltung, deren Wirkungsbereiche überwiegend die nationale Sicherheit einschließlich der militärischen Landesverteidigung, die öffentliche Sicherheit oder die Strafverfolgung umfassen, sowie Einrichtungen des Universitäts-, Hochschul- und Schulwesens, der Gerichtsbarkeit und der Gesetzgebung und die Österreichische Nationalbank; auf Vertrauensdiensteanbieter ist dieser Absatz nach seinem Satz 2 nicht anzuwenden. Für Einrichtungen im Anwendungsbereich der Verordnung (EU) 2022/2554 gehen deren Bestimmungen vor (§ 24 Abs. 7). Nach § 27 sind die Anforderungen der §§ 32 und 34 insoweit nicht anwendbar, als die Einrichtung als wesentliche oder wichtige Einrichtung aufgrund sektorspezifischer unionsrechtlicher Bestimmungen zur Ergreifung von Risikomanagementmaßnahmen oder zur Meldung erheblicher Cybersicherheitsvorfälle verpflichtet ist (Z 1) und diese Bestimmungen ein zumindest gleichwertiges Cybersicherheitsniveau gewährleisten (Z 2); gleichwertig sind sie nach § 27 Abs. 2, wenn Inhalt, Umfang, Zweck und potenzielle Auswirkungen der zu ergreifenden Maßnahmen den Anforderungen des § 32 entsprechen und der sektorspezifische Rechtsakt einen unmittelbaren Zugang zu den Meldungen von Sicherheitsvorfällen durch die CSIRTs oder die Cybersicherheitsbehörde vorsieht sowie Umfang und Auswirkungen der vorgesehenen Berichtspflichten jenen des § 34 entsprechen. Die Cybersicherheitsbehörde informiert auf ihrer Webseite über diese Bestimmungen und das Ausmaß der Gleichwertigkeit; die §§ 31 und 33 nimmt § 27 nicht zurück.

Größenunabhängig gilt: Qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter sind unabhängig von der Größe wesentlich, sonstige Vertrauensdiensteanbieter wichtig (§ 24 Abs. 1 Z 1 lit. a bis c, Abs. 2 Z 3 lit. b). Einrichtungen der öffentlichen Verwaltung auf Bundesebene sind wesentlich, solche auf Landesebene wichtig (§ 24 Abs. 1 Z 1 lit. d, Abs. 2 Z 2). Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste sind als mittleres oder großes Unternehmen wesentlich (§ 24 Abs. 1 Z 2 und Z 3), als kleines Unternehmen wichtige Einrichtung (§ 24 Abs. 2 Z 3 lit. a). Neben den wesentlichen und wichtigen Einrichtungen erfasst das Gesetz die Einrichtungen, die Domänennamen-Registrierungsdienste erbringen: Sie gehören nach § 29 Abs. 1 in das Register der Einrichtungen und müssen sich nach § 29 Abs. 2 und 3 registrieren; nach § 30 haben sie eine eigene Datenbank der Domänennamen-Registrierungsdaten zu führen, Vorgaben und Verfahren für deren Richtigkeit einzurichten und öffentlich zugänglich zu machen, die nicht personenbezogenen Registrierungsdaten nach der Registrierung öffentlich zugänglich zu machen und Anträge auf Zugang zu den Daten binnen 72 Stunden nach Eingang zu beantworten. Domänennamen-Registrierungsdienste stehen in keiner der Anlagen 1 und 2; § 29 Abs. 1 nennt sie neben den wesentlichen und wichtigen Einrichtungen und verweist auf keine Größenklasse nach § 25.

Die Größe folgt § 25, der die Einstufung nach Art. 1 bis 6 des Anhangs der Empfehlung 2003/361/EG vorschreibt (§ 25 Abs. 1, ausgenommen Art. 3 Abs. 4 des Anhangs): Mittleres Unternehmen ist, wer mindestens 50 Mitarbeitende beschäftigt oder über 10 Millionen Euro Jahresumsatz und über 10 Millionen Euro Jahresbilanzsumme erzielt, sofern er nicht schon als großes Unternehmen gilt (§ 25 Abs. 3); groß ist, wer mindestens 250 Mitarbeitende beschäftigt oder über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Jahresbilanzsumme erzielt (§ 25 Abs. 2). Mitarbeitende zählen dabei als Jahresarbeitseinheiten: Wer nur einen Teil des Jahres oder in Teilzeit arbeitet, geht mit dem entsprechenden Bruchteil ein (Art. 5 des Anhangs); die Werte stammen aus dem letzten Rechnungsabschluss und werden auf Jahresbasis berechnet (Art. 4 Abs. 1 des Anhangs), und die Größenklasse wechselt erst, wenn eine Schwelle in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten wird (Art. 4 Abs. 2 des Anhangs). Daten verbundener Unternehmen werden nicht hinzugerechnet, wenn die Einrichtung bei ihren Netz- und Informationssystemen unabhängig ist (§ 25 Abs. 4). Eine Einstufung mit Bescheid aus den in § 26 Abs. 3 genannten Gründen betrifft nach § 26 Abs. 1 eine Einrichtung der in den Anlagen 1 oder 2 genannten Art, die wegen ihrer Größe nicht als wesentlich oder wichtig gilt, und hebt nach § 26 Abs. 2 eine wichtige Einrichtung in die wesentliche Einstufung. Das Gesetz gilt für Einrichtungen, die in Österreich niedergelassen sind (§ 28 Abs. 1); für Anbieter öffentlicher Kommunikationsnetze oder -dienste gilt es, sofern sie ihre Dienste in Österreich erbringen, und für Anbieter von DNS-, Cloud-, Rechenzentrums- und verwalteten Diensten sowie digitaler Dienste, sofern sie ihre Hauptniederlassung in Österreich haben oder in der Europäischen Union keinen Vertreter bestellt haben (§ 28 Abs. 2).

Beispielrechnung mit erfundenen Zahlen und zwei Annahmen: alle Beschäftigten arbeiten das ganze Jahr vollzeit, sodass die Zahl der Beschäftigten der Zahl der Jahresarbeitseinheiten entspricht, und die genannten Umsatzwerte sind unterstellt. Ein Maschinenbauer mit 60 Mitarbeitenden und 18 Millionen Euro Umsatz übt eine Tätigkeit nach NACE-Abteilung 28 aus (Anlage 2 Nr. 5 Buchstabe d) und ist mittleres Unternehmen: Er ist wichtige Einrichtung, sofern er nicht schon nach § 24 Abs. 1 als wesentlich gilt. Ein Hersteller von Metallwaren mit 30 Mitarbeitenden und 4 Millionen Euro Umsatz steht mit NACE-Abteilung 25 in keiner der beiden Anlagen und wird nicht erfasst; die Einstufung nach § 26 Abs. 1 setzt eine Einrichtung der in den Anlagen 1 oder 2 genannten Art voraus. Ein Zukauf auf 260 Mitarbeitende ändert daran nichts, solange die Tätigkeit in keiner Anlage steht.

Was Sie als Einrichtung tun müssen

Die Schritte richten sich unterschiedlich: Registrierung und Datenbank treffen die nach § 29 Abs. 1 erfassten Einrichtungen, die Pflichten nach §§ 31 bis 34 nur wesentliche und wichtige Einrichtungen; für die Schritte nach §§ 32 und 34 gilt der Vorbehalt des § 27, sie entfallen also, soweit gleichwertige Pflichten aus sektorspezifischen Rechtsakten der Europäischen Union bestehen.

1. Registrieren Sie sich als wesentliche oder wichtige Einrichtung oder als Einrichtung, die Domänennamen-Registrierungsdienste erbringt, bei der Cybersicherheitsbehörde mit den Angaben nach § 29 Abs. 2 und benennen Sie eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse (§ 29 Abs. 6).
2. Erbringen Sie Domänennamen-Registrierungsdienste, sammeln Sie die Domänennamen-Registrierungsdaten in einer eigenen Datenbank, richten Sie die Verfahren für deren Richtigkeit ein und machen Sie Vorgaben und Verfahren öffentlich zugänglich (§ 30 Abs. 1 bis 3); die Pflichten nach § 30 treffen auch TLD-Namenregister.
3. Setzen Sie als wesentliche oder wichtige Einrichtung geeignete und verhältnismäßige Risikomanagementmaßnahmen um (§ 32 Abs. 1 bis 3), soweit keine gleichwertigen sektorspezifischen Unionspflichten nach § 27 bestehen; § 32 Abs. 4 nennt zehn Inhalte, die jedenfalls dazugehören.
4. Stellen Sie als wesentliche oder wichtige Einrichtung sicher, dass die Leitungsorgane die Einhaltung beaufsichtigen und selbst an Schulungen teilnehmen; den Mitarbeitenden sind regelmäßig Schulungen anzubieten (§ 31).
5. Übermitteln Sie als wesentliche oder wichtige Einrichtung die Selbstdeklaration (§ 33 Abs. 1) und geben Sie geplante Prüfungen durch unabhängige Stellen einen Monat im Voraus bekannt (§ 33 Abs. 5).
6. Melden Sie als wesentliche oder wichtige Einrichtung erhebliche Cybersicherheitsvorfälle (§ 34 Abs. 1 und 2) und unterrichten Sie bei einer Beeinträchtigung Ihrer Dienste deren Empfänger (§ 34 Abs. 3), soweit keine gleichwertigen sektorspezifischen Unionspflichten nach § 27 bestehen.
7. Regeln Sie als wesentliche oder wichtige Einrichtung die Sicherheit der Lieferkette gegenüber unmittelbaren Anbietern und Diensteanbietern (§ 32 Abs. 4 lit. d), soweit keine gleichwertigen sektorspezifischen Unionspflichten nach § 27 bestehen.

Die Maßnahmen nach § 32 Abs. 4 richten sich an wesentliche und wichtige Einrichtungen und entfallen nach § 27, soweit gleichwertige sektorspezifische Unionspflichten bestehen; sie lassen sich auf den ERP-Betrieb übersetzen. Die NISV 2026 erklärt nach ihrem § 2 die näheren Anforderungen nach Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690 auch für die von dieser Durchführungsverordnung nicht umfassten Arten wesentlicher und wichtiger Einrichtungen der Anlagen 1 und 2 des NISG 2026 für anwendbar und verlangt nach § 3, dass sich die Risikoanalyse zumindest an technologischen Risiken, menschlichen Risiken, Risiken in der IKT-Lieferkette und standortbezogenen Risiken orientiert:

Vorgabe aus § 32 Abs. 4	Was das für ERP und IT heißt
lit. a Risikoanalyse und Sicherheit für Informationssysteme	Risikoanalyse über ERP-Server, Datenbank, Schnittstellen und Clients, mit festgehaltenem Ergebnis
lit. b Bewältigung von Sicherheitsvorfällen	Ablaufplan für den Verdachtsfall mit Rollen und Erreichbarkeiten
lit. c Betriebsaufrechterhaltung, Backup, Wiederherstellung, Krisenmanagement	Sicherungskonzept, Restore-Test und geregelter Papierbetrieb für den Ausfall
lit. d Sicherheit der Lieferkette	Bewertung von ERP-Anbieter, Hosting, Wartungszugängen und Schnittstellenpartnern
lit. e Erwerb, Entwicklung und Wartung, Schwachstellenmanagement	Patch- und Updateprozess mit Testsystem und Fristen
lit. f bis h Wirksamkeitsbewertung, Cyberhygiene, Kryptografie	Überprüfung der eigenen Maßnahmen, Schulung, Verschlüsselung von Übertragung und Sicherungen
lit. i und j Zugriffskontrolle, Personalsicherheit, Mehrfaktor-Authentifizierung	Rollen- und Rechtekonzept, getrennte Administrationskonten, MFA für Fernzugriff

Fristen: Registrierung, Selbstdeklaration, Meldung

Schritt	Frist	Rechtsgrundlage
Registrierung im Register der Einrichtungen (wesentliche und wichtige Einrichtungen sowie Einrichtungen, die Domänennamen-Registrierungsdienste erbringen)	binnen drei Monaten ab Inkrafttreten am 1. Oktober 2026; für später betroffene Einrichtungen binnen drei Monaten ab Erfüllung der Voraussetzungen	§ 29 Abs. 3
Änderung von Name, Anschrift, Kontaktdaten, Sektoren, Mitgliedstaaten und IP-Adressbereichen (Einrichtungen nach § 29 Abs. 1)	binnen zwei Wochen ab dem Tag der Änderung	§ 29 Abs. 4 Z 1
Änderung von Niederlassungsanschrift und Angaben zu den Schwellenwerten (Einrichtungen nach § 29 Abs. 1)	binnen drei Monaten ab dem Tag der Änderung	§ 29 Abs. 4 Z 2
Selbstdeklaration über umgesetzte Risikomanagementmaßnahmen (nur wesentliche und wichtige Einrichtungen)	binnen zwölf Monaten nach Eintritt der Registrierungspflicht	§ 33 Abs. 1
Frühwarnung bei einem erheblichen Vorfall (wesentliche und wichtige Einrichtungen; entfällt nach § 27 bei gleichwertigen sektorspezifischen Unionspflichten)	unverzüglich, jedenfalls binnen 24 Stunden nach Kenntnisnahme	§ 34 Abs. 2 Z 1
Meldung des Vorfalls mit erster Bewertung (wesentliche und wichtige Einrichtungen; entfällt nach § 27 bei gleichwertigen sektorspezifischen Unionspflichten)	unverzüglich, jedenfalls binnen 72 Stunden nach Kenntnisnahme	§ 34 Abs. 2 Z 2
Dasselbe, wenn sich der Vorfall auf die Erbringung eines Vertrauensdienstes auswirkt (wesentliche und wichtige Einrichtungen; entfällt nach § 27 bei gleichwertigen sektorspezifischen Unionspflichten)	abweichend unverzüglich, jedenfalls binnen 24 Stunden nach Kenntnisnahme	§ 34 Abs. 2 letzter Satz
Abschlussbericht (wesentliche und wichtige Einrichtungen; entfällt nach § 27 bei gleichwertigen sektorspezifischen Unionspflichten)	spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung; dauert der Vorfall dann noch an, Fortschrittsbericht zu diesem Zeitpunkt und Abschlussbericht einen Monat nach Beendigung der Vorfallsbehandlung	§ 34 Abs. 2 Z 4 und 5
Nachweis durch eine unabhängige Stelle (wesentliche und wichtige Einrichtungen)	binnen zwei Jahren nach Aufforderung, bei wesentlichen Einrichtungen für die operative und organisatorische Umsetzung abweichend binnen zwei Monaten; für Aufforderungen an wichtige Einrichtungen gilt § 38 Abs. 2 sinngemäß; erstmalige Aufforderung frühestens zwei Jahre nach Inkrafttreten	§ 33 Abs. 2

Ein Vorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste der Einrichtung oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder wenn er andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder kann (§ 35 Abs. 1); § 35 Abs. 2 nennt sechs Kriterien für die Beurteilung. Die NISV 2026 ergänzt diese Beurteilung nach ihrem § 5: Erfüllt ein Vorfall eines oder mehrere der dort genannten neun Kriterien, gilt er in Bezug auf die betreffenden Einrichtungen jedenfalls als erheblich, etwa bei einem direkten finanziellen Verlust von mehr als 500.000 Euro oder 5 Prozent des jährlichen Gesamtumsatzes im vorangegangenen Geschäftsjahr, je nachdem welcher Wert niedriger ist (Z 1), oder bei einem Ausfall oder einer eingeschränkten Verfügbarkeit der erbrachten Dienste für mehr als 100.000 Nutzer oder 10 Prozent der Nutzer, je nachdem welcher Wert niedriger ist, für mehr als 24 Stunden (Z 7). Planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten sind nach § 6 NISV 2026 keine erheblichen Cybersicherheitsvorfälle; mehrere für sich betrachtet nicht erhebliche Vorfälle gelten nach § 7 NISV 2026 zusammengenommen als erheblich, wenn sie innerhalb von sechs Monaten mindestens zweimal aufgetreten sind, dieselbe offensichtliche Ursache und Auswirkung haben und zusammengenommen die Kriterien des § 5 Abs. 1 Z 1 erfüllen. Die Meldepflicht nach § 34 Abs. 1 und 2 knüpft an einen erheblichen Vorfall an und trifft wesentliche und wichtige Einrichtungen; sie ist nach § 27 nicht anzuwenden, soweit gleichwertige sektorspezifische Unionspflichten bestehen.

Was das für Ihr ERP bedeutet

Die Pflichten treffen die Einrichtung, nicht den Softwarelieferanten, und nach §§ 31 bis 34 nur wesentliche und wichtige Einrichtungen; die §§ 32 und 34 entfallen nach § 27, soweit gleichwertige sektorspezifische Unionspflichten bestehen. Das ERP gehört zu den Netz- und Informationssystemen, die eine Einrichtung für ihren Betrieb und für ihre Dienste nutzt (§ 32 Abs. 1); Systeminventur, Risikoanalyse und Wirksamkeitsnachweis gehören deshalb dorthin, wo Auftrag, Rechnung, Lager und Personal zusammenlaufen. Halten Sie für jede Maßnahme fest, wo sie im ERP sichtbar wird: Änderungsprotokolle und Periodensperren für die Nachvollziehbarkeit, Rollen und Berechtigungen für die Zugriffskontrolle, Export- und Archivfunktionen für die Verfügbarkeit.

Für die Aufrechterhaltung des Betriebs verlangt § 32 Abs. 4 lit. c ein Sicherungs- und Wiederherstellungskonzept; Backup-Konzept mit RPO und RTO legt die Kennzahlen fest, Wiederherstellung im Testsystem prüfen beschreibt den Nachweis der Rücksicherung, und für einen tagelangen Ausfall gehört ein Notfallplan für den ERP-Ausfall dazu.

Die Fristen aus § 34 Abs. 2 verlangen mehr als einen Ansprechpartner: Ohne Erkennung, Protokollierung und benannte Kontaktstelle ist die Frühwarnung binnen 24 Stunden nicht zu halten. Cyberangriff auf das ERP ordnet die ersten Stunden, und die Maßnahmen nach § 32 Abs. 4 lit. i und j decken sich mit den Basismaßnahmen aus IT-Sicherheit rund ums ERP.

Wer als Anbieter verwalteter Dienste oder verwalteter Sicherheitsdienste die Größenordnung nach § 25 erreicht, fällt selbst unter Anlage 1 Nr. 9, sofern die Dienste nicht ausschließlich für die eigene Einrichtung betrieben und genutzt werden. Wer nicht betroffen ist, kann von seinen Kunden vertraglich zu vergleichbaren Anforderungen verpflichtet werden; § 32 Abs. 4 lit. d verpflichtet die betroffene Einrichtung, die Sicherheit der Lieferkette gegenüber ihren unmittelbaren Anbietern und Diensteanbietern zu regeln, und begründet für sich keine Pflichten Ihres Betriebs. Dazu NIS2 und Lieferkette. Für deutsche Standorte gilt eine eigene Regelung: NIS2 in Deutschland.

Was bei Verstößen droht

§ 45 Abs. 1 stellt fehlende Cybersicherheitsschulungen für Leitungsorgane und Mitarbeitende, nicht umgesetzte Risikomanagementmaßnahmen nach § 32, die unterlassene oder verspätete Meldung eines erheblichen Vorfalls samt den damit zusammenhängenden Berichtspflichten, die unterlassene Unterrichtung der Dienstempfänger und die Nichtbefolgung von Durchsetzungsmaßnahmen unter Strafe; die Strafdrohungen der Abs. 2 und 3 knüpfen an die Eigenschaft als wesentliche Einrichtung (§ 24 Abs. 1) beziehungsweise als wichtige Einrichtung (§ 24 Abs. 2) an. Das Nichtumsetzen der Risikomanagementmaßnahmen ist nach Z 3 allerdings nur strafbar, soweit dieser Umstand der Cybersicherheitsbehörde nicht nur aufgrund einer Selbstdeklaration nach § 33 Abs. 1 bekanntgeworden ist. Eine wesentliche Einrichtung trifft eine Geldstrafe bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Umsatzes, den das Unternehmen, dem die wesentliche Einrichtung angehört, im vorangegangenen Geschäftsjahr getätigt hat, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2); eine wichtige Einrichtung bis zu 7 Millionen Euro oder bis zu 1,4 Prozent nach derselben Bezugsgröße (§ 45 Abs. 3).

Ein eigener, niedrigerer Strafrahmen von bis zu 50.000 Euro und im Wiederholungsfall bis zu 100.000 Euro gilt für die Verwaltungsübertretungen nach § 45 Abs. 4, etwa für die nicht fristgerechte Registrierung (Z 1), die nicht fristgerechte Bekanntgabe von Änderungen (Z 2), Pflichtverletzungen bei der Datenbank und den Domänennamen-Registrierungsdaten (Z 3 bis 6), die verspätete Selbstdeklaration (Z 7) und die Behinderung von Kontrollen. Diese Strafdrohung trifft nach den Z 1 bis 6 auch Einrichtungen, die allein Domänennamen-Registrierungsdienste erbringen. Verhängt wird die Strafe von der Bezirksverwaltungsbehörde (§ 44 Abs. 1). Für dasselbe Verhalten darf keine Geldstrafe nach dem NISG 2026 neben einer Geldbuße der Datenschutzbehörde nach Art. 58 Abs. 2 lit. i DSGVO verhängt werden (§ 44 Abs. 7).

Verordnung der Cybersicherheitsbehörde (NISV 2026)

Das Gesetz ermächtigt die Cybersicherheitsbehörde zu Verordnungen: nähere Anforderungen an die Risikomanagementmaßnahmen (§ 32 Abs. 5) und weitere Kriterien für die Erheblichkeit eines Vorfalls (§ 35 Abs. 3). Von dieser Ermächtigung hat die Behörde mit der Netz- und Informationssystemsicherheits-Verordnung (NISV 2026) Gebrauch gemacht. Sie wurde am 1. Oktober 2026 als BGBl. II Nr. 290/2026 ausgegeben und trat nach ihrem § 9 mit Ablauf des Tages der Kundmachung in Kraft; als Inkrafttretensdatum weist das Rechtsinformationssystem des Bundes den 2. Oktober 2026 aus. Für die in § 2 NISV 2026 genannten Einrichtungen sind damit neben dem Gesetzestext auch die Verordnung und die darin in Bezug genommene Durchführungsverordnung (EU) 2024/2690 maßgeblich.

Für die Risikomanagementmaßnahmen erklärt § 2 NISV 2026 die näheren Anforderungen nach Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690 auch auf die von dieser Durchführungsverordnung nicht umfassten, in den Anlagen 1 und 2 des NISG 2026 gelisteten Arten wesentlicher und wichtiger Einrichtungen für anwendbar. § 3 verlangt, dass sich wesentliche und wichtige Einrichtungen bei ihrer Risikoanalyse zumindest an technologischen Risiken, menschlichen Risiken, Risiken in der IKT-Lieferkette und standortbezogenen Risiken orientieren und diese bei ihrem Risikomanagementverfahren berücksichtigen; § 4 verlangt kompensierende Maßnahmen, wenn einzelne Anforderungen vorübergehend oder wegen der Größe der Einrichtung nicht erfüllt werden können, und nimmt nach seinem Abs. 4 jene Anforderungen aus, denen ausdrücklich nur soweit angemessen, anwendbar oder durchführbar zu entsprechen ist.

Für die Erheblichkeit nennt § 5 Abs. 1 NISV 2026 neun Kriterien, bei deren Erfüllung ein Cybersicherheitsvorfall in Bezug auf die betreffenden Einrichtungen jedenfalls als erheblich nach § 35 Abs. 1 NISG 2026 gilt; § 6 nimmt planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten aus, § 7 fasst wiederholte Vorfälle zusammen.

Nachweis der Umsetzung durch eine unabhängige Stelle

Aus § 33 Abs. 2 folgt für wesentliche und wichtige Einrichtungen eine weitere Frist: Eine erstmalige Aufforderung, die Umsetzung durch eine unabhängige Stelle nachzuweisen, ist frühestens zwei Jahre nach Inkrafttreten zulässig, also ab 1. Oktober 2028. Die Kosten der Prüfung trägt die geprüfte Einrichtung, sofern die Cybersicherheitsbehörde in hinreichend begründeten Fällen nichts anderes entscheidet (§ 33 Abs. 4); der Nachweis der operativen und organisatorischen Umsetzung kann auch über gültige Zertifikate geführt werden.

Checkliste für Ihren Betrieb

• Sektor und Tätigkeit gegen die Anlagen 1 und 2 prüfen, nicht gegen die Branchenbezeichnung im Firmenbuch.
• Vor Maßnahmen nach §§ 32 und 34 prüfen, ob für Ihre Tätigkeit ein sektorspezifischer Rechtsakt der Europäischen Union gleichwertige Pflichten vorschreibt (§ 27); die §§ 31 und 33 nimmt § 27 nicht zurück.
• Bei Maßnahmen und Meldungen die NISV 2026 (BGBl. II Nr. 290/2026, in Kraft seit Ablauf des 1. Oktober 2026) mitlesen: ihre §§ 2 und 3 ergänzen die Risikoanalyse nach § 32 (Durchführungsverordnung (EU) 2024/2690, vier Risikokategorien), § 4 verlangt kompensierende Maßnahmen und nimmt nach seinem Abs. 4 die Anforderungen aus, denen nur soweit angemessen, anwendbar oder durchführbar zu entsprechen ist; ihre §§ 5 bis 7 ergänzen die Erheblichkeit nach § 35 (neun Kriterien, Ausnahme für planmäßige Wartung, Zusammenfassung wiederholter Vorfälle).
• Wenn Ihr Betrieb Domänennamen-Registrierungsdienste erbringt, sind die Registrierung nach § 29 Abs. 2 und die Datenbankpflichten nach § 30 gesondert einzuplanen; § 29 Abs. 1 nennt sie neben den wesentlichen und wichtigen Einrichtungen, die Pflichten nach §§ 31 bis 34 treffen sie nur bei Einstufung nach § 24.
• Mitarbeiterzahl als Jahresarbeitseinheiten sowie Jahresumsatz und Jahresbilanzsumme des letzten Abschlusses nach § 25 einordnen und das Ergebnis dokumentieren; bei einer Überschreitung prüfen, ob der Wechsel der Größenklasse erst nach zwei aufeinanderfolgenden Geschäftsjahren eintritt.
• Bei Einstufung als wesentliche oder wichtige Einrichtung die Registrierung mit allen Angaben nach § 29 Abs. 2 vorbereiten und eine Kontaktstelle benennen.
• Als wesentliche oder wichtige Einrichtung die Risikoanalyse auf ERP-Server, Datenbank, Schnittstellen, Fernzugriff und Clients erstrecken (§ 27: nicht anzuwenden, soweit gleichwertige sektorspezifische Unionspflichten bestehen).
• Als wesentliche oder wichtige Einrichtung sicheres Backup, Restore-Test und Papierbetrieb für den Ausfall festlegen und einmal durchspielen (§ 27: nicht anzuwenden, soweit gleichwertige sektorspezifische Unionspflichten bestehen).
• Als wesentliche oder wichtige Einrichtung einen Meldeprozess mit Rollen, Erreichbarkeiten und Vorlagen für Frühwarnung, Meldung und Abschlussbericht aufsetzen (§ 27: nicht anzuwenden, soweit gleichwertige sektorspezifische Unionspflichten bestehen).
• Als wesentliche oder wichtige Einrichtung Schulungen für Leitungsorgane und Mitarbeitende terminieren und Lieferanten, Hosting- und Wartungszugänge bewerten (§ 31 Abs. 2; die Pflicht aus § 32 Abs. 4 lit. d entfällt nach § 27 bei gleichwertigen sektorspezifischen Unionspflichten).