Österreich hat die EU-Frist für die Umsetzung der NIS2-Richtlinie im Oktober 2024 verfehlt. Ein erster Entwurf scheiterte im Juli 2024 im Nationalrat an der nötigen Zweidrittelmehrheit. Das NISG 2026 wurde im Dezember 2025 beschlossen, Ende Dezember 2025 kundgemacht und ist nach einer Legisvakanz von neun Monaten am 1. Oktober 2026 in Kraft getreten.
Wer betroffen ist
Erfasst sind wesentliche und wichtige Einrichtungen in den Sektoren der NIS2-Richtlinie, in der Regel ab mittlerer Unternehmensgrösse, einige Kategorien auch unabhängig von der Grösse. Nach Schätzungen der Wirtschaftskammer betrifft das rund 4000 Betriebe direkt, viele weitere indirekt über ihre Kunden. Die Einstufung nehmen die Unternehmen selbst vor; die Verantwortung für eine korrekte Einordnung liegt bei ihnen.
Registrierung und Selbstdeklaration
Betroffene Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten bei der Cybersicherheitsbehörde registrieren, also bis zum Jahresende 2026. Innerhalb von zwölf Monaten nach Inkrafttreten ist eine Selbstdeklaration der umgesetzten Risikomanagementmassnahmen einzureichen.
Risikomanagement und Meldungen
Das Gesetz verlangt angemessene technische, operative und organisatorische Massnahmen, einschliesslich Sicherheit der Lieferkette. Erhebliche Sicherheitsvorfälle sind nach dem NIS2-Schema zu melden: Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden und ein Abschlussbericht. Die Meldepflichten gelten seit dem Inkrafttreten.
Pflichten der Leitung
Leitungsorgane müssen die Massnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Bei Verstössen drohen Sanktionen, und eine persönliche Verantwortung der Leitung ist vorgesehen. Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen guten Teil der Anforderungen abgedeckt. Unser Angebot zur NIS2-Umsetzung in Deutschland und Österreich begleitet Einstufung und Registrierung.