NIS2-Umsetzung in Deutschland und Österreich
Mittlere und grössere Unternehmen in den NIS2-Sektoren in Deutschland und Österreich, auch Tochtergesellschaften Schweizer Gruppen.
Aktualisiert: 2026-11
In Deutschland gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025, in Österreich das NISG 2026 seit dem 1. Oktober 2026. Wir klären die Betroffenheit, bereiten die Registrierung vor und setzen die Kernpflichten um: Risikomanagement, Meldewege mit 24 und 72 Stunden, Lieferkettensicherheit und die Billigung durch die Geschäftsleitung.
Viele Unternehmen sind durch NIS2 erstmals reguliert und wissen es nicht. Die Einstufung beruht auf Sektor und Grösse und muss vom Unternehmen selbst vorgenommen werden. In Deutschland hätten sich bereits erfasste Einrichtungen bis März 2026 beim BSI registrieren müssen, in Österreich läuft die Registrierungsfrist bis zum Jahresende 2026.
Nach der Registrierung beginnt die eigentliche Arbeit: ein dokumentiertes Risikomanagement, Meldewege, die im Ernstfall funktionieren, und eine Geschäftsleitung, die Massnahmen billigt und überwacht.
Was Sie erhalten
Betroffenheitsprüfung
Begründete Einstufung als besonders wichtige oder wichtige Einrichtung oder als nicht betroffen, nach deutschem oder österreichischem Recht.
Registrierungsunterlagen
Zusammenstellung der Angaben für die Registrierung beim BSI oder bei der österreichischen Cybersicherheitsbehörde.
Risikomanagement
Massnahmenkatalog nach den gesetzlichen Mindestanforderungen, mit Ist-Stand, Lücken und Plan.
Meldeprozess
Ablauf für Frühwarnung, Meldung und Abschlussbericht mit Rollen, Erreichbarkeiten und Vorlagen.
Leitungsunterlagen
Vorlage zur Billigung der Massnahmen durch die Geschäftsleitung und Konzept für deren Schulung.
Ablauf
- 01
Einstufung
Sektor, Grösse und Tätigkeiten prüfen, Einstufung dokumentieren, Registrierung vorbereiten.
- 02
Ist-Analyse
Bestehende Sicherheitsmassnahmen gegen die Mindestanforderungen abgleichen.
- 03
Massnahmen
Lücken nach Risiko priorisieren, Meldeprozess aufbauen, Lieferanten einbeziehen.
- 04
Nachweis
Dokumentation, Leitungsbeschluss und Übung des Meldeablaufs; in Österreich Vorbereitung der Selbstdeklaration.
Preisrahmen
Einstufung und Registrierungsvorbereitung mit festem Umfang; Umsetzung je nach Ausgangslage als Projekt oder laufende Begleitung.
Indikativ, kein verbindliches Angebot — der Rahmen wird im Scoping bestätigt.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Häufige Fragen
Wie schnell müssen Vorfälle gemeldet werden?
In Deutschland und Österreich gilt das NIS2-Schema: Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden und ein Abschlussbericht spätestens nach einem Monat.
Haftet die Geschäftsleitung persönlich?
Beide Gesetze verpflichten die Leitung, Risikomanagementmassnahmen zu billigen und ihre Umsetzung zu überwachen, und sehen Haftung bei Pflichtverletzung vor. Die Einzelfallbewertung gehört zur Rechtsberatung.
Gilt NIS2 für Schweizer Unternehmen?
Nicht für Gesellschaften in der Schweiz, aber für ihre Tochtergesellschaften und Niederlassungen in der EU. In der Schweiz gilt das ISG mit eigener Meldepflicht.
NIS2-Umsetzung in Deutschland und Österreich
Mittlere und grössere Unternehmen in den NIS2-Sektoren in Deutschland und Österreich, auch Tochtergesellschaften Schweizer Gruppen.