Ratgeber · NIS-2 / NISG 2026
NIS-2 in Österreich: Wer betroffen ist und was jetzt zu tun ist
Stand: August 2026 · Keine Rechtsberatung – für die verbindliche Einordnung Ihres Unternehmens sprechen Sie mit uns oder Ihrer Rechtsberatung
Österreich hat die EU-NIS-2-Richtlinie mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt: im Dezember 2025 beschlossen, in Kraft ab 1. Oktober 2026 – ohne Übergangsfrist für die wesentlichen Pflichten. Betroffen sind Schätzungen zufolge rund 4.000 Unternehmen und Einrichtungen in 18 Sektoren. Wer wartet, bis die Behörde anklopft, hat schlechte Karten.
Bin ich betroffen?
Grob gilt: Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz, die in einem der regulierten Sektoren tätig sind – darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur und Anbieter digitaler Dienste, Post, Abfall, Chemie, Lebensmittel und verarbeitendes Gewerbe (z. B. Maschinenbau, Elektronik, Medizinprodukte). Unterschieden wird zwischen „wesentlichen" und „wichtigen" Einrichtungen mit unterschiedlich strenger Aufsicht.
Der unterschätzte Hebel ist die Lieferkette: Betroffene Unternehmen müssen die Sicherheit ihrer Zulieferer managen – und geben die Anforderungen vertraglich weiter. Auch wer selbst unter den Schwellenwerten liegt, bekommt NIS-2 deshalb oft über Kundenaudits und Lieferantenfragebögen auf den Tisch.
Was verlangt das Gesetz?
- Risikomanagement: technische und organisatorische Maßnahmen nach Stand der Technik – u. a. Richtlinien, Incident-Handling, Backup- und Notfallmanagement, Lieferkettensicherheit, Verschlüsselung, Zugriffskontrolle und Mehrfaktor-Authentifizierung, Schulungen.
- Meldepflichten: erhebliche Sicherheitsvorfälle sind rasch zu melden (Frühwarnung binnen 24 Stunden, Folgemeldung binnen 72 Stunden).
- Registrierung bei der zuständigen Behörde.
- Governance: Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich schulen lassen – diese Verantwortung ist nicht delegierbar.
Bei Verstößen drohen empfindliche Geldbußen (für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes).
Warum ISO 27001 der praktikabelste Weg ist
Das NISG schreibt keine bestimmte Norm vor – aber ein Informationssicherheits-Managementsystem nach ISO 27001 deckt die geforderten Maßnahmen systematisch ab, erzeugt genau die Nachweise, die Behörde und Kunden sehen wollen, und ist internationaler Standard bei Lieferantenbewertungen. Statt NIS-2 als Einzelprojekt zu stemmen, bauen Sie einmal ein System, das auch das nächste Kundenaudit trägt. Was das kostet: ISO 27001 Kosten in Österreich.
Was würde ein ISMS für Ihr Unternehmen kosten? In 2 Minuten gerechnet.
Kostenschätzung starten →Der sinnvolle Fahrplan bis zum Stichtag
- Betroffenheit klären – direkt betroffen, über die Lieferkette oder (noch) gar nicht.
- Gap-Analyse: Was ist an Sicherheit und Dokumentation schon da, was fehlt gegenüber NISG/ISO 27001?
- Maßnahmen umsetzen – priorisiert, mit den Tools, die Sie schon haben.
- Nachweisbar machen: ISMS etablieren, auf Wunsch bis zur ISO-27001-Zertifizierung.
Für Kärntner Betriebe gab es 2026 über WK Kärnten und Land Kärnten bis zu zehn vollständig geförderte NIS-2-Beratungsstunden (Richtlinie bis 31.10.2026, solange Budget verfügbar) – wir prüfen die aktuelle Programmlage im Erstgespräch.