NIS2 & NISG 2026: Betroffenheit klären, Pflichten erfüllen

Mit dem NISG 2026 setzt Österreich die europäische NIS-2-Richtlinie um. Deutlich mehr Unternehmen als bisher müssen ihre Cybersicherheit systematisch steuern, Vorfälle melden und die Wirksamkeit ihrer Maßnahmen nachweisen.

Wir unterstützen Sie dabei, drei zentrale Fragen zu beantworten: Ist Ihr Unternehmen betroffen? Welche Maßnahmen sind erforderlich? Und wie schaffen Sie belastbare Nachweise gegenüber der zuständigen Behörde?

Der Handlungsbedarf beginnt nicht erst mit einer Prüfung. Für Registrierung, Selbstdeklaration und spätere Nachweise müssen Zuständigkeiten, Prozesse und Sicherheitsmaßnahmen rechtzeitig aufgebaut und im Alltag wirksam sein.

Hinweis: Stand der Informationen: August 2026. Fristen und Detailregelungen können durch Verordnungen oder weitere rechtliche Vorgaben präzisiert werden.

Die Betroffenheit hängt insbesondere vom Tätigkeitsbereich und von der Unternehmensgröße ab. Zusätzlich können Sonderregelungen, Konzernstrukturen oder mehrere Geschäftsfelder die Beurteilung beeinflussen.

Wir prüfen Ihre Tätigkeiten, Größenkriterien und Konzernverflechtungen strukturiert und dokumentieren das Ergebnis nachvollziehbar. Im Betroffenheitsfall erhalten Sie eine Einordnung als wesentliche oder wichtige Einrichtung sowie einen Überblick über die daraus folgenden Anforderungen.

Betroffene Einrichtungen müssen sich fristgerecht bei der zuständigen Behörde registrieren und die erforderlichen Stammdaten aktuell halten.

Gefordert werden angemessene technische, operative und organisatorische Maßnahmen. Dazu zählen insbesondere:

Ein bestehendes ISMS nach ISO/IEC 27001 ist dafür eine gute Grundlage. Zusätzliche gesetzliche Anforderungen, etwa an Meldeprozesse, Leitungsorgane und Lieferketten, müssen jedoch gezielt berücksichtigt werden.

Abbildung: Das dreistufige Meldeverfahren – die 24-Stunden-Frist beginnt mit der Kenntnis des Vorfalls

Damit diese Fristen eingehalten werden können, müssen Erkennung, Bewertung, Eskalation und Meldeberechtigung vor einem Vorfall geklärt und praktisch erprobt sein.

Geschäftsführung und Vorstand müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an geeigneten Cybersicherheitsschulungen teilnehmen. Die Verantwortung der Leitungsorgane kann nicht vollständig delegiert werden.

Unternehmen müssen den Umsetzungsstand ihrer Maßnahmen nachvollziehbar dokumentieren. Interne Audits, aktuelle Risikoregister, Maßnahmenpläne und geübte Prozesse bilden dafür eine belastbare Grundlage.

Sie ist eine sehr gute Grundlage, erfüllt aber nicht automatisch alle gesetzlichen Anforderungen. Insbesondere Meldepflichten, Leitungsverantwortung, Lieferkette und der passende Geltungsbereich müssen gesondert geprüft werden.

Nein. Unternehmen müssen ihre Betroffenheit selbst beurteilen. Eine frühzeitige Analyse schafft Klarheit und reduziert das Risiko versäumter Fristen.

Sofern diese Systeme für die betroffenen Dienste erforderlich sind, müssen auch OT-Umgebungen berücksichtigt werden. Dabei sind lange Lebenszyklen, hohe Verfügbarkeitsanforderungen und bestehende Systemlandschaften besonders zu beachten.

Eine strukturierte Betroffenheitsanalyse schafft die Grundlage für alle weiteren Entscheidungen. Gemeinsam entwickeln wir daraus einen realistischen Fahrplan für Umsetzung und Nachweisführung.

Rechtlicher Hinweis: Die Informationen auf dieser Seite dienen der allgemeinen Orientierung und stellen keine Rechtsberatung dar. Für die verbindliche rechtliche Beurteilung Ihrer konkreten Situation wenden Sie sich bitte an eine Rechtsberatung.