NISG 2026: Was Geschäftsführer und Vorstände jetzt wissen müssen

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

Ab 1. Oktober 2026 gilt in Österreich ein neues Regelwerk für Cybersicherheit – und es trifft die Chefetage direkt. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die EU-Richtlinie NIS 2 um. Betroffen sind längst nicht nur Konzerne: Erfasst sein kann bereits, wer 50 Beschäftigte hat.

Wer ist betroffen?

Das Gesetz erfasst „wesentliche“ und „wichtige“ Einrichtungen in insgesamt 18 Sektoren – von Energie, Gesundheit und Banken über digitale Infrastruktur bis hin zu Chemie und Lebensmitteln. Als Faustregel gilt: Erfasst sind Unternehmen ab mittlerer Größe, die in einem dieser Sektoren tätig sind. Als mittlere Unternehmen gelten Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz von mehr als EUR 10 Mio. sowie einer Bilanzsumme von mehr als EUR 10 Mio.

Daneben unterliegen bestimmte Einrichtungen unabhängig von ihrer Größe dem Anwendungsbereich des Gesetzes. Aber auch Unternehmen außerhalb des Anwendungsbereichs können das Gesetz zu spüren bekommen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette im Blick behalten und werden Teile ihrer Anforderungen vertraglich an Zulieferer weitergeben.

Welche Pflichten treffen das Unternehmen?

Welche Maßnahmen konkret zu treffen sind, gibt das Gesetz nicht vor. Verlangt wird, was gemessen an Risiko und Unternehmensgröße angemessen ist und dem Stand der Technik entspricht. Der Mindestkatalog reicht von Risikoanalyse und Sicherheitskonzepten über Vorfallsbewältigung, Backups und Krisenmanagement bis zu Lieferkettensicherheit, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Wer bereits nach ISO/IEC 27001 zertifiziert ist, hat einen guten Teil davon abgedeckt.

Mit dem Inkrafttreten am 1. Oktober 2026 müssen die Maßnahmen umgesetzt sein, ab diesem Tag gelten auch die Meldepflichten. Erhebliche Cybersicherheitsvorfälle sind binnen 24 Stunden als Frühwarnung und binnen 72 Stunden ausführlich zu melden und zwar an das zuständige Computer-Notfallteam (englisch: CSIRT). Diese Teams sind staatlich ermächtigte Anlaufstellen, die Meldungen entgegennehmen, an die Behörde weiterleiten und betroffene Unternehmen bei der Bewältigung eines Vorfalls unterstützen.

Für einzelne Branchen gibt es eigene Teams, etwa das Austrian Health CERT für das Gesundheitswesen; ansonsten ist das nationale Computer-Notfallteam zuständig. Binnen 24 Stunden nach der Frühwarnung kommt von dort eine erste Rückmeldung, auf Wunsch samt technischer Hilfestellung. Bis 31. Dezember 2026 haben sich betroffene Unternehmen von sich aus beim Bundesamt für Cybersicherheit zu registrieren. Wer die Schwellen erst später erreicht, hat dann drei Monate Zeit. Ein Jahr nach Eintritt der Registrierungspflicht folgt eine Pflicht zur Selbstdeklaration über die umgesetzten Maßnahmen. Ab Oktober 2028 kann die Behörde eine Prüfung durch eine unabhängige Stelle verlangen.

Kernpflichten von Leitungsorganen

§ 31 NISG 2026 richtet sich unmittelbar an Leitungsorgane (etwa Geschäftsführer und Vorstandsmitglieder) und stellt zwei Kernpflichten auf:

1. Sicherstellen und überwachen. Leitungsorgane müssen die gesetzlich vorgeschriebenen Risikomanagementmaßnahmen billigen, deren Umsetzung steuern und laufend beaufsichtigen. Die Verantwortung verbleibt dabei stets auf Leitungsebene, auch wenn die operative Abwicklung an IT, Informationssicherheit oder Compliance delegiert wird.
2. Schulungspflicht. Leitungsorgane müssen an eigens für sie konzipierten Cybersicherheitsschulungen teilnehmen. Ein allgemeines IT-Einsteigerbriefing reicht nicht. Gefragt sind Formate mit Fokus auf Governance, Recht und Risikosteuerung – am Markt entstehen dafür gerade spezialisierte Angebote. Auch den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten.

Welche Konsequenzen drohen?

Kommt eine Einrichtung ihren Pflichten nicht nach, sind die Strafrahmen erheblich: bis zu EUR 10 Mio. oder 2% des weltweiten Vorjahresumsatzes für wesentliche Einrichtungen, bis zu EUR 7 Mio. oder 1,4% für wichtige Einrichtungen. Schon eine versäumte Registrierung kann bis zu EUR 50.000 kosten. Diese Strafen treffen grundsätzlich die Einrichtung selbst.

Das eigentliche persönliche Risiko liegt im Gesellschaftsrecht: Verletzt ein Organ seine Sorgfaltspflichten und entsteht der Gesellschaft dadurch ein Schaden, kann es ihr gegenüber haften (Innenhaftung). Bei wesentlichen Einrichtungen kann die Cybersicherheitsbehörde Leitungsorganen per Bescheid sogar die Ausübung ihrer Tätigkeit untersagen und eine entsprechende Eintragung im Firmenbuch verlangen.

Was jetzt zu tun ist

Für Geschäftsführer und Vorstände bedeutet das konkret: prüfen, ob das Unternehmen erfasst ist, interne Zuständigkeiten klar regeln, die Umsetzung aktiv überwachen und alle Maßnahmen dokumentieren. Die von § 31 NISG 2026 verlangten Schulungen sind dabei kein bürokratischer Formakt, sondern ein echter Haftungsschutz. Wer im Ernstfall belegen kann, alle zumutbaren Vorkehrungen getroffen zu haben, schützt nicht nur das Unternehmen, sondern auch sich selbst.