NISG 2026 Österreich-Leitfaden für Unternehmen: Diese Maßnahmen sind jetzt wichtig

Für wen ist der NISG-Leitfaden gedacht?

NISG 2026 betrifft deutlich mehr Organisationen als das bisherige NISG 2018. Der Leitfaden ist besonders hilfreich, wenn Sie …

• klären möchten, ob Ihr Unternehmen von NISG 2026 betroffen ist,
• wissen wollen, welche Fristen, Pflichten und Nachweise auf Sie zukommen,
• Ihre Sicherheitsmaßnahmen strukturiert bewerten und priorisieren möchten,
• Meldeprozesse für erhebliche Sicherheitsvorfälle vorbereiten müssen,
• Ihre Lieferkette und Dienstleister besser absichern möchten,
• die Verantwortung von Geschäftsführung und Leitungsebene einordnen wollen.

Betroffenheit in 2 Minuten einordnen

NISG 2026 betrifft Organisationen in definierten Sektoren, meist ab mittlerer Unternehmensgröße: ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz. Große Unternehmen gelten ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz als relevant.

Zu den wesentlichen Sektoren zählen unter anderem Energie, Verkehr, Gesundheit, Bankwesen, Wasser, digitale Infrastruktur und öffentliche Verwaltung. Wichtige Sektoren sind beispielsweise Post, Abfall, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.

Hinweis: Ob Ihr Unternehmen betroffen ist, hängt von Sektor, Tätigkeit, Größe und möglichen Sondertatbeständen ab. Der Leitfaden unterstützt bei der ersten Einordnung.

Welche Maßnahmen werden verlangt?

NISG 2026 verlangt von betroffenen Einrichtungen mindestens Maßnahmen rund um Risikoanalyse, Vorfallmanagement, Business Continuity, Lieferkettensicherheit, sichere Entwicklung und Wartung, Wirksamkeitsprüfung, Schulungen, Kryptografie, Zugriffskontrolle und sichere Kommunikationswege.

Im Leitfaden erhalten Sie dazu eine verständliche Einordnung, unter anderem zu:

• Risikoanalyse und Konzepten für Informationssicherheit,
• Verhütung, Erkennung, Analyse und Eindämmung von Sicherheitsvorfällen,
• Aufrechterhaltung des Betriebs und Business Continuity,
• Sicherheit der Lieferkette und Anforderungen an Partner und Dienstleister.

Meldepflichten & Registrierung: Das sollten Sie früh klären

Erhebliche Sicherheitsvorfälle müssen in Österreich umgehend dem zuständigen CSIRT gemeldet werden. Zusätzlich müssen sich betroffene Einrichtungen innerhalb von drei Monaten nach Inkrafttreten proaktiv beim Bundesamt für Cybersicherheit registrieren.

Der Leitfaden zeigt die Fristen im Überblick und was Sie organisatorisch vorbereiten sollten:

• Spätestens 24 Stunden nach Kenntnisnahme: Frühwarnung
• Spätestens 72 Stunden nach Kenntnisnahme: aktualisierte Meldung
• Spätestens innerhalb eines Monats: ausführlicher Abschlussbericht
• Bis 1. Januar 2027: Registrierung beim Bundesamt für Cybersicherheit abschließen

Was droht bei Verstößen?

Bei Verstößen gegen NISG 2026 drohen empfindliche Sanktionen. Für wichtige Einrichtungen sind bis zu 7 Mio. € oder 1,4 % des weltweiten Vorjahresumsatzes möglich, für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 %. In besonders schweren Fällen können bis zu 20 Mio. € oder 4 % des weltweiten Vorjahresumsatzes verhängt werden.

Auch organisatorische Pflichtverletzungen, etwa eine versäumte Registrierung oder eine nicht fristgerechte Selbstdeklaration, können mit bis zu 50.000 € beziehungsweise bis zu 100.000 € im Wiederholungsfall sanktioniert werden. Zusätzlich betont NISG 2026 die Verantwortung der Geschäftsführung und der Leitungsebene.

Inhalt des NISG-Leitfadens

• Status quo der IT-Sicherheitslage: Warum Cyberresilienz für Unternehmen in Österreich jetzt relevant ist
• NISG 2026 im Kurzüberblick: Neuerungen, Anwendungsbereich, Pflichten und Aufsicht
• Betroffenheit: Sektoren, Unternehmensgrößen und mögliche Ausnahmen verständlich erklärt
• Fristen: Inkrafttreten, Registrierung, Selbstdeklaration und Prüfbericht
• Lieferkettensicherheit: Warum Partner und Dienstleister mitgedacht werden müssen
• Risikomanagement: Die wichtigsten technischen, organisatorischen und physischen Maßnahmen
• Meldepflichten: 24 Stunden, 72 Stunden und Abschlussbericht
• Geschäftsführung und Sanktionen: Verantwortung und mögliche Konsequenzen
• „Was muss ich jetzt tun?“: Drei Schritte vom Scope über die Risikobewertung bis zur Umsetzung
• ISO 27001 und ISMS: Wie vorhandene Strukturen die Umsetzung erleichtern können