NIS2 / NISG 2026

Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt Österreich die europäische NIS2-Richtlinie um. Das Gesetz tritt am 1. Oktober 2026 in Kraft und erweitert den Kreis der verpflichteten Unternehmen von einigen Dutzend auf geschätzte 5.000 Organisationen. Zum ersten Mal trifft es damit in großer Zahl auch mittelständische Betriebe.

Ein wichtiger Hinweis vorweg: IT-Wachdienst bietet keine Beratung im juristischen Sinn an. Wir unterstützen Sie bei der technischen Umsetzung der Anforderungen. Die Interpretation der hier zitierten Rechtstexte ist naheliegend, erhebt aber keinen Anspruch auf Vollständigkeit oder Korrektheit.

Wie wir arbeiten — und wo unsere Partner übernehmen

NIS2 hat zwei Seiten, die selten dieselben Fachleute abdecken.

Die eine ist regulatorisch: Bin ich überhaupt betroffen? Welche Dokumentation braucht die Behörde? Wie sieht ein tragfähiges Managementsystem aus, wer registriert das Unternehmen, wie läuft eine Meldung innerhalb von 24 Stunden ab? Das ist Compliance-Arbeit — und dafür arbeiten wir mit spezialisierten Partnern aus unserem Netzwerk zusammen.

Die andere Seite ist operativ: Sind die Systeme tatsächlich sicher? Wo sind die Lücken? Funktionieren die Maßnahmen, die im Konzept stehen, auch in der Praxis? Erkennen die Mitarbeitenden einen Angriff, wenn er kommt? Das ist unsere Spezialität — seit über 25 Jahren.

Ein Ordner voller Richtlinien besteht keine Prüfung, wenn die Systeme dahinter verwundbar sind. Umgekehrt nützt die beste Absicherung wenig, wenn sie nicht nachweisbar dokumentiert ist. Sie brauchen beides, und Sie bekommen für beides Fachleute.

Die Fristen

Besonders die Selbstdeklaration verdient Aufmerksamkeit: Sie verlangt die Ergebnisse einer Risikoanalyse und Angaben zur Lieferkettensicherheit. Beides lässt sich nicht rückwirkend erzeugen — dahinter müssen echte Prüfungen stehen.

Wer betroffen ist

Ausschlaggebend sind Sektor und Unternehmensgröße:

• Wesentliche Einrichtungen — große Unternehmen (ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz bei über 43 Mio. € Bilanzsumme) aus besonders kritischen Sektoren wie Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, IKT-Dienste oder öffentliche Verwaltung.
• Wichtige Einrichtungen — mittlere Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. € Umsatz bei über 10 Mio. € Bilanzsumme) aus diesen Sektoren sowie Unternehmen aus weiteren kritischen Bereichen wie Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschungseinrichtungen.

Auch unter 50 Mitarbeitenden relevant

Kleinere Betriebe fallen meist nicht direkt unter das Gesetz — geraten aber über die Lieferkette hinein. NIS2 verpflichtet betroffene Unternehmen ausdrücklich dazu, die Sicherheit ihrer Zulieferer und Dienstleister zu bewerten. In der Praxis heißt das: Ihre Auftraggeber werden Nachweise verlangen, oft als Bedingung im Vertrag.

Wer diese Nachweise vorlegen kann, hat einen Vorteil im Vergabeprozess. Wer sie nicht hat, verliert Aufträge an Mitbewerber, die vorbereitet sind. Diese Erfahrung machen unsere Kunden bereits heute — lange vor jeder behördlichen Prüfung.

Die zehn geforderten Maßnahmen

Das NISG 2026 verlangt Risikomanagement-Maßnahmen in zehn Bereichen. Diese decken wir technisch ab:

• Risikoanalyse und Sicherheitskonzepte — Angriffsoberflächen-Analyse und Threat Modeling zeigen, wo Ihre realen Risiken liegen, statt sie zu schätzen.
• Sicherheit bei Entwicklung und Wartung, inklusive Schwachstellen-Management — Schwachstellen-Scan und Penetrationstest liefern den fortlaufenden Nachweis.
• Bewertung der Wirksamkeit von Sicherheitsmaßnahmen — genau dafür sind wiederkehrende Prüfungen mit dokumentiertem Verlauf gedacht. Ein einmaliger Scan belegt nichts, eine Reihe über Monate schon.
• Cyberhygiene und Schulungen — Security-Training für Ihre Mitarbeitenden, inklusive der für die Geschäftsleitung verpflichtenden Schulung.
• Lieferkettensicherheit — wir prüfen Ihre eigene Angriffsoberfläche und liefern die Nachweise, die Ihre Auftraggeber von Ihnen verlangen.

Über unser Partnernetzwerk abgedeckt: Bewältigung von Sicherheitsvorfällen und Meldeprozesse, Betriebskontinuität und Krisenmanagement, Kryptografie-Konzepte, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentifizierung sowie die gesamte Dokumentations- und Registrierungsarbeit.

Warum jetzt und nicht im Herbst

Die Risikomanagement-Maßnahmen gelten ab dem ersten Tag, nicht erst ab der Registrierungsfrist. Und die Selbstdeklaration verlangt Ergebnisse, die entstehen müssen, bevor man sie einreichen kann.

Dazu kommt die Erfahrung aus dem Tagesgeschäft: Zwischen dem ersten Schwachstellen-Bericht und einer bereinigten Lage liegen bei den meisten Unternehmen mehrere Monate — nicht, weil die Arbeit so umfangreich wäre, sondern weil Systeme abgestimmt, Wartungsfenster gefunden und Lieferanten eingebunden werden müssen. Wer im Dezember anfängt, hat für die Selbstdeklaration nichts vorzuweisen als gute Absichten.

Verwandte Regulierungsthemen

• Cyber Resilience Act (CRA) — wenn Sie Produkte mit digitalen Elementen herstellen oder vertreiben. Die Meldepflichten greifen bereits ab 11. September 2026.
• EU AI Act & ISO 42001 — wenn Sie KI-Systeme einsetzen oder anbieten. Teile davon gelten seit August 2026.
• IT-Sicherheit für kleine und mittlere Unternehmen — wie wir mit Betrieben Ihrer Größenordnung arbeiten.

Klären wir, wo Sie stehen

Im Erstgespräch schauen wir uns gemeinsam an, ob und wie Sie betroffen sind, welche technischen Nachweise Sie brauchen und was davon bei Ihnen schon vorhanden ist. Wenn der Schwerpunkt bei Ihnen auf der Compliance-Seite liegt, verweisen wir Sie an die passenden Kolleginnen und Kollegen aus unserem Netzwerk — auch dann, wenn für uns selbst nichts dabei herausspringt.

Vereinbaren Sie jetzt ein unverbindliches Erstgespräch!