Kurzantwort: Das NISG 2026 betrifft nicht automatisch jedes kleine oder mittlere Unternehmen. Grundsätzlich müssen Tätigkeit, Unternehmensgröße und mögliche Sonderfälle gemeinsam betrachtet werden. Auch nicht direkt erfasste Betriebe können jedoch von Kunden oder Auftraggebern Nachweise zur Sicherheit ihrer IT und Lieferkette erhalten.
Stand dieses Beitrags: 23. Juli 2026. Der Artikel bietet eine technische und organisatorische Orientierung, aber keine Rechtsberatung. Für die verbindliche Einstufung Ihres Unternehmens sind das NISG 2026 im Rechtsinformationssystem und bei Bedarf qualifizierte rechtliche Beratung maßgeblich.
Was ist das NISG 2026?
Das NISG 2026 setzt die europäische NIS2-Richtlinie in Österreich um. Ziel ist, wichtige und wesentliche Einrichtungen widerstandsfähiger gegen Cyberangriffe und IT-Ausfälle zu machen. Das Gesetz wurde Ende 2025 kundgemacht und tritt am 1. Oktober 2026 vollständig in Kraft.
Im Alltag geht es nicht nur um Firewalls oder Virenschutz. Betroffene Unternehmen müssen Risiken kennen, Verantwortlichkeiten festlegen, Vorfälle beherrschen, den Betrieb nach Störungen wiederherstellen können und die Umsetzung nachvollziehbar dokumentieren.
Betrifft das NISG 2026 mein Unternehmen?
Für eine erste Einschätzung helfen drei Fragen. Sie ersetzen keine verbindliche Prüfung, zeigen aber, wo genauer hingesehen werden sollte.
1. Ist das Unternehmen in einem erfassten Sektor tätig?
Dazu zählen beispielsweise Energie, Verkehr, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, bestimmte IT-Dienste und öffentliche Verwaltung. Weitere erfasste Bereiche betreffen unter anderem Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, bestimmte Produktionsbetriebe, digitale Anbieter und Forschung.
Entscheidend ist nicht nur die Branche im Firmenbuch. Maßgeblich ist, welche konkrete Tätigkeit oder Dienstleistung das Unternehmen tatsächlich erbringt. Die vollständigen Bereiche stehen in den Anlagen 1 und 2 des Gesetzes.
2. Erreicht das Unternehmen mindestens mittlere Größe?
Die Grundregel setzt neben einem erfassten Sektor mindestens mittlere Unternehmensgröße voraus. Dabei können Beschäftigtenzahl, Umsatz, Bilanzsumme sowie Partner- und verbundene Unternehmen eine Rolle spielen. Eine einfache Betrachtung nur des österreichischen Einzelbetriebs kann deshalb zu kurz greifen.
3. Liegt ein Sonderfall vor?
Für bestimmte Tätigkeiten gelten besondere Regeln oder eine Einstufung unabhängig von der üblichen Größenprüfung. Das betrifft vor allem Teile der digitalen Infrastruktur und einzelne besonders wichtige Dienste. Bei Unsicherheit ist der NIS2-Online-Ratgeber der WKO ein sinnvoller erster Schritt.
Was gilt, wenn das Unternehmen nicht direkt betroffen ist?
Auch dann kann das Thema relevant werden. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Sie können daher von unmittelbaren Lieferanten und Dienstleistern konkrete Informationen oder vertragliche Zusagen zur Cybersicherheit verlangen.
Ein kleiner Zulieferer kann beispielsweise Fragen zu Zugriffsschutz, Updates, Datensicherung, Vorfallsmeldung oder Unterauftragnehmern erhalten. Das bedeutet nicht automatisch, dass der Zulieferer selbst unter das NISG 2026 fällt. Es bedeutet aber, dass nachvollziehbare Sicherheitsmaßnahmen geschäftlich wichtiger werden.
Welche Fristen sollten betroffene Unternehmen kennen?
- 1. Oktober 2026: Das NISG 2026 tritt vollständig in Kraft und die Vorgaben sind zu erfüllen.
- 31. Dezember 2026: Bis zu diesem Datum müssen sich bereits betroffene wesentliche und wichtige Einrichtungen über das Unternehmensserviceportal registrieren.
- 30. September 2027: Bis dahin ist nach aktueller WKO-Information die Selbstdeklaration zu den umgesetzten Risikomanagementmaßnahmen zu übermitteln.
- Bei erheblichen Vorfällen: Die erste Warnung muss unverzüglich und jedenfalls innerhalb von 24 Stunden nach Kenntnis erfolgen. Dafür braucht es einen vorbereiteten internen Ablauf.
Die Registrierung oder Selbstdeklaration ist nicht der Beginn der Sicherheitsarbeit. Wer erst kurz vor der Frist Systeme, Zuständigkeiten und Lieferanten zusammensucht, verliert wertvolle Zeit.
Welche Maßnahmen verlangt das Gesetz in verständlicher Form?
Die Anforderungen lassen sich in zehn praktische Bereiche übersetzen:
- Risiken kennen: Welche Systeme, Daten und Dienste sind für den Betrieb wirklich wichtig?
- Vorfälle beherrschen: Wer entscheidet bei einem Angriff oder Ausfall und wer wird informiert?
- Betrieb wiederherstellen: Funktionieren Backups tatsächlich und wurde die Wiederherstellung getestet?
- Lieferanten einbeziehen: Welche Dienstleister und Produkte sind kritisch und welche Sicherheitszusagen gibt es?
- Systeme sicher beschaffen und warten: Updates, Schwachstellen und Änderungen müssen kontrolliert behandelt werden.
- Wirksamkeit prüfen: Maßnahmen dürfen nicht nur am Papier bestehen, sondern müssen regelmäßig kontrolliert werden.
- Mitarbeitende vorbereiten: Geschäftsleitung und Beschäftigte benötigen passende, wiederkehrende Schulungen.
- Daten schützen: Verschlüsselung und sichere Übertragung sind dort einzusetzen, wo Risiko und Schutzbedarf es verlangen.
- Zugriffe begrenzen: Berechtigungen, Konten, Geräte und wichtige Anlagen müssen nachvollziehbar verwaltet werden.
- MFA verwenden: Besonders schützenswerte Zugänge sollen nicht nur von einem Passwort abhängen.
Bleibt die Geschäftsleitung verantwortlich, wenn die IT ausgelagert ist?
Ja. Ein IT-Dienstleister kann Systeme betreuen, Schutzmaßnahmen umsetzen und bei der Dokumentation unterstützen. Die betroffene Einrichtung bleibt aber selbst verantwortlich. Die Geschäftsleitung muss die Umsetzung steuern, beaufsichtigen und an geeigneten Cybersicherheitsschulungen teilnehmen.
Deshalb sollte klar geregelt sein, welche Aufgaben intern bleiben, welche der Dienstleister übernimmt, wie Leistungen kontrolliert werden und wie beide Seiten bei einem Sicherheitsvorfall zusammenarbeiten.
Was Unternehmen jetzt konkret tun können
- Betroffenheit vorprüfen: Tätigkeit, Größe, Beteiligungen und Sonderfälle mit dem WKO-Ratgeber erfassen.
- Verantwortung festlegen: Eine Person koordiniert das Thema und berichtet an die Geschäftsleitung.
- Übersicht schaffen: Kritische Systeme, Daten, Standorte, Zugänge, Dienstleister und Abhängigkeiten dokumentieren.
- Ist-Zustand prüfen: Backup, Wiederherstellung, MFA, Berechtigungen, Updates, Schutzsoftware, Netzwerk und Monitoring kontrollieren.
- Lücken priorisieren: Zuerst Risiken behandeln, die den Betrieb stoppen oder sensible Daten gefährden können.
- Vorfall üben: Ansprechpartner, Meldeweg, Erreichbarkeit und erste Schritte für einen Ernstfall festhalten und testen.
- Nachweise sammeln: Entscheidungen, Kontrollen, Schulungen und umgesetzte Maßnahmen laufend nachvollziehbar dokumentieren.
Viele Grundlagen sind auch dann sinnvoll, wenn das Unternehmen nicht direkt unter das Gesetz fällt. Ein getestetes Backup, klare Zugriffsrechte und ein vorbereiteter Notfallablauf schützen den Betrieb unabhängig von einer gesetzlichen Einstufung.
Wobei Quansatech technisch unterstützen kann
Quansatech kann die vorhandene IT strukturiert aufnehmen, technische Risiken verständlich priorisieren und bei der Umsetzung konkreter Maßnahmen unterstützen. Dazu gehören beispielsweise Systeminventur, Backup- und Wiederherstellungsprüfung, MFA und Berechtigungen, Patchmanagement, Endpoint-Schutz, Netzwerk, Monitoring und technische Dokumentation.
Wichtig ist die klare Abgrenzung: Quansatech erteilt keine Rechtsberatung, nimmt keine verbindliche rechtliche Einstufung vor und ersetzt keine gesetzlich verlangte unabhängige Prüfung. Ein IT-Systemcheck kann aber eine belastbare technische Ausgangslage schaffen, auf der Geschäftsleitung, Rechtsberatung und gegebenenfalls Prüfer weiterarbeiten können.
Fazit: Betroffenheit klären, dann geordnet verbessern
Der erste Schritt ist nicht der Kauf eines neuen Sicherheitsprodukts. Zuerst muss geklärt werden, ob das Unternehmen direkt betroffen ist, welche Systeme und Dienste kritisch sind und wo bereits belastbare Maßnahmen bestehen.
Danach lassen sich offene Punkte nach Risiko und betrieblicher Bedeutung ordnen. So wird aus einer unübersichtlichen gesetzlichen Anforderung ein umsetzbarer Arbeitsplan.
Häufige Fragen zum NISG 2026
Gilt das NISG 2026 für jedes KMU?
Nein. Die Grundregel verbindet eine Tätigkeit in einem erfassten NIS-Sektor mit mindestens mittlerer Unternehmensgröße. Zusätzlich gibt es Sonderfälle und größenunabhängige Einstufungen. Eine verlässliche Einordnung muss daher die konkrete Tätigkeit, Unternehmensstruktur und Größe berücksichtigen.
Wie finde ich heraus, ob mein Unternehmen betroffen ist?
Für eine erste Einschätzung eignet sich der NIS2-Online-Ratgeber der WKO. Bei unklaren Beteiligungen, verbundenen Unternehmen, mehreren Tätigkeiten oder Sonderfällen sollte die rechtliche Einordnung zusätzlich fachkundig geprüft werden.
Bis wann müssen sich betroffene Unternehmen registrieren?
Wesentliche und wichtige Einrichtungen müssen sich nach aktueller WKO-Information beginnend mit 1. Oktober 2026 bis spätestens 31. Dezember 2026 über das Unternehmensserviceportal registrieren.
Ist das Unternehmen noch verantwortlich, wenn die IT ausgelagert ist?
Ja. Ein externer IT-Dienstleister kann technische und organisatorische Aufgaben übernehmen. Die Verantwortung der betroffenen Einrichtung und ihrer Geschäftsleitung für Steuerung und Aufsicht bleibt jedoch bestehen.
Kann ein IT-Systemcheck die NISG-Konformität bestätigen?
Nein. Ein IT-Systemcheck kann die technische Ausgangslage, Risiken und offene Maßnahmen sichtbar machen. Er ersetzt weder die rechtliche Einstufung noch eine gesetzlich verlangte Prüfung durch eine zugelassene unabhängige Stelle.