Leitfaden · Stand Juli 2026 · geprüft gegen NISG 2026
NIS2 in Österreich (NISG 2026): Wer betroffen ist, was zu tun ist — und was passiert, wenn nicht.
Kurzantwort
Das NISG 2026 setzt die EU-Richtlinie NIS2 in Österreich um und gilt ab dem 1. Oktober 2026. Direkt betroffen sind rund 5.000 Unternehmen: alle mit mindestens 50 Mitarbeitern (inkl. Leihpersonal; Beteiligungen ab 25 % werden zusammengerechnet) oder über 10 Mio. € Umsatz, die in einem der 18 regulierten Sektoren tätig sind — dazu größenunabhängig u. a. DNS-/Domain-Anbieter und die öffentliche Verwaltung. Betroffene müssen sich zwischen 1. Oktober und 31. Dezember 2026 beim neuen Bundesamt für Cybersicherheit registrieren und zehn Pflichtbereiche dokumentiert umsetzen. Strafen: bis 7–10 Mio. €, die versäumte Registrierung allein bis 50.000 € — und die Geschäftsführung haftet persönlich.
Kostenlos · sofortiges Ergebnis · kein Anruf nötig
- Wir fallen selbst unter NIS2
- Österreich, nicht Deutschland
- Stand Juli 2026
- Über 100 betreute Unternehmen in Österreich
- Microsoft Cloud Solution Provider
- NIS2-Umsetzung im eigenen Haus dokumentiert
- Fester Ansprechpartner, keine Hotline
österreichische Unternehmen direkt betroffen
weitere indirekt über die Lieferkette
Strafrahmen für wesentliche Einrichtungen
schon für die versäumte Registrierung
Wer ist von NIS2 in Österreich betroffen?
Betroffen ist, wer beide Bedingungen erfüllt — Größe und Sektor — oder unter einen größenunabhängigen Sonderfall fällt:
| Kriterium | Schwelle | Häufig übersehen |
|---|---|---|
| Größe | ≥ 50 Mitarbeiter oder > 10 Mio. € Umsatz | Leihpersonal zählt mit (Jahresarbeitseinheiten); Beteiligungen ab 25 % werden konzernweit zusammengerechnet — auch über gemeinsame Eigentümer |
| Sektor | 18 Sektoren (Anlage 1 & 2): u. a. Produktion/Maschinenbau/Kfz, Lebensmittel, Transport, Energie/Wasser/Abfall, Gesundheit, IT-Dienste, Chemie, Post, Forschung | Schon eine Nebentätigkeit im Sektor kann genügen; die Firmenbuch-Größenklasse (UGB) ist NICHT die NIS2-Größe |
| Sonderfälle (größenunabhängig) | DNS-/Domain-Dienste für Dritte, Telekom, Vertrauensdienste, öffentliche Verwaltung, per Bescheid einbezogene Einrichtungen | Trifft auch Web-Agenturen und Hoster mit eigenen Nameservern — unabhängig von der Mitarbeiterzahl |
Sind Sie betroffen? Der Schnellcheck sagt es Ihnen.
Der Check rechnet Konzernbeteiligungen und Leihpersonal mit — genau die zwei Punkte, an denen die meisten Selbsteinschätzungen scheitern. Ergebnis sofort, das Dossier per E-Mail.
Schritt 1 von 3
Wie viele Leute arbeiten in Ihrem Unternehmen?
Inklusive Leihpersonal — das zählt für das Gesetz mit.
Welche Fristen und Strafen gelten?
| Datum / Verstoß | Was gilt |
|---|---|
| 1. Oktober 2026 | NISG 2026 tritt in Kraft |
| 1. Oktober – 31. Dezember 2026 | Registrierung beim Bundesamt für Cybersicherheit (BMI) |
| bis 30. September 2027 | Selbstdeklaration einreichen |
| Vorfall | Frühwarnung ≤ 24 h · Meldung ≤ 72 h · Abschlussbericht ≤ 1 Monat |
| Versäumte Registrierung | bis 50.000 € (Wiederholung: 100.000 €) |
| Verstöße („wichtige“ Einrichtung) | bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Verstöße („wesentliche“ Einrichtung) | bis 10 Mio. € oder 2 % — plus proaktive Behörden-Audits ohne Anlass |
| Geschäftsleitung | muss Maßnahmen genehmigen, überwachen, sich schulen lassen — und haftet persönlich |
Stichtag
Bis das NISG 2026 gilt
Danach läuft die Registrierungsfrist nur bis 31. Dezember 2026. Eine saubere Umsetzung inklusive Dokumentation und Nachweisen braucht realistisch drei Monate — wer im Oktober beginnt, ist knapp dran.
Was muss umgesetzt werden? Die 10 Pflichten
- 1Risikoanalyse & Sicherheitskonzepte (Policies)
- 2Erkennung & Behandlung von Sicherheitsvorfällen
- 3Backups, Notfallpläne & Krisenmanagement — nachweislich getestet
- 4Absicherung der eigenen Lieferanten & Dienstleister
- 5Sichere Beschaffung, Wartung & Schwachstellenmanagement
- 6Regelmäßige Messung, ob die Maßnahmen wirken
- 7Cyber-Hygiene & Schulungen für alle — inkl. Geschäftsführung
- 8Verschlüsselungs-Konzepte
- 9Zugriffskontrolle, Personalsicherheit & Asset-Verzeichnis
- 10Multi-Faktor-Anmeldung & abgesicherte Notfall-Kommunikation
Entscheidend ist nicht nur die Umsetzung, sondern der Nachweis: dokumentiert, von der Geschäftsführung genehmigt, prüffest — für Behörde, Kunden und Versicherung. Wie das technisch aussieht, steht bei IT-Sicherheit und Backup & Disaster Recovery.
Nicht betroffen — aber Ihr Kunde schon? Der Lieferketten-Effekt
NIS2 verpflichtet betroffene Unternehmen, ihre direkten Lieferanten und Dienstleister abzusichern — das einzige Instrument dafür ist der Vertrag. In der Praxis heißt das für Zulieferer: Sicherheits-Fragebögen, neue Einkaufsbedingungen, Vertragsanhänge zur Informationssicherheit, Meldefristen — und bei Ausschreibungen der Nachweis als Eignungskriterium. Schätzungen gehen von über 100.000 indirekt betroffenen Unternehmen aus, ein Vielfaches der direkt regulierten. Wer beim ersten Fragebogen lieferfähig ist, macht daraus einen Wettbewerbsvorteil.
Was kostet eine NIS2-Umsetzung?
Seriös lässt sich das erst nach der Einstufung sagen — vorher wäre jede Zahl geraten. Die Kosten fallen immer in denselben drei Bausteinen an:
Schritt 1 · einmalig
Einstufung
Das Betroffenheits-Audit klärt verbindlich, ob Sie unter das NISG 2026 fallen — und als wichtige oder wesentliche Einrichtung. Fixpreis, weil der Aufwand kalkulierbar ist. Ohne diesen Schritt ist jedes Angebot geraten.
Schritt 2 · Projekt
Umsetzung
Die zehn Pflichtbereiche inklusive Dokumentation, Registrierung und Geschäftsführer-Schulung. Der Aufwand hängt an drei Dingen: Mitarbeiterzahl, Standorte und wie viel technische Basis (Backup, MFA, Endpoint-Schutz) schon steht.
Schritt 3 · laufend
Nachweis halten
NIS2 ist kein Projekt mit Enddatum: Monitoring, Wirksamkeitsmessung, Vorfalls-Bereitschaft für die 24-Stunden-Frist und aktuelle Dokumentation für Behörde, Kunden und Versicherung. Monatlicher Betrieb.
Die Größenordnung für Ihren Fall nennen wir in der kostenlosen Erstberatung — inklusive der Frage, was Sie sich sparen können, weil es bei Ihnen schon steht.
Keine Rechtsberatung — die rechtliche Einstufung im Grenzfall gehört zum Anwalt.
So läuft eine Umsetzung ab
Einstufung
Betroffenheits-Audit mit dokumentierter Begründung — betroffen oder nicht, und als was. Dauer: 1–2 Wochen.
Umsetzung in 90 Tagen
Die zehn Pflichtbereiche, priorisiert nach Risiko und Aufwand. Registrierung, Dokumentation und Schulung der Geschäftsführung inklusive.
Nachweis halten
Laufender Betrieb: Monitoring, Wirksamkeitsmessung, Vorfalls-Bereitschaft für die 24-Stunden-Frist, aktuelle Dokumentation für Behörde und Kunden.
Häufige Fragen zu NIS2 in Österreich
Direkt betroffen ist, wer beides erfüllt: mindestens 50 Mitarbeiter (inklusive Leihpersonal, Konzernbeteiligungen ab 25 % werden zusammengerechnet) oder mehr als 10 Mio. € Jahresumsatz UND eine Tätigkeit in einem der 18 regulierten Sektoren des NISG 2026 (u. a. Produktion, Lebensmittel, Transport, Energie, Gesundheit, IT-Dienstleistung). Unabhängig von der Größe betroffen sind u. a. DNS-/Domain-Anbieter, Telekom- und Vertrauensdiensteanbieter sowie die öffentliche Verwaltung. In Summe sind rund 5.000 österreichische Unternehmen erfasst.
Selbst einschätzen
Wenige Klicks, sofortiges Ergebnis, danach das Dossier mit Fristen, den zehn Pflichten und der 90-Tage-Checkliste per E-Mail.
Einmal 30 Minuten sprechen
Kostenlose Erstberatung: Betroffenheit, Ihre drei größten Lücken und die Größenordnung der Kosten — auch wenn am Ende rauskommt, dass Sie uns nicht brauchen.
Sind Sie betroffen? Zwei Minuten für Klarheit.
Kostenloser Schnellcheck mit sofortigem Ergebnis — inklusive der Konzern-Regel, die fast alle übersehen. Von morebit, einem IT-Dienstleister, der selbst unter NIS2 fällt.
Free initial consultation · No obligation · Response within 24h