Am 1. Oktober 2026 tritt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft – die nationale Umsetzung der EU-weiten NIS2-Richtlinie. Was auf den ersten Blick wie ein weiteres IT-Compliance-Thema klingt, ist in Wahrheit ein handfestes Risiko- und Krisenmanagement-Thema, das Geschäftsführungen direkt betrifft. Wer NIS2 als reines Technikprojekt abtut, unterschätzt die Tragweite.

Vom Nischenthema zur Breitenwirkung

Bisher fiel das Thema in Österreich unter das NISG 2018 und betraf rund 100 Unternehmen – klassische Betreiber kritischer Infrastruktur wie Energieversorger oder digitale Dienste. Mit dem NISG 2026 ändert sich das grundlegend: Der Anwendungsbereich wächst auf geschätzte 5.000 direkt betroffene Organisationen. Erfasst werden Unternehmen ab 50 Mitarbeitenden beziehungsweise 10 Millionen Euro Umsatz in 18 definierten Sektoren – von Energie, Verkehr und Gesundheit über digitale Infrastruktur bis zu Lebensmittelproduktion, Abfallwirtschaft, verarbeitendem Gewerbe und Forschung.

Und selbst wer nicht direkt in einem dieser Sektoren tätig ist, kann betroffen sein: Über die Lieferkette wirkt NIS2 auch auf Dienstleister und Zulieferer von erfassten Unternehmen. Große Auftraggeber werden künftig von ihren Partnern Nachweise verlangen – zu Sicherheitsmaßnahmen, Meldeprozessen, Backup-Strategien.

Die zentralen Pflichten im Überblick

Das NISG 2026 unterscheidet zwischen “wesentlichen” und “wichtigen” Einrichtungen, mit abgestuften Pflichten- und Sanktionsregimen. Im Kern verlangt das Gesetz von betroffenen Organisationen:

• Risikomanagement: Aufbau eines risikobasierten Sicherheitskonzepts – Bestandsaufnahme, Zugriffskonzepte, Patch-Management, Backup- und Wiederanlaufpläne.
• Governance- und Schulungspflicht: Die Verantwortung liegt ausdrücklich bei der Unternehmensleitung, nicht bei der IT-Abteilung. Führungskräfte müssen sich aktiv mit den Anforderungen befassen und Maßnahmen genehmigen – und das auch nachweisen können.
• Meldepflichten: Bei erheblichen Sicherheitsvorfällen gilt ein gestuftes Verfahren – 24 Stunden für die Frühwarnung, 72 Stunden für die vollständige Meldung, ein Monat für den Abschlussbericht.
• Registrierung: Betroffene Einrichtungen müssen sich innerhalb von drei Monaten bei der neu geschaffenen Behörde registrieren.
• Lieferkettensicherheit: Auch die Sicherheit von Zulieferern und Dienstleistern muss bewertet und vertraglich abgesichert werden.

Neu geschaffen wird zudem das Bundesamt für Cybersicherheit, angesiedelt beim Innenministerium, das künftig als zentrale Aufsichtsbehörde fungiert.

Persönliche Haftung statt anonymer Bußgelder

Der bisher größte Unterschied zur bisherigen Rechtslage: Die Verantwortung wird explizit bei der Unternehmensleitung verankert. Ohne dokumentierte Schulung der Geschäftsführung wird es im Ernstfall schwierig, sich zu entlasten – selbst wenn die technischen Maßnahmen grundsätzlich korrekt umgesetzt wurden. Strafen reichen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Das verschiebt die Perspektive: NIS2 ist kein Projekt, das an die IT delegiert werden kann. Es ist ein Führungsthema – und damit ein klassisches Krisenmanagement-Thema, weil es genau jene Fragen aufwirft, mit denen sich Organisationen im ZRK-Kontext ohnehin beschäftigen: Wer trägt im Ernstfall Verantwortung? Sind Meldewege eingeübt oder nur auf dem Papier definiert? Gibt es einen echten Notfallplan oder ein Dokument, das seit Jahren niemand mehr angesehen hat?

Meldewege müssen trainiert werden, nicht nur existieren

Eine der praxisrelevantesten Erkenntnisse aus der bisherigen Umsetzung anderer NIS2-Staaten: Wer die 24-Stunden-Frühwarnung erst im Ernstfall zum ersten Mal durchspielt, verliert wertvolle Zeit. Eine Tabletop-Übung mit klar definierten Verantwortlichkeiten reduziert dieses Risiko deutlich – ein Ansatz, der sich nahtlos in bestehende Krisenmanagement-Übungen integrieren lässt.

Was jetzt zu tun ist

Auch wenn das Gesetz erst am 1. Oktober 2026 in Kraft tritt, gilt: Wer bis kurz davor wartet, gerät unter unnötigen Zeitdruck. Sinnvolle erste Schritte sind:

1. Betroffenheit klären – fällt die eigene Organisation unter einen der 18 Sektoren, und wenn nicht direkt, besteht eine Lieferkettenbeziehung zu betroffenen Unternehmen?
2. Governance einbetten – Verantwortlichkeiten auf Leitungsebene klar zuweisen und dokumentieren.
3. Risikoanalyse starten – Bestandsaufnahme der Systeme, Daten und Abhängigkeiten.
4. Meldeprozesse aufbauen und trainieren – nicht nur definieren, sondern in einer Übung testen.
5. Lieferkette bewerten – welche Dienstleister und Zulieferer könnten selbst zum Risiko werden?

Ein kleines, aber aussagekräftiges Beispiel

Wie tief NIS2 tatsächlich in den Alltag hineinreicht, zeigt sich auch an einer unscheinbaren Nebenwirkung: Selbst die Registrierungsstelle für .at-Domains, nic.at, passt aufgrund des NISG 2026 ihre Geschäftsbedingungen an. Ab 1. Oktober müssen Domain-Inhaberinnen und -Inhaber künftig neben der E-Mail-Adresse auch eine Telefonnummer hinterlegen und bei Aufforderung ihre Daten verifizieren – andernfalls droht der Verlust der Domain. Ein kleines Detail, das aber illustriert, wie weit der Anspruch des Gesetzes reicht: von der Konzernebene bis zur einzelnen Webadresse.

Krisenmanagement als Vorteil bei der NIS2-Umsetzung

Das NISG 2026 ist mehr als ein IT-Sicherheitsgesetz. Es ist ein Führungs- und Organisationsthema, das Risikomanagement, Krisenvorsorge und Unternehmensverantwortung neu verknüpft. Organisationen, die sich schon heute mit Krisenmanagement auseinandersetzen, haben einen klaren Vorteil: Viele der geforderten Strukturen – Notfallpläne, klare Meldewege, geübte Abläufe – sind kein Neuland, sondern eine konsequente Weiterentwicklung bestehender Praxis.