Das NISG 2026 gilt ab 1. Oktober 2026 für österreichische KMU, die in kritischen Sektoren und bestimmter Größe tätig sind. Wesentliche Pflichten sind umfangreiche IT-Sicherheitsmaßnahmen, Registrierung bis 31. Dezember 2026 und die Selbstdeklaration bis spätestens 30. September 2027.
Das NISG 2026 ist das zentrale Cybersicherheitsgesetz für zahlreiche österreichische Unternehmen und gilt ab 1. Oktober 2026 für KMU, die in bestimmten Sektoren tätig sind und Schwellenwerte überschreiten. Bereits jetzt müssen sich Firmen mit neuen Pflichten, Fristen und Meldepflichten auseinandersetzen, um rechtskonform zu agieren und Haftungsrisiken zu minimieren. Für die meisten betroffenen Unternehmen sind IT-Sicherheitsmaßnahmen, Registrierung und Selbstdeklaration verpflichtend.
- Das NISG 2026 tritt am 1. Oktober 2026 in Kraft – für kritische Branchen und Unternehmen ab mittlerer Größe.
- Pflicht zur Registrierung bis spätestens 31. Dezember 2026 im zentralen Melderegister.
- Umfangreiche Sicherheits-, Melde- und Dokumentationspflichten ab Inkrafttreten.
- Selbstdeklaration muss bis 30. September 2027 vorliegen.
Ab wann gilt das NISG 2026 in Österreich?
Das österreichische Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die Anforderungen der EU-Richtlinie NIS-2 um und regelt Cybersicherheit für eine Vielzahl von Unternehmen. Es gilt ab dem 1. Oktober 2026 für alle vom Gesetz erfassten Betriebe. Bereits ab Oktober 2024 gelten in verschiedenen Sektoren und für bestimmte Unternehmen Pflichten, die Hauptlast an Pflichten – insbesondere Registrierung im zentralen Melderegister und die jährliche Selbstdeklaration – müssen bis spätestens Ende 2026 bzw. September 2027 erfüllt werden.
Welche KMU sind vom NISG 2026 betroffen?
Ob ein kleines oder mittleres Unternehmen (KMU) dem NISG 2026 unterliegt, hängt neben der Branche auch von der Unternehmensgröße ab. Grundsätzlich betrifft das Gesetz Betriebe aus sogenannten kritischen oder wichtigen Sektoren wie Energie, Verkehr, Finanzen, Gesundheitswesen, Digitale Infrastruktur oder bestimmte IT-Dienstleister. Eine definierte Schwelle – in der Regel mindestens 50 Mitarbeitende oder bestimmte Umsatz-/Bilanzgrößen – entscheidet zusätzlich über die Anwendung der Vorschriften. Wichtig: Ausnahmen bestehen, wenn KMU nicht in diese Sektoren gehören oder unterhalb der gesetzlichen Schwellenwerte liegen; die Betroffenheit ist im Einzelfall genau zu prüfen.
Wie prüfen Unternehmen ihre Betroffenheit durch das NISG 2026?
Viele Geschäftsführer stehen vor der Herausforderung, die eigene Betroffenheit korrekt einzuschätzen. Im ersten Schritt sollte das Unternehmen seine Branchenzuordnung anhand gesetzlich gelisteter Sektoren prüfen. Danach folgen die Bewertung der Mitarbeitendenzahl, des Jahresumsatzes und der Bilanzsumme im Sinne der KMU-Definition. Auch Mischformen oder verbundenen Unternehmen können zur Betroffenheit führen. Da die rechtlichen Schwellen komplex formuliert und mit Ausnahmen versehen sind, empfiehlt sich eine sorgfältige Abstimmung mit dem gesetzlichen Wortlaut und aktuelle Behördeninformationen. Exakte interne Erhebungen und dokumentierte Prüfprozesse sind ratsam.
Pflichten laut NISG 2026: Was ändert sich für Unternehmen?
Mit Inkrafttreten des Gesetzes ab 1. Oktober 2026 steigt die Zahl und Komplexität der Pflichten deutlich. Zum einen sind umfangreiche technische und organisatorische Sicherheitsmaßnahmen zu treffen. Dazu zählen Risikomanagement, regelmäßige IT-Schulungen, sowie umfassende Vorkehrungen zum Schutz vor Cyberangriffen. Zum anderen müssen Unternehmen erstmals IT-Sicherheitsvorfälle melden, Eigenkontrollen durchführen und jährlich eine Selbstdeklaration über den Stand der Cybersicherheit abgeben. Weitere Anforderungen betreffen die Schulung des Leitungsorgans, laufende Überprüfung interner Prozesse und die Dokumentation aller Maßnahmen.
Welche Fristen gelten für Registrierung und Selbstdeklaration?
Die Registrierung im zentralen Melderegister muss von allen betroffenen Unternehmen bis spätestens zum 31. Dezember 2026 vorgenommen werden. Die erstmalige Selbstdeklaration zur Erfüllung der Cybersicherheitsanforderungen ist dann bis spätestens zum 30. September 2027 einzureichen. Wer die Voraussetzungen erst später erfüllt, muss sich zeitnah nach Erreichen der Schwellen registrieren. Die Registrierung erfolgt voraussichtlich über das Unternehmensserviceportal (USP).
Typische Probleme bei der Umsetzung
Viele KMU stehen vor großen Herausforderungen bei der Umsetzung der komplexen neuen Anforderungen. Insbesondere die Feststellung, ob und ab wann die Regelungen jeweils gelten, bereitet Schwierigkeiten. Unscharfe oder schwer verständliche Schwellenwerte und Mehrfachregeln können die Vorbereitung erheblich verzögern. Unternehmen ohne eigene IT-Ressourcen sehen sich mit einem deutlichen Mehraufwand für technische und organisatorische Maßnahmen konfrontiert.
Aktuelle Entwicklungen zum NISG 2026
Seit Februar 2024 liegt der Gesetzesentwurf zum überarbeiteten NISG vor. Die Behörden haben angekündigt, schon ab Oktober 2024 erste Prüfungen und Aufklärungsschritte zu starten, sodass betroffene Unternehmen sich frühzeitig vorbereiten und sämtliche nachfolgenden Fristen im Blick behalten müssen. Der endgültige verbindliche Wortlaut sowie ergänzende Leitlinien werden laufend veröffentlicht, Unternehmen sollten daher regelmäßig die aktuellen Mitteilungen der Cybersicherheitsbehörde und der Wirtschaftskammer Österreich beobachten.
Welche Ausnahmen und Sonderregeln gibt es?
Kleine Unternehmen, die nicht in kritischen oder wichtigen Sektoren tätig sind, können auch ab Oktober 2026 vom Geltungsbereich des Gesetzes ausgenommen bleiben. Es gelten branchenspezifische Schwellenwerte, und für manche Mischbetriebe oder Einzelfälle existieren Sonderregelungen, beispielsweise für Ein-Personen-Unternehmen oder Unternehmen, die besondere öffentliche Dienstleistungen erbringen. Es empfiehlt sich, individuelle Konstellationen frühzeitig juristisch prüfen zu lassen.
Wie können KMU die Umsetzung praktisch vorbereiten?
Empfehlenswert ist ein frühzeitiges Projekt zur Vorbereitung: Prüfprozesse zur Betroffenheit, Aufbau einer internen Cybersicherheitsstruktur oder Kooperation mit spezialisierten Dienstleistern, klare Dokumentation und Schulung des Managements. Wichtig ist, die Gesetzesinhalte sorgfältig zu analysieren und zu dokumentieren, welche Maßnahmen bereits bestehen und wie die gesetzlich geforderten Prozesse und Fristen eingehalten werden. Wo interne Ressourcen fehlen, bieten sich externe Beratungsleistungen an.
Welche Folgen drohen bei versäumten Pflichten?
Unternehmen, die Registrierung, Meldepflichten oder Sicherheitsmaßnahmen versäumen, riskieren empfindliche Sanktionen. Verstöße gegen das NISG 2026 können zu erheblichen Geldbußen führen, und es drohen Reputationsverluste wie auch Haftungsrisiken für die Geschäftsführung. Verstärkte Kontrollen durch Behörden sind angekündigt, betroffene KMU sollten Fristen und Dokumentationsanforderungen daher sehr ernst nehmen.
Fazit und Ausblick
Für österreichische KMU bringt das NISG 2026 tiefgreifende Veränderungen und neue Pflichten im Bereich IT-Sicherheit. Um Rechts- und Haftungsrisiken zu vermeiden, sollten Unternehmen jetzt prüfen, ob und ab wann sie betroffen sind, und alle Fristen konsequent einhalten. Die nächsten Monate sollte die Vorbereitung auf Maßnahmen zur IT-Sicherheit, die Registrierung im Melderegister und die Organisation der Selbstdeklaration im Fokus stehen. Wer sich rechtzeitig vorbereitet, kann Cybersicherheitsauflagen erfüllen – und profitiert auch langfristig von mehr Schutz und Innovationskraft.
