Das NISG 2026 verpflichtet österreichische KMU zur Registrierung, zum Nachweis von Risikomanagement und zur Meldung von Cybersicherheitsvorfällen. Entscheidend ist, ob Ihr Unternehmen als wesentlich oder wichtig im Sinne des Gesetzes gilt – oder indirekt über die Lieferkette betroffen ist. Geschäftsführer müssen ab Oktober 2026 persönliche Verantwortung für Cybersicherheit übernehmen.
Das NISG 2026 bringt neue Cybersicherheits-Pflichten für österreichische KMU: Ab 1. Oktober 2026 gelten umfangreiche Anforderungen an Registrierung, Risikomanagement und Vorfallmeldung – sowohl für direkt betroffene Unternehmen als auch für jene, die über ihre Lieferkette in die Pflicht genommen werden. Im Zentrum steht die klare Verantwortung der Geschäftsführung. Damit ist die Frage, wann ein KMU von den NIS2-Regeln betroffen ist und welche Pflichten konkret resultieren, für die strategische und finanzielle Planung unabdingbar.
- Das NISG 2026 gilt ab 1. Oktober 2026 für wesentliche und wichtige Einrichtungen, unabhängig von der Unternehmensgröße in bestimmten Sektoren.
- Pflichten: Registrierung, Risikomanagement, Schulungen, Nachweise, Fristeneinhaltung und verpflichtende Vorfallmeldungen.
- Auch nicht direkt betroffene KMU müssen oft über Kunden und Lieferketten Schutzmaßnahmen dokumentieren.
Welche österreichischen KMU fallen unter das NISG 2026?
Zentral für die Betroffenheit ist, ob ein Unternehmen als „wesentliche Einrichtung“ oder „wichtige Einrichtung“ nach dem NISG 2026 eingestuft wird. Dies hängt vor allem von der Branche, der wirtschaftlichen Bedeutung, aber auch der spezifischen Dienstleistung ab. Typische Sektoren sind Energie, Gesundheit, Transport, Finanz- und Kreditwesen, Abfall- und Wasserversorgung, Digitale Infrastruktur sowie öffentliche Verwaltung. Erreicht ein Unternehmen die Schwelle des mittleren Unternehmens (mindestens 50 Mitarbeitende und 10 Mio. € Jahresumsatz oder Bilanzsumme), fällt es regelmäßig unter die NISG-Pflichten. Aber auch kleinere Unternehmen können erfasst sein, wenn sie besonders sicherheitsrelevante Dienste betreiben oder im Auftrag solcher Einrichtungen tätig sind. Die Einstufung bleibt im Einzelfall oft anspruchsvoll, weil sie auf aktuelle nationale Verordnungen verweist, deren Detailregeln mit der NISV 2026 erst finalisiert werden [3][4].
Direkt betroffen oder nur über die Lieferkette verpflichtet?
Nicht alle KMU werden gesetzlich unmittelbar erfasst. Wer jedoch als Lieferant, Subdienstleister oder IT-Partner für kritische Sektoren agiert, unterliegt spätestens dann indirekt bestimmten NIS2-Pflichten, wenn seine Geschäftspartner entsprechende Vorgaben in Verträgen oder Auswahlprozessen machen. Solche Anforderungen umfassen Cyberhygiene, Managementnachweise sowie Nachvollziehbarkeit beim Umgang mit sensiblen Daten und IT-Systemen. Der Druck auf nicht direkt regulierte KMU wächst damit, zumal größere Auftraggeber für die Einhaltung der Sicherheitsstandards ihrer Lieferketten verantwortlich sind [5].
Welche NIS2-Pflichten gelten konkret?
Die Hauptpflichten nach dem NISG 2026 für erfasste Unternehmen sind vielschichtig und betreffen die gesamte Organisation. Dazu zählen die verpflichtende Registrierung innerhalb von drei Monaten ab Inkrafttreten (also bis spätestens 31. Dezember 2026), die Einführung und Dokumentation eines angemessenen Risikomanagements, laufende technische und organisatorische Sicherheitsmaßnahmen (wie Zugriffsmanagement, Backup, Monitoring) sowie die klare Benennung von Verantwortlichkeiten. Vorfallmanagement gehört ebenfalls dazu: Sicherheitsvorfälle müssen binnen 24 Stunden vorgewarnet und innerhalb von 72 Stunden offiziell gemeldet werden. Die gesetzliche Selbstdeklaration über umgesetzte Maßnahmen ist bis spätestens 30. September 2027 abzugeben [2]. Alle Prozesse müssen nachvollziehbar dokumentiert und regelmäßig überprüft werden.
Welche Fristen müssen Unternehmen einhalten?
Der Zeitplan für die Umsetzung ist strikt geregelt. Ab dem 1. Oktober 2026 gilt das NISG 2026. Unternehmen, die zu den direkt erfassten Sektoren gehören, müssen sich binnen drei Monaten – also bis spätestens 31. Dezember 2026 – über das Unternehmensserviceportal (USP) registrieren. Innerhalb von weiteren neun Monaten (spätestens bis 30. September 2027) ist eine Selbstdeklaration zu den getroffenen Risikomanagementmaßnahmen einzureichen. Sicherheitsvorfälle sind nach fest definierten Fristen an das Bundesamt für Cybersicherheit zu melden: eine Frühwarnung binnen 24 Stunden, eine vollständige Meldung innerhalb von 72 Stunden und – erforderlichenfalls – ein Abschlussbericht spätestens nach einem Monat [2].
Was muss die Geschäftsführung verantworten?
Mit dem NISG 2026 wird die Verantwortung explizit zur Leitungsaufgabe. Die Geschäftsführung und andere Leitungsorgane sind persönlich für die Umsetzung, laufende Überwachung und Einhaltung aller Cybersicherheitsmaßnahmen verantwortlich und haften im Rahmen ihrer Sorgfaltspflichten. Ihnen obliegt die Aufgabe, sich zu Cybersicherheit schulen zu lassen und regelmäßige Weiterbildungen sicherzustellen. Verstöße gegen die Pflichten können mit Bußgeldern von bis zu 100.000 Euro geahndet werden [4]. Zudem verlangt das Gesetz die klare Zuweisung sämtlicher Aufgaben im Bereich IT-Sicherheit und die nachweisliche Kontrolle der Umsetzung in Betriebsabläufen.
Welche Nachweise und welches Budget sollte ein KMU einplanen?
Jedes betroffene Unternehmen ist verpflichtet, die Einhaltung seiner Schutzmaßnahmen umfassend zu dokumentieren. Dazu gehören Nachweise zur Organisation des Risikomanagements, Protokolle zu Sicherheitsvorfällen, Aufzeichnungen über Mitarbeiterschulungen sowie regelmäßige Überprüfungen der bestehenden Prozesse. Im Finanzplan sollten Kosten für IT-Sicherheitsmaßnahmen, Beratungsleistungen, Cyberversicherungen, interne und externe Audits sowie die fortlaufende Weiterbildung der Mitarbeiter einkalkuliert werden. Gesetzlich vorgeschriebene Pauschalen existieren nicht, wohl aber vertraglich durchsetzbare Mindeststandards, die insbesondere über die Lieferkette auch kleinere Unternehmen direkt treffen können [5].
Typische Probleme: Wo stoßen KMU an ihre Grenzen?
Viele KMU sind von der Vielzahl und Komplexität organisatorischer Anforderungen überfordert. Fehlende Vorlagedokumente, allgemeine Unsicherheiten in der Auslegung nationaler Detailregelungen und der steigende interne Aufwand sorgen insbesondere in Betrieben ohne eigenen IT-Sicherheitsbeauftragten für deutliche Herausforderungen. Besonders anspruchsvoll ist das sichere Management von Pflichten in der Lieferkette, oft ohne klare gesetzliche Vorgaben oder Unterstützung.
Aktuelle Entwicklungen: Was ist bei der NISG 2026-Umsetzung zu beachten?
Das NISG 2026 wurde am 23. Dezember 2025 kundgemacht und ist ab 1. Oktober 2026 geltendes Recht. Noch stehen einige Umsetzungsdetails, beispielsweise im Rahmen der NISV 2026, aus. Praxisnahe FAQs und Leitfäden der Wirtschaftskammer Österreich sowie behördliche Stellen bieten Hilfestellung zu Fristen, konkreten Anforderungen und möglichen Sanktionen [3]. Besonders wichtig für Unternehmen aller Größen ist die kontinuierliche Information über weitere nationale Detailregelungen und das frühzeitige Einplanen interner wie externer Ressourcen – nicht zuletzt, um Bußgeldrisiken und Reputationsschäden zu vermeiden.
Checkliste: Betroffenheit und nächste Schritte für KMU
Geschäftsführer sollten jetzt prüfen, ob ihr Unternehmen nach Sektoren und Größenordnung direkt umfasst ist oder indirekte Pflichten über Lieferkettenverträge zu erwarten sind. Wichtige Schritte sind die fristgerechte Registrierung im USP, das Aufsetzen eines systematischen Risikomanagements, gezielte Mitarbeiterschulungen, die Einführung technischer Sicherheitsmaßnahmen und die lückenlose Dokumentation aller Aktivitäten. Auch sollten Zuständigkeiten klar zugewiesen und das Budget für externe Beratung und laufende Kontrolle berücksichtigt werden. Weiterführende praktische Maßnahmen für Geschäftsführer finden Sie im Beitrag IT-Sicherheit diese Woche: Ein umsetzbarer Plan für Geschäftsführer österreichischer KMU.
Fazit
Das NISG 2026 bringt für viele österreichische KMU neue Pflichten und Verantwortung für Cybersicherheit. Die Regelungen greifen sowohl direkt über das Gesetz als auch indirekt über Lieferketten und Kundenbeziehungen. Für die Geschäftsführung ist jetzt der richtige Zeitpunkt, Betroffenheit zu prüfen, konkrete Verantwortungen zu definieren und notwendige Budgetmittel bereitzustellen – um Cybersicherheitsrisiken zu begegnen und gesetzeskonform zu agieren.
Quellen
[2] Maßnahmen laut NISG 2026 (Risikomanagement etc.) (Bundesamt für Cybersicherheit)
[3] Gesetzgebung und Inkrafttreten NISG 2026 (Bundesamt für Cybersicherheit)
[4] Pflichten nach NISG 2026 – WKO-Leitfaden (Wirtschaftskammer Österreich)
[5] Wiener Unternehmen: NIS 2 ab Oktober 2026 (WKO Wien)
