Nach dem österreichischen NISG muss die Geschäftsführung persönlich die Einhaltung der Cybersicherheitsmaßnahmen sicherstellen, überwachen und dokumentieren. Die operative Umsetzung kann delegiert werden, die Leitungsverantwortung und Schulungspflichten bleiben jedoch unveräußerlich.
Die zentralen Pflichten der Geschäftsführung nach dem österreichischen NISG 2026 sind klar geregelt: Sie muss persönlich sicherstellen, dass alle gesetzlich vorgeschriebenen Risikomanagementmaßnahmen in ihrem Unternehmen umgesetzt, überwacht und korrekt dokumentiert werden. Die Geschäftsführung kann zwar die praktische Ausführung an qualifizierte Fachleute oder Abteilungen delegieren, bleibt jedoch für die Wirksamkeit, Kontrolle und Nachweisdokumentation rechtlich verantwortlich. Diese Leitungsverantwortung ist in Österreich für Geschäftsführer:innen (insbesondere GmbH) und den Vorstand (AG) bindend und durch konkrete Regelungen im NISG festgelegt.
- Leitungsorgane müssen die Einhaltung der Cybersicherheitsmaßnahmen persönlich beaufsichtigen und nachweisen.
- Cybersicherheitsschulungen für Geschäftsführung sind Pflicht und nicht durch Mitarbeiterschulungen ersetzbar.
- Die operative Umsetzung kann delegiert werden, die Verantwortung für Kontrolle und Dokumentation bleibt unverändert.
Für wen gelten die Pflichten der Geschäftsführung nach dem NISG?
Das NISG 2026 richtet sich an die Leitungsorgane jener Unternehmen, die als wesentliche oder wichtige Einrichtungen nach dem Gesetz definiert sind. Typischerweise betrifft das Unternehmen im Finanzsektor, Informations- und Kommunikationsdienstleistungen, Gesundheitswesen, sowie Energie- und Versorgungsbetriebe. Für diese Organisationen – insbesondere mit Sitz oder Zweigstellen in Österreich – sind die Geschäftsführer:innen und Vorstände persönlich angesprochen. Die genaue Betroffenheit unterscheidet zwischen „wesentlichen Einrichtungen“ (etwa größere Banken, Finanzdienstleister) und „wichtigen Einrichtungen“, worunter auch kleinere Betriebe fallen, die kritische Dienste bereitstellen oder von besonderer Relevanz für das Gemeinwesen sind. Welche Kriterien im Einzelfall maßgeblich sind, richtet sich nach den gesetzlichen Vorgaben des NISG. Erläuterungen dazu sind im Ratgeber NISG 2026: So erkennen Sie, ob Ihr Betrieb in Österreich betroffen ist zu finden.
Was muss die Geschäftsführung nach dem NISG persönlich sicherstellen und beaufsichtigen?
Zentrale Aufgabe der Geschäftsführung ist es, für die vollständige und nachweisbare Umsetzung der in § 32 NISG 2026 festgelegten Risikomanagementmaßnahmen zu sorgen. Zu diesen zählen beispielsweise die Einführung und regelmäßige Aktualisierung eines Risikoanalyse-Konzepts, die Etablierung eines Incident-Managements für Cybersicherheitsvorfälle, geordnete Prozesse für Backup und Wiederherstellung, Maßnahmen zur Lieferkettensicherheit, sowie klare Vorgaben für Informationssysteme in Erwerb, Entwicklung und Wartung. Ferner sind regelmäßige Schulungen zur Cyberhygiene für Mitarbeitende – und gesondert für die Führungsriege – vorgeschrieben. Die Geschäftsführung darf sich hier nicht auf Standardmaßnahmen verlassen, sondern muss den Nachweis über Planung, Freigabe und Wirksamkeitskontrolle eigenhändig verantworten und dokumentieren. Auch der Nachweis, dass sie selbst entsprechende Weiterbildungen absolviert hat, ist gefordert.[1][4][3]
Welche Aufgaben lassen sich an IT, CISO oder externe Fachleute delegieren?
Viele operative Aufgaben, wie die technische Umsetzung von IT-Sicherheitsmaßnahmen, laufendes Monitoring oder die praktische Durchführung von Mitarbeiterschulungen, lassen sich an interne oder externe Fachleute delegieren. Die Verantwortung für Genehmigung, Kontrolle und vollständige Dokumentation dieser Tätigkeiten verbleibt jedoch nach wie vor bei der Geschäftsführung. Selbst wenn ein Chief Information Security Officer (CISO) oder ein externer Dienstleister konkrete Maßnahmen ausführt, muss die Leitung sicherstellen, dass die Vorgaben eingehalten, die Wirksamkeit regelmäßig überprüft und Veränderungen risikoorientiert nachjustiert werden. Diese nicht delegierbare Leitungspflicht ist ein zentrales Element des NISG.[2]
Welche Cybersicherheitsschulungen sind für Leitungsorgane vorgeschrieben?
Ein zentrales Novum des NISG ist die unübertragbare Pflicht der Leitungsorgane zur Teilnahme an spezifischen Cybersicherheitsschulungen. Diese müssen maßgeschneidert für die Geschäftsführung sein und sind – unabhängig von Schulungen des IT-Personals oder allgemeiner Awareness-Maßnahmen für Belegschaft – zwingend zu absolvieren und zu dokumentieren. Ein Nachweis über diese Eigenfortbildung ist regelmäßig zu führen. Ergänzend empfiehlt sich eine regelmäßige Überprüfung der Wirksamkeit der durchgeführten Schulungen und Anpassung an aktuelle Gefährdungslagen und regulatorische Neuerungen.[3][2]
Was sollte die Geschäftsführung dokumentieren?
Die Dokumentationspflichten erstrecken sich nach dem NISG auf alle risikorelevanten Prozesse, Zuständigkeiten, durchgeführte und geplante Maßnahmen sowie deren Erfolgskontrollen. Dazu zählen insbesondere Schulungsnachweise, Berichte über interne Audits oder externe Prüfungen, Protokolle über Managemententscheidungen und regelmäßige Kontrollberichte. Diese Nachweise müssen strukturiert, nachvollziehbar und revisionssicher abgelegt werden, um im Anlassfall – etwa bei einem Cybersicherheitsvorfall oder einer externen Überprüfung – lückenlos vorgelegt werden zu können.[2]
Typische Probleme in der Unternehmenspraxis
In der Umsetzung ergeben sich praxisrelevante Unsicherheiten: Die Pflichten der Geschäftsführung werden oft unterschätzt oder auf technische Fachleute abgewälzt, obwohl die Leitungsverantwortung nicht abgegeben werden kann. Besonders herausfordernd ist die korrekte Abgrenzung delegierbarer Aufgaben von unübertragbaren Kontroll- und Dokumentationspflichten. Zudem besteht Unsicherheit, wie Schulungsnachweise, Entscheidungsprotokolle und Freigaben ausreichend dokumentiert werden, um im Streitfall als Entlastungsbeweis zu dienen. Die Unsicherheit über die Häufigkeit und den Umfang externer Prüfungen kann zusätzliche Unruhe in wichtigen, aber nicht als wesentlich eingestuften Einrichtungen verursachen.[4]
Aktuelle Entwicklungen: Fristen und neue Vorgaben
Relevante Fristen bestimmen die Umsetzung: Spätestens ab dem 1. Oktober 2026 müssen alle Risikomanagementmaßnahmen nach § 32 NISG etabliert und die Geschäftsführung geschult sein. Die Abgabe einer umfassenden Selbstdeklaration über die umgesetzten Maßnahmen ist bis spätestens 30. September 2027 vorgeschrieben. Der Trend geht dabei zu einem immer engmaschigeren Aufsichts- und Dokumentationsregime, bei dem lückenlose Nachweise im Zentrum stehen.[1][5]
Welche Haftungs- und Unternehmensrisiken entstehen bei Pflichtverletzungen?
Ein besonders bedeutsamer Aspekt ist das persönliche Haftungsrisiko der Geschäftsführung. Es besteht nach aktueller Rechtslage keine automatische oder pauschale Schadenshaftung – vielmehr setzt die Haftung nach dem NISG eine Kausalität zwischen Pflichtverletzung und entstandenem Schaden, sowie ein entsprechendes Verschulden voraus. Dennoch bleibt das Risiko zivilrechtlicher Inanspruchnahme im Raum, etwa wenn Dritte oder Gesellschafter finanzielle Schäden im Zusammenhang mit Cybersicherheitsvorfällen geltend machen. Eine sorgfältige und nachweisbare Wahrnehmung der Überwachungs- und Dokumentationspflichten ist hier die wichtigste Präventionsmaßnahme.
Welche Schritte sollte die Geschäftsführung jetzt setzen?
Es empfiehlt sich, die rechtlichen Vorgaben des NISG 2026 frühzeitig zu prüfen und ressortübergreifend im Unternehmen zu verankern. Insbesondere sollten Verantwortlichkeiten schriftlich festgelegt, regelmäßige Berichte zu Risikoanalysen, durchgeführten Maßnahmen und Kontrollen eingefordert sowie ein zentrales Nachweisarchiv aufgebaut werden. Regelmäßige, auf die Geschäftsführung zugeschnittene Cybersicherheitsschulungen sind dabei obligatorisch. Für betroffene Unternehmen im Finanzsektor ist es ratsam, bestehende Governance-Strukturen zu überprüfen und an das strengere Überwachungsregime des NISG anzupassen. Ein praxisorientierter Ratgeber zu konkreten NIS2-Pflichten findet sich unter NISG 2026: Welche NIS2-Pflichten treffen österreichische KMU konkret?.
Quellen
[1] Risikomanagementmaßnahmen – Bundesamt für Cybersicherheit (Bundesamt für Cybersicherheit)
[2] Maßnahmen – Bundesamt für Cybersicherheit FAQ (Bundesamt für Cybersicherheit)
[3] Fragen und Antworten zu NISG 2026 – WKO (Wirtschaftskammer Österreich (WKO))
[4] NIS‑2 & NISG 2026 in Österreich: Pflichten & Fristen (Austrian Standards)
[5] NISG 2026 – neue Pflichten zur Cybersicherheit für Unternehmen (WKO) (Wirtschaftskammer Österreich (WKO))
