NIS 2 beschlossen: Was betroffene Unternehmen tun können – und warum Abwarten keine Option ist.
Am 12. Dezember 2025 hat der österreichische Nationalrat das Netz- und Informationssicherheitsgesetz 2026 (NISG) mit der notwendigen Zweidrittelmehrheit beschlossen. Damit setzt Österreich – verspätet, aber verbindlich – die EU-Richtlinie NIS 2 um.
Für viele Unternehmen ist das ein klarer Auftrag:
Cybersecurity ist ab jetzt gesetzliche Pflicht.
Nicht als Zukunftsthema, sondern als konkrete Aufgabe mit klaren Fristen, Nachweispflichten und Haftungsfolgen.
Warum das Gesetz jetzt kommt
Die NIS-2-Richtlinie hätte bereits bis Oktober 2024 umgesetzt werden müssen. Ein früherer Gesetzesentwurf scheiterte an der fehlenden Zweidrittelmehrheit. Mit dem nun beschlossenen NISG 2026 ist diese Phase vorbei. Das Gesetz ist beschlossen – und es kommt.
Ab wann gilt das NISG?
Das NISG 2026 tritt neun Monate nach Kundmachung, jeweils zum nächstfolgenden Monatsersten, in Kraft. Nach aktuellem Stand ist von einem Inkrafttreten per 1. Oktober oder 1. November 2026 auszugehen. Mit diesem Zeitpunkt wird das bisherige NISG außer Kraft gesetzt.
Update: Inkrafttretungsdatum ist der 1. Oktober 2026
Der richtige Zeitpunkt zu handeln, ist jetzt.
Auch wenn dieser Termin noch „entfernt“ wirkt – die Pflichten starten unmittelbar danach, die Fristen sind eng und der Vorbereitungsaufwand erheblich.
Welche Unternehmen sind vom NISG betroffen?
Das NISG richtet sich an wichtige Firmen, Einrichtungen und Organisationen, deren Ausfall gravierende Auswirkungen hätte.
Betroffen sind unter anderem:
- Energie- und Wasserversorger
- Lebensmittelhandel und -produktion
- Gesundheitswesen
- Transport und Verkehr
- Digitale Dienste und IT-Dienstleister
- Öffentliche und private kritische Infrastrukturen
Was können betroffene Unternehmen und Organisationen jetzt schon tun?
Der Maßnahmenkatalog des NISG ist umfangreich und umfasst über 170 Seiten an technischen, organisatorischen und prozessualen Anforderungen. Viele Themen lassen sich nicht kurzfristig umsetzen, wohl aber vorbereiten.
Sinnvolle erste Schritte sind eine Gap-Analyse zur Einordnung des eigenen Sicherheitsniveaus, ein strukturiertes Schwachstellenmanagement – und vor allem die frühzeitige Schulung und Sensibilisierung von Mitarbeitenden. Schulungen sind konkret gefordert, sofort umsetzbar und reduzieren Risiken unmittelbar.
Was müssen betroffene Unternehmen tun, sobald das Gesetz in Kraft ist?
1. Registrierung bei der Cybersicherheitsbehörde
Innerhalb von drei Monaten ist eine verpflichtende Registrierung durchzuführen. Sie bildet die Grundlage für alle weiteren Verpflichtungen nach dem NISG.
2. Durchführung einer Risikoanalyse
Unternehmen müssen ihre Cyber- und IT-Sicherheitsrisiken systematisch analysieren. Die Risikoanalyse ist Basis aller Sicherheitsmaßnahmen und regelmäßig zu überprüfen sowie bei wesentlichen Änderungen zu aktualisieren.
3. Selbstdeklaration gegenüber der Cybersicherheitsbehörde
Innerhalb von zwölf Monaten nach der Registrierung ist eine strukturierte Selbstdeklaration einzureichen, in der dargestellt wird, wie Cyberrisiken erkannt und behandelt werden.
4. Vorbereitung des Umsetzungsnachweises
Unternehmen müssen ihre Maßnahmen nachvollziehbar dokumentieren und im Fall einer behördlichen Aufforderung durch eine unabhängige Stelle nachweisen können.
5. Durchführung von Schulungs- und Sensibilisierungsmaßnahmen
Schulungen sind verpflichtender Bestandteil der Sicherheitsmaßnahmen – und nicht erst in Zukunft, sondern ab sofort.
Cybersecurity ist Chefsache
Das NISG macht klar: Die Verantwortung liegt bei der Unternehmensleitung. Cybersecurity ist damit kein reines IT-Thema mehr, sondern:
- Führungsaufgabe
- Organisationsfrage
- Haftungsthema
Unternehmen müssen Zuständigkeiten festlegen, Prozesse dokumentieren und Wissen im gesamten Unternehmen verankern.
Hohe Strafen bei Verstößen
Bei Nichteinhaltung drohen:
- bis zu 10 Millionen Euro Geldstrafe
- oder bis zu 2 % des weltweiten Jahresumsatzes
Diese Sanktionen sind bewusst an die DSGVO angelehnt – und entsprechend ernst zu nehmen.
Fazit: Jetzt vorbereiten – nicht noch länger warten
Das NISG 2026 ist beschlossen. Die Uhr läuft. Unternehmen, die jetzt ihre Betroffenheit klären, Strukturen aufbauen, Mitarbeitende schulen und Cyberrisiken systematisch angehen, verschaffen sich nicht nur rechtliche Sicherheit, sondern echte Widerstandsfähigkeit.
Die Cyberakademie unterstützt Unternehmen genau dort, wo viele aktuell anstehen:
Bei praxisnahen Schulungen und Awareness-Maßnahmen, die bereits heute verfügbar sind und direkt auf die Anforderungen von NIS 2 einzahlen.
Informieren Sie sich jetzt über unser Angebot und schaffen Sie Klarheit, bevor Fristen und Prüfungen Realität werden.
Cybersecurity ist kein IT-Projekt mehr – sie ist Unternehmensstrategie.
