NISG 2026: Die 10 Sicherheitsmaßnahmen und was Sie konkret umsetzen müssen
Aktualisiert: 2. Sept.
Am 1. Oktober 2026 tritt das NISG 2026 in Kraft, das Netz- und Informationssystemsicherheitsgesetz. Es setzt die europäische NIS2-Richtlinie in österreichisches Recht um. Diese Richtlinie gibt EU-weit vor, dass Unternehmen in kritischen Bereichen Cybersicherheitsmaßnahmen einführen müssen. Eine Übergangsfrist für die Sicherheitsmaßnahmen gibt es nicht. Welche Maßnahmen verlangt werden, ist in § 32 NISG 2026 definiert (den vollständigen Text finden Sie im RIS, dem Rechtsinformationssystem des Bundes). Dort sind zehn Bereiche aufgezählt, die betroffene Unternehmen umsetzen müssen, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. Wie genau jede davon umgesetzt werden muss, kann eine eigene Verordnung klarstellen, die es bis dato nicht gibt. In diesem Beitrag gehen wir die zehn Maßnahmen im Klartext durch, also was Sie in Ihrem KMU gegebenenfalls umsetzen müssen und wie das bei Ihnen aussehen könnte.
Für wen gelten die zehn Maßnahmen?
Im Gesetz wird zwischen zwei Klassifizierungen unterschieden, „wesentlichen Einrichtungen“, das sind die großen Unternehmen in den kritischsten Sektoren, und „wichtigen Einrichtungen“, worunter mittlere Unternehmen und Unternehmen aus weiteren Sektoren fallen. Allgemein kann man sagen, es betrifft Unternehmen in Bereichen wie Energie, Transport, Gesundheit, digitaler Infrastruktur und verarbeitendem Gewerbe, ab 50 Mitarbeitern oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme. Einige Kategorien, etwa Anbieter öffentlicher Kommunikationsnetze, fallen unabhängig von ihrer Größe darunter. Ob Ihr Unternehmen selbst in den Anwendungsbereich fällt, haben wir in unserem Beitrag zum NISG-2026-Fahrplan beschrieben.
Die umzusetzenden Maßnahmen sind in beiden Kategorien gleich, der Unterschied liegt in der Aufsicht und in den Strafhöhen. Achtung: Auch wenn Sie keine wesentliche oder wichtige Einrichtung sind, können Sie betroffen sein, wenn Ihre Kunden es sind, denn große Kunden geben die Anforderungen oft an ihre Lieferanten und Dienstleister weiter.
Die 10 Maßnahmen nach § 32 NISG 2026
Das Gesetz zählt zehn Bereiche auf, die jede betroffene Einrichtung „zumindest“ abdecken muss. Die Liste ist also eine Untergrenze. Ein fixes Format gibt es dafür nicht. Sie setzen die Maßnahmen um und dokumentieren sie intern, etwa als Richtlinien, Notfallplan und Schulungsnachweise. Innerhalb von zwölf Monaten, nachdem Ihre Registrierungspflicht entstanden ist, müssen Sie der Behörde außerdem eine Selbstdeklaration abgeben (§ 33), deren genaue Vorgaben ebenfalls noch nicht veröffentlicht sind. Abgesehen davon legen Sie Ihre Unterlagen erst vor, wenn die Behörde, ein Prüfer oder ein Kunde sie verlangt. Was die zehn Punkte für Ihr KMU konkret bedeuten:
Risikoanalyse und Sicherheitskonzepte: Sie wissen, welche Systeme, Daten und Konten geschäftskritisch sind, und halten schriftlich fest, welche Risiken bestehen. Ohne diese Bestandsaufnahme fehlt jeder weiteren Maßnahme die Grundlage.
Bewältigung von Vorfällen: Sie brauchen einen Plan für den Angriffsfall. Dieser Plan sollte festlegen, wer im Notfall der Entscheidungsträger ist, wer Systeme vom Netz trennt und wer nach außen kommuniziert bzw. den Vorfall meldet. Bewahren Sie ihn auch ausgedruckt auf, denn im Ernstfall sind digitale Ablagen unter Umständen selbst betroffen.
Backup und Betriebskontinuität: Backups, Wiederherstellung, Krisenmanagement. Es reicht nicht, eine Backup-Software zu besitzen, die Wiederherstellung muss regelmäßig geprüft werden. Dazu gehört ein Plan, wie der Betrieb weiterläuft, während essenzielle Systeme wegen eines Vorfalls nicht verfügbar sind.
Sicherheit der Lieferkette: Sie bewerten Ihre IT-Dienstleister und Zulieferer nach Sicherheitskriterien. Eventuell haben auch Sie schon einen Fragebogen mit Sicherheitsfragen von einem Ihrer Großkunden bekommen, der Grund dafür ist genau diese Pflicht.
Sicherer Einkauf, Entwicklung und Betrieb von IT-Systemen: Sicherheitsanforderungen müssen schon beim Kauf neuer Systeme beachtet und laufende Updates eingespielt werden, dazu gehört ein geregelter Umgang mit bekannt gewordenen Schwachstellen.
Wirksamkeitsprüfung: Sie prüfen regelmäßig, ob Ihre Maßnahmen einem echten Angriff standhalten würden, etwa durch Tests oder Audits, und dokumentieren die Ergebnisse. Diese Aufzeichnungen sind später Ihr Nachweis gegenüber Prüfern und Kunden.
Cyberhygiene und Schulungen: Grundregeln für alle Mitarbeiter, dazu regelmäßige Security-Awareness-Trainings. Phishing bleibt einer der häufigsten Einstiegswege in Firmen aller Größen.
Kryptografie: Ein Konzept, was und womit verschlüsselt wird, bspw. Laptops und Handys, die Datenübertragung und wo nötig auch E-Mail und Datenablage.
Personal, Zugriffskontrolle und Anlagenmanagement: Sie regeln, wer worauf Zugriff hat, was mit Konten und Geräten beim Austritt passiert und welche Hardware und Software überhaupt zum Unternehmen gehört.
Multi-Faktor-Authentifizierung und gesicherte Kommunikation: MFA oder Passkeys für die Benutzerkonten sowie gesicherte Sprach-, Video- und Textkommunikation im Unternehmen.
Was davon ist fix und was ist noch offen?
Die Pflicht selbst steht bereits fest. Die Maßnahmen, die Meldefristen und die Pflichten der Geschäftsführung gelten ab 1. Oktober 2026 unmittelbar, samt Strafen bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen (7 Mio. Euro bzw. 1,4 % für wichtige).
Die Details sind aber nach wie vor offen. Das Gesetz ermächtigt die Cybersicherheitsbehörde, die zehn Maßnahmen per Verordnung zu präzisieren (§ 32 Abs. 5). Diese Verordnung gibt es bislang nicht. Derzeit fehlen konkret:
Technische Vorgaben: Es gibt noch keine konkreten Vorgaben zu Passwortregeln, Patch-Fristen oder Backup-Intervallen. Bis auf Weiteres gilt der allgemeine Maßstab des Gesetzes, also geeignete und verhältnismäßige Maßnahmen nach dem Stand der Technik, ausdrücklich unter Berücksichtigung der Unternehmensgröße (§ 32 Abs. 1 bis 3).
Schwellenwerte für Meldungen: Wann ein Vorfall „erheblich“ und damit meldepflichtig ist, umschreibt § 35 nur abstrakt.
Die Prüfer: Wer die Umsetzung später kontrollieren darf, soll eine Verordnung nach § 7 Abs. 6 regeln. Solange sie fehlt, kann sich niemand als unabhängiger Prüfer auch nur bewerben (§ 51 Abs. 8).
Das Registrierungsformular: Registrieren müssen sich betroffene Unternehmen zwischen 1. Oktober und 31. Dezember 2026, laut WKO über das Unternehmensserviceportal (USP). Das Formular dafür ist noch nicht online.
Auch wenn die Details noch nicht bekannt sind, können Sie die zehn Punkte schon jetzt umsetzen. Besonders Bestandsaufnahme, Backups, MFA und Schulungen sind essenziell und sollten spätestens jetzt aufgesetzt werden.
Wie schnell müssen Vorfälle gemeldet werden?
Erhebliche Cybersicherheitsvorfälle müssen Sie an das zuständige CSIRT (die Meldestelle für Cybersicherheitsvorfälle) melden, und zwar in drei Stufen (§ 34). Der erste Schritt ist eine Frühwarnung innerhalb von 24 Stunden ab Kenntnis, danach folgt eine Meldung mit erster Einschätzung innerhalb von 72 Stunden und zuletzt ein Abschlussbericht spätestens einen Monat nach dieser Meldung.
Die 24-Stunden-Frist kann nur einhalten, wer schon vorher weiß, woran er einen Angriff im eigenen Netz erkennt und wer intern zuständig ist. In der Praxis setzt die Meldepflicht deshalb laufendes Security-Monitoring voraus. Für Unternehmen ohne eigenes Security-Team kann das ein Managed SOC übernehmen.
Was kommt auf die Geschäftsführung zu?
Die Leitungsorgane müssen die Umsetzung der Maßnahmen freigeben und überwachen, und sie müssen selbst an Cybersicherheitsschulungen teilnehmen (§ 31). Lässt die Geschäftsführung diese Schulungen aus, steht das in derselben Strafkategorie wie die Nichtumsetzung der Maßnahmen selbst. Eine versäumte Registrierung kostet dagegen höchstens 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4).
Eine persönliche Haftung der Geschäftsführung, von der in vielen NIS2-Beiträgen die Rede ist, steht hingegen nicht im Gesetz, das Wort Haftung kommt im NISG 2026 nicht vor. Bei wesentlichen Einrichtungen kann die Behörde Leitungsorganen im Extremfall aber vorübergehend untersagen, ihre Leitungsaufgaben wahrzunehmen, samt Eintragung im Firmenbuch (§ 39).
Häufige Fragen zu den Maßnahmen nach NISG 2026
Gelten die Maßnahmen auch ohne Verordnungen?
Ja. Die zehn Maßnahmen gelten ab 1. Oktober 2026 unmittelbar, und Verstöße können auch ohne Verordnung bestraft werden. Eine Verordnung würde nur festlegen, wie genau jede Maßnahme umgesetzt werden muss.
Müssen KMU alle zehn Maßnahmen umsetzen?
Ja, alle zehn Bereiche müssen abgedeckt sein. Die Tiefe richtet sich aber ausdrücklich nach Risiko und Unternehmensgröße (§ 32 Abs. 1 bis 3). Für ein KMU reicht ein deutlich schlankeres Programm als für einen Konzern, es braucht aber zu jedem der zehn Punkte eine nachvollziehbare, dokumentierte Antwort.
Reicht eine ISO-27001-Zertifizierung?
Nein, nicht automatisch. Eine ISO-27001-Zertifizierung deckt aber einen Großteil der zehn Bereiche ab und ist derzeit der stärkste Nachweis. Welche Nachweise es gibt und was sie wert sind, haben wir im Beitrag zum NIS2-Zertifikat beschrieben.
Bis wann muss sich mein Unternehmen registrieren?
Betroffene Unternehmen müssen sich zwischen 1. Oktober und 31. Dezember 2026 über das USP registrieren, sobald das Formular online ist. Die Fristen und Schritte im Detail finden Sie in unserem Beitrag zum NISG-2026-Fahrplan beschrieben.
Fazit
Ab 1. Oktober 2026 müssen betroffene Unternehmen die zehn Maßnahmen umsetzen und dokumentieren können. Die offenen Verordnungen ändern daran nichts. Ein realistischer Einstieg für ein KMU ist, mit der Risikoanalyse zu beginnen und die übrigen Punkte Schritt für Schritt darauf aufzubauen.
Zettasecure begleitet KMU bei der Umsetzung der NISG-Maßnahmen, von der ersten Bestandsaufnahme bis zum laufenden Betrieb. Details finden Sie unter Cybersecurity-Consulting in Wien, oder kontaktieren Sie uns für ein unverbindliches Erstgespräch.
