NISG 2026: NIS2 gilt jetzt auch in Österreich – was deutsche KMU mit Niederlassung oder Kunden dort wissen müssen
Seit dem 1. Oktober 2026 ist das österreichische Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft. Damit setzt nach Deutschland auch Österreich die EU-Richtlinie NIS2 um – ohne Übergangsfrist für die materiellen Pflichten. Für deutsche Mittelständler ist das kein reines Auslandsthema: Wer eine Tochtergesellschaft oder Niederlassung in Österreich hat, muss dort eigene Pflichten erfüllen. Und wer österreichische Kunden beliefert, bekommt die Anforderungen über Verträge und Lieferantenaudits zu spüren.
Was das NISG 2026 regelt
Das NISG 2026 wurde am 23. Dezember 2025 kundgemacht und gilt seit dem 1. Oktober 2026. Es erfasst 18 Sektoren – elf mit hoher Kritikalität und sieben weitere kritische Sektoren, darunter Teile der verarbeitenden Industrie, Lebensmittel, Abfallwirtschaft und digitale Dienste. Wie in Deutschland greift das Gesetz grundsätzlich ab mittlerer Unternehmensgröße: ab 50 Beschäftigten oder bei einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Mio. Euro. Bestimmte Anbieter, etwa qualifizierte Vertrauensdienste und DNS-Dienste, sind unabhängig von ihrer Größe erfasst.
Zuständige Aufsicht ist das neu geschaffene Bundesamt für Cybersicherheit im Bereich des Innenministeriums in Wien. Die Struktur folgt der EU-Richtlinie: Das österreichische Gesetz unterscheidet „wesentliche“ und „wichtige“ Einrichtungen (Begriffe der EU-Richtlinie); das deutsche BSIG spricht stattdessen von besonders wichtigen und wichtigen Einrichtungen. Inhaltlich sind die Kategorien vergleichbar, die Details aber nicht deckungsgleich.
Die wichtigsten Pflichten und Fristen
| Pflicht | Österreich (NISG 2026) |
|---|---|
| Registrierung | Binnen drei Monaten nach Inkrafttreten, also bis 31.12.2026, über das Unternehmensserviceportal (USP) |
| Risikomanagement | Technische, operative und organisatorische Maßnahmen, u. a. Lieferkettensicherheit, Vorfallsbewältigung, Business Continuity, Schulungen |
| Meldepflichten | Frühwarnung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Vorfallsmeldung |
| Selbstdeklaration | Einmalig innerhalb von zwölf Monaten nach Entstehen der Registrierungspflicht, also etwa bis 30.09.2027 |
| Prüfbericht | Die Behörde kann externe Prüfberichte frühestens ab 1. Oktober 2028 verlangen |
Die Geschäftsleitung (im Gesetz: Leitungsorgane) muss die Umsetzung der Risikomanagementmaßnahmen sicherstellen und überwachen, selbst an Cybersicherheitsschulungen teilnehmen und solche Schulungen auch den Mitarbeitenden anbieten. Bei schweren Verstößen drohen nach § 45 NISG 2026 wesentlichen Einrichtungen (Begriff der EU-Richtlinie) bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag, also prozentual erst ab 500 Mio. Euro Umsatz) und wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 % (ebenfalls ab 500 Mio. Euro Umsatz). Für formale Versäumnisse wie eine fehlende Registrierung sieht das Gesetz bis zu 50.000 Euro vor. Die Rechtslage in Deutschland weicht im Detail ab – was hier gilt, beschreiben wir in unserem Beitrag zu BSI-Prüfungen und Durchsetzung.
Wann ein deutsches Unternehmen unter das NISG fällt
Die EU-Richtlinie regelt die Zuständigkeit grundsätzlich nach dem Ort der Niederlassung (Art. 26 NIS2-Richtlinie). Daraus ergeben sich für deutsche KMU drei typische Konstellationen:
1. Eigene Gesellschaft oder Niederlassung in Österreich
Eine österreichische Tochter-GmbH, die in einem erfassten Sektor tätig ist und die Größenschwellen erreicht, unterliegt dem NISG 2026 – unabhängig davon, ob die deutsche Muttergesellschaft bereits beim BSI registriert ist. Sie muss sich in Österreich registrieren, dort melden und die Selbstdeklaration abgeben. Ob bei der Größenbestimmung Konzerndaten einzurechnen sind, sollte im Einzelfall geprüft werden.
2. Digitale Dienste mit Hauptniederlassung in Deutschland
Für bestimmte Anbieter digitaler Dienste – etwa Cloud-Computing, Rechenzentren, Managed Services und Managed Security Services – gilt nach der EU-Richtlinie das Prinzip der Hauptniederlassung. Ein IT-Dienstleister mit Sitz in Deutschland, der österreichische Kunden betreut, bleibt dann in der Regel der deutschen Aufsicht zugeordnet. Seine Kunden in Österreich werden ihn trotzdem an ihren eigenen Pflichten messen.
3. Zulieferer ohne eigene Präsenz in Österreich
Das ist der häufigste Fall. Rechtlich gilt das NISG für Sie nicht – faktisch aber schon. Österreichische Kunden müssen ihre Lieferkettensicherheit nachweisen und werden Sicherheitsanforderungen, Meldewege und Auditrechte in Verträge schreiben. Erfahrungsgemäß kommen diese Fragebögen schnell, sobald die Selbstdeklaration der Kunden ansteht.
⚠ Doppelte Strukturen vermeiden
Wer in beiden Ländern Pflichten hat, sollte nicht zwei getrennte Compliance-Welten aufbauen. Risikomanagement, Meldeprozess und Nachweise lassen sich auf einem gemeinsamen ISMS aufsetzen. Unterschiedlich sind vor allem Meldestellen, Formulare und Fristen der Nachweise – das gehört in einen länderspezifischen Anhang, nicht in ein zweites Regelwerk.
Was Sie jetzt konkret tun sollten
Checkliste: NISG 2026 für deutsche KMU
- Gesellschaften und Niederlassungen in Österreich auflisten, Sektor und Größe je Einheit prüfen
- Bei Betroffenheit: Registrierung über das USP bis 31.12.2026 einplanen und verantwortliche Person benennen
- Meldeprozess so erweitern, dass ein Vorfall in Österreich binnen 24 Stunden an das dortige Meldesystem geht
- Österreichische Großkunden identifizieren und mit Lieferantenanfragen rechnen
- Vorhandene Nachweise bündeln: Richtlinien, Risikoanalyse, Scan-Ergebnisse, Schulungsnachweise, Notfallplan
- Schulung der Geschäftsleitung dokumentieren – sie wird in beiden Ländern verlangt
Ein guter Startpunkt für die Antwort auf Kundenfragebögen ist ein belastbarer Blick von außen: Welche Systeme sind aus dem Internet erreichbar, welche Schwachstellen sind bekannt? Ein regelmäßiger Schwachstellenscan liefert genau diese Nachweise. Wer bereits nach ISO 27001 arbeitet, kann einen Großteil der Anforderungen beider Gesetze über die bestehende Dokumentation abdecken.
Für die deutsche Seite gilt unverändert: Wer die Registrierung beim BSI noch nicht erledigt hat, sollte das vorrangig nachholen – siehe NIS2-Registrierung verpasst: was KMU jetzt tun müssen.
Fazit: Ein Gesetz mehr, aber kein zweites Projekt
Das NISG 2026 bringt für die meisten deutschen KMU keine völlig neuen Anforderungen, wohl aber zusätzliche Adressaten, Fristen und Formulare. Wer eine Niederlassung in Österreich hat, muss bis Jahresende handeln. Alle anderen sollten sich darauf einstellen, dass österreichische Kunden Nachweise verlangen – und diese Nachweise idealerweise aus demselben ISMS liefern, das auch für das deutsche BSIG gebraucht wird.
Quellen: NISG 2026, BGBl. I Nr. 94/2025; Zusammenfassungen von SECJUR, Forvis Mazars und iC Consult (Stand Oktober 2026). Dieser Beitrag ersetzt keine Rechtsberatung.
NIS2 in Deutschland und Österreich im Griff behalten
Starten Sie mit dem kostenlosen TSMONDO Schwachstellenscan und sehen Sie, was Ihre Kunden und Prüfer von außen sehen. Maßnahmen und Nachweise für beide Länder verwalten Sie mit unserer Compliance-Software – und bei der Abgrenzung, wo welche Pflichten gelten, unterstützen wir Sie persönlich.
Beratung anfragen