NIS2: Betrifft das deinen Betrieb?

Seit 1. Oktober 2026 ist in Österreich das NISG 2026 in Kraft – die Umsetzung der EU-Richtlinie NIS2. Es verpflichtet mehrere tausend Unternehmen und Einrichtungen zu mehr Cybersicherheit. Für die meisten Kleinbetriebe gilt es nicht direkt. Ein genauer Blick lohnt sich trotzdem: Viele bekommen die Anforderungen über ihre Kunden zu spüren.

Wer direkt betroffen ist

Zwei Bedingungen müssen zusammenkommen: Dein Betrieb ist in einem der Sektoren tätig, die das Gesetz aufzählt, und er ist mindestens ein mittleres Unternehmen.

• Sektoren mit hoher Kritikalität (Anlage 1): unter anderem Energie, Verkehr, Banken, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungen und öffentliche Verwaltung.
• Sonstige kritische Sektoren (Anlage 2): unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung von Waren, digitale Dienste und Forschung.
• Mittleres Unternehmen heißt: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und mehr als 10 Millionen Euro Bilanzsumme.

Für einige wenige gilt das Gesetz unabhängig von der Größe – etwa für Anbieter öffentlicher Kommunikationsnetze, DNS-Dienste oder qualifizierte Vertrauensdienste. Ob dein Betrieb darunterfällt, prüfst du am schnellsten mit dem kostenlosen NIS2-Ratgeber der WKO.

Was betroffene Betriebe jetzt tun müssen

• Registrieren bis 31. Dezember 2026 – über das Unternehmensserviceportal (USP).
• Sicherheitsmaßnahmen umsetzen, die zum eigenen Risiko passen – sie gelten seit 1. Oktober.
• Bis 30. September 2027 in einer Selbstdeklaration angeben, wie weit die Maßnahmen umgesetzt sind.
• Erhebliche Sicherheitsvorfälle melden: eine Frühwarnung binnen 24 Stunden, die Meldung binnen 72 Stunden und einen Abschlussbericht nach einem Monat.

Zuständig ist das neue Bundesamt für Cybersicherheit. Die Verantwortung trägt die Geschäftsleitung – sie muss auch selbst an Cybersicherheitsschulungen teilnehmen. Die Strafen sind hoch: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen, bis zu 7 Millionen Euro oder 1,4 % für wichtige.

Welche Maßnahmen das Gesetz verlangt

Das NISG 2026 schreibt keine bestimmten Produkte vor, sondern Maßnahmen, die zum Risiko passen. Dazu gehören unter anderem:

• Eine Risikoanalyse und klare Zuständigkeiten für die IT-Sicherheit.
• Ein Plan für Sicherheitsvorfälle: Wer tut was, wenn etwas passiert?
• Backups sowie Notfall- und Wiederanlaufpläne.
• Sicherheit in der Lieferkette – also auch bei deinen IT-Dienstleistern.
• Regelmäßige Updates, Schulungen und grundlegende Cyberhygiene.
• Verschlüsselung, Zugriffskontrolle und Mehr-Faktor-Anmeldung.

Warum es auch kleine Betriebe betrifft

Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen – und geben das an ihre Lieferanten und Dienstleister weiter: über Verträge, Fragebögen oder Audits. Fertigst du Teile für einen Industriebetrieb, betreust du Software für eine Arztpraxis-Kette oder verarbeitest du Daten für einen Energieversorger, kann die Frage nach deiner IT-Sicherheit bald in deinem Postfach landen.

Wer dann Backups, Updates, Zugriffsrechte und einen Notfallplan dokumentiert vorweisen kann, ist klar im Vorteil – und schützt ganz nebenbei den eigenen Betrieb vor Ausfällen.

Ein guter erster Schritt

Fang mit einer ehrlichen Bestandsaufnahme an: Welche Geräte und Dienste gibt es, wer hat worauf Zugriff, wie aktuell ist alles – und funktioniert das Backup wirklich? Die meisten Lücken, um die es bei NIS2 geht, sind keine exotischen Angriffe, sondern fehlende Updates, schwache Passwörter und Sicherungen, die nie getestet wurden.

Genau dabei helfen wir: Wir schauen uns deine IT gemeinsam an, zeigen dir, wo du stehst, und setzen um, was für deinen Betrieb sinnvoll ist – vom Backup bis zur Mehr-Faktor-Anmeldung. Eine Rechtsberatung ersetzt das nicht, aber es ist die technische Grundlage, die Kunden und Behörden sehen wollen.