Leistung · NISG 2026

NISG 2026: Cybersicherheit ist jetzt Pflicht. Wir machen Ihr Unternehmen bereit.

Seit 1. Oktober 2026 gilt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), die Umsetzung der EU-Richtlinie NIS 2. Softmaze prüft, ob und wie das Gesetz Sie trifft, misst Ihren Ist-Zustand an den Anforderungen und setzt um, was fehlt: technisch, in Ihren Prozessen und in der Dokumentation.

NISG-Check anfragen

Die Fristen

In Kraft seit: 1. Oktober 2026Die Pflichten zum Risikomanagement und zur Meldung von Vorfällen gelten seit diesem Tag, ohne Übergangsfrist.
Registrierung bis: 31. Dezember 2026Wesentliche und wichtige Einrichtungen registrieren sich binnen drei Monaten beim Bundesamt für Cybersicherheit über das Unternehmensserviceportal (USP).
Selbstdeklaration bis: 30. September 2027Binnen zwölf Monaten legen registrierte Einrichtungen dar, welche Risikomanagement-Maßnahmen sie umgesetzt haben.

Was ist das NISG 2026?

Das NISG 2026 (BGBl. I Nr. 94/2025) ersetzt das NISG 2018 und setzt die EU-Richtlinie NIS 2 in österreichisches Recht um. Es verpflichtet Unternehmen und Organisationen in sicherheitsrelevanten Sektoren, ihre Netz- und Informationssysteme nach dem Stand der Technik zu schützen, Sicherheitsvorfälle zu melden und die Verantwortung dafür in der Geschäftsführung zu verankern.

Zuständig ist das neue Bundesamt für Cybersicherheit. Es führt das Register der betroffenen Einrichtungen, nimmt Meldungen entgegen, prüft die Umsetzung und verhängt Geldbußen.

Wer ist betroffen?

Betroffen sind in der Regel mittlere und große Unternehmen (ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz) in den Sektoren der Anlagen 1 und 2 des Gesetzes, eingeteilt in wesentliche und wichtige Einrichtungen:

Wesentliche Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum.
Wichtige Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (etwa Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.

Einzelne Anbieter, etwa von DNS-Diensten, Rechenzentren oder Vertrauensdiensten, fallen unabhängig von ihrer Größe unter das Gesetz. Und wer selbst nicht betroffen ist, wird oft von betroffenen Kunden als Lieferant in die Pflicht genommen: NIS 2 verlangt Sicherheit in der Lieferkette. Ob Sie betroffen sind, muss jedes Unternehmen selbst prüfen; genau damit beginnt unser Check.

Was Unternehmen jetzt tun müssen

Das Gesetz verlangt ein dokumentiertes Risikomanagement mit geeigneten, verhältnismäßigen Maßnahmen. Die Mindestliste entspricht den zehn Bereichen der NIS-2-Richtlinie:

Risikoanalyse und Sicherheitskonzepte für die Informationssysteme
Bewältigung von Sicherheitsvorfällen und ein Meldeprozess: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats
Aufrechterhaltung des Betriebs: Backups, Wiederherstellung, Krisenmanagement
Sicherheit der Lieferkette, einschließlich der Beziehungen zu Dienstleistern
Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, inklusive Umgang mit Schwachstellen
Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten
Cyberhygiene und Schulungen, auch für die Geschäftsführung
Einsatz von Kryptografie und, wo angebracht, Verschlüsselung
Personalsicherheit, Zugriffskontrolle und Verwaltung der Anlagen
Mehrfaktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation

Strafen und Haftung

Wesentliche Einrichtungen: Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.
Die Leitungsorgane müssen die Maßnahmen genehmigen und überwachen, an Schulungen teilnehmen und können für Verstöße persönlich verantwortlich gemacht werden.

Unser NISG-Check und die Umsetzung

Wir sind ein Software-Studio, kein Papierlieferant: Wir bauen die Systeme, die abgesichert werden müssen, und wissen, wo die Lücken üblicherweise sind. Der Ablauf:

1. Betroffenheitsanalyse
Wesentliche, wichtige oder keine Einrichtung? Wir prüfen Sektor, Größe und Sonderfälle und halten das Ergebnis schriftlich fest, auch für Ihre Kunden und Versicherer.
2. Gap-Analyse
Ihr Ist-Zustand gegenüber den Risikomanagement-Maßnahmen des NISG 2026: Technik, Prozesse, Dokumentation, Lieferanten. Sie bekommen eine priorisierte Liste mit Aufwand und Budget.
3. Umsetzung
Zugriffskontrolle und Mehrfaktor-Authentifizierung, Backups und Wiederherstellung, Verschlüsselung, Monitoring und Patching, Incident-Response-Plan und Meldeprozess, Schulung für Geschäftsführung und Teams.
4. Registrierung und Nachweis
Registrierung im USP, Vorbereitung der Selbstdeklaration und ein Maßnahmenregister, das Sie danach selbst aktuell halten können.

Warum Softmaze

Ein Team für Software und Sicherheit: Wir setzen die Maßnahmen in den Systemen um, die wir auch bauen und betreiben.
Verhältnismäßig: Das Gesetz verlangt angemessene Maßnahmen, keine Zertifikate. Wir planen, was zu Ihrer Größe passt.
In Wien, auf Deutsch und Englisch, mit festen Ansprechpersonen.

Häufige Fragen zum NISG 2026

Seit wann gilt das NISG 2026?

Seit 1. Oktober 2026. Die Pflichten zum Risikomanagement und zur Meldung von Sicherheitsvorfällen gelten seit diesem Tag ohne Übergangsfrist.

Bis wann muss sich mein Unternehmen registrieren?

Bis 31. Dezember 2026 beim Bundesamt für Cybersicherheit über das Unternehmensserviceportal (USP). Wer später unter das Gesetz fällt, hat ab diesem Zeitpunkt drei Monate Zeit.

Was ist die Selbstdeklaration?

Registrierte Einrichtungen legen bis 30. September 2027 dar, welche Risikomanagement-Maßnahmen sie umgesetzt haben. Dafür brauchen Sie eine belastbare Dokumentation.

Ist mein Unternehmen mit weniger als 50 Mitarbeitenden betroffen?

Meist nicht direkt. Ausnahmen sind bestimmte Anbieter, die unabhängig von der Größe erfasst sind, und die Lieferkette: Betroffene Kunden müssen die Sicherheit ihrer Lieferanten prüfen und geben Anforderungen weiter.

Welche Strafen drohen?

Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis zu 7 Millionen Euro oder 1,4 % für wichtige. Die Geschäftsführung kann persönlich zur Verantwortung gezogen werden.

Wie lange dauert der NISG-Check?

Betroffenheits- und Gap-Analyse dauern bei einem mittleren Unternehmen typischerweise zwei bis drei Wochen. Die Umsetzung hängt von den Lücken ab; wir planen sie so, dass Registrierung und Selbstdeklaration fristgerecht möglich sind.

Starten Sie mit dem Check.

Erzählen Sie uns kurz, was Ihr Unternehmen macht und wie groß es ist. Wir sagen Ihnen innerhalb eines Werktags, ob das NISG 2026 für Sie gilt und wie wir vorgehen würden.