NORMATIVO

NISG 2026 - Netz- und Informationssystemsicherheitsgesetz

In Österreich wird die EU-Richtlinie durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in nationales Recht gegossen. Es wurde im Dezember 2025 kundgemacht und tritt am 1. Oktober 2026 verbindlich in Kraft.
Sie sind Lieferant einer wesentliche oder wichtige Einrichtung, dann springen zu INFOS für LIEFERANTEN, sonst lesen Sie doch einfach weiter.
Wer bereits nach ISO/IEC 27001 zertifiziert ist, hat eine hervorragende Basis.
Um die Lücke (das Delta) speziell zum österreichischen NISG 2026 zu schließen, müssen Sie die folgenden länderspezifischen Punkte ergänzen:
Registrierungspflicht

Österreich-Spezifikum (§ 29 NISG 2026): Betroffene "wesentliche" und "wichtige" Einrichtungen müssen sich nach dem Inkrafttreten bis spätestens 31.12.2026 aktiv bei der neuen nationalen Behörde registrieren und eine Selbstdeklaration abgeben. Wer das verabsäumt, riskiert sofort Bußgelder von bis zu 50.000 Euro (im Wiederholungsfall bis 100.000 Euro)

Offizielle Informationen und aktuelle Leitlinien zur Prüfung der Betroffenheit stellt die Wirtschaftskammer auf der WKO NIS2-Übersicht bereit.

 

  • Inkrafttreten: Das Gesetz gilt ab dem 1. Oktober 2026.
  • Registrierungsfrist: Innerhalb von 3 Monaten nach Inkrafttreten, also bis zum 31. Dezember 2026.
  • Selbstdeklaration: Bis zum 30. September 2027 (binnen 12 Monaten nach Registrierung) müssen Infos zu Risikomanagementmaßnahmen übermittelt werden.
Die neue österreichische Behördenstruktur
  • Was bei ISO 27001 fehlt: ISO-Normen kennen keine staatlichen Anlaufstellen für Notfälle.
  • Österreich-Spezifikum: Es wird ein neues Bundesamt für Cybersicherheit eingerichtet, das dem Bundesministerium für Inneres (BMI) unterstellt ist. Meldungen und Vorfälle laufen künftig über die dort verankerte zentrale Anlaufstelle und das zuständige Computer-Emergency-Response-Team (GovCERT bzw. branchenspezifische CSIRTs).
Starre Meldepflichten (§ 34 NISG 2026)
Der 3-stufige Meldeprozess bei erheblichen Sicherheitsvorfällen ist im österreichischen Gesetz exakt getaktet: 
    • Binnen 24 Stunden: Frühwarnung an das CSIRT/die Behörde (inklusive Angabe, ob ein Verdacht auf eine böswillige Handlung vorliegt).
    • Binnen 72 Stunden: Aktualisierte Meldung mit einer ersten Bewertung der Auswirkungen.
    • Spätestens nach 1 Monat: Ein detaillierter Abschlussbericht.
Governance & Unverzichtbare Schulung der Führung (§ 31 NISG 2026)
  • Was bei ISO 27001 fehlt: ISO fordert die "Verantwortung der Leitung", schreibt aber keine Pflichtkurse vor.
  • Österreich-Spezifikum: Geschäftsführer (GmbH) und Vorstände (AG) in Österreich sind gesetzlich verpflichtet, regelmäßige Cybersicherheitsschulungen zu absolvieren. Diese Pflicht kann im Ernstfall nicht wegdelegiert werden; bei Missachtung droht die persönliche Haftung mit dem Privatvermögen oder im Extremfall ein temporäres Tätigkeitsverbot.
Der Nachweis der Wirksamkeit (§ 33 NISG 2026)
  • Das Gute für Sie (wenn Sie ISO 27001 haben) Das NISG 2026 verlangt, dass Unternehmen binnen 12 Monaten nach der Registrierung den Nachweis erbringen, dass ihre Sicherheitsmaßnahmen wirksam sind. 
  • ISO 27001 als Vorteil: Der österreichische Gesetzgeber sieht ausdrücklich vor, dass eine aufgebaute und gelebte ISO-27001-Zertifizierung als anerkannter Nachweis für diese Wirksamkeit herangezogen werden kann. Sie müssen also kein neues Prüfverfahren erfinden, sondern nutzen das bestehende Zertifikat
Drastische Strafen nach österreichischem Verwaltungsrecht (§ 45)
Sollte die ISO-Zertifizierung Lücken aufweisen und es zu groben Verstößen gegen das NISG 2026 kommen, greift der österreichische Strafrahmen: 
    • Wesentliche Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
    • Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes.
Nächste Schritte für österreichische Unternehmen:
Nutzen Sie die monatlichen Kontrollen Ihres ISMS, um den Geltungsbereich (Scope) auf das gesamte Unternehmen auszuweiten, den WKO-Online-Ratgeber zur NIS2-Betroffenheit zur finalen Einstufung zu nutzen und das Melde-Dashboard für das Bundesamt für Cybersicherheit vorzubereiten.
 
Kontaktieren Sie uns für eine unverbindliche Erstberatung oder eine strukturierte GAP-Analyse.

Für Lieferanten von wesentlichen und wichtigen Einrichtungen

 

 bedeutet das österreichische NISG 2026 eine massive Veränderung – selbst dann, wenn das Lieferantenunternehmen selbst zu klein ist, um direkt unter das Gesetz zu fallen.

Da regulierte Unternehmen gesetzlich verpflichtet sind, die Sicherheit ihrer gesamten Lieferkette nachzuweisen, geben sie diesen regulatorischen Druck eins zu eins an ihre Zulieferer weiter. In Österreich spricht man hierbei von über 30.000 indirekt betroffenen Unternehmen.

Das bedeutet das Gesetz konkret für Sie als Lieferant:

Vertragliche Pflicht zur Cybersicherheit
Ihre Auftraggeber werden (und müssen) die Anforderungen des NISG 2026 in ihre Einkaufsbedingungen, SLAs und Lieferantenverträge aufnehmen. Sie unterschreiben damit rechtlich bindend, dass Sie bestimmte IT-Sicherheitsstandards einhalten.
Nachweispflicht (Sicherheitszertifikate werden Pflicht)
Ein bloßes Versprechen ("Wir sind sicher") reicht den regulierten Kunden nicht mehr aus, da diese im Ernstfall gegenüber dem Bundesamt für Cybersicherheit haftbar sind. Als Lieferant müssen Sie Ihre Cyber-Resilienz proaktiv nachweisen.
    • Der beste Nachweis: Eine bestehende ISO/IEC 27001-Zertifizierung.
    • Alternativen in Österreich: Branchenübliche Nachweise oder spezifische Zertifikate wie Cyber Trust Austria (Standard, Silber, Gold) => siehe auch unsere Leistungen (ganz unten)
Weitergabe von Sicherheitsanforderungen
Je nachdem, was Sie liefern, fordert der Kunde konkrete technische und organisatorische Maßnahmen von Ihnen:
    • Rechteverwaltung & Zugriff: Wenn Sie Fernwartung betreiben oder IT-Zugriff haben, müssen Sie MFA (Multi-Faktor-Authentifizierung) und verschlüsselte Verbindungen nutzen.
    • Sichere Entwicklung: Software- und Hardwarelieferanten müssen Sicherheitsaspekte bereits im Entwicklungsprozess ("Security by Design") nachweisen.
    • Patch-Management: Sie müssen garantieren, dass bekannte Sicherheitslücken in Ihren Systemen zeitnah geschlossen werden.
    • Mitarbeiter-Schulungen: Kunden verlangen zunehmend den Nachweis, dass Ihre Belegschaft regelmäßig in Security Awareness geschult wird. => siehe auch unsere Leistungen (Seminare)
Audit-Rechte für Ihre Kunden
In den neuen Verträgen werden Klauseln verankert sein, die dem Auftraggeber das Recht einräumen, Sicherheitsaudits bei Ihnen durchzuführen (entweder selbst oder durch externe Prüfer). Sie müssen Transparenz über Ihre IT-Infrastruktur gewähren.
Strikte Pflicht zur Mitwirkung bei Vorfällen
Wenn Sie einen Cybersicherheitsvorfall erleiden, der Auswirkungen auf Ihren Kunden (die wesentliche/wichtige Einrichtung) haben könnte, müssen Sie diesen unverzüglich informieren. Da Ihr Kunde extrem kurze staatliche Meldefristen (24 Stunden) einhalten muss, wird er vertraglich von Ihnen verlangen, Vorfälle fast in Echtzeit an ihn zu melden
Das größte Risiko: Der Ausschluss vom Markt
Für Lieferanten ist das NISG 2026 kein reines IT-Thema, sondern ein existenzielles Geschäftsrisiko. Da den wesentlichen und wichtigen Einrichtungen bei Nichteinhaltung der Lieferkettensicherheit Millionenstrafen drohen, gilt das Prinzip: Wer die Sicherheitsnachweise nicht erbringen kann, fliegt aus dem Lieferantenpool.
Lieferantenmanagement - Die Lieferanten der Lieferanten
Für die Lieferanten der Lieferanten (Subunternehmer bzw. die „Tiers“ der tieferen Lieferkette) hat das NISG 2026 einen massiven Kaskadeneffekt.
Das Gesetz verlangt von den regulierten Unternehmen die Absicherung der gesamten Lieferkette. Dadurch wird der Druck nicht nur an die direkten Lieferanten (Tier 1) weitergegeben, sondern von diesen zwangsläufig an deren eigene Zulieferer (Tier 2, Tier 3 etc.) durchgereicht. In der Praxis nennt man das „Kaskaden-Compliance“.
Das bedeutet das Gesetz für Sie auf den tieferen Stufen konkret:
 
1. Die "Rechtskaskade" (Vertragliche Weitergabe)
Ihr direkter Kunde (der Tier-1-Lieferant) steht bei der wesentlichen Einrichtung im Wort. Er haftet vertraglich dafür, dass in der gesamten Kette keine Sicherheitslücken existieren. Deshalb wird er seine eigenen Einkaufsbedingungen anpassen. Er wird dieselben oder sehr ähnliche Sicherheitsklauseln, die er von oben diktiert bekommt, eins zu eins in die Verträge mit Ihnen hineinschreiben.
2. Nachweispflichten werden "durchgespült"
Auch als Subunternehmer können Sie sich nicht mehr hinter Ihrem Status verstecken.
      • Ihr Kunde wird von Ihnen Sicherheitsnachweise verlangen, um diese wiederum seinem Kunden vorlegen zu können.
      • Ein Fehlen dieser Nachweise blockiert den gesamten Auftrag. Wenn Sie als Tier 2 die Kette blockieren, gefährden Sie das Geschäft von Tier 1, was zu Schadenersatzforderungen führen kann.

3. Fokus auf "Single Points of Failure"
Große Unternehmen und Behörden analysieren im Zuge von NIS2 zunehmend, wer die Subunternehmer ihrer Lieferanten sind. Wenn Sie beispielsweise als Software-Entwickler, Cloud-Hoster, kritischer Komponentenhersteller oder spezialisierter Wartungsdienstleister für einen Tier-1-Lieferanten arbeiten, rücken Sie direkt ins Visier. Fällt Ihre IT aus, steht das Produkt des Tier-1-Lieferanten und damit das System der kritischen Einrichtung.
 
4. Das "Schwächste-Glied"-Prinzip
Hacker greifen selten die dicken Mauern der wesentlichen Einrichtungen direkt an. Sie nutzen den Weg über den kleinsten Zulieferer der Lieferkette. Das NISG 2026 zwingt Unternehmen dazu, genau dieses "schwächste Glied" zu eliminieren.
Für Sie bedeutet das: Ihre IT-Sicherheit muss mit dem Risiko des Endkunden korrespondieren, nicht nur mit Ihrer eigenen Unternehmensgröße.
Für Subunternehmer wird Cybersicherheit damit zum harten Vertriebsargument. Wer die Kette nicht mit absichern kann, verliert seinen Platz als Zulieferer, da der Tier-1-Lieferant das Risiko eines Vertragsbruches mit dem Endkunden nicht eingehen wird.
 
Möchten Sie wissen, welche konkreten IT-Mindeststandards (z. B. MFA, Backup-Strategie) Sie als Subunternehmer jetzt vorbereiten sollten Kontaktieren Sie uns