NIS2 in Österreich: Was KMU jetzt wissen müssen

NIS2 ist gerade eines der Themen, die bei kleinen und mittleren Unternehmen in Österreich für Verunsicherung sorgen. Der Grund ist einfach: Viele wissen nicht genau, ob sie überhaupt betroffen sind, und die Antwort ist tatsächlich nicht immer eindeutig. Dieser Artikel ordnet ein, was NIS2 ist, wie der Stand der Umsetzung in Österreich aktuell aussieht (Juli 2026) und was du als Betrieb ohne eigenes IT-Team praktisch tun kannst.

Was ist NIS2 eigentlich?

NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die seit Januar 2023 in Kraft ist und von jedem Mitgliedsland in nationales Recht umgesetzt werden muss. Der Name steht für “Network and Information Security 2”, also die zweite Auflage einer EU-Vorgabe zur Netz- und Informationssicherheit.

Das Ziel dahinter: Kritische und gesellschaftlich relevante Infrastruktur soll besser gegen Cyberangriffe abgesichert sein, von Energieversorgern über Krankenhäuser bis zu digitalen Dienstleistern. Anders als die erste NIS-Richtlinie von 2016 betrifft NIS2 deutlich mehr Unternehmen, weil der Kreis der erfassten Sektoren stark erweitert wurde.

Wichtig zum Einordnen: NIS2 selbst ist keine österreichische Vorschrift. Sie entfaltet erst Wirkung, wenn sie durch ein nationales Gesetz umgesetzt wird. Genau das ist der Punkt, an dem es in Österreich zuletzt einige Bewegung gab.

Der aktuelle Stand in Österreich (Juli 2026)

Nach längerer Verzögerung hat der Nationalrat das österreichische Umsetzungsgesetz, das NISG 2026 (Netz- und Informationssystemsicherheitsgesetz), im Dezember 2025 mit der nötigen Zweidrittelmehrheit beschlossen. Veröffentlicht wurde es im Bundesgesetzblatt kurz vor Weihnachten 2025.

Die zentralen Pflichten treten mit 1. Oktober 2026 in Kraft. Betroffene Unternehmen müssen sich bis spätestens 31. Dezember 2026 bei der zuständigen Behörde registrieren. Zuständig ist das neu geschaffene Bundesamt für Cybersicherheit, angesiedelt beim Innenministerium. Meldungen zu Sicherheitsvorfällen laufen über das zuständige Computer Emergency Response Team, in Österreich also über CERT.at, an diese Behörde.

Nach Schätzungen, die auf den Materialien zum NISG 2026 beruhen, wächst der Kreis der direkt betroffenen Einrichtungen von rund 100 (unter der alten Regelung) auf mehrere Tausend Unternehmen und Organisationen. Da sich Details zu Fristen und Ausführungsbestimmungen in der Praxis noch verschieben können, lohnt sich vor konkreten Entscheidungen ein Blick auf die aktuellen Informationen der Wirtschaftskammer Österreich oder der offiziellen Anlaufstelle zum NISG.

Wer ist direkt betroffen?

Das NISG 2026 unterscheidet zwischen zwei Kategorien, den wesentlichen Einrichtungen und den wichtigen Einrichtungen. Beide Kategorien betreffen Unternehmen aus insgesamt 18 definierten Sektoren, darunter Energie, Verkehr, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Lebensmittelproduktion, Abfallwirtschaft und verarbeitendes Gewerbe.

Diese Zahlen sind grobe Orientierungswerte aus den bisher veröffentlichten Informationen zum NISG 2026, keine exakte Rechtsauskunft. Es gibt zudem Sonderfälle: Ein Unternehmen kann unabhängig von seiner Größe erfasst sein, wenn es in seinem Bundesland der einzige Anbieter einer für die Gesellschaft wesentlichen Dienstleistung ist.

Der Punkt, den viele KMU übersehen: indirekte Betroffenheit

Das ist aus unserer Sicht der wichtigste Absatz in diesem Artikel. Auch wenn dein Betrieb selbst unter den Schwellenwerten liegt, kannst du trotzdem betroffen sein, und zwar über die Lieferkette.

NIS2 verpflichtet direkt betroffene Unternehmen dazu, auch die Sicherheit ihrer Zulieferer und Dienstleister im Blick zu behalten. Ein Krankenhaus, ein Energieversorger oder ein größerer Industriebetrieb, der unter NIS2 fällt, muss künftig nachweisen, dass auch seine Partnerfirmen ein angemessenes Sicherheitsniveau haben. In der Praxis bedeutet das: Diese Unternehmen geben die Anforderungen über Verträge, Fragebögen oder Zertifizierungsnachweise an ihre Zulieferer weiter.

Konkret heißt das für ein Elektrounternehmen, einen Wartungsbetrieb, einen Softwaredienstleister oder einen Zulieferer, der für ein NIS2-pflichtiges Unternehmen arbeitet: Der Auftraggeber wird irgendwann mit einem Fragebogen zur IT-Sicherheit kommen, oder mit der Bitte um einen Nachweis wie eine ISO-27001-Zertifizierung oder eine vergleichbare Einschätzung. Wer darauf nicht vorbereitet ist, riskiert im schlechtesten Fall den Verlust eines wichtigen Auftrags, nicht weil man selbst unter das Gesetz fällt, sondern weil man als Geschäftspartner die Anforderungen nicht erfüllen kann.

Gerade in einer Region wie dem Burgenland, Niederösterreich oder Wien, wo viele KMU als Zulieferer für größere Industrie-, Gesundheits- oder Energiebetriebe arbeiten, ist dieser Effekt relevant. Es lohnt sich, jetzt zu prüfen, ob eigene Kunden unter NIS2 fallen, statt erst zu reagieren, wenn der erste Fragebogen im Postfach liegt.

Welche Pflichten kommen auf betroffene Unternehmen zu?

Für direkt betroffene Unternehmen sieht das NISG 2026 ein Bündel an technischen und organisatorischen Maßnahmen vor. Die wichtigsten Bereiche im Überblick:

• Risikomanagement: Systematische Analyse und Absicherung von Netzwerken und IT-Systemen gegen Cyberrisiken, statt punktueller Einzelmaßnahmen.
• Meldepflichten bei Vorfällen: Sicherheitsvorfälle müssen innerhalb kurzer Fristen an die zuständige Behörde beziehungsweise das CERT gemeldet werden.
• Business Continuity und Backups: Vorkehrungen, damit der Betrieb nach einem Vorfall (etwa Ransomware) weiterlaufen kann, inklusive funktionierender Datensicherung.
• Zugriffskontrolle und Multi-Faktor-Authentifizierung: Kontrollierter Zugang zu Systemen, abgesicherte Konten und Passwörter, MFA für kritische Zugänge.
• Lieferkettensicherheit: Bewertung und Steuerung der Cybersicherheit bei Zulieferern und Dienstleistern (siehe oben).
• Schulung und Sensibilisierung: Regelmäßige Schulung der Mitarbeiter zu Cybersicherheitsthemen, auch auf Ebene der Geschäftsführung.

Diese Anforderungen sind bewusst technologieoffen formuliert. Das Gesetz schreibt keine bestimmte Software vor, sondern verlangt ein angemessenes Sicherheitsniveau im Verhältnis zum Risiko. Für ein KMU heißt das in der Praxis: eine solide Grundabsicherung von Netzwerk, Zugriff und Datensicherung, dokumentiert und nachvollziehbar.

Was ein KMU jetzt praktisch tun sollte

Unabhängig davon, ob du am Ende direkt oder nur indirekt betroffen bist, zahlen sich die folgenden Schritte fast immer aus. Sie erhöhen die Sicherheit deines Betriebs und liefern gleichzeitig die Nachweise, die bei einer Anfrage vom Auftraggeber oder im Ernstfall gebraucht werden.

Netzwerkdokumentation als Basis. Ohne eine aktuelle Übersicht über Geräte, Verkabelung, Segmente und Zuständigkeiten lässt sich kein Risikomanagement betreiben. Eine saubere Netzwerkdokumentation ist der erste Schritt zu jeder Form von Nachweisfähigkeit, egal ob gegenüber Behörde, Versicherung oder Auftraggeber.

Netzwerksegmentierung mit VLANs. Wer sein Netzwerk in logisch getrennte Bereiche aufteilt, zum Beispiel Büro, Gäste-WLAN, Kassensystem und Produktionsgeräte, begrenzt den Schaden, falls doch einmal ein Gerät kompromittiert wird. Was ein VLAN genau ist und wie es funktioniert, erklären wir in einem eigenen Beitrag.

3-2-1-Backup-Prinzip. Drei Kopien der Daten, auf zwei unterschiedlichen Medien, eine davon extern gelagert. Über eine Synology NAS lässt sich das strukturiert und automatisiert umsetzen, mit klaren Wiederherstellungswegen im Ernstfall. Details zur 3-2-1-Regel bei der Datensicherung findest du in einem weiteren Artikel.

Zwei-Faktor-Authentifizierung. MFA für E-Mail-Konten, VPN-Zugänge und zentrale Systeme reduziert das Risiko durch gestohlene Passwörter deutlich, mit vergleichsweise geringem Aufwand in der Einrichtung.

Zentrales Passwort-Management. Mit einem Tool wie 1Password verwaltest du Zugänge zentral, kontrolliert und nachvollziehbar, statt Passwörter auf Zetteln oder in Excel-Listen zu verteilen.

Bei der technischen Umsetzung setzen wir bei Harrison Networks auf UniFi-Infrastruktur mit CyberSecure by Proofpoint, einem Abo, das die Firewall um erweiterte Bedrohungssignaturen ergänzt und ein konkretes Beispiel für eine Risikomanagement-Maßnahme im Sinne von NIS2 ist. Netzwerksegmentierung über VLANs und eine vollständige Netzwerkdokumentation gehören bei jedem Projekt standardmäßig dazu, du bekommst am Ende alle Zugangsdaten und Unterlagen selbst in die Hand, keine Blackbox.

Wenn du unsicher bist, wie es aktuell um Zugriffskontrolle und Rechtevergabe in deinem Betrieb steht, ist ein Blick in unseren Beitrag zur Zwei-Faktor-Authentifizierung für Unternehmen ein guter Startpunkt. Wer grundsätzlich klären will, wie es um Kontrolle und Übersicht im eigenen Netzwerk steht, findet Anhaltspunkte im Artikel Gehört dir dein Netzwerk noch?

Strafen bei Verstößen

Das NISG 2026 sieht ein gestuftes Sanktionssystem vor. Bereits organisatorische Verstöße, etwa eine unterlassene Registrierung oder eine fehlende Selbsteinschätzung, können laut den bisher veröffentlichten Materialien mit Geldstrafen im fünfstelligen Bereich geahndet werden, bei Wiederholung entsprechend höher.

Deutlich schwerer wiegen Verstöße gegen zentrale Risikomanagement-Pflichten. Für wichtige Einrichtungen ist hier von Strafrahmen im niedrigen einstelligen Millionenbereich oder einem Prozentsatz des weltweiten Jahresumsatzes die Rede, für wesentliche Einrichtungen von noch höheren Beträgen. Die genauen Zahlen unterscheiden sich je nach Quelle geringfügig, weil zum Zeitpunkt dieses Artikels noch nicht alle Ausführungsdetails final kommuniziert sind. Für eine belastbare Einschätzung im Einzelfall ist eine Rechtsberatung oder die direkte Anfrage bei der zuständigen Behörde der richtige Weg.

Fazit

NIS2 wird ab Oktober 2026 in Österreich mit dem NISG 2026 konkret, und der Kreis der betroffenen Unternehmen ist deutlich größer als bei der alten Regelung. Für viele KMU ist dabei nicht die direkte Betroffenheit das entscheidende Thema, sondern die indirekte über die Lieferkette. Wer für größere, direkt betroffene Unternehmen arbeitet, sollte sich jetzt mit den Grundlagen auseinandersetzen, auch ohne eigenes IT-Team.

Die gute Nachricht: Die konkreten Maßnahmen, die verlangt werden, sind größtenteils solide IT-Grundhygiene. Netzwerkdokumentation, Segmentierung, funktionierende Backups, MFA und ein sauberes Passwort-Management zahlen sich unabhängig von NIS2 aus, weil sie das tägliche Risiko eines Sicherheitsvorfalls senken. Wer diese Basis jetzt schafft, ist auf eine mögliche Anfrage vom Auftraggeber ebenso vorbereitet wie auf eine spätere direkte Prüfung.

Dieser Artikel ersetzt keine Rechtsberatung und erhebt keinen Anspruch auf Vollständigkeit, insbesondere weil sich Details zur Umsetzung des NISG 2026 noch ändern können. Für eine verbindliche Einschätzung deiner konkreten Betroffenheit und Pflichten empfehlen wir eine spezialisierte Rechtsberatung oder die direkte Anfrage bei der zuständigen Behörde beziehungsweise der Wirtschaftskammer Österreich.