NIS2 in Österreich: was jetzt gilt

Seit 1. Oktober 2026 ist das Netz- und Informationssystemsicherheitsgesetz 2026 in Kraft. Es setzt die europäische NIS2-Richtlinie in österreichisches Recht um und löst das bisherige Gesetz aus 2018 ab. Der Kreis der Verpflichteten wird damit deutlich größer. Neu ist nicht nur, wer betroffen ist, sondern auch, wie genau Sicherheit belegt werden muss.

Wen das Gesetz erfasst

Zwei Fragen entscheiden: In welchem Sektor ist ein Unternehmen tätig, und wie groß ist es? Das Gesundheitswesen und die digitale Infrastruktur, darunter die Telekommunikation, gehören zu den Sektoren mit hoher Kritikalität. Zu den sonstigen kritischen Sektoren zählen etwa Teile der Fertigung und der Lebensmittelgroßhandel.

Die Größe bemisst sich nicht nur an den Köpfen. Als mittleres Unternehmen gilt, wer mindestens 50 MitarbeiterInnen beschäftigt. Ebenso zählt dazu, wer mehr als zehn Millionen Euro Jahresumsatz und mehr als zehn Millionen Euro Bilanzsumme ausweist. Als großes Unternehmen gilt, wer mindestens 250 MitarbeiterInnen beschäftigt. Gleiches gilt bei mehr als 50 Millionen Euro Umsatz und zugleich mehr als 43 Millionen Euro Bilanzsumme. Aus Sektor und Größe ergibt sich, ob eine Einrichtung als wesentlich oder als wichtig gilt.

Wer keine dieser Schwellen erreicht, ist trotzdem nicht aus dem Spiel. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette bewerten, also auch die Betriebe, die sie beliefern oder für sie Leistungen erbringen. Die Anforderungen wandern so vertraglich nach unten: vom Krankenhaus zum Labor, von der Fabrik zum Zulieferbetrieb, vom Telekommunikationsnetz zum Softwarehaus.

Die Fristen

Die Pflichten zum Risikomanagement, zu Meldungen und zur Verantwortung der Leitung gelten seit dem ersten Tag. Für die Registrierung bei der Cybersicherheitsbehörde bleiben drei Monate ab Inkrafttreten, also bis zum Jahreswechsel. Gemeldet werden unter anderem Sektor, Niederlassungen, Kontaktstelle und Größeneinstufung. Ändern sich diese Angaben, laufen kurze Fristen von zwei Wochen bis drei Monaten.

Binnen zwölf Monaten nach Eintritt der Registrierungspflicht folgt die Selbstdeklaration. Darin beschreibt jede Einrichtung ihre umgesetzten Maßnahmen, ihre Systeme, die Sicherheit ihrer Lieferkette und das Ergebnis ihrer Risikoanalyse.

Frühestens zwei Jahre nach Inkrafttreten kann die Behörde einen Nachweis durch eine unabhängige Stelle verlangen. Wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung dann binnen zwei Monaten belegen. Gültige einschlägige Zertifikate werden dabei anerkannt.

Wenn es ernst wird

Erhebliche Sicherheitsvorfälle gehen an das zuständige Computer-Notfallteam, das CSIRT. Binnen 24 Stunden ist eine Frühwarnung fällig. Binnen 72 Stunden folgt die eigentliche Meldung mit einer ersten Bewertung von Schwere und Auswirkungen. Einen Monat danach kommt der Abschlussbericht mit Ursachen und Abhilfemaßnahmen. Wer diese Fristen einhalten will, braucht Zuständigkeiten und Abläufe, bevor etwas passiert, nicht erst danach.

Zehn Bereiche, ein Maßstab

Das Gesetz nennt Mindestinhalte des Risikomanagements:

• Risikoanalyse und Sicherheitskonzepte
• Bewältigung von Vorfällen
• Betriebsfortführung mit Backup und Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Beschaffung, Entwicklung und Wartung
• Bewertung der Wirksamkeit
• Cyberhygiene und Schulungen
• Kryptografie
• Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung
• Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

Gefordert ist kein Höchstmaß, sondern Angemessenheit: Die Maßnahmen richten sich nach Risiko, Größe und möglichen Folgen eines Vorfalls.

Die Leitung steht in der Pflicht

Geschäftsführungen müssen die Umsetzung sicherstellen und beaufsichtigen. Sie müssen selbst an Schulungen zur Cybersicherheit teilnehmen. Das Unternehmen muss den MitarbeiterInnen regelmäßig entsprechende Schulungen anbieten. Cybersicherheit ist damit keine Aufgabe, die man an die IT abgibt.

Was Versäumnisse kosten

Wesentlichen Einrichtungen drohen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Umsatzes. Wichtigen Einrichtungen drohen bis zu sieben Millionen Euro oder 1,4 Prozent. Es gilt jeweils der höhere Betrag. Bemerkenswert: Wer in der Selbstdeklaration offen angibt, was noch fehlt, wird allein deshalb nicht bestraft. Das Gesetz honoriert Offenheit. Es verlangt aber, dass die Lücken geschlossen werden.

Nachweis statt Ordner

Die meisten Pflichten sind nicht neu. Neu ist, dass sie belegt werden müssen, lückenlos und auf Abruf. Wer bereits nach ISO/IEC 27001 arbeitet, hat einen großen Teil abgedeckt: Die Norm ordnet 93 Maßnahmen in vier Themen. Registrierung, Meldewege und die Pflichten der Leitung kommen hinzu. Wer ISO 9001 oder branchenspezifische Normen pflegt, findet viele Bausteine wieder: Risikoregister, Schulungsnachweise, Lieferantenbewertung, interne Audits, Managementbewertung. Ein Nachweis, einmal sauber geführt, bedient mehrere Normen zugleich.

Was Software leisten kann, und was nicht

Keine Software macht ein Unternehmen NIS2-konform. Sie kann aber sichtbar machen, ob es das ist. SpiceQMS führt das Managementsystem in einem gemeinsamen Datenmodell statt in Ordnern. Prozesse haben Verantwortliche und Versionen, Dokumente Freigabe und Lesebestätigung, Risiken ihre Maßnahmen. Audits und Inspektionen jeder Art, intern wie extern, werden mit ihren Feststellungen bis zum Abschluss verfolgt. Dazu kommen Lieferantenbewertung, Managementbewertung und ein Rechtsregister mit Verantwortlichen und Prüfterminen. Ereignisse laufen mit Fristen und Eskalation. Normen und Gesetze lassen sich je Prozess und Standort zuordnen. Schulungen und Qualifikationen mit Gültigkeit kommen aus SpiceHCM, auf derselben Plattform.

Spice AI hilft, wo Routine Zeit frisst. Die KI entwirft Richtlinien und gleicht bestehende Dokumente mit NIS2 und ISO/IEC 27001 ab. Vor einem Audit stellt sie Nachweise zusammen. Sie schlägt Risiken und Maßnahmen vor. Sie beantwortet Fragen aus dem eigenen Handbuch und nennt die Quelle. Bei einem Sicherheitsvorfall schlägt sie vor, wie er einzuordnen ist und welche Meldefrist läuft. Jede Anfrage wird protokolliert. Die KI sieht nur, was die angemeldete Person sehen darf, und übernimmt nichts ohne Bestätigung. Sie arbeitet mit dem KI-Dienst, den Sie selbst anbinden, auf Wunsch auch mit einem Modell im eigenen Rechenzentrum. Hinweise und Compliance-Meldungen bleiben für Spice AI gesperrt.

Wie es weitergeht

Dieser Beitrag eröffnet eine Reihe. Die nächsten Folgen behandeln die Sicherheit der Lieferkette, die Selbstdeklaration in der Praxis und die Anforderungen einzelner Branchen. Wie SpiceQMS Compliance abbildet, zeigt die Seite Compliance; was NIS2 für Ihre Branche bedeutet, die jeweilige Branchenseite.

Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.