Das österreichische Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026)

Überblick

Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) • [Fußnote: Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026), BGBl I Nr 94/2025.]  setzt die europäische NIS-2-Richtlinie • [Fußnote: Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie), ABl L 333 vom 27.12.2022, S 80–152.]  in österreichisches Recht um. Ab dem 1. Oktober 2026 bildet es den zentralen Rechtsrahmen für die Cybersicherheitspflichten wesentlicher und wichtiger Einrichtungen in Österreich. Es schafft damit ein einheitliches Regelwerk zur Stärkung der Cyberresilienz kritischer und besonders bedeutender Organisationen.

Das NISG 2026 erweitert den bisherigen Regelungsansatz des NISG • [Fußnote: Vgl hierzu das Bundesgesetz zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz – NISG), BGBl I Nr 111/2018.]  in wesentlichen Punkten. An die Stelle der Betreiber wesentlicher Dienste tritt ein sektoren- und größenschwellenbezogener Anwendungsbereich, der einen erheblich erweiterten Kreis verpflichteter Einrichtungen erfasst. Gleichzeitig werden die Vorgaben zum Cybersicherheitsrisikomanagement, die Meldepflichten bei erheblichen Sicherheitsvorfällen, die Pflichten der Leitungsorgane sowie die Bestimmungen über Registrierung, Selbstdeklaration, Nachweisführung, behördliche Aufsicht und Sanktionen grundlegend neu ausgestaltet. • [Fußnote: NISG 2026, §§ 24 bis 35, 38 bis 45.] 

Dieses Kapitel vermittelt einen praxisorientierten Überblick über das NISG 2026. Die Darstellung konzentriert sich auf die Systematik und die wesentlichen Regelungsinhalte des Gesetzes. Fragen der Abgrenzung zwischen wesentlichen und wichtigen Einrichtungen, der Verantwortung der Leitungsorgane sowie der einzelnen Pflichten und Sanktionen werden in den nachfolgenden Spezialkapiteln eingehend behandelt.

Einleitung/Hintergrund (EU‑Kontext, Verhältnis NIS‑2-Richtlinie zu NISG 2026)

Das NISG 2026 wurde am 23. Dezember 2025 als Artikel 1 des BGBl I Nr 94/2025 kundgemacht. Nach den Übergangsbestimmungen treten die materiell-rechtlichen Bestimmungen des Gesetzes grundsätzlich mit 1. Oktober 2026 in Kraft. Gleichzeitig treten wesentliche Teile des bisherigen NISG sowie die Netz- und Informationssystemsicherheitsverordnung (NISV) • [Fußnote: Verordnung des Bundesministers für EU, Kunst, Kultur und Medien zur Festlegung von Sicherheitsvorkehrungen und näheren Regelungen zu den Sektoren sowie zu Sicherheitsvorfällen nach dem Netz- und Informationssystemsicherheitsgesetz (Netz- und Informationssystemsicherheitsverordnung – NISV), BGBl II Nr 215/2019.]  und die Verordnung über qualifizierte Stellen (QuaSteV) • [Fußnote: Verordnung des Bundesministers für Inneres zur Festlegung der Erfordernisse und besonderer Kriterien für qualifizierte Stellen nach dem Netz- und Informationssystemsicherheitsgesetz (Verordnung über qualifizierte Stellen – QuaSteV), BGBl II Nr 226/2019.]  außer Kraft. • [Fußnote: NISG 2026, § 51 Abs 1 und 2.] 

Für die Praxis bedeutet dies, dass die Umsetzung der neuen Anforderungen nicht erst mit dem ersten Kontakt der zuständigen Behörde beginnen sollte. Vielmehr müssen die organisatorischen, technischen und prozessualen Voraussetzungen für die Erfüllung der gesetzlichen Pflichten – insbesondere im Hinblick auf Registrierung, Selbstdeklaration, Risikomanagement und Meldeprozesse – bereits bis zum Inkrafttreten geschaffen werden.

Das NISG 2026 ist nicht als bloßes IT-Sicherheitsgesetz zu verstehen, sondern als organisations-, risiko-, melde- und aufsichtsrechtlicher Rahmen mit erheblichem Technikbezug. Seine Pflichten treffen zwar regelmäßig jene Unternehmensbereiche, die Netz- und Informationssysteme betreiben oder absichern. Verantwortlich ist aber die jeweilige Einrichtung als Rechtsträger; die Leitungsorgane haben die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. • [Fußnote: NISG 2026, § 31 Abs 1.]  Daraus folgt eine klare Schnittstelle zwischen Rechtsabteilung, Compliance, Informationssicherheit, Datenschutz, Einkauf, Fachbereichen, interner Revision und Unternehmensleitung.

Das NISG 2026 verwendet mehrere zentrale Begriffe, deren präzises Verständnis für die Anwendung des Gesetzes von wesentlicher Bedeutung ist:

• Der Begriff der „Einrichtung“ ist im NISG 2026 weit gefasst. Er umfasst natürliche Personen, juristische Personen und eingetragene Personengesellschaften, die nach dem Recht ihres Sitzes anerkannt sind und in eigenem Namen Rechte ausüben und Pflichten unterliegen können. • [Fußnote: NISG 2026, § 3 Z 10.] 
• Ein „Netz- und Informationssystem“ umfasst Kommunikationsnetze, datenverarbeitende Geräte oder Gerätegruppen und digitale Daten, die zum Betrieb, zur Nutzung, zum Schutz und zur Wartung dieser Elemente gespeichert, verarbeitet, abgerufen oder übertragen werden. • [Fußnote: NISG 2026, § 3 Z 1.] 
• „Cybersicherheit“ bezeichnet sämtliche Tätigkeiten, die erforderlich sind, um Netz- und Informationssysteme, deren Nutzer und andere von Cyberbedrohungen betroffene Personen zu schützen. • [Fußnote: NISG 2026, § 3 Z 3.] 
• Ein „Cybersicherheitsvorfall“ ist ein Ereignis, das Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten beeinträchtigt. • [Fußnote: NISG 2026, § 3 Z 30.]  Im Folgenden wird der gesetzliche Begriff des „erheblichen Cybersicherheitsvorfalls“ verwendet. Er bezeichnet einen Cybersicherheitsvorfall, der die Voraussetzungen des § 35 NISG 2026 erfüllt. • [Fußnote: NISG 2026, § 35 Abs 1.]