NISG 2026 ist in Kraft: Was Leitung und Lieferkette jetzt umsetzen müssen

Die am 22. September 2026 veröffentlichte APA-OTS-Presseinformation kündigte das Inkrafttreten des NISG 2026 an. Dieser Beitrag wurde nach Inkrafttreten aktualisiert. Die ursprüngliche Veröffentlichung bleibt als zeitgeschichtliche Originalquelle verlinkt.

APA-OTS-Originalveröffentlichung lesen

Was seit Oktober 2026 gilt

Die operativen Bestimmungen des NISG 2026 gelten seit 1. Oktober 2026. Die Netz- und Informationssystemsicherheits-Verordnung (NISV 2026), BGBl. II Nr. 290/2026, trat mit Ablauf des 1. Oktober in Kraft und gilt daher seit 2. Oktober 2026.

§ 2 NISV 2026 erstreckt die technischen und methodischen Anforderungen des Art. 2 samt Anhang der Durchführungsverordnung (EU) 2024/2690 auf jene in den Anlagen 1 und 2 NISG 2026 gelisteten Arten wesentlicher und wichtiger Einrichtungen, die von der EU-Verordnung nicht bereits unmittelbar erfasst sind. Damit besteht nun ein verbindlicher, detaillierter Maßnahmenkatalog für die nach § 32 NISG 2026 verpflichteten wesentlichen und wichtigen Einrichtungen. Das gilt, soweit § 32 NISG 2026 anwendbar ist; insbesondere sind der Vorrang nach § 24 Abs. 7 und die sektorspezifischen Ausnahmen nach § 27 NISG 2026 zu prüfen.

Für die Erheblichkeit von Vorfällen gelten die allgemeinen Kriterien der §§ 5 bis 7 NISV 2026. Für Einrichtungen im unmittelbaren Anwendungsbereich der EU-Durchführungsverordnung sind zusätzlich die horizontalen Kriterien der Art. 3 und 4 sowie die anbieter- beziehungsweise einrichtungsspezifischen Kriterien der Art. 5 bis 14 maßgeblich; § 2 NISV 2026 erstreckt ausdrücklich nur Art. 2 samt Anhang.

Was Leitung und Organisation jetzt umsetzen müssen

• Betroffenheit und Einrichtungsart festhalten: Rechtsträger, Dienste, Größenkriterien, Sondertatbestände und etwaige Einordnung als wesentliche oder wichtige Einrichtung dokumentieren.
• Kontrollkatalog abgleichen: die zehn Maßnahmenfelder des § 32 NISG 2026 mit Art. 2 und dem Anhang der Durchführungsverordnung (EU) 2024/2690 abgleichen.
• Vier Risikokategorien sichtbar machen: technologische, menschliche, IKT-Lieferketten- und standortbezogene Risiken zumindest in der Risikoanalyse berücksichtigen.
• Abweichungen beherrschen: bei vorübergehender oder größenbedingter Nichterfüllung geeignete Kompensationsmaßnahmen risikobasiert begründen, dokumentieren und zumindest jährlich auf Wirksamkeit prüfen.
• Vorfallentscheidung aktualisieren: finanzielle, geheimnisbezogene, gesundheitliche, technische, Nutzer-, geografische und Krisenmanagement-Kriterien der NISV 2026 in den Incident-Prozess aufnehmen.
• Leitung einbinden: Zuständigkeiten, Freigaben, Schulungen, Eskalation und laufende Aufsicht nachweisbar organisieren.

Lieferanten bleiben gesondert zu beurteilen

Die Lieferkettenpflicht trifft zunächst die direkt erfasste Einrichtung. Ein Zulieferer wird durch eine Kundenbeziehung nicht automatisch selbst NISG-pflichtig. Regulierte Kunden können aber risikobezogene Kontrollen, Nachweise, Meldewege und Prüfungsrechte vertraglich verlangen. Direkter gesetzlicher Anwendungsbereich und vertragliche Kundenanforderung bleiben daher getrennt zu prüfen.

Orientierung für Geschäftsführung und Vorstand

Der bei Springer Gabler erschienene „Quick Guide NIS-2 in Österreich: Ein Handlungsleitfaden für Geschäftsführung und Vorstand“ von Franz Kopp verbindet den gesetzlichen Rahmen mit Entscheidungen der Leitungsebene. Er behandelt Governance, Risikomanagement, Lieferkettensicherheit, Meldepflichten und Entscheidungen im Cyberkrisenfall.