Der NISG-2026-Fahrplan: Was bis wann zu tun ist

Das neue Cybersicherheitsrecht ist seit 1. Oktober 2026 in Kraft. Damit laufen die Fristen – für alle betroffenen Unternehmen gleichzeitig. Der Fahrplan ist überschaubar, aber jede Station hat ein Ablaufdatum.

Ab wann es gilt – und warum „später" ein Trugschluss ist

Das neue Cybersicherheitsrecht ist seit 1. Oktober 2026 in Kraft. Damit laufen die Fristen, und sie laufen für alle betroffenen Unternehmen gleichzeitig. Wer wartet, bis der erste Brief der Behörde oder der erste Fragebogen eines Kunden kommt, hat die günstige Vorbereitungszeit bereits verschenkt. Der Fahrplan ist überschaubar – aber jede Station hat ein Ablaufdatum.

Station 1: Registrierung – die erste harte Frist

Betroffene Einrichtungen müssen sich bei der Cybersicherheitsbehörde registrieren und dabei strukturierte Angaben übermitteln: Name, Kontaktdaten, Sektor und Art der Einrichtung, betroffene Mitgliedstaaten, Anschrift der Hauptniederlassung und Angaben zu den Schwellenwerten. Diese Registrierung hat innerhalb von drei Monaten nach Inkrafttreten zu erfolgen – also bis Anfang Januar 2027. Wer erst später die Voraussetzungen erfüllt, muss sich ehestmöglich, spätestens binnen drei Monaten ab diesem Zeitpunkt, registrieren.

Diese Frist ist scharf: Wer sich nicht fristgerecht registriert oder dabei falsche Angaben macht, riskiert eine Geldstrafe. Und Änderungen an den Kontaktdaten müssen Sie danach zeitnah nachmelden.

Ihre Aufgabe jetzt: Klären Sie die Betroffenheit (siehe Selbstcheck), bestimmen Sie Ihre Einstufung und bereiten Sie die Registrierungsangaben vor. Benennen Sie eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse – das verlangt das Gesetz ausdrücklich.

Station 2: Risikomanagement aufsetzen – parallel, nicht danach

Die Registrierung ist Formsache, die eigentliche Arbeit ist das Risikomanagement. Das Gesetz verlangt geeignete und verhältnismäßige Maßnahmen auf einer klar umrissenen Themenliste. Diese zehn Felder sollten Sie kennen, weil an ihnen später gemessen wird:

1. Risikoanalyse und Sicherheit der Informationssysteme
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs – Backup, Wiederherstellung, Krisenmanagement
4. Sicherheit der Lieferkette und der Beziehungen zu Ihren Dienstleistern
5. Sicherheit bei Beschaffung, Entwicklung und Wartung, inklusive Umgang mit Schwachstellen
6. Verfahren zur Bewertung, ob die Maßnahmen wirken
7. Grundlegende Cyberhygiene und Schulungen
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle, Verwaltung der Anlagen
10. Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

„Verhältnismäßig" ist dabei Ihr Freund: Was Sie umsetzen müssen, bemisst sich am tatsächlichen Risiko, an der Größe des Unternehmens und an den Kosten. Ein mittleres Unternehmen schuldet nicht dasselbe wie ein Konzern.

Ihre Aufgabe jetzt: Gehen Sie die zehn Felder als Bestandsaufnahme durch. Wo stehen Sie schon gut, wo klafft eine Lücke? Daraus wird Ihr Maßnahmenplan.

Station 3: Selbstdeklaration – der Nachweis nach zwölf Monaten

Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht müssen betroffene Einrichtungen der Behörde in strukturierter Form melden, welche Maßnahmen sie umgesetzt haben – inklusive der Sicherheit der Lieferketten und der Ergebnisse ihrer Risikoanalyse. Praktisch bedeutet das: bis etwa Herbst 2027 sollte Ihr Risikomanagement nicht nur geplant, sondern umgesetzt und dokumentiert sein.

Ihre Aufgabe: Führen Sie von Anfang an ein Nachweisdossier. Was Sie nicht dokumentieren, gilt im Zweifel als nicht getan.

Station 4: Unabhängige Prüfung – wenn die Behörde ruft

Zusätzlich kann die Behörde verlangen, dass Sie die Umsetzung durch eine unabhängige Stelle nachweisen. Dafür gilt ein Rahmen von bis zu zwei Jahren ab Aufforderung; der Nachweis ist auch über gültige Zertifikate möglich. Diese Prüfung ist kein Startschuss, sondern eine mögliche spätere Kontrolle – aber sie ist ein weiterer Grund, sauber zu dokumentieren.

Der Fahrplan auf einen Blick