Mit 22. Juli 2026 ist die Novelle des österreichischen Netz- und Informationssystemsicherheitsgesetzes (NISG 2024) in Kraft getreten. Das Gesetz setzt die NIS2-Richtlinie für rund 1.200 österreichische Einrichtungen verbindlich um und ergänzt die EU-Mindestanforderungen an mehreren Stellen durch strengere nationale Regelungen.
Besonderheiten der österreichischen Umsetzung
Erweiterter Anwenderkreis bei OT-Sektoren: Österreich hat die Schwellenwerte für die Sektoren Energie und Trinkwasser enger gefasst als das EU-Minimum. Betreiber kritischer Energieinfrastruktur ab 50 Française anstatt der üblichen 250 Mitarbeiter fallen in Österreich unter die Pflichten wesentlicher Einrichtungen. Das betrifft besonders regionale Energie- und Wasserversorger.
Kommunale Einrichtungen: Abweichend von der deutschen Umsetzung erfasst Österreich Gemeinden ab 5.000 Einwohnern – nicht erst ab 10.000 wie ursprünglich im Referentenentwurf vorgesehen. Damit sind rund 130 zusätzliche Gemeinden betroffen.
Zuständige Behörde: Nationale Aufsichtsbehörde ist das Bundesamt für Cybersicherheit (BAIK), das 2025 aus der Datenschutzbehörde ausgegliedert wurde. Die technische Unterstützung leistet CERT.at.
Fristen und Registrierungspflicht
Betroffene Einrichtungen müssen sich bis zum 31. Oktober 2026 im österreichischen NIS2-Register des BAIK eintragen. Die Registrierung erfolgt über das Online-Portal des BAIK; eine MIRT-ähnliche Selbsteinstufung ist Teil des Prozesses. Bisher haben sich nach BAIK-Angaben rund 680 der erwarteten 1.200 Einrichtungen registriert – 56 Prozent.
Bußgeldrahmen in Österreich
Das NISG 2024 setzt die NIS2-Bußgeldrahmen vollständig um: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen. Österreich hat zusätzlich eine Kronzeugenregelung eingeführt: Einrichtungen, die Sicherheitsmängel proaktiv melden und binnen 30 Tagen beheben, können eine Bußgeldreduktion von bis zu 50 Prozent erhalten.
Nächste Schritte für österreichische Unternehmen
Betroffene Einrichtungen sollten zunächst prüfen, ob sie unter die österreichischen Schwellenwerte fallen – diese weichen in einzelnen Sektoren vom EU-Standard ab. Anschließend empfiehlt sich eine Gap-Analyse gegen die zehn Art.-21-Maßnahmen sowie die Registrierung beim BAIK. Alle benötigten Vorlagen – Risikoregister, IT-Sicherheitsrichtlinien und Vorfallsmeldetemplate – stehen auf nis2have.eu/templates zur Verfügung.