Österreich hat die NIS2-Richtlinie mit dem Netz- und Informationssystemsicherheitsgesetz 2024 (NISG 2024) umgesetzt. Das Gesetz wurde am 23. Dezember 2025 verabschiedet und tritt am 1. Oktober 2026 in Kraft.
Betroffene Einrichtungen müssen sich innerhalb von 3 Monaten nach Inkrafttreten registrieren. Österreich folgt dabei weitgehend der EU-Richtlinie mit den Kategorien „wesentliche" und „wichtige" Einrichtungen. Unternehmen müssen ihre Informationssysteme in Sicherheitsstufen klassifizieren: Basis, Erheblich oder Hoch.
Im Vergleich zu Deutschland haben österreichische Unternehmen noch etwas mehr Vorbereitungszeit – diese sollte aber genutzt werden.