Am 1. Oktober 2026 tritt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft. Es wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025) und setzt die NIS2-Richtlinie um. Nach Angaben der Wirtschaftskammer fallen künftig rund 4.000 Unternehmen aus 18 Sektoren unter die Vorgaben – bisher waren es rund 100 Organisationen.
Registrierung und Meldung über das USP
Für die Erfüllung der Pflichten stellt das Unternehmensserviceportal (USP) ab dem 1. Oktober die Anwendung „NIS2 Services“ bereit. Über sie laufen die Registrierung und die Meldung erheblicher Cybersicherheitsvorfälle. Vorbereiten lässt sich schon jetzt:
- USP-Zugang des Unternehmens prüfen und die Personen festlegen, die registrieren oder melden sollen – das USP sieht dafür eine Gesamtrolle sowie getrennte Rollen für Registrierung und Meldung vor.
- Diese Personen benötigen eine ID Austria.
- Die Daten für die Registrierung nach § 29 Abs. 2 NISG 2026 zusammenstellen, insbesondere zur Unternehmensgröße nach § 25. Übermittelt werden unter anderem Kontaktdaten, Sektor, Niederlassungen und IP-Bereiche.
Die Fristen
- 1. Oktober 2026: Inkrafttreten; Risikomanagement- und Meldepflichten gelten ab diesem Tag. Erhebliche Vorfälle sind unverzüglich, längstens binnen 24 Stunden zu melden.
- 31. Dezember 2026: Ende der Registrierungsfrist (drei Monate nach Inkrafttreten).
- 30. September 2027: Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen, ebenfalls per USP-Formular.
Zuständig ist das neu geschaffene Bundesamt für Cybersicherheit, das dem Innenministerium nachgeordnet ist. CERT.at bleibt nationales CSIRT. Das USP warnt ausdrücklich vor zumeist online angebotenen „NISG-Compliance-Analysen“, bei denen sensible Unternehmensdaten preisgegeben werden.
Was das für Unternehmen bedeutet
- Deutsche Unternehmen mit österreichischen Gesellschaften brauchen dort eine eigene Betroffenheitsprüfung und eine eigene Registrierung – die BSI-Registrierung deckt Österreich nicht ab.
- Die Meldepflicht gilt ab Tag eins, die Registrierung hat drei Monate Zeit. Den Meldeweg sollten Betroffene deshalb vor dem 1. Oktober klären, nicht erst im Dezember.
- Wer nach BSIG bereits Maßnahmen umgesetzt hat, kann diese für die Selbstdeklaration 2027 weitgehend wiederverwenden.