Sarah Mille
Senior Regional Marketing Manager
Sarah Mille ist Senior Regional Marketing Manager mit umfangreicher Erfahrung im Enterprise-B2B-Bereich und im Channel-Marketing. Bei Formalize macht sie aus komplexen regulatorischen Rahmenwerken klare, wirkungsvolle regionale Initiativen, die Markenbekanntheit und Wachstum im DACH-Raum vorantreiben.
Das Wichtigste in Kürze:
Die Pflichten aus NISG 2026 und NISV 2026 gelten seit dem 1. Oktober 2026, ohne allgemeine Übergangsfrist. KPMG schätzt, dass rund 4.000 Einrichtungen betroffen sind.
Die Registrierung über das Unternehmensserviceportal (USP) ist bis zum Jahreswechsel fällig, die Selbstdeklaration bis 30. September 2027.
Erhebliche Sicherheitsvorfälle gehen an das zuständige CSIRT: als Frühwarnung binnen 24 Stunden nach Kenntnisnahme, als Vorfallmeldung binnen 72 Stunden.
Der Anhang der EU-Durchführungsverordnung 2024/2690 gilt in Österreich für alle wesentlichen und wichtigen Einrichtungen, nicht nur für digitale Anbieter.
Der NIS-2-Österreich-Blueprint von Formalize übersetzt diese Anforderungen in Kontrollen, Aufgaben, Workflows und auditfähige Nachweise.
Risikomanagement- und Meldepflichten gelten seit dem ersten Tag, die Registrierung muss bis Jahresende erledigt sein. Wer erst jetzt prüft, ob die eigene Gesellschaft betroffen ist, hat dafür nicht mehr viel Zeit.
Was regeln NISG 2026 und NISV 2026?
Das NISG 2026 ersetzt das bisherige NISG 2018 und erweitert den Kreis der verpflichteten Einrichtungen deutlich. Zuständig ist das neue Bundesamt für Cybersicherheit, eine dem Innenministerium nachgeordnete Behörde. Registrierung und Meldungen laufen grundsätzlich über die NIS2 Services im USP. Die Leitungsorgane, in der Regel Geschäftsführung oder Vorstand, müssen die Risikomanagementmaßnahmen sicherstellen, ihre Umsetzung beaufsichtigen und selbst an Cybersicherheitsschulungen teilnehmen.
Die NISV 2026 konkretisiert das Gesetz vor allem in zwei Punkten, die für die Praxis entscheidend sind. Erstens erklärt sie den Anhang der Durchführungsverordnung (EU) 2024/2690 mit seinen detaillierten Sicherheitsanforderungen für alle wesentlichen und wichtigen Einrichtungen für verbindlich. Unmittelbar gilt er sonst nur für bestimmte digitale Anbieter wie Cloud- oder DNS-Diensteanbieter. Zweitens legt sie fest, wann ein Vorfall erheblich und damit meldepflichtig ist. Dafür genügt ein einzelnes Kriterium, zum Beispiel ein tatsächlicher oder möglicher direkter finanzieller Verlust von mehr als 500.000 Euro oder 5 Prozent des Vorjahresumsatzes, je nachdem, welcher Wert niedriger ist. Erheblich ist ein Vorfall auch, sobald er das Krisenmanagement oder Notfallwiederherstellungspläne auslöst.
Für die Umsetzung gelten folgende Fristen:
Registrierung: innerhalb von drei Monaten ab Inkrafttreten. Das USP nennt den 1. Jänner 2027, WKO und KPMG nennen den 31. Dezember 2026. Sicherer ist es daher, die Registrierung bis Jahresende abzuschließen.
Meldung erheblicher Vorfälle: Frühwarnung binnen 24 Stunden und Vorfallmeldung binnen 72 Stunden nach Kenntnisnahme, Abschlussbericht spätestens einen Monat nach der Vorfallmeldung.
Selbstdeklaration: bis 30. September 2027 über ein kurzes Formular im USP.
Nachweis durch eine unabhängige Stelle: nur auf Aufforderung der Behörde, frühestens ab Oktober 2028. Für den Prüfbericht bleiben ab der Aufforderung zwei Jahre.
Bei Verstößen gegen die Kernpflichten drohen wesentlichen Einrichtungen Geldstrafen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegt die Grenze bei 7 Millionen Euro oder 1,4 Prozent. Maßgeblich ist jeweils der höhere Betrag.
Wer ist betroffen: wesentliche und wichtige Einrichtungen
Das NISG 2026 unterscheidet zwei Kategorien. Maßgeblich sind Sektor, Tätigkeit und Unternehmensgröße, geprüft für jede Rechtseinheit einzeln.
Wesentliche Einrichtungen sind große Unternehmen in Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur oder Verwaltung von IKT-Diensten. Als groß gelten Unternehmen ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme. Bestimmte Anbieter, wie qualifizierte Vertrauensdiensteanbieter, sind unabhängig von ihrer Größe erfasst.
Wichtige Einrichtungen sind mittlere Unternehmen in diesen Sektoren sowie mittlere und große Unternehmen in sonstigen kritischen Sektoren. Dazu zählen unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Maschinen- und Fahrzeugbau sowie Forschung. Als mittel gelten Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Umsatz und Bilanzsumme.
Beschäftigte werden in Jahresarbeitseinheiten gezählt, Partner- und verbundene Unternehmen grundsätzlich zugerechnet. Die Zurechnung entfällt, wenn die Einrichtung bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig ist (§ 24 Abs. 4 NISG 2026). Eine Gesamtregistrierung als Konzern ist laut den NIS-FAQ der WKO nicht vorgesehen. Jede betroffene Gesellschaft wird einzeln registriert, auch Banken und andere Finanzunternehmen, obwohl für deren Risikomanagement und Meldungen DORA vorgeht. Für wesentliche Einrichtungen gelten zudem strengere Aufsichts- und Nachweisregeln.
Die Hürden in der Praxis: Warum Tabellen und Einzeldokumente nicht reichen
Die meisten Einrichtungen starten nicht bei null. Richtlinien, ISO-27001-Nachweise und Lieferantenlisten existieren oft bereits, liegen aber verstreut. Spätestens bei diesen Fragen zeigt sich die Lücke:
Welche Rechtseinheiten sind betroffen, und ist die Einstufung nachvollziehbar begründet?
Wer stellt nachts oder am Wochenende fest, ob ein Vorfall erheblich ist, und wer meldet binnen 24 Stunden?
Welche Anforderungen des DVO-Anhangs sind umgesetzt, und wo braucht es kompensierende Maßnahmen?
Welche Lieferanten haben Fern- oder Datenzugriff, und was regeln die Verträge dazu?
Wie lässt sich der tatsächliche Umsetzungsstand in der Selbstdeklaration ehrlich darstellen?
Gerade die Lieferkette ist ein Schwachpunkt. In der KPMG-Studie „Cybersecurity in Österreich 2026“ halten nur 11 Prozent der Unternehmen ihre Lieferkettenmaßnahmen für vollständig umgesetzt und wirksam. Bei mehr als jedem fünften Unternehmen führte ein Angriff auf einen Dienstleister oder Lieferanten zu einem Angriff auf das eigene Unternehmen.
Der NIS-2-Österreich-Blueprint von Formalize: Vom Gesetzestext zur aktiven Steuerung
Der NIS-2-Österreich-Blueprint aus dem Formalize Marketplace wurde gemeinsam mit der machCon GmbH entwickelt. Er bildet NISG 2026, NISV 2026 und den DVO-Anhang in Formalize ab. Dazu gehören 270 Anforderungen, 40 Kontrollen, 14 Richtlinien, 85 Aufgaben, 38 Risikoszenarien, 6 Fragebögen, 11 Workflows und 12 Nachweisvorlagen.
Die wichtigsten Bausteine des Blueprints im Überblick:
Betroffenheit und Einstufung beurteilen
Ein Fragebogen führt je Rechtseinheit durch Sektor, Tätigkeit und Größe. Die Entscheidung wird begründet dokumentiert. Offene Punkte bleiben als „Klärung erforderlich“ sichtbar, statt stillschweigend als „nicht betroffen“ zu gelten.
Registrierung und Fristen steuern
Erstregistrierung und Selbstdeklaration sind als Aufgaben mit Zielterminen angelegt, Änderungsmeldungen mit ihren gesetzlichen Fristen. Wiederkehrende Pflichten wie die jährliche Überprüfung des Sicherheitskonzepts durch die Leitung laufen im festen Rhythmus.
Anforderungen in wirksame Kontrollen überführen
Jede Anforderung ist mit Fundstelle hinterlegt und mit den Kontrollen verknüpft, die sie umsetzen. So kann eine umgesetzte Kontrolle mehrere Pflichten abdecken. Eine Readiness-Selbstbewertung macht Lücken gegenüber dem DVO-Anhang sichtbar.
Sicherheitsvorfälle fristgerecht melden
Der Vorfall-Workflow hält Erkennung, Einstufung als erheblich und Versand getrennt fest, denn die 24-Stunden-Frist beginnt mit der Kenntnisnahme des erheblichen Vorfalls. Dabei führt er durch die nationalen Erheblichkeitskriterien. Ein Meldungsset liefert Vorlagen für Frühwarnung, Vorfallmeldung, Zwischen- und Abschlussbericht. Übermittelt wird über die NIS2 Services im USP. Versandnachweis und Empfangsbestätigung werden in Formalize abgelegt.
Lieferanten und Wiederherstellungsfähigkeit einbinden
Eine Triage bestimmt die Kritikalität jedes Lieferanten. Wo nötig, folgt eine risikogerechte Sicherheitsprüfung. Business-Impact-Analyse und Wiederanlaufpläne verbinden kritische Dienste mit den Systemen und Anbietern, von denen sie abhängen.
Auditfähige Nachweise erfassen
Zwölf Nachweisvorlagen halten Entscheidungen, Prüfungen und Übungen fest, darunter eine Vorlage zur Vorbereitung der Selbstdeklaration. Ein Management-Dashboard mit 16 Diagrammen zeigt der Leitung Fristen, offene Risiken und den Umsetzungsstand.
In 5 Schritten zur NISG-Compliance
Betroffenheit klären: Für jede Rechtseinheit Einrichtungsart und Größe prüfen und die Entscheidung dokumentieren.
Registrieren: USP-Zugang, ID Austria und die Rollen „NIS Registrierung“ und „NIS Meldung“ einrichten und die Registrierung vor den Feiertagen abschließen.
Meldefähigkeit herstellen: Erheblichkeitskriterien, Zuständigkeiten und Vertretungen festlegen und die Meldekette in einem Planspiel testen.
Lücken schließen: Den Umsetzungsstand gegen den DVO-Anhang bewerten, Maßnahmen priorisieren und, wo nötig, kompensierende Maßnahmen dokumentieren.
Nachweise aufbauen: Lieferanten, Wiederanlauf und Entscheidungen der Leitung belegen und die Selbstdeklaration bis 30. September 2027 vorbereiten.
Compliance nicht länger nur verwalten
Das NISG 2026 verlangt eine Organisation, die Vorfälle fristgerecht meldet, Risiken steuert und ihre Maßnahmen belegen kann. Der NIS-2-Österreich-Blueprint von Formalize verbindet dafür Anforderungen, Kontrollen, Aufgaben und Nachweise an einem Ort. So behalten Sie Fristen und Zuständigkeiten im Blick und sehen, wie weit die Umsetzung ist.
Der NIS-2-Österreich-Blueprint ist eine strukturierte Arbeitshilfe und ersetzt keine individuelle Rechtsberatung.
Wie sieht das für Ihr Unternehmen aus?
Wir zeigen Ihnen in einer Demo, wie der NIS-2-Österreich-Blueprint mit Ihren Rechtseinheiten, Lieferanten und Meldewegen arbeitet.
