Am 1. Oktober 2026 tritt in Österreich das neue Netz- und Informationssystemsicherheitsgesetz (NISG 2026) vollständig in Kraft. Damit wird die europäische NIS2-Richtlinie umgesetzt und der Kreis der von gesetzlichen Cybersicherheitsanforderungen erfassten Unternehmen deutlich erweitert.
Nach Angaben der Wirtschaftskammer betrifft das rund 4.000 Unternehmen und Einrichtungen aus 18 gesellschaftlich relevanten Sektoren.
👉 Besonders relevant: Cybersicherheit wird ausdrücklich zur Aufgabe der Unternehmensleitung.
Bei Unternehmen, die als „wesentliche“ oder „wichtige Einrichtung“ unter das NISG 2026 fallen, müssen die Leitungsorgane die Einhaltung der vorgeschriebenen Risikomanagementmaßnahmen sicherstellen und beaufsichtigen. Zusätzlich sind speziell für Leitungsorgane gestaltete Cybersicherheitsschulungen vorgesehen.
Betroffene Unternehmen müssen geeignete technische, operative und organisatorische Maßnahmen umsetzen – etwa Risikoanalysen, Sicherheits- und Notfallkonzepte, Backup- und Wiederherstellungsmanagement, Krisenmanagement, Sicherheit der Lieferkette und Zugriffskontrollen.
⏱️ Auch im Ernstfall gelten klare Fristen: Bei einem erheblichen Cybersicherheitsvorfall muss eine erste Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme erfolgen.
Und selbst Unternehmen, die nicht unmittelbar unter das NISG fallen, sollten das Thema im Blick behalten: Über Kunden- und Lieferantenbeziehungen können entsprechende Sicherheitsanforderungen auch an sie weitergegeben werden.
Das NISG 2026 unterstreicht damit eine Entwicklung, die für praktisch jedes Unternehmen relevant ist:
IT-Sicherheit ist längst nicht mehr ausschließlich Aufgabe der IT. Sie ist Teil des unternehmerischen Risikomanagements.
💡 Die entscheidenden Fragen lauten daher nicht nur: Haben wir eine Firewall und funktionierende Backups?
Sondern auch: Kennen wir unsere Risiken? Wissen wir, wer im Ernstfall entscheidet? Und können wir unseren Geschäftsbetrieb nach einem Cyberangriff rasch wieder aufnehmen?
*Aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung der Sprachformen männlich, weiblich und divers (m/w/d) verzichtet. Alle Bezeichnungen gelten für alle Geschlechter.