Rechtsstand und Zuständigkeit
Das NISG 2026 wurde als BGBl. I Nr. 94/2025 kundgemacht und trat am 1. Oktober 2026 in Kraft. Die Fristberechnung folgt § 51. Das Inkrafttreten ist von Registrierungs-, Nachweis- und Meldefristen zu unterscheiden. Unser österreichischer Regelweg bewertet diesen Rechtsstand, keine Vorgänge vor dem 1. Oktober 2026. RIS: NISG 2026, § 51.
§ 28 knüpft grundsätzlich an eine österreichische Niederlassung an. Öffentliche Kommunikationsdienste, bestimmte digitale Anbieter und öffentliche Verwaltung haben eigene Anknüpfungen. Bei den digitalen Anbietern zählen etwa die Hauptniederlassung, ein Vertreter und gegebenenfalls das Angebot in Österreich ohne EU-Vertreter. Eine österreichische Website oder ein österreichischer Kunde genügt nicht für jede Einrichtungsart. § 28 NISG 2026.
Zuständige Cybersicherheitsbehörde ist das Bundesamt für Cybersicherheit (BCS). Für Vorfallmeldungen regelt § 34 den Weg zum zuständigen sektorspezifischen CSIRT, ersatzweise zum nationalen CSIRT. BCS: Aufgaben und Meldewege.
Welche Einrichtungen sind erfasst?
§§ 24–26 unterscheiden wesentliche und wichtige Einrichtungen. Relevant sind die genaue Tätigkeit nach Anlage 1 oder 2, die Unternehmensgröße nach § 25, größenunabhängige Tatbestände sowie behördliche Einstufungen. Ein Branchenname allein genügt nicht. Verbunddaten und die gesetzlichen Voraussetzungen einer unabhängigen IT müssen gesondert geklärt werden.
Bundes- und Landesverwaltung haben eigene Voraussetzungen. Gemeinden sind vom Sektor öffentliche Verwaltung ausgenommen; eigene Anlage-Tätigkeiten und ausgegliederte Gesellschaften sind gesondert zu betrachten. Die Ausnahmen unter anderem für Bildungs- und bestimmte staatliche Einrichtungen gelten nicht für Vertrauensdiensteanbieter. Auch dann bleibt die Zuständigkeit nach § 28 zu prüfen. §§ 24–28 NISG 2026.
Pflichten und Fristen unterscheiden
- Registrierung: § 29 Abs. 3: initial binnen drei Monaten ab Inkrafttreten. Das BCS nennt grundsätzlich den 1. Januar 2027 und wegen § 33 Abs. 2 AVG spätestens den 4. Januar 2027. Später erfasste Einrichtungen registrieren sich ehestmöglich, spätestens drei Monate nach Erfüllung der Voraussetzungen. „NIS2-Services“ ist über das Unternehmensserviceportal erreichbar.
- Maßnahmen und Leitung: §§ 31–32 regeln Leitungsverantwortung und Risikomanagement. Nach § 33 Abs. 1 ist innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht eine Selbstdeklaration zu übermitteln. Das ist kein pauschaler Aufschub aller Pflichten.
- Vorfälle: §§ 34–35: erhebliche Cybersicherheitsvorfälle unverzüglich melden, frühe Warnung höchstens nach 24 Stunden, Meldung grundsätzlich höchstens nach 72 Stunden ab Kenntnis. Für betroffene Vertrauensdienste gilt auch für die Meldung eine 24-Stunden-Grenze. Der Abschlussbericht folgt grundsätzlich binnen eines Monats nach der Meldung; für andauernde Vorfälle gelten Fortschrittsbericht und eine eigene Abschlussfrist.
BCS: Registrierung, Stand 2. Oktober 2026; §§ 29, 31–35 NISG 2026. Die konkrete Meldepflicht hängt vom Vorfall und den gesetzlichen Voraussetzungen ab.
Passende nächste Schritte
Zum Schnellcheck für Deutschland und Österreich. Wählen Sie dort den Rechtsraum bewusst. Die Einordnung beruht auf Ihren Angaben; offene Voraussetzungen bleiben offen. Sie ist keine behördliche Entscheidung.
Die vorhandene Checkliste, die Ratgeber zu Haftung und Meldung sowie der Readiness-Prozentwert beziehen sich auf Deutschland. Sie sind kein österreichischer Maßnahmenkatalog. Nutzen Sie für Österreich die verlinkten RIS- und BCS-Quellen.
Unsere kostenlosen technischen Checks liefern ausgewählte externe Befunde. Sie prüfen weder die gesamte Organisation noch die Erfüllung nationaler Pflichten. Ein ISO-Zertifikat, eine Selbstauskunft und ein technischer Report haben jeweils einen eigenen Prüfumfang. Technische Checks ansehen.