NISG 2026: Der Angriff ist technisch, die Krise ist es nicht

Kurz gefasst

• Das NISG 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und tritt am 1. Oktober 2026 in Kraft.
• Es tritt praktisch als Ganzes in Kraft – eine Übergangsfrist für die inhaltlichen Pflichten gibt es nicht.
• Betroffene Einrichtungen müssen nicht nur der Behörde melden: Beeinträchtigt der Vorfall den Dienst, sind auch die Empfänger dieses Dienstes unverzüglich zu unterrichten.
• Technische Störungsbehebung und Kommunikation müssen vorher verzahnt sein, nicht im Ereignisfall.

Ab 1. Oktober gilt alles auf einmal

Das Netz- und Informationssystemsicherheitsgesetz 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und tritt nach § 51 mit 1. Oktober 2026 in Kraft. Es setzt die EU-Richtlinie 2022/2555 – kurz NIS2 – in Österreich um.

Alle Bestimmungen treten neun Monate nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft, also praktisch der gesamte Gesetzestext auf einmal. Für die inhaltlichen Pflichten gibt es keine Übergangsfrist. Gleichzeitig treten das NISG 2018 und die zugehörigen Verordnungen außer Kraft.

Zuständig ist das Bundesamt für Cybersicherheit, dem Bundesminister für Inneres unmittelbar nachgeordnet, mit Sitz in Wien (§ 3a, § 3b Abs. 3). Erfasste Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten bei der Cybersicherheitsbehörde registrieren (§ 29 Abs. 3), also bis Ende Dezember 2026. Die Selbstdeklaration zu den umgesetzten Risikomanagementmaßnahmen folgt innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1) – gerechnet also ab dem Eintritt dieser Pflicht, nicht ab dem Tag der eigenen Registrierung.

Wer erfasst ist, richtet sich nach der Unterscheidung von wesentlichen und wichtigen Einrichtungen (§ 24) und nach den Größenschwellen des § 25: großes Unternehmen ab 250 Mitarbeitern oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme, mittleres Unternehmen ab 50 Mitarbeitern oder über zehn Millionen Euro Umsatz und Bilanzsumme.

Gemeinden und Gemeindeverbände sind von der Definition der Einrichtungen im Sektor der öffentlichen Verwaltung ausdrücklich ausgenommen (§ 24 Abs. 3 letzter Halbsatz). Ebenfalls ausdrücklich nicht als wesentliche oder wichtige Einrichtungen gelten Einrichtungen des Universitäts-, Hochschul- und Schulwesens sowie Gerichtsbarkeit, Gesetzgebung und Nationalbank (§ 24 Abs. 6).

Diese Ausnahmen betreffen den Sektor öffentliche Verwaltung – als Entwarnung für jede Tätigkeit einer Gemeinde taugen sie nicht. Eine Betroffenheit über einen anderen Sektor bleibt im Einzelfall möglich, etwa wenn eine Gemeinde einen Betrieb der in Anlage 1 oder 2 genannten Art führt und die Größenschwellen des § 25 erreicht. Auf Landesebene gelten die Ämter der Landesregierungen und die Bezirkshauptmannschaften als wichtige Einrichtungen (§ 24 Abs. 5).

Wie viele Organisationen in Österreich erfasst sind, lässt sich derzeit nicht belastbar sagen; die Gesetzesmaterialien verweisen auf das künftige Register. Ob Ihre Organisation erfasst ist, ist eine Frage für fachkundige rechtliche beziehungsweise NIS-Beratung. Dieser Beitrag beantwortet sie nicht.

Die Systeme fallen zuerst aus, die Fragen kommen sofort danach

Stellen Sie sich einen gewöhnlichen Dienstagvormittag vor. Die Fachanwendung antwortet nicht, kurz darauf steht auch das Mailsystem. In den Büros sammeln sich Mitarbeiterinnen und Mitarbeiter, die etwas bemerkt haben und nicht wissen, was sie Kunden am Telefon sagen dürfen. Die ersten Kunden fragen nach, weil ihre Aufträge nicht bestätigt werden. Eine Redaktion ruft an, weil ihr jemand einen Hinweis gegeben hat. Parallel steht die Frage im Raum, ob personenbezogene Daten betroffen sind, und niemand kann sie in dieser Stunde beantworten. Geschäftsführung und IT arbeiten unter Zeitdruck an derselben Lage, aber an verschiedenen Enden.

Was in diesen Stunden entsteht, ist keine Informationslücke, sondern ihr Gegenteil: Die Lücke wird gefüllt, nur nicht von Ihnen. Störungsbehebung und Krisenkommunikation müssen deshalb vorbereitet und miteinander verzahnt sein.

In der ersten Stunde zählt die Reihenfolge, nicht die Vollständigkeit

• Faktenlage sichern: Was ist gesichert bekannt, was ist Vermutung?
• Kommunikationsverantwortung aktivieren: eine Person, eine Vertretung, beide benannt.
• Interne Informationswege festlegen, bevor extern etwas hinausgeht.
• Stakeholder priorisieren: Belegschaft, betroffene Kunden, Partner, Medien.
• Erststatement vorbereiten, das ohne Detailwissen tragfähig ist.
• Spekulation vermeiden: keine Ursachen, keine Täter, keine Schadenshöhe.
• Zeitpunkt für das nächste Update festlegen und diesen Zeitpunkt einhalten.

Parallel dazu läuft der Meldeweg. Gemeldet wird an das zuständige sektorspezifische Computer-Notfallteam – im Gesetz CSIRT – und, wenn es für den Sektor keines gibt, an das nationale CSIRT; dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Das CSIRT hat spätestens 24 Stunden nach Eingang der Frühwarnung – die Frühwarnung ist die erste Stufe der gestaffelten Meldekette nach § 34 Abs. 2 NISG 2026, nicht die vollständige Meldung – eine erste Rückmeldung zu übermitteln, auf Ersuchen mit Orientierungshilfen oder operativer Beratung (§ 34 Abs. 4).

Die gestaffelten Meldefristen selbst stehen in einem eigenen Beitrag: NIS2 und die 24-Stunden-Frist. Für die Kommunikationsplanung zählt vor allem eines: Die Meldung an die Behörde und die Kommunikation nach außen sind zwei getrennte Aufgaben mit getrennten Verantwortlichen.

Das Gesetz verlangt selbst, dass Sie mit Ihren Kunden reden

Beeinträchtigt ein erheblicher Cybersicherheitsvorfall – erheblich ist ein Vorfall nach § 35 Abs. 1 NISG 2026, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder Dritte durch erhebliche Schäden beeinträchtigt – die Erbringung des Dienstes, hat die betroffene Einrichtung die Empfänger ihrer Dienste unverzüglich zu unterrichten und, soweit möglich, mögliche Schutz- und Abhilfemaßnahmen mitzuteilen (§ 34 Abs. 3).

Diese Unterrichtungspflicht ist verwaltungsstrafrechtlich sanktioniert: Wer ihr nicht entspricht, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 5). Der Strafrahmen reicht für wesentliche Einrichtungen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu sieben Millionen Euro oder 1,4 Prozent, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3). Verhängt werden die Strafen von den Bezirksverwaltungsbehörden auf Anzeige der Cybersicherheitsbehörde (§ 44 Abs. 1). Als Größenordnung taugt das, als Prognose für den Einzelfall nicht.

Hinzu kommt eine Befugnis, die in der Vorbereitung selten mitgedacht wird: Die Cybersicherheitsbehörde kann nach Anhörung der betroffenen Einrichtung Informationen über einen erheblichen Vorfall veröffentlichen, wenn die Sensibilisierung der Öffentlichkeit erforderlich ist oder die Offenlegung sonst im öffentlichen Interesse liegt; dabei sind Verhältnismäßigkeit und Datenminimierung zu beachten (§ 34 Abs. 6).

Die Kommunikation nach außen ist damit nicht nur eine Reputationsfrage, sondern in Teilen eine Rechtspflicht – wer sie erst im Ereignisfall organisiert, organisiert sie zu spät.

Der Plan entsteht vorher oder gar nicht

• Krisenteam: wer gehört dazu, wer beruft es ein, ab wann tagt es?
• Sprecher und Stellvertretungen, namentlich und außerhalb der Dienstzeit erreichbar.
• Alternative Kommunikationskanäle für den Fall, dass E-Mail und interne Systeme ausfallen.
• Mitarbeiterinformation: was erfährt die Belegschaft, wann, über welchen Weg?
• Kunden und Partner: wer wird priorisiert kontaktiert, wer informiert sie?
• Medien: eine Ansprechperson, eine Nummer, erreichbare Zeiten.
• Website und Social Media: wer stellt ein, wenn das übliche Redaktionssystem steht?
• Vorbereitete Holding Statements für die erste Stunde.
• Freigabeprozesse: wer gibt frei, wenn die Geschäftsführung nicht erreichbar ist?
• Laufende Dokumentation von Entscheidungen, Uhrzeiten und Veröffentlichungen.

Wer nicht selbst erfasst ist, hört es vom Kunden

Organisationen, die selbst nicht unter das Gesetz fallen, bleiben davon nicht unberührt. Erfasste Kunden reichen Sicherheitsanforderungen über die Lieferkette weiter, und für kleine Betriebe ist genau das der wahrscheinlichere Berührungspunkt – ein Vertragsthema also, keine eigene Rechtspflicht.

Cybersicherheit schützt Systeme, Kommunikation schützt Orientierung

Cybersicherheit schützt Systeme. Kommunikation schützt in derselben Stunde Orientierung und Vertrauen – sie ersetzt die technische Arbeit nicht, sie läuft parallel dazu. Wie eine solche Vorbereitung im Detail aussieht, beschreibt unsere Seite zur Krisenkommunikation.

Am 1. Oktober ändert sich für die meisten Organisationen zunächst nichts Sichtbares. Sichtbar wird der Unterschied beim ersten erheblichen Vorfall: zwischen jenen, die ihre Kommunikationswege vorher festgelegt haben, und jenen, die sie in der ersten Stunde erfinden.