NISG 2026: Der Angriff ist technisch, die Krise ist es nicht

Kurz gefasst

• Das NISG 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und tritt am 1. Oktober 2026 in Kraft.
• Eine Übergangsfrist für die inhaltlichen Pflichten gibt es nicht, das Gesetz gilt praktisch als Ganzes.
• Beeinträchtigt der Vorfall den Dienst, müssen betroffene Einrichtungen außer der Behörde auch die Empfänger dieses Dienstes unverzüglich unterrichten.
• Technische Störungsbehebung und Kommunikation müssen vor dem Ereignisfall aufeinander abgestimmt sein.

Ab 1. Oktober gilt alles auf einmal

Das Netz- und Informationssystemsicherheitsgesetz 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und tritt nach § 51 mit 1. Oktober 2026 in Kraft. Es setzt die EU-Richtlinie 2022/2555, kurz NIS2, in Österreich um.

Alle Bestimmungen treten neun Monate nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft, das betrifft praktisch den gesamten Gesetzestext. Für die inhaltlichen Pflichten gibt es keine Übergangsfrist. Gleichzeitig treten das NISG 2018 und die zugehörigen Verordnungen außer Kraft.

Behörde. Zuständig ist das Bundesamt für Cybersicherheit, dem Bundesminister für Inneres unmittelbar nachgeordnet, mit Sitz in Wien (§ 3a, § 3b Abs. 3). Erfasste Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten bei der Cybersicherheitsbehörde registrieren (§ 29 Abs. 3), also bis Ende Dezember 2026. Die Selbstdeklaration zu den umgesetzten Risikomanagementmaßnahmen folgt innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1). Die Frist beginnt also mit der Pflicht selbst, unabhängig vom Tag der eigenen Registrierung.

Größe. Wer erfasst ist, richtet sich nach der Unterscheidung von wesentlichen und wichtigen Einrichtungen (§ 24) und nach den Größenschwellen des § 25. Als groß gilt ein Unternehmen ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme, als mittleres eines ab 50 Beschäftigten oder über zehn Millionen Euro Umsatz und Bilanzsumme.

Gemeinden und Gemeindeverbände sind von der Definition der Einrichtungen im Sektor der öffentlichen Verwaltung ausdrücklich ausgenommen (§ 24 Abs. 3 letzter Halbsatz). Ebenfalls ausdrücklich nicht als wesentliche oder wichtige Einrichtungen gelten Einrichtungen des Universitäts-, Hochschul- und Schulwesens sowie Gerichtsbarkeit, Gesetzgebung und Nationalbank (§ 24 Abs. 6).

Diese Ausnahmen betreffen den Sektor öffentliche Verwaltung – als Entwarnung für jede Tätigkeit einer Gemeinde taugen sie nicht. Eine Betroffenheit über einen anderen Sektor bleibt im Einzelfall möglich, etwa wenn eine Gemeinde einen Betrieb der in Anlage 1 oder 2 genannten Art führt und die Größenschwellen des § 25 erreicht. Auf Landesebene gelten die Ämter der Landesregierungen und die Bezirkshauptmannschaften als wichtige Einrichtungen (§ 24 Abs. 5).

Wie viele Organisationen in Österreich erfasst sind, lässt sich derzeit nicht belastbar sagen; die Gesetzesmaterialien verweisen auf das künftige Register. Ob Ihre Organisation erfasst ist, ist eine Frage für fachkundige rechtliche beziehungsweise NIS-Beratung. Dieser Beitrag beantwortet sie nicht.

Die Systeme fallen zuerst aus, die Fragen kommen sofort danach

Stellen Sie sich einen gewöhnlichen Dienstagvormittag vor. Die Fachanwendung antwortet nicht, kurz darauf steht auch das Mailsystem. In den Büros sammeln sich Mitarbeiter, die etwas bemerkt haben und nicht wissen, was sie der Kundschaft am Telefon sagen dürfen. Die ersten Kunden fragen nach, weil ihre Aufträge nicht bestätigt werden. Eine Redaktion ruft an, weil ihr jemand einen Hinweis gegeben hat. Parallel steht die Frage im Raum, ob personenbezogene Daten betroffen sind, und niemand kann sie in dieser Stunde beantworten. Geschäftsführung und IT arbeiten unter Zeitdruck an derselben Lage, aber an verschiedenen Enden.

In diesen Stunden entsteht eine Informationslücke, und andere füllen sie, solange Sie selbst schweigen. Störungsbehebung und Krisenkommunikation müssen deshalb vorbereitet und aufeinander abgestimmt sein.

In der ersten Stunde zählt die Reihenfolge

• Faktenlage sichern und trennen, was feststeht und was Vermutung ist.
• Kommunikationsverantwortung aktivieren, mit einer benannten Person und einer benannten Vertretung.
• Interne Informationswege festlegen, bevor extern etwas hinausgeht.
• Reihenfolge der Adressaten bestimmen, also Belegschaft, betroffene Kundschaft, Partnerbetriebe und Medien.
• Erststatement vorbereiten, das auch ohne Detailwissen stimmt.
• Nicht über Ursachen, Täter oder Schadenshöhe spekulieren.
• Zeitpunkt für das nächste Update festlegen und ihn einhalten.

Parallel dazu läuft der Meldeweg. Gemeldet wird an das zuständige sektorspezifische Computer-Notfallteam, im Gesetz CSIRT genannt, und, wenn es für den Sektor keines gibt, an das nationale CSIRT; dieses leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Erste Stufe der gestaffelten Meldekette nach § 34 Abs. 2 NISG 2026 ist die Frühwarnung, noch vor der vollständigen Meldung. Spätestens 24 Stunden nach ihrem Eingang hat das CSIRT eine erste Rückmeldung zu übermitteln, auf Ersuchen mit Orientierungshilfen oder operativer Beratung (§ 34 Abs. 4).

Die gestaffelten Meldefristen selbst beschreibt der Beitrag NIS2 und die 24-Stunden-Frist. Für die Kommunikationsplanung zählt vor allem, dass die Meldung an die Behörde und die Kommunikation nach außen zwei getrennte Aufgaben mit getrennten Verantwortlichen sind.

Das Gesetz verlangt selbst, dass Sie mit Ihrer Kundschaft reden

Erheblich ist ein Vorfall nach § 35 Abs. 1 NISG 2026, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder Dritte durch erhebliche Schäden beeinträchtigt. Beeinträchtigt ein solcher Cybersicherheitsvorfall die Erbringung des Dienstes, hat die betroffene Einrichtung die Empfänger ihrer Dienste unverzüglich zu unterrichten und, soweit möglich, mögliche Schutz- und Abhilfemaßnahmen mitzuteilen (§ 34 Abs. 3).

Diese Unterrichtungspflicht ist verwaltungsstrafrechtlich sanktioniert. Wer ihr nicht entspricht, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 Z 5). Der Strafrahmen reicht für wesentliche Einrichtungen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu sieben Millionen Euro oder 1,4 Prozent, je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3). Verhängt werden die Strafen von den Bezirksverwaltungsbehörden auf Anzeige der Cybersicherheitsbehörde (§ 44 Abs. 1). Das zeigt die Größenordnung, die Strafe im Einzelfall lässt sich daraus nicht ablesen.

Hinzu kommt eine Befugnis, die in der Vorbereitung selten mitgedacht wird. Die Cybersicherheitsbehörde kann nach Anhörung der betroffenen Einrichtung Informationen über einen erheblichen Vorfall veröffentlichen, wenn die Sensibilisierung der Öffentlichkeit erforderlich ist oder die Offenlegung sonst im öffentlichen Interesse liegt; dabei sind Verhältnismäßigkeit und Datenminimierung zu beachten (§ 34 Abs. 6).

Die Kommunikation nach außen ist damit neben der Reputationsfrage in Teilen eine Rechtspflicht. Wer sie erst im Ereignisfall organisiert, ist zu spät dran.

Der Plan entsteht vorher oder gar nicht

• Krisenteam festlegen, also wer dazugehört und wer es ab welchem Anlass einberuft.
• Sprecher und Stellvertreter, namentlich benannt und außerhalb der Dienstzeit erreichbar.
• Alternative Kommunikationskanäle für den Fall, dass E-Mail und interne Systeme ausfallen.
• Information der Belegschaft, also wann sie was über welchen Weg erfährt.
• Kundschaft und Partnerbetriebe, also wer zuerst kontaktiert wird und wer sie informiert.
• Für Medien eine Ansprechperson mit Telefonnummer und festen Erreichbarkeitszeiten.
• Website und Social Media, also wer Meldungen einstellt, wenn das übliche Redaktionssystem steht.
• Vorbereitete Erstmeldungen für die erste Stunde.
• Freigaben, also wer entscheidet, wenn die Geschäftsführung nicht erreichbar ist.
• Laufende Dokumentation von Entscheidungen, Uhrzeiten und Veröffentlichungen.

Wer nicht selbst erfasst ist, hört es vom Kunden

Erfasste Kunden reichen Sicherheitsanforderungen über die Lieferkette an ihre Zulieferer weiter. Für kleine Betriebe ist das der wahrscheinlichere Berührungspunkt mit dem Gesetz. Die Anforderungen stehen dann im Vertrag mit dem Kunden, das Gesetz selbst verpflichtet diese Betriebe nicht.

Cybersicherheit schützt Systeme, Kommunikation schützt Orientierung

Während die IT an den Systemen arbeitet, hält die Kommunikation Belegschaft, Kundschaft und Öffentlichkeit auf dem Laufenden. Wie eine solche Vorbereitung im Detail aussieht, beschreibt unsere Seite zur Krisenkommunikation.

Am 1. Oktober ändert sich für viele Organisationen zunächst wenig. Beim ersten erheblichen Vorfall trennt sich, wer seine Kommunikationswege vorher festgelegt hat, von jenen, die sie in der ersten Stunde erfinden.