NIS2 und die 24-Stunden-Frist

Das Netz- und Informationssystemsicherheitsgesetz 2026 setzt die EU-Richtlinie NIS2 um und ersetzt das NISG 2018. Der Kreis der verpflichteten Einrichtungen wächst dabei erheblich, und über die Lieferkette reicht die Wirkung noch weiter: Betroffene Einrichtungen müssen die Sicherheit ihrer Zulieferer bewerten und vertraglich steuern.

Zu den technischen Vorgaben ist inzwischen viel geschrieben worden. Weniger Aufmerksamkeit bekommt jene Pflicht, an der Organisationen in der Praxis am häufigsten scheitern – aus einem Grund, der mit IT wenig zu tun hat.

Was am 1. Oktober beginnt

Das Gesetz wurde am 23. Dezember 2025 kundgemacht und tritt am 1. Oktober 2026 vollständig in Kraft. Ab diesem Tag sind die Vorgaben zu erfüllen: Risikomanagement, Schulungen, Meldepflichten.

Zwei Fristen folgen. Betroffene Einrichtungen müssen sich ab 1. Oktober und bis spätestens 31. Dezember 2026 über das Unternehmensserviceportal registrieren. Bis 30. September 2027 ist der Behörde eine Aufstellung der umgesetzten Risikomanagementmaßnahmen zu übermitteln – die sogenannte Selbstdeklaration.

Erfasst sind 18 Sektoren, von Energie, Verkehr und Gesundheit über Trinkwasser und Abwasser bis zu Abfallwirtschaft, Lebensmitteln, Chemie und Teilen des verarbeitenden Gewerbes. Dazu muss die Einrichtung mindestens mittlere Größe erreichen: ab 50 Beschäftigten oder bei einem Jahresumsatz und einer Bilanzsumme von jeweils über zehn Millionen Euro. Einzelne Dienste sind größenunabhängig erfasst.

Zwei Punkte werden dabei regelmäßig übersehen. Bei verbundenen Unternehmen werden die Kennzahlen von Mutter und Tochter wechselseitig voll zugerechnet – ein kleiner Betrieb im Konzernverbund erreicht die Schwelle schneller als gedacht. Und die Prüfung der Betroffenheit ist Sache der Einrichtung selbst; eine Einstufung durch die Behörde ist nicht vorgesehen.

Ein Hinweis für Gemeinden

Weil die Frage in Niederösterreich derzeit häufig aufkommt: Gemeinden, Städte und Gemeindeverbände sind im Sektor öffentliche Verwaltung ausdrücklich ausgenommen.

Pauschal ausgenommen sind sie damit nicht. Ist eine Gemeinde in einem anderen erfassten Sektor tätig – Trinkwasser, Abwasser, Abfallwirtschaft, Energie, Verkehr, digitale Infrastruktur – und werden die Größenkriterien erreicht, greift das Gesetz.

Die Gemeinde als Verwaltungseinheit kann also außen vor sein, während der eigene Wasserverband erfasst ist. Diese Prüfung sollte man nicht dem Gefühl überlassen.

Die Meldekette: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Cybersicherheitsvorfälle sind gestuft an das zuständige Computer-Notfallteam zu melden:

Binnen 24 Stunden eine Frühwarnung, mit dem Hinweis, ob der Verdacht auf eine rechtswidrige Handlung oder auf grenzüberschreitende Auswirkungen besteht.

Binnen 72 Stunden eine Meldung mit einer ersten Bewertung der Auswirkungen.

Spätestens nach einem Monat ein Abschlussbericht; dauert der Vorfall an, zuvor ein Fortschrittsbericht.

Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann – oder andere Personen durch erhebliche Schäden beeinträchtigt. Die Beurteilung hängt vom Einzelfall ab.

Zwei Feinheiten, die im Ernstfall zählen: Die Frist knüpft an die Kenntnis vom Vorfall an, nicht an die abgeschlossene Analyse. Und sie läuft auch am Wochenende, selbst wenn der Betrieb dann keine Dienste erbringt.

Warum die erste Frist selten an der Technik scheitert

Vierundzwanzig Stunden klingen nach einer technischen Anforderung. In der Praxis ist es eine organisatorische – an einer sehr bestimmten Stelle.

Gemeldet werden muss, was erheblich ist. Diese Einstufung muss jemand vornehmen. Und genau dafür fehlt in den meisten Organisationen eine benannte Zuständigkeit.

Der Ablauf sieht dann so aus: Am Freitagnachmittag meldet ein Mitarbeiter, dass ein Ordner nicht mehr öffnet. Der IT-Dienstleister vermutet ein Berechtigungsproblem. Am Montagvormittag ist klar, dass Daten verschlüsselt wurden. Die Frist ist längst gelaufen – sie hat am Freitag begonnen, nicht am Montag.

Drei Festlegungen verhindern das, und alle drei kosten Stunden, nicht Budget:

Wer entscheidet über die Erheblichkeit? Eine Person, eine Vertretung, beide namentlich benannt und außerhalb der Dienstzeit erreichbar.

Ab wann läuft die Frist? Ab Kenntnis. Wer auf Gewissheit wartet, meldet zu spät.

Wie wird gemeldet, wenn die eigenen Systeme stehen? Ist das Mailsystem verschlüsselt, ist eine Meldekette per E-Mail wertlos. Kontaktdaten und Meldeweg gehören auf Papier oder auf ein Gerät außerhalb des betroffenen Netzes.

Die Meldung ist nicht die einzige Kommunikation

Hier liegt der Punkt, den rein technische Umsetzungspläne übersehen. In denselben Stunden laufen mehrere Kommunikationspflichten parallel, mit unterschiedlichen Adressaten, Fristen und Tonlagen.

Die Behördenmeldung nach dem NISG.

Die Datenschutzmeldung, falls personenbezogene Daten betroffen sind: binnen 72 Stunden an die Datenschutzbehörde, bei hohem Risiko zusätzlich an die betroffenen Personen. Eine eigene Pflicht mit eigener Frist.

Die vertraglichen Informationspflichten gegenüber Auftraggebern. Wer Zulieferer einer betroffenen Einrichtung ist, hat solche Klauseln zunehmend im Vertrag stehen.

Die Belegschaft, die als Erste merkt, dass etwas nicht stimmt – und die, wenn sie nichts hört, den Informationsstand privat weitergibt.

Kundschaft und Öffentlichkeit, sobald der Ausfall sichtbar wird. Ein Betrieb, der drei Tage keine Aufträge annehmen kann, kommuniziert bereits, ob er will oder nicht.

Eine Konstellation wird dabei oft falsch eingeschätzt: Melden Lieferant und Kunde jeweils als betroffene Einrichtung, ersetzt die eine Meldung nicht die andere. Beide müssen melden.

Was Zulieferer jetzt erleben werden

Für die meisten kleineren Betriebe wird der erste Kontakt mit dem Gesetz kein Behördenschreiben sein, sondern ein Fragebogen.

Erfasst ist dabei nicht nur die IT. Zur Lieferkette zählt, wer die Netz- und Informationssysteme der Einrichtung unterstützt oder ermöglicht – das kann bis zur Klimatechnik im Serverraum reichen.

Zwei Dinge sind wichtig. Erstens: Ein pauschaler Verweis auf das NISG in den AGB genügt den Anforderungen nicht; verlangt sind konkrete, überprüfbare Vertragspflichten. Zweitens: Eine belastbare Antwort ist ein Vertriebsargument. Wer als Erster im eigenen Umfeld sauber belegen kann, wie er mit Zugängen, Backups und Vorfällen umgeht, wird als Lieferant leichter gehalten.

Und für alle, die ihre IT ausgelagert haben: Die Verantwortung bleibt bei der Einrichtung. Der Dienstleister führt aus, haften tut man selbst.

Praxistipp

Setzen Sie sich vor dem 1. Oktober zwei Stunden zusammen und spielen Sie einen einzigen Fall durch. Nicht theoretisch, sondern mit Namen und Telefonnummern.

Angenommen, morgen früh sind die Dateiserver verschlüsselt.

Halten Sie die Antworten auf einer Seite fest. Ausgedruckt, im Büro der Geschäftsführung und an einem zweiten Ort.

Diese eine Seite ist in einem echten Vorfall mehr wert als ein sechzigseitiges Sicherheitskonzept, das auf dem verschlüsselten Laufwerk liegt.

Was der Leitung droht – und was nicht

Ein verbreitetes Missverständnis betrifft die persönliche Haftung. Das NISG 2026 verpflichtet die Leitungsorgane ausdrücklich, die Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen, und schreibt ihnen eigene, dokumentierte Cybersicherheitsschulungen vor – allgemeine Mitarbeiterschulungen genügen dafür nicht, und die Pflicht trifft jedes Mitglied der Geschäftsführung einzeln.

Verwaltungsstrafen gegen Leitungsorgane persönlich sieht das Gesetz allerdings nicht vor. Die Verletzung dieser Pflichten kann jedoch Schadenersatzansprüche auslösen, wenn sorgfaltswidriges Handeln für einen Schaden ursächlich war.

Für die Einrichtung selbst reichen die Strafrahmen bis zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Für den überschaubarsten Fehler – die versäumte Registrierung – sind bis zu 50.000 Euro vorgesehen, im Wiederholungsfall bis zu 100.000.

Fazit: Der Stichtag ist der leichtere Teil

Am 1. Oktober ändert sich zunächst wenig sichtbar. Kein Prüfer steht in der Tür, die Registrierung läuft bis Jahresende, die Selbstdeklaration bis Herbst 2027.

Entscheidend wird der erste Vorfall danach. Dann zeigt sich, ob eine Organisation die 24 Stunden als Frist begriffen hat, die zu laufen beginnt, während noch niemand weiß, was passiert ist – oder als Formalie, die man erledigt, sobald die Lage geklärt ist.

Der Unterschied liegt nicht in der Technik. Er liegt in drei Namen, zwei Telefonnummern und einer Entscheidung, die vorab getroffen wurde.