NISG 2026 ab 1. Oktober: Warum auch nicht erfasste Betriebe Nachweise brauchen

Am 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft — Österreichs Umsetzung der NIS2-Richtlinie. Direkt erfasst sind laut WKO rund 4.000 mittlere und größere Einrichtungen aus 18 Sektoren; betroffene Einrichtungen müssen sich zwischen 1. Oktober und 31. Dezember 2026 registrieren.

Die wichtigere Nachricht für alle anderen: Das Gesetz wirkt über die Lieferkette weiter. Erfasste Einrichtungen müssen das Risiko ihrer Lieferanten und Dienstleister managen — und tun das in der Praxis mit Sicherheits-Fragebögen und Vertragsklauseln. Wer einen NIS2-pflichtigen Kunden hat, bekommt die Anforderungen auf den Tisch, ob erfasst oder nicht.

Was Kunden typischerweise sehen wollen

Kein Zertifikat, sondern belegbare Basismaßnahmen:

• Mehrfaktor-Authentifizierung für Zugänge, die etwas kaputt machen können
• Ein Patch-Prozess, der nachweisbar läuft — nicht „wir updaten eh regelmäßig”
• Getestete Backups: Eine Wiederherstellung, die nie geprobt wurde, ist eine Hoffnung, kein Backup
• Ein Berechtigungskonzept: Wer kommt an was — und wer ist vor zwei Jahren ausgeschieden und kommt immer noch an alles?
• Ein Incident-Meldeweg: Wen ruft man um 6 Uhr früh an, und was passiert dann?

Dass diese Basics den Unterschied machen, zeigt die österreichische Cybersecurity-Studie 2026: 40 % der untersuchten Angriffsfälle nutzten ineffektives Patch-Management als Einfallstor, die Hälfte der Angriffe wird organisierter Kriminalität zugerechnet, und ein Viertel der von Ransomware betroffenen Unternehmen gab an, Lösegeld bezahlt zu haben.

Was jetzt zu tun ist — in dieser Reihenfolge

1. Betroffenheit klären: Direkt erfasst? Über die Lieferkette? Beides lässt sich in einer kurzen Vorprüfung beantworten.
2. Bestand aufnehmen: Assets, Identitäten, Backups, Patch-Stände, Logging — ohne Inventar ist jede Maßnahme geraten.
3. Nach Risiko priorisieren: Ein 30/60/90-Tage-Plan schlägt einen 200-Punkte-Katalog, den niemand abarbeitet.
4. Nachweise dokumentieren: So, dass Management, Kunden und externe Prüfer sie lesen können.

Was seriöserweise niemand versprechen kann: „garantierte NIS2-Konformität”. Die rechtliche Bewertung liegt bei Behörden und Auditoren — die technische Vorbereitung ist unser Teil, für den Rest arbeiten wir mit Security- und Rechtspartnern.

Quellen: WKO — NISG 2026 Übersicht · WKO — FAQ zum NISG 2026 · WKO — Sicherheit der Lieferkette · Cybersecurity in Österreich 2026 (onlinesicherheit.gv.at, Mai 2026). Keine Rechtsberatung.