NISG 2026 – Cybersecurity neu

Bald ist es soweit: Das Zeitfenster zur Registrierung „wichtiger“ und „wesentlicher“ Einrichtungen iSd NISG 2026, der Umsetzung der NIS-2-Richtlinie in österreichisches Recht, öffnet sich am 1.10.2026. Zahlreiche andere Pflichten sind innerhalb bestimmter Fristen ab der Registrierung zu erfüllen. Wir wollen Ihnen im Folgenden einen Überblick geben.

Die wichtigste Frage für Unternehmen und Organisationen in Bezug auf das neue „Sicherheitspaket“ (neben dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) sind vor allem noch das Resilienz kritischer Einrichtungen-Gesetz (RKEG) und die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) für Unternehmen beachtlich) ist, ob der (jeweilige) Anwendungsbereich eröffnet ist. Dazu sind für das NISG 2026 zwei voneinander getrennte Fragen zu klären:

• Werden bestimmte Schwellenwerte in Bezug auf die Unternehmensgröße überschritten?
• Erbringt das Unternehmen Dienste in einem relevanten Sektor?

Beide Fragen sind bei näherer Betrachtung komplexer, als es auf den ersten Blick scheint. Unsere Beratungspraxis hat gezeigt, dass insbesondere Konzernstrukturen Probleme bei der Beurteilung der Schwellenwerte schaffen und die Grenzen der erfassten Sektoren durch zahlreiche Verweise auf Spezialgesetze schwer zu bestimmen sind. Hinzu kommt, dass bestimmte Aspekte iZm dem Anwendungsbereich des NISG 2026 auch unionsrechtskonform auszulegen sind.

Beachten Sie bei Ermittlung der Unternehmensgröße jedenfalls die Zurechnungsregeln der „KMU-Empfehlung“ (2003/361/EG). Kennzahlen verbundener Unternehmen sind voll zuzurechnen, jene von Partnerunternehmen anteilig. Ziehen Sie zur Beurteilung der Sektoren Experten hinzu. Beachten Sie, dass die Richtlinie selbst Verweise auf anderes Unionsrecht enthält. Besonders schwierig sind dabei Verweise auf nationales Recht, das bestimmte EU-Richtlinien umsetzt. So verweist die NIS-2-Richtlinie etwa auf die Elektrizitätsbinnenmarktrichtlinie (2019/944), die in Österreich mit dem ElWG umgesetzt wurde. Im NISG 2026 wird aber leider auf das außer Kraft getretene Vorgängergesetz, das ElWOG, verwiesen.

Kommen Sie zu dem Ergebnis, dass Ihr Unternehmen dem NISG 2026 unterliegt, sind folgende Pflichten einzuhalten:

Registrieren Sie Ihr Unternehmen: Die Registrierung hat bis zum 1.1.2027 im Unternehmensserviceportal (USP) zu erfolgen. Dabei sind u.a. Angaben zum Sektor zu machen, innerhalb dessen Ihr Unternehmen Dienste erbringt. Auch Änderungen der Registrierungsdaten sind zu melden.

Klären Sie die Verantwortlichkeit des Leitungsorgans: Die explizite Verpflichtung der Leitung, zumeist Geschäftsführung oder Vorstand, Schulungen zu besuchen und die Einhaltung der Risikomanagementmaßnahmen sicherzustellen, ist ein Paradigmenwechsel. Zwar hat sich der österreichische Gesetzgeber gegen eigene Verwaltungsstrafen für Leitungsorgane entschieden, insbesondere sind aber Regressansprüche der Gesellschaft gegen Leitungsorgane nicht ausgeschlossen.

Treffen Sie Risikomanagementmaßnahmen: Der „harte Kern“ an Pflichten in Bezug auf die Netz- und Informationssicherheit bleibt bestehen. Analysieren Sie die Risiken für Ihr Unternehmen und treffen Sie geeignete und angemessene Abhilfemaßnahmen. Beachten Sie dabei die Durchführungsverordnung 2024/2690 und eine allenfalls künftige NIS-Verordnung. Hinsichtlich der umgesetzten Maßnahmen bestehen auch Nachweispflichten.

Melden Sie Vorfälle: Kommt es zu Cybersicherheitsvorfällen, muss Ihr Unternehmen ausreichend vorbereitet sein, um innerhalb der kurzen Frist von bloß 24 Stunden eine Meldung an die Cybersicherheitsbehörde zu erstatten. Zur Vorbereitung gehört es auch, ein entsprechendes Monitoring relevanter Bereiche eingerichtet zu haben. Wieder sind sektorspezifische Regelungen in der Durchführungsverordnung 2024/2690 zu finden.

Dokumentieren Sie ihre Compliance und überprüfen Sie diese regelmäßig.

Beachten Sie zuletzt, dass die Pflichten des NISG 2026 auf vielfältigste Weise mit anderen Rechtsakten in Verbindung stehen. Prüfen Sie, ob auch die Anwendbarkeit des RKEG oder von DORA möglich ist. Vergleichen Sie bisher erlangte Zertifizierungen, v.a. nach ISO 27001, mit den nun umzusetzenden Maßnahmen.

Unsere Erfahrung zeigt: Die „Anlaufkosten“ sind nicht unerheblich, aber jeder abgewehrte Angriff spart ein Vielfaches an Geld und Ressourcen. Bedenken Sie, dass Angreifer zunehmend auf den Einsatz von KI setzen. Schwachstellen und Angriffsziele können dadurch automatisiert aufgespürt werden. Cybersecurity ist damit lange nicht mehr nur „teures Papier“, sondern die Sicherung der Betriebsfähigkeit des Unternehmens!

16. bis 18. November 2026 – NIS-2 Lehrgang
Mit oder ohne Zertifizierung (Prüfung) buchbar. Fachliche Leitung: Dr. Rainer Knyrim
Details und Anmeldung HIER.
Kanzlei-Rabatt: Business Circle gewährt einen Rabatt in Höhe von EUR 300,00 auf den Nettopreis bei Angabe des Codes „35OXV“ im Feld „Rabattcode“ in Teil 2 des Anmeldeformulars.