NIS2
NIS2 ist die EU-Richtlinie zur Cybersicherheit; ihre Pflichten treffen österreichische Unternehmen ab 1. Oktober 2026. In Österreich wird sie über das Netz- und Informationssystemsicherheitsgesetz umgesetzt. Diese Seite erklärt, wer betroffen ist, was Art. 21 der Richtlinie verlangt und welche Fristen laufen.
Stand: 2. September 2026
Was ist NIS2?
NIS2 ist die Richtlinie (EU) 2022/2555, auf die sich das österreichische Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen stützt. Über das NISG 2026 verpflichtet sie in Österreich wesentliche und wichtige Einrichtungen aus 18 Sektoren zu Risikomanagement, Registrierung beim Bundesamt für Cybersicherheit und Meldung erheblicher Cybersicherheitsvorfälle. Sie gilt seit dem 18. Oktober 2024 und wird in Österreich über das Netz- und Informationssystemsicherheitsgesetz umgesetzt.
Die Schreibweise „NIS 2“ mit Leerzeichen meint dasselbe; das österreichische Umsetzungsgesetz trägt die Kurzform NISG 2026. Der Name steht für die zweite Fassung der Network-and-Information-Security-Richtlinie; sie ersetzt die erste von 2016 und erweitert deren Geltungsbereich erheblich: statt einiger Betreiber wesentlicher Dienste fallen nun Unternehmen aus 18 Sektoren darunter, sobald sie die Größenkriterien erreichen.
Neu ist vor allem die Verantwortung. NIS2 macht Cybersicherheit zur Leitungsaufgabe: die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und trägt nach Art. 20 der Richtlinie eine eigene Verantwortung für Verstöße. In Österreich richtet § 31 NISG 2026 diese Pflicht an die Leitungsorgane, delegieren lässt sie sich nicht.
NIS2 in Zahlen
- 18
- Sektoren nach Anhang I und II der Richtlinie
- 50
- Mitarbeitende als Schwelle für die mittlere Unternehmensgröße
- 24 Std.
- Frist für die Frühwarnung an das CSIRT nach § 34 NISG 2026
- 10 Mio. €
- Geldstrafe nach § 45 NISG 2026, oder 2 % des Vorjahresumsatzes
Richtlinie, Umsetzung, Aufsicht
Richtlinie, NISG 2026 und Bundesamt für Cybersicherheit bilden in Österreich eine Kette. Wer sie kennt, findet die Vorschrift, die ab 1. Oktober 2026 tatsächlich gilt.
- Europäische Ebene
Die NIS2-Richtlinie
Richtlinie (EU) 2022/2555, seit Jänner 2023 in Kraft und Grundlage des NISG 2026, kundgemacht in BGBl. I Nr. 94/2025. Als Richtlinie gilt sie in Österreich nicht unmittelbar, erst das Bundesgesetz macht ihre Vorgaben verbindlich. Für Unternehmen bleibt sie Auslegungshilfe, die Anspruchsgrundlage steht im NISG 2026.
- Nationale Umsetzung
Die österreichische Umsetzung
Österreich setzt die Richtlinie im Netz- und Informationssystemsicherheitsgesetz um. Dort stehen die Pflichten, die für Unternehmen tatsächlich gelten: die Sicherheitsvorkehrungen, die Melde- und Registrierungspflichten und die Verantwortung der Leitung.
- Geltendes Recht
Behörde und Computer-Notfallteams
Die zuständige Behörde beaufsichtigt die Einhaltung, die Computer-Notfallteams nehmen Meldungen entgegen und unterstützen bei der Bewältigung. Die Registrierung und die Meldung eines erheblichen Sicherheitsvorfalls laufen über diesen Weg.
Wer ist betroffen?
Nach § 24 NISG 2026 müssen zwei Kriterien zusammenkommen: ein Sektor aus Anlage 1 oder 2 und die Unternehmensgröße nach § 25 NISG 2026. Trifft beides zu, gilt das Gesetz ohne Bescheid; einen Bescheid erlässt das Bundesamt für Cybersicherheit nur, wenn es eine Einrichtung unabhängig von ihrer Größe einstuft.
Wesentliche Einrichtungen
großes Unternehmen nach § 25 Abs. 2 NISG 2026: zumindest 250 Mitarbeiter, oder über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Jahresbilanzsumme
In den Sektoren hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum. Diese Einrichtungen unterliegen der laufenden Aufsicht.
Geldstrafe bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes nach § 45 Abs. 2 NISG 2026
Wichtige Einrichtungen
mittleres Unternehmen nach § 25 Abs. 3 NISG 2026: zumindest 50 Mitarbeiter, oder über zehn Millionen Euro Jahresumsatz und Jahresbilanzsumme
Mittlere Unternehmen der Anlage 1 sowie mittlere und große Unternehmen der Anlage 2, der sonstigen kritischen Sektoren: Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung. Das Bundesamt für Cybersicherheit wird hier nach § 38 Abs. 2 NISG 2026 nur bei Hinweisen auf Verstöße tätig, die Pflichten selbst sind dieselben.
Geldstrafe bis 7 Mio. € oder 1,4 % des weltweiten Vorjahresumsatzes nach § 45 Abs. 3 NISG 2026
Unabhängig von der Größe
Qualifizierte Vertrauensdiensteanbieter, TLD Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene und kritische Einrichtungen nach der Richtlinie (EU) 2022/2557 gelten nach § 24 Abs. 1 NISG 2026 unabhängig von der Größe als wesentliche Einrichtungen. Anbieter öffentlicher elektronischer Kommunikationsnetze sind unabhängig von der Größe zumindest wichtige Einrichtungen.
Und die Lieferkette?
Zulieferer sind nicht automatisch selbst betroffen, werden aber vertraglich in die Pflicht genommen: Art. 21 Abs. 2 lit. d der Richtlinie verlangt von betroffenen Unternehmen, die Sicherheit ihrer unmittelbaren Anbieter zu bewerten. In Österreich steht das in § 32 Abs. 4 lit. d NISG 2026, umgesetzt mit Fragebögen, Nachweisen und Vertragsklauseln, die den Standard an Zulieferer weitergeben.
Die 18 Sektoren
Zuerst Anlage 1 des NISG 2026 mit hoher Kritikalität, danach Anlage 2 mit den sonstigen kritischen Sektoren.
- Energie
- Verkehr und Transport
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- IKT-Dienstleistungsmanagement
- Öffentliche Verwaltung
- Weltraum
- Post und Kurier
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe
- Digitale Dienste
- Forschung
Die zehn Anforderungen nach Art. 21 der Richtlinie
Art. 21 Abs. 2 der NIS2-Richtlinie listet zehn Maßnahmen, die jedes betroffene Unternehmen umsetzen muss. Das Netz- und Informationssystemsicherheitsgesetz übernimmt sie und lässt sie für alle Einrichtungsklassen gleichermaßen gelten.
§ 32 NISG 2026 verlangt geeignete und verhältnismäßige Maßnahmen nach dem Stand der Technik, bemessen an Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle. Eine feste Produktliste enthält das Gesetz nicht; nähere Anforderungen kann das Bundesamt für Cybersicherheit per Verordnung festlegen.
| Nr. | Maßnahme | Was dahintersteht | E-Mail-Bezug |
|---|---|---|---|
| §30 Abs. 2Nr. 1 | Risikoanalyse und Sicherheit der Informationssysteme | Konzepte zur Risikoanalyse nach lit. a; die Ergebnisse gehen in die Selbstdeklaration an das Bundesamt ein. | kein direkter Bezug |
| §30 Abs. 2Nr. 2 | Bewältigung von Cybersicherheitsvorfällen | Erkennung, Reaktion und Nachbereitung nach lit. b, abgestimmt auf die Meldewege zum CSIRT nach § 34 NISG 2026. | unmittelbar |
| §30 Abs. 2Nr. 3 | Betriebskontinuität und Krisenmanagement | Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement, wie lit. c sie aufzählt. | mittelbar |
| §30 Abs. 2Nr. 4 | Lieferkette und unmittelbare Anbieter | Bewertung der unmittelbaren Anbieter und Diensteanbieter samt ihrer Cybersicherheitspraxis nach lit. d, vertraglich abgesichert. | unmittelbar |
| §30 Abs. 2Nr. 5 | Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung | Nach lit. e über den gesamten Lebenszyklus der Netz- und Informationssysteme, einschließlich Management und Offenlegung von Schwachstellen. | kein direkter Bezug |
| §30 Abs. 2Nr. 6 | Wirksamkeitsbewertung und Nachweis | Verfahren nach lit. f, die prüfen, ob die Maßnahmen wirken; § 33 NISG 2026 verlangt dazu eine Selbstdeklaration und auf Aufforderung eine Prüfung durch unabhängige Stellen. | mittelbar |
| §30 Abs. 2Nr. 7 | Cyberhygiene und Cybersicherheitsschulungen | Grundlegende Sicherheitspraktiken nach lit. g; § 31 Abs. 2 NISG 2026 verlangt regelmäßige Schulungen für Mitarbeiter und eigene für die Leitungsorgane. | mittelbar |
| §30 Abs. 2Nr. 8 | Kryptografie und gegebenenfalls Verschlüsselung | Konzepte und Verfahren nach lit. h, von der Wahl der Algorithmen bis zur Schlüsselverwaltung. | unmittelbar |
| §30 Abs. 2Nr. 9 | Personal, Zugriffskontrolle und Anlagen | Nach lit. i: Sicherheit des Personals, Rechte nach Bedarf, Management von Anlagen. | kein direkter Bezug |
| §30 Abs. 2Nr. 10 | Authentifizierung und gesicherte Kommunikation | Nach lit. j: Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, gesicherte Notfallkommunikation innerhalb der Einrichtung. | unmittelbar |
Vier Maßnahmen aus § 32 Abs. 4 NISG 2026 betreffen E-Mail unmittelbar
Die Buchstaben b, d, h und j, also Vorfallsbewältigung, Lieferkette, Kryptografie und gesicherte Textkommunikation, lassen sich ohne Mail-Gateway kaum belegen, auch nicht in der Selbstdeklaration an das Bundesamt für Cybersicherheit. Die Umsetzung für österreichische Unternehmen beschreibt die Seite zur E-Mail-Sicherheit nach NIS2.
Fristen, Meldungen, Geldstrafen nach NISG 2026
Neben den Maßnahmen nach Art. 21 stehen drei formale Pflichten, die unabhängig von der IT-Ausstattung greifen.
Registrierung bei der Behörde
Betroffene Einrichtungen müssen sich nach Eintritt der Betroffenheit bei der zuständigen Behörde registrieren und dabei Kontaktdaten, Sektor und betroffene Dienste angeben. Die Behörde verschickt keine Aufforderung: die Pflicht zu prüfen, ob man betroffen ist, liegt beim Unternehmen.
Meldung erheblicher Cybersicherheitsvorfälle an das CSIRT
Erheblich ist ein Cybersicherheitsvorfall nach § 35 NISG 2026, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder andere Personen erheblich schädigen kann. Gemeldet wird an das sektorspezifische CSIRT, ersatzweise an das nationale CSIRT, in drei Stufen:
- 1Innerhalb von 24 Stunden: Frühwarnung, auch zum Verdacht auf rechtswidrige Handlungen.
- 2Innerhalb von 72 Stunden: Meldung mit erster Bewertung von Schweregrad und Auswirkungen.
- 3Spätestens einen Monat danach: Abschlussbericht mit Ursache, Auswirkung und Abhilfemaßnahmen.
Pflichten der Leitungsorgane nach § 31 NISG 2026
Nach Art. 20 der Richtlinie muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie ist zur regelmäßigen Schulung verpflichtet und trägt für Pflichtverletzungen eine eigene Verantwortung. Ein Verzicht darauf ist unwirksam.
Bußgeldrahmen
Wesentliche Einrichtungen: bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen gelten bis 7 Mio. € oder 1,4 %. Verhängt werden die Geldstrafen nach § 44 NISG 2026 von den Bezirksverwaltungsbehörden; wer sich nicht fristgerecht registriert oder die Selbstdeklaration versäumt, riskiert bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.
NIS2 und kritische Infrastrukturen
Beides wird oft verwechselt. Kritische Infrastrukturen sind Einrichtungen, deren Ausfall die Versorgung der Bevölkerung gefährdet; für sie gilt zusätzlich die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen mit ihren Vorgaben zur physischen Sicherheit. Sie sind eine Teilmenge der wesentlichen Einrichtungen.
Die Einstufung nach dem NISG 2026 ist der weitere Begriff. Ein Unternehmen kann unter NIS2 fallen, ohne kritische Infrastruktur zu sein; umgekehrt gilt für Betreiber kritischer Einrichtungen alles, was auch unter NIS2 gilt, und darüber hinaus die Anforderungen an die physische Resilienz.
| Aspekt | NIS2 | Kritische Einrichtung |
|---|---|---|
| Auslöser | NIS2Anlage 1 oder 2 und Größe nach § 25 NISG 2026 | Kritische EinrichtungEinstufung durch die Behörde nach der Resilienz-Richtlinie |
| Umfang | NIS2Unternehmen aus 18 Sektoren ab der Größenschwelle | Kritische Einrichtungeinzelne benannte Einrichtungen je Sektor |
| Nachweis | NIS2Selbstdeklaration, Prüfung auf Aufforderung des Bundesamts | Kritische Einrichtungals wesentliche Einrichtung auch Ad-hoc-Prüfung nach § 38 NISG 2026 |
| Angriffserkennung | NIS2verhältnismäßig nach § 32 Abs. 3 NISG 2026 | Kritische Einrichtungje nach Sektor vorgeschrieben |
Alle NIS2-Themen
Die dreizehn Vertiefungen gelten dem Mailkanal unter NIS2; für österreichische Unternehmen ist jeweils die Entsprechung im NISG 2026 maßgeblich.
Grundlagen und Haftung
- NIS2 und E-Mail-Sicherheit: der komplette GuideDer Einstieg über 30 Seiten: Geltungsbereich, Maßnahmen, Fristen, Fallstricke.
- Welche E-Mail-Pflichten jetzt geltenWas die Richtlinie für den Mailkanal konkret vorschreibt, Absatz für Absatz.
- Verantwortung der Geschäftsleitung nach Art. 20 NIS2Warum die Leitung persönlich haftet und wie sich das dokumentieren lässt.
Die Maßnahmen im Einzelnen
- Art. 21 NIS2: die zehn PflichtmaßnahmenJede Maßnahme einzeln erklärt, mit dem jeweiligen Bezug zur E-Mail.
- Ist E-Mail-Verschlüsselung Pflicht?Was Nr. 8 verlangt, wo TLS reicht und wo S/MIME oder PGP nötig werden.
- Meldepflicht bei einem VorfallDie 24-Stunden-Frist in der Praxis: wer meldet, was, an wen.
- Lieferkettensicherheit nach Nr. 4Wie Anforderungen an Zulieferer weitergegeben und nachgewiesen werden.
- Der E-Mail-NotfallplanBetriebskontinuität für den Mailkanal: Ausfall, Wiederanlauf, Ersatzweg.
- Protokollierung und SIEM-AnbindungWelche Nachweise die Aufsicht sehen will und wie E-Mail-Ereignisse dorthin kommen.
Umsetzung mit Conbool
- E-Mail-Sicherheit nach NISG 2026Die vier E-Mail-relevanten Maßnahmen und wie Conbool sie abdeckt.
- NIS2-VerschlüsselungS/MIME und PGP automatisiert, mit Schlüsselverwaltung und Regelwerk.
- NIS2-BetriebskontinuitätNotfallpostfach und Weiterbetrieb, wenn der Mailserver ausfällt.
- NIS2-SchulungspflichtCyberhygiene und Schulungen nach Nr. 7, nachweisbar dokumentiert.
Häufige Fragen zu NIS2
Was ist der Unterschied zwischen der NIS2-Richtlinie und dem österreichischen Gesetz?+
NIS2 ist die europäische Richtlinie; für österreichische Unternehmen gilt sie nicht unmittelbar, sondern über das NISG 2026. Sie verpflichtet die Mitgliedstaaten, ihre Vorgaben in nationales Recht zu übersetzen. In Österreich geschieht das im Netz- und Informationssystemsicherheitsgesetz; die Pflichten, die tatsächlich gelten, stehen dort. Die Richtlinie bleibt Auslegungshilfe, insbesondere Art. 20 zur Leitungsverantwortung, Art. 21 zu den Maßnahmen und Art. 23 zu den Meldefristen.
Seit wann gilt NIS2 in Österreich?+
Die Richtlinie gilt seit dem 18. Oktober 2024, ihre Umsetzung erfolgt im Netz- und Informationssystemsicherheitsgesetz. Für die Maßnahmen selbst ist keine Übergangsfrist vorgesehen; für die Registrierung bei der zuständigen Behörde läuft eine eigene Frist ab Eintritt der Betroffenheit.
Was ist der Unterschied zwischen einer wesentlichen und einer wichtigen Einrichtung nach NISG 2026?+
Die Einstufung folgt aus § 24 NISG 2026, also aus Sektor und Größe. Wesentliche Einrichtungen sind große Unternehmen in Sektoren hoher Kritikalität, wichtige Einrichtungen alle übrigen betroffenen. Die Maßnahmenpflichten nach Art. 21 sind identisch; sie unterscheiden sich in der Aufsicht, die bei wesentlichen Einrichtungen laufend erfolgt, und im Bußgeldrahmen von 10 gegenüber 7 Mio. Euro.
Muss ein Cybersicherheitsvorfall binnen 24 Stunden gegenüber dem CSIRT vollständig aufgeklärt sein?+
Nein. Nach § 34 Abs. 2 NISG 2026 genügt binnen 24 Stunden eine Frühwarnung mit dem Kenntnisstand zu diesem Zeitpunkt, einschließlich des Verdachts auf rechtswidrige und schuldhafte Handlungen. Binnen 72 Stunden folgt die Meldung mit erster Bewertung, spätestens einen Monat danach der Abschlussbericht; das CSIRT antwortet auf die Frühwarnung seinerseits binnen 24 Stunden.
Reicht eine ISO-27001-Zertifizierung für das NISG 2026?+
Sie hilft beim Nachweis nach § 33 NISG 2026, genügt aber nicht automatisch. ISO 27001 deckt einen großen Teil der Maßnahmen nach Art. 21 Abs. 2 ab, adressiert die Melde- und Registrierungspflichten sowie die eigene Verantwortung der Geschäftsleitung nach Art. 20 jedoch nicht. Ein gültiges Zertifikat kann die operative und organisatorische Umsetzung belegen, die technische Umsetzung und die Registrierung beim Bundesamt ersetzt es nicht.
Fällt ein österreichischer Zulieferer automatisch unter das NISG 2026?+
Nicht allein deshalb. Betroffen ist nach § 24 NISG 2026 nur, wer selbst Sektor und Größenkriterien erfüllt. Betroffene Kunden geben ihre Anforderungen jedoch nach Art. 21 Abs. 2 lit. d vertraglich weiter, sodass Zulieferer die Maßnahmen faktisch nachweisen müssen, ohne selbst unter die Aufsicht zu fallen.
Die E-Mail-Anforderungen des NISG 2026 abdecken
Vier der zehn Maßnahmen nach Art. 21 der Richtlinie betreffen E-Mail unmittelbar. Conbool deckt sie mit Verschlüsselung, Bedrohungserkennung, Nachrichtenportal und lückenlosen Protokollen ab, gehostet in der EU.
Diese Seite fasst den Stand der österreichischen Gesetzgebung allgemeinverständlich zusammen und ersetzt keine Rechtsberatung. Maßgeblich ist das NISG 2026 in der jeweils geltenden Fassung, kundgemacht im Bundesgesetzblatt.