NISG 20261 – Unternehmen der kritischen Infrastruktur werden zu verschärfter Vorsorge gegen Cyberangriffe verpflichtet
Vorbemerkung
Mit dem NISG 2026 setzt Österreich die Vorgaben der europäischen NIS2-Richtlinie2 in nationales Recht um. Das Bundesgesetz wurde am 23. Dezember 2025 kundgemacht und tritt mit 1. Oktober 2026 in Kraft.
Wir wollen einen ersten Überblick über die wesentlichen Inhalte und Zielsetzungen des NISG 2026 bieten, ohne auf sämtliche Detail- und Einzelbestimmungen einzugehen.
Die fortschreitende Digitalisierung eröffnet vielfältige Chancen für Wirtschaft und Gesellschaft, führt jedoch zugleich zu einer zunehmenden Abhängigkeit von sicheren Netz- und Informationssystemen. Damit steigt auch die Anfälligkeit für Cyberangriffe. Vor diesem Hintergrund sind für Unternehmen der kritischen Infrastruktur wirksame rechtliche und organisatorische Maßnahmen zur Stärkung der Cybersicherheit erforderlich.3
Das übergeordnete Ziel des NISG 2026 ist die Gewährleistung eines hohen Cybersicherheitsniveaus in Österreich. Dieses soll insbesondere bei den in § 2 NISG 2026 genannten und in den Anlagen 1 und 2 näher definierten wesentlichen und wichtigen Einrichtungen sichergestellt werden.
Unter dem vom Gesetz verwendeten Begriff „Einrichtung“ sind sowohl Unternehmen als auch Einrichtungen von anderen Rechtsträgern, wie etwa von öffentlichen Institutionen, Behörden oder Vereinen zu verstehen. Im Gesetz wird der Begriff „Einrichtung“ definiert als eine natürliche Person oder nach dem an ihrem Sitz geltenden nationalen Recht geschaffene und anerkannte juristische Person oder eingetragene Personengesellschaft, die in eigenem Namen Rechte ausüben und Pflichten unterliegen kann.4
Das NISG 2026 erfasst insgesamt 18 Sektoren samt zugehörigen Teilsektoren (siehe den Anhang zu diesem Beitrag), deren Funktionsfähigkeit für das gesellschaftliche und wirtschaftliche Leben sowie für das Funktionieren des Binnenmarktes von wesentlicher Bedeutung ist. Der sachliche Anwendungsbereich des NISG 2026 erstreckt sich auf wesentliche und wichtige Einrichtungen in diesen Sektoren und Teilsektoren. Die betroffenen Einrichtungen sind verpflichtet, angemessene Maßnahmen zur Gewährleistung der Cybersicherheit zu ergreifen und die im Gesetz vorgesehenen Melde- und Mitwirkungspflichten einzuhalten (im Detail hierzu siehe unten).
Gegenüber dem bisherigen NISG5, das mit Ablauf des 30.09.2026 außer Kraft tritt und lediglich sieben Sektoren erfasste, erweitert das NISG 2026 seinen Anwendungsbereich erheblich. Durch die Ausweitung auf insgesamt 18 Sektoren und Teilsektoren unterliegt künftig ein deutlich größerer Kreis von Einrichtungen den gesetzlichen Anforderungen.
Das NISG 2026 unterscheidet zwischen wesentlichen Einrichtungen (Anlage 1) und wichtigen Einrichtungen (Anlage 2).
Unternehmen und sonstige Einrichtungen, die in den Anwendungsbereich des NISG 2026 fallen, sind verpflichtet, ein angemessenes Cybersicherheitsniveau sicherzustellen. Hierzu haben sie organisatorische, technische und operative Maßnahmen zum Schutz ihrer Netz- und Informationssysteme zu treffen. Die wesentlichen Verpflichtungen sind im zweiten Abschnitt des NISG 2026 geregelt und umfassen insbesondere die nachfolgenden Maßnahmen.
Die Cybersicherheitsbehörde9 führt ein Register der wesentlichen und wichtigen Einrichtungen. Zu diesem Zweck haben sich die betroffenen Einrichtungen elektronisch bei der Behörde zu registrieren und bestimmte, gesetzlich vorgesehene strukturierte Angaben10 zu übermitteln.
Die Registrierung hat innerhalb von drei Monaten ab Inkrafttreten des NISG 2026 also bis zum 31. Dezember 2026 zu erfolgen. Treten für eine Einrichtung erst nach diesem Zeitpunkt die Merkmale als wesentliche oder wichtige Einrichtung ein, so ist die Registrierung unverzüglich, spätestens jedoch innerhalb von drei Monaten ab Eintritt der Registrierungspflicht vorzunehmen.
Wesentliche und wichtige Einrichtungen haben geeignete und verhältnismäßige technische, operative und organisatorische Risikomanagementmaßnahmen umzusetzen. Dies hat insbesondere auch unter Berücksichtigung des Stands der Technik zu erfolgen. Hinsichtlich der Beurteilung der „Verhältnismäßigkeit“ ist insbesondere auf (i) das Ausmaß der Risikoexposition der Einrichtung und ihrer Dienste, (ii) die Größe der Einrichtung und (iii) der Wahrscheinlichkeit des Eintretens von Cybersicherheitsvorfällen sowie deren Schwere und Auswirkungen abzustellen.
Das Risikomanagement hat einem gefahrenübergreifenden Ansatz zu folgen und jedenfalls die im NISG 2026 vorgesehenen Mindestmaßnahmen zu umfassen. Hierzu zählen insbesondere Maßnahmen zur Risikoanalyse, zur Sicherheit von Netz- und Informationssystemen, zum Management von Cybersicherheitsvorfällen sowie zur Absicherung der Lieferkette.11
Ein Ermessensspielraum besteht sohin lediglich hinsichtlich der konkreten Ausgestaltung der Maßnahmen. Ob Risikomanagementmaßnahmen zu treffen sind, steht hingegen nicht zur Disposition der betroffenen Einrichtungen. Jede Einrichtung hat ein ihrer individuellen Risikosituation entsprechendes Sicherheitsniveau sicherzustellen.
Die Leitungsorgane wesentlicher und wichtiger Einrichtungen sind für die Einhaltung der Risikomanagementmaßnahmen sowie deren Beaufsichtigung verantwortlich.
Als Leitungsorgane gelten jene natürlichen Personen, die auf Geschäftsführungs- oder Vorstandsebene für die Leitung der Einrichtung verantwortlich sind, d.h. Geschäftsführer, Vorstände, Verwaltungsräte, Leiter der sonstigen Einrichtungen.
Nicht erfasst sind insbesondere Prokuristen oder Personen, die ausschließlich die Funktion eines Chief Information Security Officer (CISO) ausüben.12
Das NISG 2026 sieht für wesentliche und wichtige Einrichtungen Meldepflichten vor und legt hierfür konkrete zeitliche Vorgaben fest.
Binnen 12 Monaten ab Eintritt der Registrierungspflicht der wesentlichen und wichtigen Einrichtungen haben diese der Cybersicherheitsbehörde Informationen hinsichtlich der umgesetzten Risikomanagementmaßnahmen in strukturierter Form zu übermitteln.
Verpflichtung zur Überprüfung durch eine unabhängige Stelle: Darüber hinaus kann die Cybersicherheitsbehörde Einrichtungen verpflichten, die Wirksamkeit ihrer technischen, operativen und organisatorischen Maßnahmen durch eine unabhängige Stelle überprüfen zu lassen. Der entsprechende Nachweis ist grundsätzlich innerhalb von zwei Jahren zu erbringen. Für wesentliche Einrichtungen gelten hinsichtlich der operativen und organisatorischen Maßnahmen verkürzte Fristen; diese haben den Nachweis innerhalb von zwei Monaten nach behördlicher Aufforderung vorzulegen. Eine erstmalige Aufforderung kann frühestens zwei Jahre nach Inkrafttreten des NISG 2026 erfolgen.
Wesentliche und wichtige Einrichtungen sind verpflichtet, erhebliche Cybersicherheitsvorfälle unverzüglich zu melden.
Ein „erheblicher Cybersicherheitsvorfall“ liegt vor, wenn dieser zu schwerwiegenden Betriebsstörungen oder erheblichen finanziellen Verlusten führt oder führen kann oder wenn natürliche oder juristische Personen dadurch erhebliche materielle oder immaterielle Schäden erleiden oder erleiden können. Bei der Beurteilung der Erheblichkeit sind unter anderem die Bedeutung der betroffenen Netz- und Informationssysteme, die Schwere und technischen Merkmale der Cyberbedrohung, ausgenutzte Schwachstellen sowie die Erfahrungen der Einrichtung mit vergleichbaren Vorfällen zu berücksichtigen. Darüber hinaus sind gegebenenfalls unternehmens- und sektorspezifische Besonderheiten einzubeziehen.13
Die Meldung ist an das jeweils zuständige Computer Security Incident Response Team (CSIRT) 14 zu richten. Besteht für die betreffende Einrichtung kein zuständiges CSIRT, ist die Meldung an das nationale CSIRT zu erstatten, das diese unverzüglich an die Cybersicherheitsbehörde weiterleitet.
Das Meldeverfahren erfolgt stufenweise: Zunächst ist innerhalb von 24 Stunden nach Kenntnis des Vorfalls eine Frühwarnung zu übermitteln. Innerhalb von 72 Stunden hat eine umfassendere Meldung zu erfolgen, die gegebenenfalls die Frühwarnung aktualisiert und eine erste Bewertung des Vorfalls, insbesondere seines Schweregrades und seiner Auswirkungen, enthält. Auf Verlangen des zuständigen CSIRT oder der Cybersicherheitsbehörde sind während der Bearbeitung des Vorfalls Zwischenberichte zu übermitteln. Spätestens einen Monat nach der umfassenden Meldung ist ein Abschlussbericht vorzulegen. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist stattdessen ein Fortschrittsbericht zu übermitteln.
Beeinträchtigt ein erheblicher Cybersicherheitsvorfall die Erbringung der betroffenen Dienste, sind außerdem die Empfänger dieser Dienste unverzüglich über den Vorfall sowie – soweit möglich – über geeignete Schutz- und Abhilfemaßnahmen zu informieren.
Das NISG 2026 sieht für Verstöße gegen die darin normierten Pflichten Verwaltungsstrafen vor. Für die Durchführung der Verwaltungsstrafverfahren sind die Bezirksverwaltungsbehörden zuständig. Besteht der Verdacht einer Verwaltungsübertretung, so hat dies die Cybersicherheitsbehörde der zuständigen Bezirksverwaltungsbehörde anzuzeigen.
Die verwaltungsstrafrechtliche Verantwortlichkeit trifft juristische Personen und eingetragene Personengesellschaften, wenn eine Verwaltungsübertretung von einem Leitungsorgan begangen wurde oder infolge mangelnder Aufsicht oder Kontrolle durch ein Leitungsorgan ermöglicht wurde, nicht aber die Person des Leistungsorgans selbst.
Welche Verstöße als Verwaltungsübertretungen gelten, regelt § 45 NISG 2026. Das sind nach Abs 1
Z 1: die Nichteinhaltung der Verpflichtung, Cybersicherheitsschulungen für Leitungsorgane gemäß § 31 Abs. 2 vorzusehen;
Z 2: die Nichteinhaltung der Verpflichtung, Cybersicherheitsschulungen für Mitarbeiter (Arbeitnehmer) gemäß § 31 Abs. 2 zweiter Satz vorzusehen;
Z 3: die Nichtumsetzung der gemäß § 32 vorgeschriebenen Risikomanagementmaßnahmen, sofern dieser Umstand der Cybersicherheitsbehörde nicht ausschließlich aufgrund einer Selbstdeklaration gemäß § 33 Abs. 1 bekannt geworden ist;
Z 4: die Verletzung der Verpflichtung zur Meldung eines erheblichen Cybersicherheitsvorfalls gemäß § 34 Abs. 1 und 2 sowie der damit zusammenhängenden Berichtspflichten;
Z 5: die Verletzung der Verpflichtung zur unverzüglichen Unterrichtung der Empfänger der Dienste einer wesentlichen oder wichtigen Einrichtung gemäß § 34 Abs. 3; sowie
Z 6: die nicht fristgerechte Befolgung der gemäß § 39 Abs. 2 angeordneten Durchsetzungsmaßnahmen, sofern nicht wegen desselben zugrundeliegenden Sachverhalts eine Strafbarkeit aufgrund einer anderen Bestimmung des NISG 2026 besteht.
Daneben normiert § 45 Abs. 4 NISG 2026 weitere Verwaltungsübertretungen.
Hinsichtlich der Strafhöhe unterscheidet das Gesetz zwischen wesentlichen und wichtigen Einrichtungen:
Für wesentliche Einrichtungen beträgt die Höchststrafe bis zu 10 Mio Euro oder – sofern dieser Betrag höher ist – bis zu 2 % des weltweiten Jahresumsatzes des Unternehmens, dem die wesentliche Einrichtung angehört. Für wichtige Einrichtungen beträgt die Höchststrafe bis zu 7 Mio Euro oder – sofern dieser Betrag höher ist – bis zu 1,4 % des weltweiten Jahresumsatzes des Unternehmens, dem die wichtige Einrichtung angehört.
Für die weiteren Verwaltungsübertretungen nach § 45 Abs. 4 NISG 2026 sind Geldstrafen von bis zu 50.000 Euro, im Wiederholungsfall von bis zu 100.000 Euro, vorgesehen. Darunter fällt insbesondere die nicht fristgerechte Registrierung bei der Cybersicherheitsbehörde.
Für Behörden und sonstige Stellen der öffentlichen Verwaltung sieht das NISG 2026 besondere Regelungen vor. Hier hat die Bezirksverwaltungsbehörde die Nichteinhaltung der gesetzlichen Verpflichtungen mit Bescheid festzustellen und eine angemessene Frist zur Herstellung des rechtmäßigen Zustands zu setzen. Wird dieser nicht fristgerecht hergestellt, kann die Nichteinhaltung unter bestimmten Voraussetzungen öffentlich bekannt gemacht werden. Vor Veröffentlichung ist jedoch die jeweilige Behörde oder sonstigen Stelle der öffentlichen Verwaltung Gelegenheit zur Stellungnahme innerhalb einer angemessenen Frist zu geben. Die Veröffentlichung darf auch nur insoweit erfolgen, als dies keine Gefahr für die öffentliche Ordnung oder Sicherheit oder für die nationale Sicherheit darstellt und keine schutzwürdigen Interessen wesentlicher und wichtiger Einrichtungen beeinträchtigt.
Das NISG 2026 sieht für Leitungsorgane keine unmittelbaren Verwaltungsstrafen vor. Eine Verletzung der ihnen nach dem Gesetz obliegenden Pflichten kann jedoch zivilrechtliche Haftungsfolgen nach sich ziehen und insbesondere Schadenersatzansprüche gegen das jeweilige Leitungsorgan begründen.
Eine Haftung der Geschäftsführer oder Vorstandsmitglieder im Regress für die über das Unternehmen verhängte Verwaltungsstrafen kommt aber wohl nicht in Betracht,
Allerdings könnten die durch die erfolgreichen Cyberangriffe verursachten Schäden (Vermögensschäden beim Unternehmen selbst und dessen Kunden, denen gegenüber das Unternehmen regresspflichtig ist) und die mit der Fehlersuche verbundenen Kosten einen ersatzfähigen Schaden darstellen.
Voraussetzung einer Schadenersatzhaftung ist das Vorliegen eines rechtswidrig und schuldhaft verursachten Schadens, der im Schutzbereich der verletzten Norm liegt. Entscheidend ist daher, ob das Leitungsorgan die ihm obliegenden Sorgfaltspflichten verletzt hat und diese Pflichtverletzung für den eingetretenen Schaden ursächlich war. Kann einem Leitungsorgan hingegen kein Verschulden an der Nichteinhaltung der gesetzlichen Pflichten vorgeworfen werden – etwa weil der Angreifer trotz zumutbarer und sorgfaltsmäßig implementierter Schutzmaßnahmen erfolgreich war, oder weil dem Leistungsorgan die erforderlichen Einflussmöglichkeiten fehlten oder es hinsichtlich einer rechtswidrigen Entscheidung überstimmt wurde –, scheidet seine Haftung aus.16
Die mit dem NISG 2026 verbundene Verschärfung der Verantwortung der Leitungsorgane für die Cybersicherheit macht eine klare interne Aufgaben- und Verantwortungsverteilung innerhalb des Unternehmens oder der sonstigen Einrichtung künftig noch bedeutsamer. Unternehmen sollten daher prüfen, ob bestehende Ressortverteilungen den Anforderungen des NISG 2026 entsprechen, oder sie sollten diese entsprechend anpassen.
Eine eindeutige Zuordnung der Verantwortlichkeiten – insbesondere für die Bereiche Cybersicherheit und Informationssicherheit – verbessert nicht nur die interne Organisation und Entscheidungsstruktur, sondern kann auch im Haftungsfall für das einzelne Mitglied der Geschäftsführung von erheblicher Bedeutung sein. Eine Ressortverteilung vermag die gesetzliche Gesamtverantwortung des Leitungsorgans jedoch nicht zu beseitigen. Jedes Leitungsorgan bleibt verpflichtet, sich über wesentliche Risiken zu informieren und die Einhaltung der gesetzlichen Anforderungen angemessen zu überwachen.17
Aus der gestiegenen Verantwortung der Leitungsorgane folgt zudem, dass Unternehmen über ausreichende fachliche Expertise im Bereich der IT- und Cybersicherheit verfügen müssen. Insbesondere in größeren Unternehmen wird dies regelmäßig den Einsatz qualifizierter IT-Sicherheitsfachkräfte oder die Einbindung externer Spezialisten erfordern. Diese unterstützen die Leitungsorgane bei der Erhebung des Ist-Zustands der IT und der vorhandenen Sicherheitsmaßnahmen, bei der Umsetzung der gesetzlichen Anforderungen, der Bewertung von Risiken sowie der Ausgestaltung angemessener Sicherheitsmaßnahmen. Die Verantwortung für die Veranlassung, Überwachung und strategische Steuerung der Cybersicherheit verbleibt jedoch auch in diesem Fall beim Leitungsorgan.
Mit dem NISG 2026 wird der Rechtsrahmen für die Cybersicherheit in Österreich grundlegend neu gestaltet und erweitert. Insbesondere die erhebliche Ausweitung des sachlichen Anwendungsbereichs, die umfassenden Risikomanagement- und Meldepflichten sowie die stärkere Einbindung der Leitungsorgane führen zu deutlich höheren Compliance-Anforderungen für die unter das NISG 2026 fallenden Unternehmen und Einrichtungen.
Unternehmen sollten die verbleibende Zeit bis zum Inkrafttreten des Gesetzes nutzen, um ihre Betroffenheit zu prüfen, bestehende Sicherheitsvorkehrungen zu evaluieren und insbesondere erforderliche organisatorische sowie technische Maßnahmen rechtzeitig umzusetzen.
Das Augenmerk ist auch auf eine klare Ressortverteilung innerhalb der Leitungsorgane zu richten. Eine eindeutige Zuordnung der Verantwortlichkeiten für die Bereiche IT- und Cybersicherheit schafft klare Zuständigkeiten, erleichtert die Wahrnehmung der Überwachungs- und Kontrollpflichten und kann im Haftungsfall vor allem für ressortunzuständige Mitglieder der Geschäftsleitung von erheblicher Bedeutung sein.
Ebenso wird der Aufbau entsprechender personeller Ressourcen künftig verstärkt in den Fokus rücken. Viele Unternehmen werden qualifizierte IT- und Cybersicherheitsmitarbeiter einstellen und/oder auf externe Spezialisten zurückgreifen müssen, um die neuen gesetzlichen Anforderungen wirksam umzusetzen.
Ferner ist an Cyber-Risiko-Versicherungen und an D&O-Versicherungen zu denken. Dabei sollte gerade bei D&O-Versicherungen überprüft werden, ob die Manager-Haftpflicht aus Cyber-Schadensfällen im Versicherungsschutz inkludiert oder ausgeschlossen ist.
Wie die zahlreichen erfolgreichen Cyberangriffe staatlicher oder staatsnaher Akteure zeigen, sind selbst staatliche Einrichtungen, wie zB zuletzt in den USA, Belgien, Frankreich oder kürzlich in Liechtenstein vor erfolgreichen Cyberangriffen nicht gefeit.
In Hinblick auf die im NISG 2026 verwendeten unbestimmten Gesetzesbegriffe – wie zB „Verhältnismäßigkeit“, „Ausmaß der Risikoexposition“, „Wahrscheinlichkeit des Eintretens von Cybersicherheitsvorfällen“ und die absehbare „Schwere“ und „Auswirkungen“ – muss dem Organ auch ein Ermessen (Auslegungsspielraum) zugestanden werden. Verfehlt wäre es auch, aus der Sicht ex post die Vorhersehbarkeit und Eintrittswahrscheinlichkeit überzubewerten und daher sofort einen Verschuldensvorwurf zu erheben (Rückschaufehler).
Ich hoffe, dass Gerichte an die Verantwortlichkeit von Leitungsorganen keine übertriebenen Anforderungen stellen und die im Aktiengesetz geregelte Beweislastumkehr auf die gebotene Mitwirkung bei der Darlegung der getroffenen Maßnahmen und bei der Aufklärung eingetretener Schäden nach Maßgabe der Beweisnähe beschränken und nicht des Unternehmensrisiko über den Umweg der Beweislastumkehr dem Leitungsorgan persönlich auferlegen.18
Auflistung der 18 Sektoren und Teilsektoren
1 Bundesgesetz, mit dem das Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026) erlassen wird und das Telekommunikationsgesetz 2021 und das Gesundheitstelematikgesetz 2012 geändert werden; BGBl. I Nr 94/2025.
2 RL (EU) 2022/2555, ABl L 2022/333, 80.
3 308 der Beilagen XXVIII. GP – Regierungsvorlage – Erläuterungen.
4 § 3 Z 10 NISG 2026.
5 Bundesgesetz zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz – NISG); BGBl. I 2018/111.
6 Siehe im Detail § 24 Abs 1 Z 1 NISG 2026.
7 § 25 NISG 2026.
8 Siehe im Detail § 24 Abs 2 NISG 2026.
9 Mit dem NISG 2026 wird das Bundesamt für Cybersicherheit als bundesweit zuständige Cybersicherheitsbehörde eingerichtet. Es ist dem Bundesministerium für Inneres unmittelbar nachgeordnet.
10 Siehe im Detail § 29 Abs 2 NISG 2026.
11 Zu den Mindestinhalten im Detail siehe § 32 Abs 4 NISG 2026.
12 308 der Beilagen XXVIII. GP - Regierungsvorlage – Erläuterungen zu § 3.
13 308 der Beilagen XXVIII. GP - Regierungsvorlage – Erläuterungen Zu § 35.
14 Zur Gewährleistung der Sicherheit von Netz- und Informationssystemen wurden bereits mit dem NISG Computer-Notfallteams eingerichtet.
15 Zur Regress/Nichtregressmöglichkeit siehe J.Reich-Rohrwig/K. Grossmayer in Artmann/Karollus, AktG II6 Rz 341, 599.
16 308 der Beilagen XXVIII. GP - Regierungsvorlage – Erläuterungen Zu § 31; J.Reich-Rohrwig/K. Grossmayer in Artmann/Karollus, AktG II6 Rz 440 ff; J. Reich-Rohrwig in Straube GmbHG § 25 Rz 325 ff, 335
17 J. Reich-Rohrwig in Artmann/Karollus AktG II6 § 70 Rz 147 ff, 153.
18 Siehe J.Reich-Rohrwig/K. Grossmayer in Artmann/Karollus, AktG II6 Rz 441.
