Cybersicherheit BLOGNISG 2026 ist da: Wie wir die Umsetzung als Pentester & Security-Berater angehen

• Was: Das Netz- und Informationssystemsicherheitsgesetz 2026 (BGBl. I Nr. 94/2025) setzt die EU-NIS-2-Richtlinie um und ersetzt das NISG 2018.
• Seit wann: 1. Oktober 2026, ohne Übergangsfrist für die Pflichten.
• Wer: mittlere und große Einrichtungen in 18 Sektoren, einige Anbieter auch unabhängig von ihrer Größe. Ob man betroffen ist, prüft man selbst.
• Fristen: Registrierung im Unternehmensserviceportal bis 31. Dezember 2026, Selbstdeklaration bis 30. September 2027.
• Verantwortung: liegt bei der Geschäftsführung. Umsetzen muss es das ganze Unternehmen, technisch und organisatorisch.

Das NISG 2026 setzt die EU-NIS-2-Richtlinie in Österreich um. Es gilt seit 1. Oktober 2026 für Unternehmen ab mittlerer Größe (mindestens 50 Mitarbeiter oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme), die in einem von 18 Sektoren tätig sind. Dazu zählen etwa Energie, Gesundheitswesen, Verkehr, digitale Infrastruktur, IT-Dienstleistungen, Lebensmittel und das verarbeitende Gewerbe. Je nach Größe und Sektor gilt man als wesentliche oder wichtige Einrichtung: gleiche Pflichten, aber unterschiedlich strenge Aufsicht.

Ob du betroffen bist, prüfst du selbst, eine Einstufung durch die Behörde gibt es nicht. Ein guter Start ist der Online-Ratgeber der WKO. Und wer nicht direkt betroffen ist, bekommt das Gesetz oft als Zulieferer zu spüren: Betroffene Unternehmen müssen ihre Lieferkette absichern und geben die Anforderungen über Verträge weiter.

Risikomanagement, Schulungen der Geschäftsführung und die Meldepflicht gelten seit 1. Oktober 2026. Registrieren musst du dich bis 31. Dezember 2026, die Selbstdeklaration folgt bis 30. September 2027.

• Geschäftsführung (§ 31): verantwortet die Maßnahmen und muss selbst an Cybersicherheitsschulungen teilnehmen. Mitarbeiter sind regelmäßig zu schulen.
• Risikomanagement (§ 32): technische, operative und organisatorische Maßnahmen in zehn Mindestbereichen, darunter Risikoanalyse, Backups, Lieferkette und Schwachstellenmanagement.
• Meldepflicht (§ 34): Frühwarnung an CERT.at binnen 24 Stunden (auch am Wochenende), Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat.

Frist	Was ist fällig	Grundlage
bis 31. Dezember 2026	Registrierung im USP („NIS2-Services“)	§ 29 Abs. 3
bis 30. September 2027	Selbstdeklaration der umgesetzten Maßnahmen	§ 33 Abs. 1
frühestens ab 1. Oktober 2028	Prüfung durch eine unabhängige Stelle, nur auf Aufforderung	§ 33 Abs. 2

Laut Bundesamt für Cybersicherheit geht die Registrierung auch noch Anfang Jänner. Wir würden es trotzdem nicht auf Silvester ankommen lassen.

Wesentlichen Einrichtungen drohen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 % (§ 45). Eine versäumte Registrierung oder Selbstdeklaration kostet bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.

Die Verwaltungsstrafen treffen das Unternehmen. Für die Geschäftsführung selbst sieht das NISG 2026 keine Verwaltungsstrafen vor. Eine Verletzung ihrer Pflichten kann aber zu Schadenersatzansprüchen führen, wenn sie sorgfaltswidrig gehandelt hat und dadurch ein Schaden entstanden ist. Bei wesentlichen Einrichtungen, die einem Bescheid nicht nachkommen, kann die Behörde der Geschäftsführung außerdem vorübergehend die Ausübung ihrer Funktion untersagen (§ 39 Abs. 4).

Unsere Empfehlung: Mach das NISG 2026 zur Chefsache, gib einer Person oder einem kleinen Team die Zuständigkeit und arbeite in Schritten, statt auf Perfektion zu warten. Das Gesetz umfasst Cybersicherheit technisch und organisatorisch. Tools helfen bei Teilen davon. Zusammenlaufen muss es aber bei Menschen.

Das Gesetz legt die Verantwortung ausdrücklich zur Geschäftsführung (§ 31). Gemeint ist die Geschäftsleitung, nicht die IT-Leitung oder der CISO. Das heißt in der Praxis, dass die Geschäftsführung Zeit und Budget freigeben muss. Ohne diese Freigabe bleibt das Projekt ein Nebenjob der IT, der irgendwo zwischen Druckerproblem und Passwort-Reset versandet. Und wenn es am Ende stinkt, steht wie oben beschrieben die Geschäftsführung in der Haftung.

Bestimme eine Person oder ein kleines Team, das sich das Thema Informationssicherheit umhängt. Dort laufen die organisatorischen Fäden zusammen: Risikoanalyse, Richtlinien, Meldeprozess, Lieferanten, Schulungen und die Nachweise für die Selbstdeklaration. Prozesse, Zuständigkeiten und Maßnahmen müssen schriftlich festgehalten und regelmäßig überprüft werden. Am einfachsten geht das mit einem Informationssicherheits-Managementsystem (ISMS), am besten in einem eigenen Tool statt in zwölf Excel-Listen.

Auch wenn deine IT komplett ausgelagert ist: Die Verantwortung bleibt im Unternehmen. Der Dienstleister setzt um, du musst steuern und überprüfen.

Die zuständige Person koordiniert, sie kann aber nicht alles selbst machen. Schulungen gelten für alle Mitarbeiter, Lieferantenverträge betreffen den Einkauf, der Meldeprozess braucht Leute, die auch am Wochenende erreichbar sind. Jede Abteilung wird ihren Beitrag leisten müssen. Gemeinsame Schulungen von Geschäftsleitung, IT-Leitung, CISO und Compliance haben sich dabei bewährt.

Niemand muss NIS-2-Experte sein, um das Gesetz umzusetzen. Die WKO empfiehlt wegen der Komplexität der Vorgaben, sich an Expert:innen zu wenden. Für die Frage, ob und wie dein Unternehmen betroffen ist, lohnt sich eine Rechtsberatung. Für Risikoanalyse und Maßnahmen ein externer Security-Berater. Das heißt aber nicht, dass du die verantwortliche Person im eigenen Team weglassen kannst, bei der alle Fäden im Unternehmen zusammenlaufen. Das sagen wir auch in unseren Beratungen jedes Mal extra dazu.

Kein Auditor erwartet, dass am ersten Tag alles perfekt ist. Das sieht auch das Gesetz so: Der Prüfbericht einer unabhängigen Stelle enthält ausdrücklich „festgestellte Mängel“ und einen Maßnahmenplan zu ihrer Beseitigung (§ 33 Abs. 3). Auch die Selbstdeklaration ist nur eine Indikation über den Stand der Umsetzung. Was es aber für jeden Bereich braucht, ist ein Plan, und der muss laufend verbessert werden. Fang also überall an, wo du kannst, und werde Schritt für Schritt besser.

Ausdrücklich vorgeschrieben ist ein Penetrationstest nicht. Verlangt werden aber „Konzepte und Verfahren zur Bewertung der Wirksamkeit“ der Maßnahmen sowie Schwachstellenmanagement (§ 32 Abs. 4 lit. e und f). Die EU-Durchführungsverordnung 2024/2690, an der sich alle Einrichtungen orientieren sollen, nennt Penetrationstests als eine Form regelmäßiger Sicherheitstests.

Ein Detail ist für später wichtig: Ein Zertifikat wie ISO 27001 kann nur die operative und organisatorische Umsetzung belegen. Die technische Umsetzung muss gesondert nachgewiesen werden (§ 33 Abs. 2).

Weil wir im Detail wissen wollen, was die Tools liefern, die wir empfehlen, und weil wir im Herzen Pentester sind, haben wir uns ein eigenes Set gebaut. Damit unterstützen wir Unternehmen bei der technischen Umsetzung des NISG 2026. Ob wir dich selbst beraten oder du mit einem anderen Berater arbeitest: Die Tools funktionieren in beiden Fällen.

Wir fangen dort an, wo auch Angreifer anfangen: von außen. Auch die Behörde schaut von dort. Das nationale CSIRT darf öffentlich erreichbare Systeme nicht-invasiv überprüfen und meldet sich, wenn es Unsicheres findet (§ 8 Abs. 2). Bei wesentlichen Einrichtungen darf das Bundesamt selbst Sicherheitsscans durchführen (§ 38). Besser, man weiß vorher, was die sehen.

CheckFix zeigt dir deine Angriffsfläche. Das externe Security-Assessment prüft deine Domains auf E-Mail-Sicherheit, Verschlüsselung, bekannte Schwachstellen, offene Dienste und Security Header. Du bekommst eine Bewertung von A bis F und eine priorisierte ToDo-CheckList mit einer Fix-Strategie je Befund. Der Report aus dem externen Security-Assessment dient als Nachweis für den technischen Teil. Die Daten bleiben auf Servern in Europa.

Der KI-Pentest zeigt dir, was davon ausnutzbar ist. Er baut auf der externen Analyse auf: Ein eigener Pentest-Agent von secinto greift die gefundenen Systeme kontrolliert an. Er läuft ausschließlich auf unserer eigenen Hardware in Österreich, deine Daten gehen an keinen Cloud-KI-Anbieter. Mit einem Re-Check belegst du, dass eine Lücke geschlossen ist. Im Dashboard erstellst du dir direkt deinen Report, oder du lässt dir den Pentest von secinto bescheinigen.

Der CheckFix Risk Manager prüft deine Lieferkette. Lieferanten beantworten Compliance-Fragebögen direkt im Dashboard, und jeder Lieferant bekommt zusätzlich eine externe technische Analyse, ohne Zugriff auf seine Systeme. So hast du die Selbstauskunft und den technischen Befund nebeneinander.

Die Registrierung ist schnell erledigt. Die eigentliche Arbeit ist, Informationssicherheit dauerhaft im Unternehmen zu verankern, mit einer Geschäftsführung, die dahintersteht, und Leuten, die sich kümmern. Und bei allen Fristen und Paragraphen sollte man nicht vergessen, worum es geht: Die NIS-2-Richtlinie soll ein hohes gemeinsames Cybersicherheitsniveau in der EU schaffen. Das funktioniert nur, wenn alle mitmachen, auch die Unternehmen, die das Gesetz gerade eher als Zusatzaufwand sehen.