Abgehakt: Checkliste zum NISG 2026
Seit 1.10.2026 ist die österreichische Umsetzung der EU NIS-2-Richtlinie, das NISG 2026, in Kraft. Für die betroffenen Unternehmen – wie im Übrigen auch sehr ähnlich für Stellen der öffentlichen Verwaltung - bestehen damit eine Reihe von gesetzlichen Verpflichtungen zur Sicherstellung eines hohen Cybersicherheitsniveaus. Die wichtigsten Anforderungen haben Sie in unserer kompakten Checkliste:
NISG 2026 umsetzen
Neue Anforderungen verstehen: Seminare zum NISG 2026
Umsetzung der Cybersicherheits-Richtlinie vorbereiten
Schulungspflicht, Haftung & Governance nach § 31 NISG 2026
Cybersicherheit und ISMS nach NIS-2 & ISO 27001
Abgehakt: Checkliste zum NISG 2026
-
Registrierung
als wesentliche oder wichtige Einrichtung bei der Cybersicherheitsbehörde. Fällt ein Unternehmen unter das NISG 2026 – dies ist im Wesentlichen abhängig von der Branche und der Größe – so muss es sich bei der Cybersicherheitsbehörde registrieren und bestimmte Angaben zur Organisation, zum Sektor, zu Kontaktstellen und zur Einstufung als wesentliche oder wichtige Einrichtung elektronisch übermitteln. Die Erstregistrierung muss bis 31.12.2026 erfolgen, im Unternehmensserviceportal (USP) steht dazu die Anwendung “NIS2 Services” zur Verfügung.
-
Verantwortung
der Geschäftsleitung bzw. Führungsebene („Leitungsorgan”). Leitungsorgane müssen sicherstellen und überwachen, dass die vorgeschriebenen Cybersicherheitsmaßnahmen umgesetzt werden. Cybersicherheit wird damit zu einer Aufgabe der Unternehmensleitung. Zusätzlich müssen Mitglieder des Leitungsorgans an entsprechenden, für sie spezifischen, Cybersicherheitsschulungen teilnehmen.
-
Etablierung
von Meldeprozessen, Meldung erheblicher Cybersicherheitsvorfälle. Alle wesentlichen und wichtigen Einrichtungen müssen erhebliche Cybersicherheitsvorfälle unverzüglich an das zuständige CSIRT melden. Eine Frühwarnung hat innerhalb von max. 24 Stunden zu erfolgen, eine detailliertere Meldung innerhalb von 72 Stunden. Damit dies im Ernstfall möglich ist, müssen die Einrichtungen vorweg Prozesse, Zuständigkeiten und Kommunikationswege definieren, mit denen Sicherheitsvorfälle rasch erkannt, bewertet und gemeldet werden können.
-
Etablierung
eines umfassenden Cybersicherheits-Risikomanagements. Die Einrichtungen müssen angemessene technische, operative und organisatorische Maßnahmen zur Reduktion von Cyberrisiken umsetzen. Grundlage ist eine systematische Risikoanalyse, das Sicherheitsniveau muss sich am bestehenden Risiko, am Stand der Technik sowie an einschlägigen Standards und bewährten Verfahren orientieren.
-
Sicherheit
der Lieferkette. Cybersicherheitsrisiken müssen nicht nur innerhalb des eigenen Unternehmens analysiert und behandelt werden, sondern sind auch im Zusammenhang mit der Lieferkette zu berücksichtigen. Dazu gehören insbesondere die Auswahl, Bewertung und Überwachung von unmittelbaren Anbietern und Dienstleistern und die Berücksichtigung von Cybersicherheitsaspekten in vertraglichen Regelungen. Soweit anwendbar müssen die Einrichtungen die Ergebnisse koordinierter Sicherheitsrisikobewertungen kritischer Lieferketten auf EU-Ebene berücksichtigen.
-
Business Continuity, Backup und Krisenmanagement
Die Aufrechterhaltung des Geschäftsbetriebs und die möglichst rasche Bewältigung von Sicherheitsvorfällen zählen zu den Kernanforderungen von NIS-2 bzw. NISG 2026. Dazu zählen ein geeignetes Backup-Management, Wiederanlauf- und Wiederherstellungsstrategien, Notfallplanung und Krisenmanagement. Gefordert sind insbesondere Konzepte für den Umgang mit Sicherheitsvorfällen und deren Aufarbeitung, inkl. Verfahren zur Protokollierung und Meldung.
-
Selbstdeklaration
Sowohl wesentliche als auch wichtige Einrichtungen müssen innerhalb von 12 Monaten nach Eintritt der Registrierungspflicht – für die jetzt bereits betroffenen Einrichtungen also bis 30.9.2027 – der Cybersicherheitsbehörde Informationen zu umgesetzten Risikomanagementmaßnahmen, zu den eingesetzten Systemen und zur Sicherheit der Lieferkette übermitteln. Diese Selbstdeklaration soll einen ersten Eindruck vom Reifegrad der Risikomanagementmaßnahmen eines Unternehmens geben und hat in strukturierter Form nach den Vorgaben der Cybersicherheitsbehörde zu erfolgen.
-
Schulungen und Awareness
Die Einrichtungen müssen ihren Mitarbeitern regelmäßig Schulungen in den Bereichen Cybersicherheit und Risikomanagement anbieten. Zu betonen ist auch die Pflicht zur Schulung von Leitungsorganen, die an für diese spezifisch gestalteten Cybersicherheitsschulungen teilnehmen müssen.
-
Nachweis und Überprüfung
der Wirksamkeit der Sicherheitsmaßnahmen. Die Einrichtungen müssen Verfahren etablieren, mit denen sie überprüfen können, ob ihre Cybersicherheitsmaßnahmen tatsächlich wirksam sind. Dazu gehören insbesondere die regelmäßige Bewertung und Dokumentation der umgesetzten Maßnahmen sowie die Möglichkeit, deren Umsetzung gegenüber der Behörde nachzuweisen.
-
Vorbereitung
auf behördliche Kontrollen. Die Cybersicherheitsbehörde hat weitreichende Aufsichts- und Durchsetzungsbefugnisse und kann Nachweise oder unabhängige Prüfungen verlangen. Alle dem NISG 2026 unterworfenen Unternehmen müssen daher ihre Sicherheitsmaßnahmen und Dokumentation so organisieren, dass sie diese gegenüber der Behörde nachvollziehbar nachweisen können; wesentliche Einrichtungen unterliegen einem besonders strengen Aufsichts- und Prüfregime.
Ingrid Schaumüller-Bichl
Ingrid Schaumüller-Bichl
ist Expertin für Sicherheits- und Risikomanagement, Datenschutz und Zertifizierung sowie ehemalige Professorin an der FH OÖ und Leiterin des Information Security Compliance Centers der FH OÖ. Sie ist außerdem Vizepräsidentin der OCG sowie Mitglied des Datenschutzrates und mehrerer Aufsichtsräte im Austrian Standards Institute.
Mehr erfahren