Das Gesetz in drei Sätzen
Das NISG 2026 (BGBl. I Nr. 94/2025) setzt die EU-Richtlinie NIS2 um. Rund 4.000 Einrichtungen in Österreich müssen Risiken für ihre IT managen, erhebliche Vorfälle melden und ihre Geschäftsleitung schulen. Dazu gehört ausdrücklich die Sicherheit der Lieferkette.
Quelle: RIS, NISG 2026 (BGBl. I Nr. 94/2025) · Quelle: KPMG Austria, Cybersecurity in Österreich 2026
Die Fristen
1. Oktober 2026
NISG 2026 gilt
Risikomanagement, Meldepflichten und Schulungen gelten ohne Übergangsfrist.
Quelle: KPMG Austria, Cybersecurity in Österreich 202631. Dezember 2026
Registrierung
Betroffene Einrichtungen registrieren sich beim Bundesamt für Cybersicherheit (Quellen nennen teils den 1. Jänner 2027).
Quelle: KPMG Austria, Cybersecurity in Österreich 202630. September 2027
Selbstdeklaration
Einrichtungen erklären ihre Risikomaßnahmen, inklusive Lieferkette. Spätestens jetzt fragen sie ihre Lieferanten ab (Quellen nennen teils den 1. Oktober 2027).
Quelle: ISPA-Leitfaden NISG 20261. Oktober 2028
Prüfungen möglich
Ab hier kann die Behörde Nachweise über unabhängige Prüfungen verlangen.
Quelle: KPMG Austria, Cybersecurity in Österreich 2026
Die Quellen nennen für Registrierung und Selbstdeklaration teils den jeweiligen Folgetag. Maßgeblich ist der Gesetzestext im RIS.
Die Pflichten der Einrichtungen
- Registrierung beim Bundesamt für Cybersicherheit
- Risikomanagement mit technischen und organisatorischen Maßnahmen, inklusive Lieferkette
- Meldung erheblicher Sicherheitsvorfälle
- Schulung der Geschäftsleitung, Schulungsangebote für Mitarbeitende
- Selbstdeklaration der Maßnahmen, später Nachweise über unabhängige Prüfungen
Was das für Lieferanten heißt
Die Einrichtungen geben die Anforderungen an ihre Lieferanten weiter, über Verträge, Fragebögen und Ratings. Bis zur Selbstdeklaration im Herbst 2027 müssen sie ihre Lieferkette bewertet haben. Lieferanten sollten deshalb 2027 mit Anfragen rechnen.
Ob Sie selbst unter das Gesetz fallen, zeigt der Betroffenheits-Check. Schematische Einschätzung, keine Rechtsberatung.
Häufige Fragen
Seit 1. Oktober 2026. Es setzt die EU-Richtlinie NIS2 in Österreich um und ersetzt das NISG 2018. Die Pflichten gelten ohne Übergangsfrist.
Laut den veröffentlichten Übersichten bis zu 10 Mio. €. Für Lieferanten ohne eigene Pflichten gelten diese Strafen nicht, für sie zählt der Vertrag mit dem Kunden.
Die EU-Kommission hat im Jänner 2026 Änderungen an NIS2 vorgeschlagen, unter anderem Leitlinien dazu, was Einrichtungen von Lieferanten verlangen dürfen. Beschlossen ist das noch nicht. Die Pflicht zur Absicherung der Lieferkette bleibt in allen Varianten.