Pflichten nach dem NISG 2026: Registrierung, Governance, Risikomanagement und Meldeweg

Problem in der Praxis

Unternehmensgruppen mit Standorten in Deutschland und Österreich steuern NIS-2 häufig zentral, meist aus der deutschen Compliance-Organisation. Dabei entstehen drei typische Übertragungsfehler.

Erstens wird die deutsche Zeitachse auf Österreich übertragen: Wer seine österreichischen Pflichten ab dem Datum der deutschen Rechtslage plant, verpasst entweder den österreichischen Anwendungsbeginn am 01.10.2026 oder behandelt das NISG 2026 vorschnell als bereits anzuwendende Pflichtenlage, obwohl bis zum 30.09.2026 noch das NISG 2018 gilt.

Zweitens wird der Meldeweg verwechselt. In Österreich ist der Erstadressat der Meldung das zuständige CSIRT, nicht die Cybersicherheitsbehörde; im Gesundheitswesen ist es das Austrian HealthCERT. Ein Incident-Response-Plan, der nur den deutschen Meldeweg kennt, adressiert im österreichischen Fall die falsche Stelle.

Drittens wird die Schulungspflicht als weiche Governance-Empfehlung behandelt. Das NISG 2026 macht die Teilnahme der Leitungsorgane an Cybersicherheitsschulungen und das Schulungsangebot an die Mitarbeiter zu eigenen Straftatbeständen; ein fehlender Schulungsnachweis ist in Österreich kein Stilproblem, sondern ein Strafrisiko.

CISO-Einordnung

Die vier Pflichtenblöcke im Einzelnen, jeweils mit dem österreichischen Eigenweg:

• Registrierung (§ 29). Die Cybersicherheitsbehörde führt ein Register der wesentlichen und wichtigen Einrichtungen einschließlich der Erbringer von Domänennamen-Registrierungsdiensten. Die Registrierung ist binnen drei Monaten ab dem 01.10.2026 vorzunehmen; wer die Voraussetzungen erst später erfüllt, registriert sich ehestmöglich, jedenfalls binnen drei Monaten ab deren Erfüllung (§ 29 Abs. 3). Zu übermitteln sind unter anderem Name, Kontaktdaten, Sektor und Einrichtungsart nach Anlage 1 oder 2, die EU-Mitgliedstaaten der Diensterbringung, IP-Adressbereiche, die Hauptniederlassung und Angaben zu den Größenschwellen nach § 25 (§ 29 Abs. 2). Änderungen sind je nach Angabe binnen zwei Wochen oder binnen drei Monaten nachzumelden (§ 29 Abs. 4); für bestimmte digitale Einrichtungsarten leitet die zentrale Anlaufstelle Angaben an die ENISA weiter (§ 29 Abs. 5). Dazu kommt die Pflicht, eine Kontaktstelle mit zumindest Telefonnummer und E-Mail-Adresse einzurichten (§ 29 Abs. 6).
• Governance (§ 31). Die Leitungsorgane haben die Einhaltung der Risikomanagementmaßnahmen nach § 32 sicherzustellen und zu beaufsichtigen; sie müssen an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen, den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten. Eine ausdrückliche zivilrechtliche Haftungsnorm für Leitungsorgane enthält das NISG 2026 nicht; die Verantwortlichkeit läuft über das Verwaltungsstrafregime, in dem die beiden Schulungspflichten eigene Straftatbestände sind (§ 45 Abs. 1 Z 1 und 2) und Geldstrafen gegen die juristische Person an das Verhalten von Führungspersonen anknüpfen (§ 44 Abs. 3 und 4).
• Risikomanagement (§ 32). Verlangt sind geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen; Maßstab sind unter anderem der Stand der Technik, einschlägige Normen, die Umsetzungskosten und die Angemessenheit zum Risiko (§ 32 Abs. 1 bis 3). Der Ansatz ist gefahrenübergreifend und muss mindestens die zehn Bereiche des § 32 Abs. 4 lit. a bis j abdecken, die wortnah den Maßnahmenkatalog des Art. 21 Abs. 2 der Richtlinie übernehmen: von Risikoanalyse und Sicherheitskonzepten über Vorfallsbewältigung, Betriebskontinuität, Lieferkettensicherheit, Schwachstellenmanagement und Wirksamkeitsbewertung bis zu Cyberhygiene, Kryptografie, Personal- und Zugriffssicherheit sowie Multi-Faktor- oder kontinuierlicher Authentifizierung. Die inhaltliche Erklärung dieser Bereiche steht im nis2-Track; neu für Österreich ist die Verordnungsermächtigung des § 32 Abs. 5, nach der die Cybersicherheitsbehörde nähere Anforderungen festlegen kann. Stand 03.08.2026 ist keine solche Verordnung kundgemacht; maßgeblich ist damit die Gesetzesebene selbst.
• Meldeweg (§§ 34 und 35). Jeder erhebliche Cybersicherheitsvorfall ist unverzüglich an das zuständige sektorspezifische CSIRT zu melden, in Ermangelung an das nationale CSIRT; das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Im Sektor Gesundheitswesen gehen die Meldungen an das Austrian HealthCERT (Artikel 3 der Kundmachung, § 8a GTelG 2012; Details in nisg-at-003). Die Kaskade entspricht der Richtlinie: Frühwarnung binnen 24 Stunden ab Kenntnis, Meldung binnen 72 Stunden, Zwischenbericht auf Ersuchen, Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung, bei andauerndem Vorfall Fortschrittsbericht und Abschlussbericht binnen eines Monats nach Abschluss der Vorfallsbehandlung (§ 34 Abs. 2). Vertrauensdiensteanbieter melden abweichend binnen 24 Stunden. Betroffene Dienstempfänger sind über Vorfall und Abhilfemaßnahmen zu unterrichten (§ 34 Abs. 3); das CSIRT antwortet binnen 24 Stunden auf die Frühwarnung (§ 34 Abs. 4). Wann ein Vorfall erheblich ist, bestimmt § 35: schwerwiegende Betriebsstörungen oder finanzielle Verluste, eingetreten oder drohend, oder erhebliche materielle oder immaterielle Schäden bei anderen, mit Beurteilungskriterien in Abs. 2 und einer Verordnungsermächtigung für weitere Kriterien in Abs. 3.

Zwei Anschlusspunkte: Soweit sektorspezifisches Unionsrecht gleichwertige Risikomanagement- oder Meldepflichten enthält, sind §§ 32 und 34 unanwendbar (§ 27, relevant vor allem für die DORA-Welt, dazu nisg-at-002 und der dora-Track). Und an die Registrierung knüpft die Selbstdeklarationspflicht des § 33 an, das eigentliche österreichische Alleinstellungsmerkmal (dazu nisg-at-005).

Umsetzungsperspektive

• Registrierungspaket vor dem 01.10.2026 vorbereiten: den Datenkranz des § 29 Abs. 2 zusammenstellen, die Kontaktstelle benennen und intern festlegen, wer Änderungen erkennt und meldet. Die Zwei-Wochen-Frist für Änderungsmeldungen funktioniert nur mit einem definierten Prozess, nicht als Ad-hoc-Aufgabe.
• Governance nachweisbar machen: Schulungen der Leitungsorgane terminieren, Teilnahme protokollieren, das Schulungsangebot an die Mitarbeiter dokumentieren. Beides sind eigene Straftatbestände; der Nachweis gehört in die Compliance-Akte, nicht in die Personalentwicklung.
• Das bestehende ISMS gegen die zehn Bereiche des § 32 Abs. 4 spiegeln und Lücken schließen, statt parallel ein NISG-Programm aufzubauen. Die Verordnungslage beobachten: Sobald eine Verordnung nach § 32 Abs. 5 kundgemacht wird, kommt eine Konkretisierungsebene dazu.
• Den Incident-Response-Prozess auf den österreichischen Meldeweg ausrichten: Zuständiges CSIRT identifizieren (im Gesundheitswesen das Austrian HealthCERT), die Erheblichkeitsbewertung nach § 35 in die Vorfallsklassifizierung einbauen und die 24-Stunden-Fähigkeit für die Frühwarnung sicherstellen. Gruppen mit deutschen und österreichischen Einrichtungen brauchen beide Meldewege parallel; der deutsche steht im nis2-Track.

Typische Fehler

1. Die österreichischen Fristen werden ab dem falschen Bezugspunkt gerechnet, etwa ab der Kundmachung am 23.12.2025 oder ab der deutschen Zeitachse, statt ab dem Anwendungsbeginn am 01.10.2026.
2. Meldungen werden an die Cybersicherheitsbehörde adressiert, obwohl der gesetzliche Erstadressat das CSIRT ist, im Gesundheitswesen das Austrian HealthCERT.
3. Die Schulungspflichten des § 31 werden als Empfehlung behandelt, obwohl sie eigene Straftatbestände sind (§ 45 Abs. 1 Z 1 und 2).
4. Änderungsmeldungen nach § 29 Abs. 4 haben keinen Prozessverantwortlichen, die Zwei-Wochen-Frist läuft unbemerkt ab.
5. Auf die Konkretisierungsverordnung wird gewartet, obwohl § 32 ab dem 01.10.2026 unmittelbar aus dem Gesetz gilt.

Risiken und Trade-offs

Eine gruppenweite NIS-2-Umsetzung nach deutschem Muster spart Aufwand, übernimmt aber stillschweigend deutsche Adressaten und Zeitachsen; die österreichischen Abweichungen liegen genau dort, wo Fristen und Zuständigkeiten hängen. Umgekehrt verschenkt eine vollständig getrennte österreichische Umsetzung den möglichen Gleichlauf, obwohl die materiellen Maßnahmen nach § 32 weitgehend deckungsgleich mit denen der Richtlinie sind. Der tragfähige Mittelweg: eine gemeinsame Maßnahmenbasis, aber getrennte Register-, Fristen- und Meldeprozesse je Land. Ein zweiter Trade-off betrifft den Zeitpunkt: Wer vor dem 01.10.2026 fertig ist, trägt geringes Risiko einer Nachjustierung durch spätere Verordnungen; wer auf Verordnungen wartet, riskiert den Fristbeginn unvorbereitet.

Entscheidungspunkte

• Ist die Organisation als wesentliche oder wichtige Einrichtung in Österreich erfasst, und wann beginnt ihre Registrierungsfrist (Regelfall: mit dem 01.10.2026)?
• Wer hält den Registerdatensatz aktuell und garantiert die Zwei-Wochen-Frist für Änderungsmeldungen?
• Wie wird die Schulungsteilnahme der Leitungsorgane nachweisbar organisiert?
• An welches CSIRT meldet die Organisation, und ist der Meldeweg im Incident-Response-Plan hinterlegt?
• Deckt das bestehende ISMS die zehn Bereiche des § 32 Abs. 4 ab, und wer beobachtet die Verordnungslage?

Praktische Empfehlungen

1. Stellen Sie das Registrierungspaket nach § 29 Abs. 2 vor dem 01.10.2026 zusammen und benennen Sie die Kontaktstelle mit Telefonnummer und E-Mail-Adresse.
2. Verankern Sie einen Änderungsmelde-Prozess mit klarer Zuständigkeit, ausgelegt auf die Zwei-Wochen-Frist des § 29 Abs. 4.
3. Terminieren und protokollieren Sie die Cybersicherheitsschulungen der Leitungsorgane und das Schulungsangebot an die Mitarbeiter als strafbewehrte Pflichten.
4. Spiegeln Sie Ihr ISMS gegen § 32 Abs. 4 lit. a bis j und schließen Sie Lücken vor dem Anwendungsbeginn.
5. Richten Sie den Incident-Response-Prozess auf den CSIRT-Meldeweg mit der Kaskade 24 Stunden, 72 Stunden, ein Monat aus und üben Sie die Frühwarnung.

Relevante Normreferenzen

• NISG 2026 (Art. 1 BGBl. I Nr. 94/2025, kundgemacht am 23.12.2025): §§ 29, 31, 32, 34, 35 (Pflichtenprogramm), § 44 und § 45 (Strafbewehrung), § 51 (Anwendungsbeginn 01.10.2026). Österreichisches Bundesrecht ist ein freies Werk und mit Fundstelle frei zitierbar.
• Richtlinie (EU) 2022/2555 (NIS2): inhaltliche Grundlage der Pflichten (Art. 21 Abs. 2 für die Maßnahmenbereiche); Richtlinie und deutsche Umsetzung im BSIG stehen im nis2-Track.