Das NISG 2026: Österreichs NIS-2-Umsetzung zwischen Kundmachung und Anwendungsbeginn

Problem in der Praxis

Die Frage "Gilt NIS2 in Österreich jetzt eigentlich?" wird in beide Richtungen falsch beantwortet. Wer das NISG 2026 schon vor dem 01.10.2026 als anzuwendende Pflichtenlage behandelt, übersieht die bis zum 30.09.2026 fortgeltenden Pflichten aus dem NISG 2018 und richtet sich an Strukturen, die ihre Aufgaben erst ab dem 01.10.2026 wahrnehmen. Wer es umgekehrt als "geplant" oder "noch nicht beschlossen" abtut, verwechselt Kundmachung mit Inkrafttreten und verschenkt die Vorbereitungsphase, obwohl Betroffenheitsanalyse, Zuständigkeiten und Meldewege vor dem Stichtag geklärt sein wollen.

Ein zweites Missverständnis erzeugt die Sammelgesetz-Konstruktion: BGBl. I Nr. 94/2025 enthält drei Artikel. Artikel 1 ist das NISG 2026 selbst, Artikel 2 novelliert das österreichische Telekommunikationsgesetz 2021, Artikel 3 das Gesundheitstelematikgesetz 2012 (Austrian HealthCERT). Wer nur Artikel 1 liest, übersieht die Weichenstellungen für den Telekom- und den Gesundheitssektor. Zusätzliche Verwechslungsgefahr: Das österreichische TKG 2021 ist nicht das gleichnamige deutsche TKG 2021, dessen Sicherheitskatalog im tkg-Track dieses Korpus steht.

CISO-Einordnung

Die Zeitachse im Detail. § 51 Abs. 1 und 2 NISG 2026 setzen das Inkrafttreten auf den nächstfolgenden Monatsersten nach Ablauf von neun Monaten ab der Kundmachung. Kundgemacht am 23.12.2025, ergibt das den 01.10.2026. Zum selben Zeitpunkt treten das NISG 2018, die NISV (BGBl. II Nr. 215/2019) und die QuaSteV (BGBl. II Nr. 226/2019) außer Kraft; das RIS vermerkt für das NISG 2018 den 30.09.2026 als Außerkrafttretensdatum. § 51 selbst gilt bereits (RIS-Inkrafttretensdatum 24.12.2025), damit die Vorlauf- und Übergangsregeln greifen können.

Warum das Gesetz Verfassungsbestimmungen enthält. § 1 und § 46 Abs. 2 sind als Verfassungsbestimmungen beschlossen. § 1 erklärt Erlassung, Aufhebung und Vollziehung dieser Materie auch dort zur Bundessache, wo das B-VG sonst anderes bestimmt, erlaubt die unmittelbare Besorgung durch Bundesbehörden und lässt die Cybersicherheitsbehörde ihre Befugnisse grundsätzlich auch gegenüber den obersten Organen der Vollziehung (Art. 19 B-VG) ausüben. Dieser Verfassungsrang trägt die Konstruktion, dass eine einzige Bundesbehörde die Materie österreichweit vollzieht. § 46 Abs. 2 sichert den Sonderweg gegenüber der öffentlichen Verwaltung ab: Feststellung, Fristsetzung und Veröffentlichung statt Geldstrafen.

Vorlauf- und Übergangsregeln des § 51. Verordnungen auf Grundlage des Gesetzes können ab dem Folgetag der Kundmachung erlassen werden, dürfen aber frühestens mit dem Gesetz in Kraft treten (Abs. 3); vorbereitende Maßnahmen für die Behörde sind ab dem Folgetag zu setzen (Abs. 4); die Ausschreibung von Direktor und Stellvertreter ist schon vor dem Inkrafttreten zulässig (Abs. 9). Bescheide nach § 15 Abs. 3, § 16 Abs. 1 und § 18 Abs. 1 NISG 2018 werden mit dem Inkrafttreten gegenstandslos, soweit nicht die Übergänge greifen (Abs. 5): Das nach dem NISG 2018 ermächtigte nationale CSIRT nimmt bestimmte CSIRT-Aufgaben bis zur Neu-Ermächtigung weiter wahr, längstens zwei Jahre ab dem 01.10.2026 (Abs. 6), und die qualifizierten Stellen des NISG 2018 gelten übergangsweise als unabhängige Stellen des neuen Nachweisregimes (Abs. 7 und 8).

Der Deutschland-Kontrast. Deutschland hat dieselbe Richtlinie ohne vergleichbare Aufschub- und Übergangskonstruktion umgesetzt: Das deutsche BSIG gilt ohne aufgeschobenen Anwendungsbeginn. Österreich hat sich für eine Stichtagslösung mit rund neun Monaten Vorlauf und geordneter Ablösung des Altrechts entschieden. Auch inhaltlich weichen die Umsetzungen ab (Einrichtungskategorien, Meldeweg, Nachweisregime); die Richtlinie selbst und die BSIG-Seite stehen im nis2-Track und werden hier nicht wiederholt.

Umsetzungsperspektive

Die Zeit bis zum Anwendungsbeginn lässt sich in planbare Schritte gliedern:

1. Betroffenheit nach österreichischem Recht klären: Sektoren, Einrichtungskategorien und Größenschwellen der §§ 24 bis 28 je Gesellschaft prüfen und dokumentieren (eigener Artikel zur Betroffenheit).
2. Zuständigkeiten und Meldewege kennen: Bundesamt für Cybersicherheit, CSIRT-System und Austrian HealthCERT samt Übergangslage (eigener Behördenartikel).
3. Fristen ab dem Stichtag einplanen: Die Registrierung ist binnen drei Monaten ab dem 01.10.2026 fällig (§ 29 Abs. 3); weitere Pflichten knüpfen an Registrierung und Inkrafttreten an.
4. Bestandspflichten weiterführen: Wer unter dem NISG 2018 Pflichten oder Bescheide hat, bleibt bis zum 30.09.2026 im alten Regime und prüft die Übergangsregeln des § 51, bevor Altstrukturen abgebaut werden.
5. Konzernweit das Delta führen: Arbeitsstände aus dem deutschen BSIG-Programm sind inhaltlich wiederverwendbar, aber die österreichischen Eigenwege (Kategorien, Meldeweg über CSIRTs, Selbstdeklaration) sind eigene Arbeitspakete.

Typische Fehler

1. Das NISG 2026 wird schon vor dem 01.10.2026 als anzuwendende Pflichtenlage behandelt und das bis dahin fortgeltende NISG 2018 übersehen.
2. Das NISG 2026 wird als Entwurf oder Vorhaben eingestuft, obwohl es kundgemachtes, geltendes Recht mit festem Anwendungsbeginn ist.
3. Der deutsche Umsetzungsstand wird unbesehen auf Österreich übertragen, oder der österreichische Aufschub auf Deutschland.
4. Die Begleitnovellen (Artikel 2: österreichisches TKG 2021, Artikel 3: GTelG 2012) werden nicht mitgelesen, obwohl sie Telekom- und Gesundheitssektor betreffen.
5. Das österreichische TKG 2021 wird mit dem gleichnamigen deutschen TKG 2021 verwechselt.
6. Die Registrierung wird erst nach dem Stichtag angegangen, obwohl die Frist ab dem 01.10.2026 läuft.

Risiken und Trade-offs

Wer die Vorbereitung auf die Zeit nach dem Anwendungsbeginn verschiebt, presst Betroffenheitsanalyse, Registrierung und den Aufbau von Melde- und Governance-Prozessen in das Dreimonatsfenster der Registrierungsfrist. Wer umgekehrt vor dem 01.10.2026 vorauseilend das volle neue Pflichtenprogramm lebt, riskiert inhaltlich wenig, sollte aber keine Meldewege verwenden, die erst ab dem Stichtag gelten, und Doppelarbeit gegenüber fortbestehenden Pflichten aus dem NISG 2018 vermeiden. Für Konzerne ist die bewusste Zwei-Uhren-Planung aufwendiger als ein Einheitsprogramm, verhindert aber, dass österreichische Besonderheiten als vermeintlich kleine Abweichung untergehen.

Entscheidungspunkte

• Welche Einheiten der Gruppe fallen unter das deutsche BSIG, welche ab dem 01.10.2026 unter das NISG 2026?
• Führen wir ein gemeinsames NIS-2-Programm mit zwei Stichtagen oder getrennte Arbeitsstränge je Land?
• Welche Pflichten und Bescheide aus dem NISG 2018 betreffen uns bis zum 30.09.2026, und was läuft über die Übergangsregeln des § 51 weiter?
• Bis wann liegt die dokumentierte Betroffenheitsanalyse nach neuem österreichischem Recht vor, damit die Registrierungsfrist ab dem 01.10.2026 entspannt läuft?

Praktische Empfehlungen

1. Halten Sie die Zeitachse schriftlich fest: Kundmachung am 23.12.2025, Inkrafttreten der materiellen Bestimmungen am 01.10.2026, Ende von NISG 2018, NISV und QuaSteV mit dem 30.09.2026.
2. Schließen Sie die Betroffenheitsanalyse nach den §§ 24 bis 28 vor dem 01.10.2026 ab und bereiten Sie das Registrierungspaket vor.
3. Behandeln Sie Deutschland und Österreich als getrennte Rechtslagen mit gemeinsamer Richtlinienbasis: verwandte Maßnahmenlogik, aber eigene Stichtage, Kategorien, Meldewege und Nachweispflichten.
4. Prüfen Sie vor dem Abbau von Altstrukturen (Bescheide, qualifizierte Stellen, CSIRT-Beziehungen) die Übergangsregeln des § 51.
5. Beobachten Sie die Verordnungsermächtigungen des neuen Rechts: Verordnungen können ab dem Folgetag der Kundmachung erlassen werden und treten frühestens mit dem Gesetz in Kraft; den jeweils aktuellen Verordnungsstand zeigt das RIS.

Relevante Normreferenzen

• NISG 2026, Artikel 1 des Sammelgesetzes BGBl. I Nr. 94/2025, kundgemacht am 23.12.2025 (RIS-Gesetzesnummer 20013065): § 51 (Inkrafttreten am 01.10.2026, Außerkrafttreten des Altrechts, Vorlauf- und Übergangsregeln), § 1 und § 46 Abs. 2 (Verfassungsbestimmungen), § 48 (Umsetzung der Richtlinie (EU) 2022/2555, Durchführung der VO (EU) 2021/887).
• NISG 2018 (BGBl. I Nr. 111/2018): bis zum 30.09.2026 geltendes Altrecht; tritt samt NISV (BGBl. II Nr. 215/2019) und QuaSteV (BGBl. II Nr. 226/2019) außer Kraft.
• Artikel 2 und 3 des BGBl. I Nr. 94/2025: Novellen des österreichischen TKG 2021 und des GTelG 2012 (Austrian HealthCERT), Inkrafttreten nach derselben Neun-Monats-Formel.
• Richtlinie (EU) 2022/2555 (NIS2) und deutsche Umsetzung im BSIG: Inhalte im nis2-Track dieses Korpus.