Cybersicherheit ist längst kein reines IT-Thema mehr. Mit dem NISG 2026, der österreichischen Umsetzung der EU-NIS-2-Richtlinie, gelten ab 1. Oktober 2026 für rund 4.000 Unternehmen und Einrichtungen neue Pflichten. Im Mittelpunkt stehen Risikomanagement, Meldeprozesse, Lieferkettensicherheit und die Verantwortung der Geschäftsleitung.

Diese Termine sollten Sie jetzt fix einplanen

Für betroffene „wesentliche und wichtige Einrichtungen“ nennt die WKO einen klaren Fahrplan:

• 01.10.2026: Inkrafttreten NISG 2026. Bestimmungen zu den Risikomanagementmaßnahmen inkl. Sicherheit der Lieferkette und Meldepflichten gelten.
• 01.01.2027: Registrierung muss erfolgt sein.
• 01.10.2027: Selbstdeklaration muss erfolgt sein
• 30.11.2028: Nachweis der operativen & organisatorischen Umsetzung nach Aufforderung.
• 30.09.2030: Prüfbericht durch unabhängige Stelle nur nach Aufforderung nachweisen; bei wichtigen Einrichtungen nur bei begründetem Verdacht.

Diese Fristen helfen dabei die Umsetzung gezielt zu planen: Was muss bis wann umgesetzt, getestet und dokumentiert sein?

Wer ist betroffen – und warum ist die Lieferkette wichtig?

Das NISG 2026 betrifft vor allem mittlere und große Unternehmen in festgelegten NIS-Sektoren. Auch nicht direkt betroffene Unternehmen können über die Lieferkette relevant werden, wenn NIS-pflichtige Kunden Sicherheitsanforderungen an IT-Dienstleister, Cloud-Anbieter, Softwarehersteller oder andere Lieferanten weitergeben.

Die wichtigsten Pflichten im Überblick

Das NISG 2026 verlangt ein systematisches und nachweisbares Risikomanagement. Entscheidend ist nicht nur, Richtlinien zu erstellen, sondern Maßnahmen tatsächlich umzusetzen, regelmäßig zu überprüfen und im Ernstfall nachweisen zu können.

• Risikomanagement & Sicherheitsmaßnahmen

Dazu gehören unter anderem Backup und Wiederherstellung, Notfallmanagement, MFA, Zugriffskontrollen, Patch- und Schwachstellenmanagement, Schulungen sowie Verschlüsselungen. Auch die Wirksamkeit dieser Maßnahmen muss regelmäßig überprüft werden.

• Meldepflicht bei Sicherheitsvorfällen

Bei erheblichen Cybersicherheitsvorfällen gelten kurze Fristen:
Eine Frühwarnung muss innerhalb von 24 Stunden, die eigentliche Meldung innerhalb von 72 Stunden erfolgen. Spätestens einen Monat nach der Frühwarnung ist ein Abschlussbericht vorgesehen. Damit diese Fristen eingehalten werden können, müssen Zuständigkeiten und Eskalationswege vorab klar definiert sein.

• Lieferkette absichern

Auch kritische Dienstleister und Lieferanten müssen berücksichtigt werden. Unternehmen sollten daher klare Sicherheitsanforderungen, Meldepflichten und Nachweise in Verträgen und SLAs festlegen.

• Verantwortung & Nachweise

Die Verantwortung liegt nicht allein bei der IT. Geschäftsführung und Vorstand müssen die Umsetzung der Maßnahmen sicherstellen und beaufsichtigen. Im Prüfungsfall zählt außerdem der praktische Nachweis, etwa durch Restore-Tests, Patch-Reports, MFA-Konfigurationen, Schulungsnachweise oder Incident-Dokumentationen.

Unser Tipp: Starten Sie frühzeitig mit einer klaren Betroffenheitsprüfung und einer Gap-Analyse. So erkennen Sie, ob Ihr Unternehmen direkt vom NISG 2026 betroffen ist oder Anforderungen über Kunden und die Lieferkette auf Sie zukommen.

Bei Acronum setzen wir auf einen pragmatischen Ansatz:

• Quick-Check: Betroffenheit prüfen und wichtigste Maßnahmen festlegen
• Gap-Analyse & Roadmap: Lücken erkennen und Prioritäten definieren
• Umsetzung: z.B. Monitoring, Patchmanagement, Backup-/Restore-Tests, Hardening und Incident-Prozesse
• Lieferkette: Lieferanten prüfen, Sicherheitsanforderungen definieren und SLAs/Meldewege festlegen.

Acronum unterstützt Sie dabei – gemeinsam schaffen wir ein Sicherheitsniveau, das nicht nur dokumentiert, sondern im Alltag auch wirksam ist.

Melden Sie sich gerne bei uns unter office@acronum.com  oder telefonisch +43 (0) 5 9084.