Seit dem 1. Oktober 2026 gilt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026. Es setzt die europäische NIS2-Richtlinie in nationales Recht um und löst das NISG 2018 ab. Die Wirtschaftskammer Österreich rechnet mit rund 4’000 Unternehmen, die neu oder erweitert erfasst sind.
Die erste Frist läuft bereits: Betroffene Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten registrieren, also bis Ende Dezember 2026. Das Gesetz verlangt aber mehr als eine Anmeldung: Unternehmen müssen bewerten, ob ihre Sicherheitsmassnahmen wirken, und das auf Aufforderung nachweisen.
Das Wichtigste in Kürze
- In Kraft seit 1. Oktober 2026. Kundgemacht am 23. Dezember 2025 im BGBl. I Nr. 94/2025; § 51 setzt das Inkrafttreten auf den ersten Monatsersten nach neun Monaten.
- 18 Sektoren, zwei Kategorien. Wesentliche und wichtige Einrichtungen, verteilt auf 11 Sektoren mit hoher Kritikalität (Anlage 1) und 7 sonstige kritische Sektoren (Anlage 2). Schon ab 50 Mitarbeitenden kann ein Unternehmen erfasst sein.
- Die Geschäftsleitung ist in der Pflicht. § 31 verlangt, dass die Leitungsorgane die Risikomanagementmassnahmen «sicherstellen und beaufsichtigen» und selbst an Cybersicherheitsschulungen teilnehmen.
- Wirksamkeit ist Pflichtinhalt. § 32 Abs. 4 lit. f fordert Konzepte und Verfahren zur Bewertung der Wirksamkeit der Massnahmen; § 33 regelt den Nachweis.
- Bis zu 10 Millionen Euro Strafe. Oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, 7 Millionen Euro oder 1,4 % für wichtige (§ 45).
Was das NISG regelt in 2026
Der volle Titel beschreibt den Zweck: «Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen». Das Gesetz überträgt die Richtlinie (EU) 2022/2555 ins österreichische Recht. Mit demselben Stichtag treten das NISG 2018 und seine Verordnungen ausser Kraft.
Zuständig ist ein neu geschaffenes Bundesamt für Cybersicherheit, das dem Bundesminister für Inneres unmittelbar nachgeordnet ist. Es führt das Register der Einrichtungen, nimmt Selbstdeklarationen entgegen und kann Prüfungen anordnen. Die Geldstrafen verhängen dagegen die Bezirksverwaltungsbehörden.
Welche Unternehmen fallen unter das NISG 2026?
Das Gesetz unterscheidet zwei Kategorien. Wesentliche Einrichtungen sind vor allem grosse Unternehmen aus den Sektoren mit hoher Kritikalität in Anlage 1, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur und Bankwesen. Einige Anbieter sind unabhängig von ihrer Grösse erfasst, darunter qualifizierte Vertrauensdiensteanbieter, TLD-Register und DNS-Diensteanbieter.
Wichtige Einrichtungen sind mittlere und grosse Unternehmen aus Anlage 1 oder aus den sonstigen kritischen Sektoren in Anlage 2. Dazu zählen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel und Teile des verarbeitenden Gewerbes.
Die Schwellen stehen in § 25. Als mittleres Unternehmen gilt, wer zumindest 50 Mitarbeiter beschäftigt oder über zehn Millionen Euro Jahresumsatz bei mehr als zehn Millionen Euro Bilanzsumme erzielt. Als gross gilt ein Unternehmen ab 250 Mitarbeitern oder ab 50 Millionen Euro Umsatz bei mehr als 43 Millionen Euro Bilanzsumme.
Ein Detail ist für den Finanzsektor entscheidend. § 24 Abs. 7 lässt den Bestimmungen der DORA-Verordnung (EU) 2022/2554 den Vorrang. Banken und Versicherungen erfüllen ihre Pflichten zum IKT-Risikomanagement und zu Resilienztests also weiterhin über DORA, nicht über das NISG. Unser Leitfaden zu den Testanforderungen von DORA beschreibt diesen Teil. IKT-Drittdienstleister im Sinne von DORA unterliegen nach § 24 Abs. 8 dagegen zusätzlich dem NISG.
Welche Pflichten hat die Geschäftsleitung?
§ 31 trägt die Überschrift «Governance» und ist kurz. Die Leitungsorgane haben die Einhaltung der Risikomanagementmassnahmen nach § 32 «sicherzustellen und zu beaufsichtigen». Sie müssen selbst an Schulungen zur Cybersicherheit teilnehmen, und den Mitarbeitenden sind regelmässig Schulungen anzubieten.
Die Folgen bei Versäumnissen sind konkret. Für Pflichtverletzungen durch Personen in leitender Stellung oder wegen mangelnder Aufsicht haftet das Unternehmen (§ 44). Bei wesentlichen Einrichtungen kann die Behörde einer Person nach § 39 Abs. 4 per Bescheid vorübergehend untersagen, Leitungsaufgaben wahrzunehmen.
Die Geschäftsleitung kann Cybersicherheit deshalb nicht vollständig an die IT delegieren; sie muss wissen, ob die Massnahmen greifen.
Welche Fristen gelten?
- Registrierung: innerhalb von drei Monaten ab Inkrafttreten (§ 29 Abs. 3), also bis Ende Dezember 2026.
- Selbstdeklaration: innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln Einrichtungen der Behörde strukturierte Angaben zu ihren umgesetzten Massnahmen und den Ergebnissen ihrer Risikoanalyse (§ 33 Abs. 1).
- Prüfung durch eine unabhängige Stelle: auf Aufforderung der Behörde, erstmals frühestens zwei Jahre nach Inkrafttreten (§ 33 Abs. 2). Wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung dann innerhalb von zwei Monaten belegen.
- Meldung erheblicher Vorfälle: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat danach (§ 34).
Warum ein Sicherheitskonzept auf Papier nicht ausreicht
§ 32 Abs. 4 zählt die Mindestinhalte des Risikomanagements auf. Neben Vorfallbewältigung, Lieferkettensicherheit und Kryptografie stehen dort zwei Punkte, die sich nicht mit einem Dokument erledigen lassen.
Buchstabe c verlangt die Aufrechterhaltung des Betriebs, einschliesslich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Buchstabe f verlangt «Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmassnahmen im Bereich der Cybersicherheit».
Solange niemand gemessen hat, ob eine Massnahme wirkt, bleibt ihre Wirksamkeit eine Annahme. Dass § 33 die Überschrift «Nachweis der Wirksamkeit von Risikomanagementmassnahmen» trägt, zeigt die Richtung: Wer geprüft wird, soll belegen können, was er getestet hat und mit welchem Ergebnis.
Wo passen DDoS-Resilienztests in die NISG-Compliance?
Verfügbarkeit ist das Schutzziel, auf das Denial-of-Service-Angriffe zielen. Cloudflares Threat Report 2026, veröffentlicht im März 2026, weist für 2025 insgesamt 47,1 Millionen abgewehrte DDoS-Angriffe im Netz des Anbieters aus, ein Plus von 121 Prozent gegenüber dem Vorjahr.
Für einen Energieversorger, einen Spitalbetreiber oder einen Logistiker heisst das: Das Kundenportal, die Leitstelle oder die Sendungsverfolgung muss unter Last erreichbar bleiben. Ob die bezahlte Abwehr aus CDN, WAF und Scrubbing das leistet, steht in keinem Datenblatt; es zeigt sich erst, wenn realistischer Angriffsverkehr eintrifft.
Ein kontrollierter DDoS-Resilienztest gegen die eigene Infrastruktur ist ein Verfahren zur Bewertung der Wirksamkeit im Sinne von § 32 Abs. 4 lit. f. Er prüft zugleich die Aufrechterhaltung des Betriebs nach lit. c. Unser Leitfaden zum Testen Ihres DDoS-Schutzes zeigt, wie ein erster Durchlauf aufgebaut wird.
Was Obsidio für österreichische Unternehmen leistet
Die Papers AG aus Zug bietet ihre Plattform Obsidio nun auch österreichischen Unternehmen an. Obsidio führt autorisierte DDoS-Simulationen gegen Infrastruktur durch, die dem Kunden gehört. Die Domain-Inhaberschaft wird vor dem ersten Paket über einen DNS-TXT-Eintrag geprüft; ohne ausdrückliche Freigabe fliesst kein Verkehr. Jeder Durchlauf steigert die Intensität schrittweise und lässt sich jederzeit live abbrechen.
Der Angriffsverkehr kommt nicht aus einem Rechenzentrum, sondern von Tausenden echten Geräten weltweit. Obsidio nutzt dafür das dezentrale Cloud-Protokoll Acurast, das ungenutzte Smartphones zu einem verteilten Netz verifizierbarer Rechenanbieter verbindet; die Geräte sind rechtmässig und mit Zustimmung ihrer Nutzer eingebunden. Abwehrmechanismen, die auf die Herkunft des Verkehrs achten, verhalten sich gegen ein solches Muster anders als gegen eine Handvoll Server-IPs, und deshalb sagt das Ergebnis etwas über den Ernstfall aus.
Zehn Simulationstypen decken Floods auf der Anwendungsschicht, langsame Angriffe, das Erschöpfen von Verbindungen und protokollspezifische Vektoren ab. Die Geschäftsleitung erhält messbare Kennzahlen statt Einschätzungen: Anfragen pro Sekunde, Erfolgsquote, übertragene Datenmenge und die Wirksamkeit der Abwehr unter Last.
Für den Nachweis nach § 33 zählt die Form. Obsidio erzeugt strukturierte, nachvollziehbare Berichte, die NIS2, DORA und FINMA zugeordnet sind. Als nächster Schritt folgen kryptografisch attestierte Berichte aus Trusted Execution Environments, deren Signatur ein Prüfer selbst verifizieren kann.
Nächste Schritte
Klären Sie zuerst, ob das NISG für Sie gilt: Sektor nach Anlage 1 oder 2, Grösse nach § 25. Finanzunternehmen prüfen vorab den DORA-Vorrang. Registrieren Sie sich anschliessend bis Ende Dezember 2026. Danach zählt der Nachweis: Testen Sie die Erreichbarkeit Ihrer kritischen Dienste regelmässig und belegen Sie die Ergebnisse mit einem signierten Testbericht, nicht mit Screenshots aus dem Monitoring.