Wien (OTS) – Es ist so weit: Mit dem Umlaufbeschluss im Ministerrat am 20. November 2025 wurde die nationale Umsetzung der NIS-2-Richtlinie auf den Weg gebracht. Damit hat Österreich den Entwurf des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026) in das parlamentarische Verfahren eingebracht.
Eine Änderung im Gesetzesentwurf gegenüber dem letztjährigen Begutachtungsentwurf betrifft die Übergangsfristen für die Umsetzung von NIS-2: Nach Ablauf von neun Monaten nach der Kundmachung soll das neue NIS-2-Gesetz in Kraft treten. Damit haben heimische Unternehmen voraussichtlich bis zum Herbst 2026 Zeit, ihre technischen und organisatorischen Risikomanagementmaßnahmen umzusetzen. Nach diesen neun Monaten startet die 12-monatige Frist zur Selbstdeklaration, ohne Aufforderung durch die Behörde, im Rahmen derer Unternehmen selbst spezifische Informationen zur Wirksamkeit ihrer Maßnahmen übermitteln müssen. Die Details dazu sind noch offen.Auch bezüglich der Risikomanagementmaßnahmen gibt es Veränderungen: Gab es im ersten Entwurf des NISG 2024 einen Verweis auf die Risikomanagementmaßnahmen in Anlage 3, so fällt dieser nun weg und es werden die Themen für die Risikomanagementmaßnahmen nur sehr allgemein angeführt. Es besteht jedoch die Möglichkeit, dass die Behörde über Verordnungen weitere, konkrete Maßnahmen festlegen kann. Die Risikomanagementmaßnahmen beruhen auf einem gefahrenübergreifenden Ansatz zum Schutz von Netz- und Informationssystemen. Je nach Abdeckung sind jedoch beispielsweise bereits vorhandene ISO/IEC27001-Zertifizierungen für die Prüfung der operativen und organisatorischen Umsetzung anrechenbar.
Wie weit fortgeschritten heimische Unternehmen schon jetzt bei der Umsetzung der Risikomanagementmaßnahmen sind, zeigen auch die Ergebnisse der Cybersecurity-Studie: Die Unternehmen fühlen sich laut Selbsteinschätzung gut vorbereitet. 34 Prozent der befragten Unternehmen sind der Meinung, dass sie in puncto technischer Maßnahmen bereits weit fortgeschritten sind. Bei den organisatorischen Maßnahmen sind es sogar 39 Prozent. „Ob die Selbsteinschätzung der Unternehmen den Erwartungen der unabhängigen Stellen (aktuell Qualifizierte Stellen – QuaSte) entspricht, bleibt abzuwarten. Die Prüfungen werden richtungsweisend sein, um den Status quo zu bewerten“, so KPMG Partner Andreas Tomek.
Cybersecurity-Arbeitsgruppen für eine gemeinsame Cybersicherheitsstrategie
Die zukünftigen, per Verordnung festgelegten Risikomanagementmaßnahmen sollen sich unter anderem auch an der Durchführungsverordnung (EU) 2024/2690 für Anbieter digitaler Dienste und den Ergebnissen der Arbeitsgruppe der Cyber Sicherheit Plattform (CSP) orientieren. „Hier zeigt sich einmal mehr, dass der regelmäßige Diskurs mit den betroffenen Unternehmen und Einrichtungen absolut notwendig ist, um eine gemeinsame Cybersicherheitskultur zu gestalten“, so Lamprecht. Das bestätigen auch die Zahlen der KPMG und KSÖ Cybersecurity-Studie: 38 Prozent der Befragten geben an, dass Arbeitsgruppen, wie jene zu den NIS-2-Risikomanagementmaßnahmen der Cyber Sicherheit Plattform (CSP) oder des Rechts- und Technologiedialogs (RTD) des Kompetenzzentrum Sicheres Österreich (KSÖ), den aktiven Austausch zwischen öffentlicher Verwaltung und Unternehmen fördern. „Die erfolgreiche Implementierung der Cyberregulatorik hängt von der aktiven Beteiligung der Unternehmen ab. Unternehmen, die regulatorische Compliance als Chance begreifen, etablieren sich als vertrauenswürdige Partner und stärken gleichzeitig Österreichs digitale Souveränität im EU-Binnenmarkt“, so Tomek.
Weitere Neuerungen aus dem Gesetzesentwurf zur Umsetzung von NIS-2 in Österreich
- Der Anwendungsbereich für Unternehmen ändert sich. Dieser wird nun nicht mehr über das Bescheidverfahren festgelegt, sondern durch das Unternehmen selbst ermittelt. Unternehmen werden sich zukünftig bei der zuständigen NIS-2-Behörde registrieren müssen. Zudem gibt es kein Konzernprivileg, wodurch jede Gesellschaft gesondert zu betrachten ist.
- Die zuständige NIS-Behörde wird eine nachgelagerte Stelle (Cybersicherheitsbehörde) des Bundesministeriums für Inneres (BMI), ähnlich der Struktur des Bundesamts für Sicherheit in der Informationstechnik (BSI) in Deutschland, sein.
