NIS2-Richtlinie · Österreich & EU
Ist Ihr Unternehmen betroffen? Welche Pflichten und Fristen gelten? Verstehen Sie das NISG 2026 und bereiten Sie die nächsten Schritte für Ihre IT-Sicherheit vor.
Für Geschäftsführung und IT-Verantwortliche. Mit Originalquellen und konkreten Vorbereitungshilfen.
Die Behörden-FAQ mit Stand 30. Oktober wurden neu aufgenommen. Wir berichtigen zu weite Auswahltexte bei Lebensmitteln und Chemie und ergänzen Hinweise zu IT-Diensten und DORA.
Behördliche Erläuterung · keine GesetzesänderungEine gemeinsame EU-Erklärung vom 4. November meldet eine weitere Vorfallwelle. Anlagensteuerungen und Fernzugänge gehören in die Sicherheitsprüfung; gesetzliche Fristen bleiben unverändert.
Behördliche WarnungDie Nachweis-FAQ tragen den Stand 30. Oktober. Der bekannte Unterschied zur rechnerischen Frist bleibt bestehen; eine Fristverlängerung ist damit nicht bestätigt.
Quellenkonflikt offenNeue Entwicklungen bleiben hier sichtbar. Ihre Auswirkungen werden auch in die Fristen und Ratgeber eingearbeitet. Ratsposition zum Digital Omnibus vom Oktober 2026 nachlesen.
Ihr nächster Schritt
Drei Einstiegspunkte für österreichische Unternehmen – mit konkreten Aufgaben und den passenden Originalquellen.
Tätigkeit, Unternehmensgröße, verbundene Unternehmen und Lieferketten richtig einordnen.
NIS2-Betroffenheit verstehen →Inkrafttreten, Registrierung, Nachweise und Vorfallmeldungen voneinander unterscheiden.
NISG-2026-Fristen nachlesen →Mit der frei zugänglichen Checkliste den IT-Stand, vorhandene Nachweise und offene Aufgaben sammeln.
Zur NIS2-Checkliste →01 / Der Überblick
NIS2 ist die europäische Richtlinie für ein hohes gemeinsames Cybersicherheitsniveau. Sie stärkt den Schutz von Netz- und Informationssystemen in gesellschaftlich und wirtschaftlich wichtigen Bereichen.
Im Mittelpunkt stehen der Umgang mit Cyberrisiken, die Verantwortung der Leitung und die Meldung erheblicher Sicherheitsvorfälle. Die Richtlinie erweitert den bisherigen europäischen Rahmen und wird durch nationales Recht konkretisiert.
NIS2 bei der Europäischen Kommission ENRichtlinie (EU) 2022/2555 vom 14. Dezember 2022. Der vollständige Text mit Artikeln und Anhängen ist auf EUR-Lex verfügbar.
Richtlinie im Original lesenDas Netz- und Informationssystemsicherheitsgesetz 2026 setzt NIS2 in Österreich um. Den Gesetzestext finden Sie im RIS.
Tagesaktuelle RIS-Fassung öffnenDie Wirtschaftskammer bietet Erläuterungen für Unternehmen, Antworten auf häufige Fragen und einen Ratgeber zur ersten Orientierung.
Zur Übersicht der WKO02 / NIS2 in Österreich
Die Richtlinie gibt den europäischen Rahmen vor. Für die konkrete Anwendung in Österreich sind insbesondere das NISG 2026, einschlägige Verordnungen und die jeweils anwendbaren Sonderregelungen zu prüfen.
Das NISG 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht. Die zentralen Bestimmungen gelten seit 1. Oktober 2026. Einzelne vorbereitende Bestimmungen traten bereits früher in Kraft.
Fristen geprüft am 05.11.2026: Für bereits am 1. Oktober 2026 erfasste wesentliche und wichtige Einrichtungen nennt das Bundesamt als Ende der Erstregistrierungsfrist den 4. Jänner 2027 (Fristberechnung nach AVG). Die spätere Registrierung ist kein Aufschub für Sicherheitsmaßnahmen. Fristen und ihre Voraussetzungen im Überblick.
Kundmachung im Bundesgesetzblatt PDFNetz- und Informationssystemsicherheitsgesetz 2026
Die tagesaktuelle Fassung zeigt die an diesem Tag geltenden Bestimmungen. Ergänzend sind die NISV 2026 und die für die Einrichtung geltenden Sonderregelungen zu berücksichtigen.
Das Bundesamt für Cybersicherheit erläutert die Anwendung des NISG 2026. Die NISV 2026 konkretisiert Risikomanagement und erhebliche Vorfälle.
03 / Der Anwendungsbereich
Eine Branche allein entscheidet das noch nicht. Tätigkeit, Unternehmensgröße, verbundene Unternehmen und gesetzliche Sonderfälle müssen gemeinsam betrachtet werden.
NIS2 erfasst bestimmte Einrichtungen in 18 Sektoren, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, produzierendes Gewerbe und öffentliche Verwaltung. Die genaue Tätigkeit muss unter eine gesetzliche Kategorie fallen.
Artikel 2 und Anhänge I & IIGrundsätzlich stehen mittlere und große Einrichtungen der erfassten Sektoren im Fokus. Für bestimmte Einrichtungen gelten größenunabhängige Regeln. Auch die Berücksichtigung verbundener Unternehmen kann relevant sein.
Einstufung in den WKO-FAQsKunden können Sicherheitsanforderungen vertraglich an Lieferanten und IT-Dienstleister weitergeben. Das bedeutet für sich allein noch keine unmittelbare Einstufung als wesentliche oder wichtige Einrichtung.
Lieferkette bei der WKOTätigkeiten, Größe und Sonderfälle gemeinsam prüfenUnser Assistenzformular führt Sie zur ersten unverbindlichen Orientierung und zeigt offene Prüfpunkte auf.
Orientierungshilfe starten04 / Die zentralen Anforderungen
Die folgenden Themen geben einen vereinfachten Überblick. Welche Pflichten konkret gelten, ergibt sich aus dem anwendbaren Recht und der Situation der Einrichtung.
Leitungsorgane müssen Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und an Schulungen teilnehmen.
NIS2-Richtlinie · Artikel 20Angemessene technische, operative und organisatorische Maßnahmen umfassen unter anderem Risikoanalyse, Zugriffsschutz, Schulungen und die Prüfung ihrer Wirksamkeit.
NIS2-Richtlinie · Artikel 21Zum Risikomanagement gehören der Umgang mit Vorfällen, Backups, Wiederherstellung, Krisenmanagement und die Sicherheit von Lieferantenbeziehungen.
NIS2-Richtlinie · Artikel 21Für erhebliche Sicherheitsvorfälle sind gestufte Meldungen vorgesehen. Auslöser, Fristen, Zuständigkeiten und Sonderregeln müssen im konkreten Fall geprüft werden.
NIS2-Richtlinie · Artikel 23Für Österreich konkret nachlesen: Das NISG 2026 regelt unter anderem Registrierung, Risikomanagement, Nachweise und Vorfallmeldungen. Eine allgemeine Themenliste ist kein Nachweis der Rechtskonformität. Zu den FAQs von WKO und NIS-Behörde
Technische NIS2-Beratung von mea
Sie brauchen Unterstützung bei der technischen und organisatorischen Vorbereitung? mea IT Services begleitet Sie von der Bestandsaufnahme zur IT-Sicherheit bis zur Umsetzung.
Wir besprechen Ihre Ausgangslage und klären, welcher nächste Schritt sinnvoll ist. Für die Anfrage genügen Ihr Unternehmen, Ihr Anliegen und eine Kontaktmöglichkeit.
Erstgespräch per E-Mail anfragenLieber telefonisch? +43 3862 24711
E-Mail: office@mea-it.services
Der Button öffnet Ihr E-Mail-Programm. Ohne eingerichtetes Programm können Sie die Adresse übernehmen oder anrufen. Datenschutz bei Kontaktaufnahme
Aus Bruck an der Mur für Unternehmen in der Steiermark und ganz Österreich. Wir arbeiten bei Bedarf mit Ihren IT-Verantwortlichen und bestehenden Dienstleistern zusammen.
Umfang und Konditionen einer Beauftragung werden individuell vereinbart. Rechtsberatung, unabhängige gesetzliche Prüfungen und Zertifizierungen erfolgen durch entsprechend befugte Stellen. Mehr zum Beratungsangebot auf nis2-beratung.at.
05 / Direkt zur Quelle
Gesetzestexte, behördliche Informationen und praktische Hilfen von WKO, BSI und CERT.at – mit klarer Herkunft und direktem Link zum jeweiligen Anbieter. Externe Weblinks öffnen in einem neuen Tab.
Die Leitfäden des deutschen Bundesamts für Sicherheit in der Informationstechnik (BSI) bieten ergänzende technische Orientierung. Sie ersetzen keine Prüfung der österreichischen Rechtslage und sind für sich allein kein Nachweis der NISG-Konformität.
Ursprünglich zusammengestellt am ; um BSI, CERT.at und die EU-Durchführungsverordnung ergänzt am . Österreichischer Rechtsstand und Behördenquellen geprüft, NISV 2026 ergänzt am . Fristen erneut geprüft und die Erstregistrierung auf 4. Jänner 2027 korrigiert am ; abweichende Quellenangaben zur Selbstdeklaration sind im Fristenratgeber erläutert. Am wurden die NISG-Kernaussagen und Fristen erneut abgeglichen sowie die Ratsposition zum Digital Omnibus und die ältere Kommissionsmitteilung vom 8. Juli ergänzt. Keine geänderten österreichischen Fristen festgestellt; der Quellenkonflikt zur Selbstdeklaration bleibt offen. Am wurden der Nachrichtenbereich ergänzt und die Selbstdeklarationsquellen gezielt nachgeprüft; die BCS-FAQ mit Stand 30. Oktober nennen weiterhin 30. September 2027. Dies ist keine erneute Gesamtprüfung aller Inhalte. Am wurden Fristen und NISG-Kernaussagen erneut abgeglichen, die Sektoren-FAQ und die EU-Warnung zu Kühlanlagen ergänzt und die Lebensmittel- und Chemie-Auswahl im Assistenten sichtbar korrigiert. Fristen unverändert; Selbstdeklarationskonflikt weiterhin offen. Die technischen BSI-Leitfäden wurden dabei nicht erneut inhaltlich geprüft. Externe Inhalte können sich ändern. Rechtstexte sind von erläuternden Informationsangeboten zu unterscheiden. Die Verlinkung bedeutet keine Kooperation, Beauftragung oder Empfehlung dieser Website durch die genannten Institutionen.
06 / Kurz erklärt
Die Antworten dienen der allgemeinen Orientierung. Die verlinkten Originalquellen helfen Ihnen, die Details nachzulesen.
NIS2 ist eine EU-Richtlinie. Das NISG 2026 ist das österreichische Bundesgesetz zu ihrer Umsetzung. Für die Beurteilung einer Einrichtung sind die jeweils anwendbaren europäischen und nationalen Vorschriften gemeinsam zu betrachten.
Zum österreichischen Gesetz im RISDie zentralen Bestimmungen gelten seit 1. Oktober 2026. Für bereits zum Inkrafttreten erfasste Einrichtungen nennt das Bundesamt den 4. Jänner 2027 als letzten Tag der Erstregistrierung. Für Nachweise und Vorfallmeldungen gelten eigene Fristen und Auslöser. Die Registrierungsfrist verschiebt die Pflicht zur Umsetzung von Sicherheitsmaßnahmen nicht. Fristen mit Voraussetzungen nachlesen.
§ 51 in der Kundmachung lesen (PDF)Nein. Es gibt Sonderfälle unabhängig von der Größe. Außerdem können Unternehmensverbindungen und vertragliche Anforderungen aus Lieferketten eine Rolle spielen. Eine pauschale Aussage anhand der Mitarbeiterzahl reicht deshalb nicht aus.
Zur Einordnung in den WKO-FAQsNein. nis2-richtlinie.at wird von mea IT Services e.U. betrieben und dient der allgemeinen Information. Die Website ist keine behördliche Auskunftsstelle und ersetzt keine individuelle fachliche oder rechtliche Beratung. Offizielle Auskünfte finden Sie bei den jeweils zuständigen Stellen.
Zum Bundesamt für CybersicherheitNein. Die Inhalte können und sollen weder eine individuelle fachliche oder rechtliche Beratung noch eine behördliche Entscheidung, ein Audit oder eine Zertifizierung ersetzen. Sie enthalten keine Zusage, dass eine Einrichtung bestimmte Vorschriften erfüllt.
Hinweise zur Nutzung und Haftung lesenTransparenz & Verantwortung
nis2-richtlinie.at wird von mea IT Services e.U. betrieben und dient der allgemeinen Information. Die Website ist keine behördliche Auskunftsstelle und ersetzt keine individuelle fachliche oder rechtliche Beratung.
Die Inhalte dieser Website werden nach bestem Wissen und Gewissen recherchiert, zusammengestellt, aufbereitet und zur Verfügung gestellt. Trotz sorgfältiger Bearbeitung können Fehler, Auslassungen oder zwischenzeitliche Änderungen nicht ausgeschlossen werden. Eine Gewähr für Aktualität, Richtigkeit, Vollständigkeit und Eignung für einen bestimmten Zweck wird nicht übernommen.
Bitte prüfen Sie die Informationen vor ihrer Verwendung stets auf Aktualität, Richtigkeit und Anwendbarkeit anhand der offiziellen Quellen.
Die Informationen sind keine verbindliche Beurteilung Ihrer Betroffenheit, keine behördliche Auskunft und kein Nachweis der Rechtskonformität. Gesetzlich zwingende Haftung bleibt unberührt. Einzelheiten, auch zu externen Links, finden Sie im vollständigen Disclaimer.
