Dieser Frage ist Rechtsanwalt MMag. Matthias Pichler von BEURLE Rechtsanwälte für das Magazin forum.ksv nachgegangen.
„1,9 Milliarden Pfund Schaden durch Cyberangriff“. „Wie Daten Tausender Mitarbeiter in Österreich im Darknet landeten“. Kaum ein Tag vergeht ohne eine neue Schlagzeile über einen großen Cyberangriff. Jedes dritte Unternehmen in Österreich war in den vergangenen fünf Jahren mit Cyberangriffen konfrontiert, die teils hohen Schaden durch Produktionsausfälle, Datenverlust oder Reputationsschäden verursachten. Um dieser wachsenden Bedrohung Maßnahmen entgegenzusetzen, wurde im Dezember 2025 in Umsetzung der NIS-2-Richtlinie der EU das „NISG 2026“ beschlossen. Welche Fragen stellen sich daraus für Unternehmen?
1. Wann trifft das NISG 2026 in Kraft?
Durch das NISG 2026 wird das bestehende NISG novelliert. Die für Unternehmen maßgeblichen Änderungen treten mit 1. Oktober 2026 in Kraft.
2. Ist das NISG 2026 auf mein Unternehmen anwendbar?
Durch das NISG 2026 wird vor allem der Anwendungsbereich wesentlich erweitert. So ist davon auszugehen, dass zukünftig rund 4.000 Unternehmen und Einrichtungen vom NISG erfasst sein werden. Viele Unternehmen stellen sich daher jetzt die Frage, ob das auch auf sie zutrifft. Das NISG 2026 schafft Handlungspflichten für „wesentliche und wichtige Einrichtungen“. Um als solche zu gelten, muss eine erfasste Tätigkeit ausgeübt werden und gewisse Größenklassen erreicht werden.
Die erfassten Tätigkeiten sind in den Anlagen 1 und 2 des NISG 2026 aufgelistet und im Vergleich zur bisherigen Rechtslage maßgeblich erweitert. So fallen darunter Infrastrukturunternehmen (Energie, Verkehr, Gesundheitswesen, Wasser, digitale Infrastruktur etc), aber auch produzierende Unternehmen bspw in der Auto(zuliefer)branche, Lebensmittelindustrie oder in der Abfallbewirtschaftung, um nur einige Beispiele zu nennen. Die Größenklassen sind (zumindest für eine wichtige Einrichtung) erfüllt, wenn eine Einrichtung mehr als 50 Dienstnehmer (Vollzeitäquivalente) beschäftigt oder mehr als zehn Millionen Euro Jahresumsatz erwirtschaftet und eine Bilanzsumme von mehr als zehn Millionen Euro aufweist. Hier kommt es auch oftmals zu einer Zusammenrechnung der Summen innerhalb einer Unternehmensgruppe.
Das NISG 2026 hat jedoch eine weitreichendere Bedeutung. Erfasste Einrichtungen haben im Rahmen ihrer Handlungspflichten auch ihre Lieferkette auf Resilienz gegenüber Cyberattacken zu überprüfen. Über diese „indirekte Anwendbarkeit“ wird eine Vielzahl von Unternehmen entsprechenden Handlungspflichten unterworfen werden, da es kaum Unternehmen geben wird, die mit keinem erfassten Unternehmen in einer Geschäftsverbindung stehen.
3. Welche Handlungspflichten ergeben sich daraus für mein Unternehmen?
Erfasste Unternehmen haben sich bis 31. Dezember 2026 bei der Cybersicherheitsbehörde zu registrieren und bis zum 30. September 2027 der Behörde Informationen über die getroffenen Risikomanagementmaßnahmen zu übermitteln (Selbstdeklaration). Die zu treffenden Risikomanagementmaßnahmen reichen dabei von Risikoanalysen bis zur Einrichtung von Systemen zur Aufrechterhaltung des Betriebs im Falle von Cyberangriffen (Backups), Maßnahmen zur Multi-Faktor-Authentifizierung und ähnlichen Maßnahmen. Wesentliche Handlungspflicht ist aber vor allem die Schulung der Dienstnehmer und Führungskräfte.
Ein wesentliches Thema wird dabei in der Praxis sein, wie erfasste Unternehmen die „Sicherung der Lieferkette“ zukünftig belegen können. Mittelfristig ist davon auszugehen, dass erfasste Unternehmen von ihren Lieferanten entsprechende Zertifizierungen verlangen werden, die mit Kosten verbunden sind, die gerade kleinere KMU überdurchschnittlich belasten. Eine Investition in Cybersicherheit ist allerdings nicht ein unnötiger „Bürokratieaufwand“, sondern eine notwendige Investition in die Lebensfähigkeit des Unternehmens. Auch bestehen zahlreiche Möglichkeiten für die Inanspruchnahme von Förderungen.
4. Wie kann ich mein Unternehmen vor Cyberangriffen schützen?
Hiezu bestehen zahlreiche „technische“ Möglichkeiten, sei es die Einführung einer Multi-Faktor-Authentifizierung oder die Einrichtung eines guten Backup-Systems. Die größte Schwachstelle und das häufigste „Einfallstor“ ist aber immer noch der Mensch. Wichtig ist daher eine Sensibilisierung und Schulung aller Dienstnehmer. Der wirksamste Schutz gegen Cyberangriffe sind aufmerksame und vorsichtige Mitarbeiter!
Immer mehr Unternehmen greifen auch auf entsprechende Cyberversicherungen zurück, die zumindest den Vermögensschaden abdecken können. Diese verlangen aber auch die Umsetzung von Schutzmaßnahmen und können Reputationsschäden in der Öffentlichkeit nicht abdecken.
5. Zusammenfassung
Das NISG 2026 ist daher kein „Bürokratiemonster“ aus Brüssel, sondern eine Chance, längst überfällige Maßnahmen zur Absicherung des Unternehmenserfolges zu setzen und das Unternehmen fit für die Zukunft zu machen. Wir unterstützen Sie gerne dabei!
| BEURLE Rechtsanwälte |
Wir stehen für fachlich und menschlich höchste Beratungsqualität auf Augenhöhe. Damit unterstützen wir Unternehmen aus dem privaten und dem öffentlichen Sektor in allen rechtlichen Belangen. Wir begleiten strategisch langfristig und bei akuten Fragestellungen. Persönliche Betreuung, Verlässlichkeit, fachlich höchste Kompetenz und Kreativität machen uns zu einem Teil Ihres Erfolgs und damit wertvollen „MEMBER OF YOUR TEAM“. 
|
Foto: Peter Baier Fotografie
Aus dem Magazin forum.ksv - Ausgabe 01/2026.
