NISG 2026 umsetzen

Wir sitzen in Linz. Für uns ist das NISG 2026 kein Thema aus Brüssel, sondern eines, das unsere Kundinnen und Kunden, Partner und Nachbarn in Österreich direkt betrifft. Die Frage, die wir seit dem 1. Oktober am häufigsten hören, lautet nicht „Müssen wir etwas tun?“, sondern „Was genau steckt hinter den zehn Bereichen, und wie zeigen wir, dass wir sie abdecken?“

Dieser Beitrag geht die zehn Bereiche aus § 32 NISG 2026 einzeln durch. Zu jedem Bereich finden Sie, was das Gesetz verlangt, wo die Durchführungsverordnung (EU) 2024/2690 konkreter wird und welchen Nutzen eine saubere Umsetzung über die Pflicht hinaus hat.

Was verlangt § 32 NISG 2026?

§ 32 verpflichtet wesentliche und wichtige Einrichtungen zu geeigneten und verhältnismäßigen technischen, operativen und organisatorischen Risikomanagementmaßnahmen. Sie sollen die Risiken für Netz- und Informationssysteme beherrschen und die Folgen von Sicherheitsvorfällen gering halten.

Was „verhältnismäßig“ heißt, gibt das Gesetz vor: Maßgeblich sind die Risikoexposition, die Größe der Einrichtung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Zu berücksichtigen sind außerdem der Stand der Technik, einschlägige Normen und die Kosten der Umsetzung.

NISG 2026 auf einen Blick

Rechtsgrundlage: NISG 2026, BGBl. I Nr. 94/2025, Umsetzung der Richtlinie (EU) 2022/2555
In Kraft: 1. Oktober 2026
Verordnung: NISV 2026, BGBl. II Nr. 290/2026
Betroffen: Rund 4.000 Unternehmen aus 18 Sektoren
Verantwortlich: Leitungsorgane, also Geschäftsführung oder Vorstand
Selbstdeklaration: Zwölf Monate nach Eintritt der Registrierungspflicht, laut WKO bis 30. September 2027
Sanktionen: Bis 10 Mio. EUR oder 2 Prozent des weltweiten Umsatzes (wesentliche), bis 7 Mio. EUR oder 1,4 Prozent (wichtige Einrichtungen), je nachdem, welcher Betrag höher ist
Unabhängige Prüfung: Ab 1. Oktober 2028 kann die Behörde einen Nachweis durch unabhängige Prüfung verlangen

Quellen: RIS, NISG 2026 (BGBl. I Nr. 94/2025), WKO, NISG 2026 und FAQ

Was bedeutet der gefahrenübergreifende Ansatz?

§ 32 Abs. 4 verlangt, dass alle Maßnahmen auf einem gefahrenübergreifenden Ansatz beruhen. Das Gesetz versteht darunter den Schutz der Netz- und Informationssysteme samt deren physischen Komponenten vor Cybersicherheitsvorfällen.

In der Praxis heißt das: Sie betrachten nicht nur Angriffe von außen, sondern alles, was Ihre Netz- und Informationssysteme beeinträchtigen kann: einen Stromausfall, den Ausfall eines Dienstleisters, einen Bedienfehler, einen Brand im Serverraum.

In der Praxis scheitert das selten am Willen. Es scheitert daran, dass Cyberrisiken im ISMS liegen, Ausfallszenarien im Notfallhandbuch und Lieferanten in einer eigenen Tabelle. Drei Stellen beschreiben dasselbe Risiko, keine kann es als Ganzes zeigen.

Risiko: Cyber- und Ausfallrisiken erkennen, bewerten und mit angemessenen Maßnahmen behandeln
Notfall und Krise: Betrieb aufrechterhalten, Backups steuern, nach einem Notfall wiederherstellen
Lieferkette: Anbieter und Dienstleister mit ihren Schwachstellen in die Bewertung einbeziehen

Ein kritischer Dienstleister ist ein Lieferkettenrisiko, ein Szenario für den Notfallplan und ein Eintrag in der Risikoanalyse. In der Praxis lohnt es sich, ihn nur einmal zu bewerten.

Die zehn Bereiche nach § 32 Abs. 4 im Detail

Das Gesetz nennt zehn Bereiche, die mindestens abgedeckt sein müssen. Die Kennzeichnung entspricht § 32 Abs. 4 lit. a bis j. Der Hinweis „DVO Anhang“ verweist auf den passenden Abschnitt im Anhang der Durchführungsverordnung (EU) 2024/2690.

a) Risikoanalyse und Sicherheit für Informationssysteme

DVO Anhang Nr. 1 und 2

Gefordert sind Konzepte, keine Einzelmaßnahmen: ein Sicherheitskonzept mit klaren Rollen und ein Risikomanagement, das Risiken regelmäßig erhebt, bewertet, behandelt und überwacht. Auf diesem Bereich bauen die anderen neun auf.

In CRISAM®: Risikomanagement gemäß NISG 2026, gefahrenübergreifend in einem Modell. Die Geschäftsführung sieht, wo die größten Risiken liegen und welche Maßnahmen deshalb Vorrang und Budget brauchen.

b) Bewältigung von Sicherheitsvorfällen

DVO Anhang Nr. 3

Vorfälle erkennen, bewerten, melden und nachbereiten. Erhebliche Vorfälle sind in drei Stufen zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung. Wann ein Vorfall erheblich ist, konkretisiert die NISV 2026, etwa über finanzielle Verluste oder die Aktivierung des Krisenmanagements.

In CRISAM®: Melde- und Nachweispflichten werden abgebildet. Wer im Ernstfall nicht erst klären muss, wer was meldet, gewinnt die Stunden, die die Fristen verlangen.

c) Aufrechterhaltung des Betriebs und Krisenmanagement

DVO Anhang Nr. 4

Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Hier treffen Informationssicherheit und Business Continuity Management direkt aufeinander.

In CRISAM®: Notfall- und Krisenmanagement gemäß NISG 2026, integriert mit dem Business Continuity Management. Ausfallszenarien und Cyberrisiken nutzen dieselben Prozesse und dieselben Abhängigkeiten.

d) Sicherheit der Lieferkette

DVO Anhang Nr. 5

Gemeint sind die Beziehungen zu unmittelbaren Anbietern und Dienstleistern. Sie stufen Lieferanten nach Kritikalität ein, vereinbaren Sicherheitsanforderungen und überprüfen sie.

In CRISAM®: Sicherheit der Lieferkette gemäß NISG 2026. Ein Lieferant, eine Bewertung, sichtbar in Risikoanalyse, Notfallplanung und Lieferantensteuerung.

e) Sicherheit bei Erwerb, Entwicklung und Wartung

DVO Anhang Nr. 6

Sicherheit gehört schon in die Beschaffung und Entwicklung von Systemen, einschließlich Umgang mit und Offenlegung von Schwachstellen. Laut WKO zählen dazu auch Patch-Management und Netzsegmentierung.

f) Bewertung der Wirksamkeit der Maßnahmen

DVO Anhang Nr. 7

Maßnahmen umzusetzen reicht nicht. Sie brauchen Konzepte und Verfahren, mit denen Sie regelmäßig prüfen, ob die Maßnahmen tatsächlich wirken.

In CRISAM®: Über die Integration mit dem Internen Kontrollsystem, NIS2-Dashboards sowie Audit- und Compliance-Berichte wird Wirksamkeit belegbar, nicht nur behauptet.

g) Cyberhygiene und Schulungen

DVO Anhang Nr. 8

Grundlegende Verfahren der Cyberhygiene und Schulungen für Mitarbeitende. Die Leitungsorgane müssen zusätzlich an eigens für sie gestalteten Cybersicherheitsschulungen teilnehmen.

h) Kryptografie und Verschlüsselung

DVO Anhang Nr. 9

Konzepte und Verfahren für den Einsatz von Kryptografie und, wo angebracht, Verschlüsselung.

i) Personalsicherheit, Zugriffskontrolle und Anlagenmanagement

DVO Anhang Nr. 10, 11 und 12

Wer darf worauf zugreifen, und welche Werte gibt es überhaupt? Die Durchführungsverordnung behandelt Personal, Zugriff und Anlagen- und Wertemanagement in eigenen Abschnitten.

j) Multi-Faktor-Authentifizierung und gesicherte Kommunikation

DVO Anhang Nr. 11.7, nur Multi-Faktor-Authentifizierung

Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation, gegebenenfalls auch gesicherte Notfallkommunikation.

Die Bereiche e, g, h, i und j sind stark technisch geprägt. Auch sie führen Sie in CRISAM® als Maßnahmen mit Verantwortlichkeiten und Fristen, verknüpft mit den Risiken, die sie behandeln. So bleibt nachvollziehbar, warum eine Maßnahme existiert und ob sie umgesetzt ist.

Welche Rolle spielt die Durchführungsverordnung (EU) 2024/2690?

Die Durchführungsverordnung (EU) 2024/2690 der Europäischen Kommission vom 17. Oktober 2024 legt die technischen und methodischen Anforderungen an die Risikomanagementmaßnahmen nach NIS2 fest. Unmittelbar gilt sie für Anbieter digitaler Infrastruktur und digitaler Dienste, etwa Cloud-Computing-Dienste, Rechenzentren, Managed Service Provider, Online-Marktplätze und Vertrauensdiensteanbieter.

In Österreich reicht sie weiter. § 32 Abs. 5 NISG 2026 ermächtigt die Cybersicherheitsbehörde, solche Durchführungsrechtsakte per Verordnung auf weitere Sektoren auszudehnen. Das ist mit der NISV 2026 geschehen: Laut WKO erklärt § 2 der Verordnung Art. 2 samt Anhang der Durchführungsverordnung auch für die übrigen Einrichtungen der Anlagen 1 und 2 des NISG 2026 für anwendbar, also etwa für Energie, Gesundheit oder Herstellung. Der Anhang ist damit für die meisten betroffenen Unternehmen der verbindliche Maßstab für „angemessen“.

Der Anhang gliedert sich in 13 Bereiche. Er deckt die zehn Bereiche aus § 32 ab und führt Anlagenmanagement sowie physische Sicherheit als eigene Abschnitte:

Sicherheitskonzept und Rollen
Risikomanagement
Bewältigung von Sicherheitsvorfällen
Betriebskontinuität und Krisenmanagement
Sicherheit der Lieferkette
Erwerb, Entwicklung und Wartung
Bewertung der Wirksamkeit
Cyberhygiene und Schulungen
Kryptografie
Personalsicherheit
Zugriffskontrolle
Anlagen- und Wertemanagement
Physische Sicherheit

Wo eine Anforderung des Anhangs im eigenen Umfeld nicht passt, sieht § 4 NISV 2026 laut WKO kompensierende Maßnahmen vor. Sie müssen risikobasiert begründet, dokumentiert und mindestens jährlich überprüft werden. Spätestens hier wird ein durchgängiges Risikomodell zur Voraussetzung.

NISV 2026 auf einen Blick

Titel: Netz- und Informationssystemsicherheits-Verordnung, NISV 2026
Fundstelle: BGBl. II Nr. 290/2026
Regelt: Nähere Anforderungen an die Risikomanagementmaßnahmen und Kriterien für erhebliche Cybersicherheitsvorfälle
Kernpunkt: § 2: Anhang der DVO (EU) 2024/2690 gilt auch für die übrigen Einrichtungen der Anlagen 1 und 2 NISG 2026

Quellen: EUR-Lex, DVO (EU) 2024/2690, WKO, NIS2 Durchführungsverordnung

Was bringt Ihnen ein gemeinsames Modell für alle zehn Bereiche?

Das NISG 2026 ist eine Pflicht. Wie viel Aufwand sie macht und was sie dem Unternehmen zurückgibt, hängt davon ab, wie Sie sie organisieren.

Weniger Doppelarbeit: Ein Risiko, eine Bewertung, eine Maßnahme. Statt drei Listen für ISMS, Notfallhandbuch und Lieferanten pflegen Sie einen Stand.
Entscheidungen für die Geschäftsführung: Das Leitungsorgan trägt die Verantwortung. Management-Reports aus denselben Daten zeigen, wo Budget die größte Wirkung auf das Risiko hat.
Nachweis ohne Sonderprojekt: Selbstdeklaration und spätere Prüfungen entstehen aus den laufenden Daten, nicht aus einer einmaligen Sammelaktion.
Einmal umsetzen, mehrfach nutzen: Was Sie für ISO/IEC 27001, BSI IT-Grundschutz, das Interne Kontrollsystem oder das Enterprise Risk Management bereits dokumentiert haben, bleibt im Einsatz und wird nicht neu erfasst.

Was CRISAM® für das NISG 2026 beiträgt

CRISAM® unterstützt die Umsetzung der NIS2 Anforderungen an Risikomanagement, Sicherheitsmaßnahmen und Governance. Für das NISG 2026 heißt das konkret:

Risikomanagement gemäß NISG 2026
Notfall- und Krisenmanagement gemäß NISG 2026
Sicherheit der Lieferkette gemäß NISG 2026
Automatisierter gefahrenübergreifender Ansatz gemäß NISG 2026
Automatisierter Compliance-Nachweis zu den Risikomanagementmaßnahmen der Durchführungsverordnung (EU) 2024/2690
Automatische Auswertung der Risiken nach den vier Risikokategorien der NISV 2026: technologisch, menschlich, IKT-Lieferkette, standortbezogen

Neu: NIS2-Katalog V4

Bildet ab: NISG 2026 und NIS-DE
Enthält: Mappings auf die Durchführungsverordnung (EU) 2024/2690
Mehrfach nutzen: Mapping auf ISO/IEC 27001 und BSI IT-Grundschutz
Ihr Vorteil: Einmal erheben, für mehrere Regelwerke nachweisen

Die Anforderungen werden nicht isoliert behandelt, sondern in bestehende ISMS-, Risiko- und Kontrollstrukturen integriert. Maßnahmen werden workflowgestützt geplant, umgesetzt und überwacht, mit Verantwortlichkeiten und Fristen. Über die Integration mit Business Continuity Management, Datenschutz, Internem Kontrollsystem und Enterprise Risk Management entsteht ein konsistentes Sicherheits- und Resilienzmanagement.

NIS2-Dashboards geben den Überblick über Risiken, Maßnahmen und Status. Management-Reports, Audit- und Compliance-Berichte sowie Export-Funktionen für Behörden, Auditoren und Stakeholder kommen aus denselben Daten. Mehr zum Funktionsumfang finden Sie auf unserer Seite NIS2 umsetzen mit CRISAM®.

In vier Schritten zur Selbstdeklaration

Betroffenheit klären und registrieren: Sektor und Größe prüfen, Einstufung als wesentliche oder wichtige Einrichtung festhalten und binnen drei Monaten ab Inkrafttreten registrieren, also bis 31. Dezember 2026.
Risiken gefahrenübergreifend erheben: Cyber-, Ausfall- und Lieferantenrisiken in einem Modell erfassen und bewerten.
Maßnahmen gegen § 32 und den DVO-Anhang abgleichen: Bestehende Maßnahmen über den NIS2-Katalog V4 den zehn Bereichen und den 13 Abschnitten des Anhangs zuordnen, Lücken mit Verantwortlichen und Fristen schließen, Abweichungen als kompensierende Maßnahmen begründen.
Nachweis führen: Die Selbstdeklaration aus den laufenden Daten erstellen und das Leitungsorgan regelmäßig auf demselben Stand informieren.

Warum uns das NISG 2026 besonders beschäftigt

CRISAM® begleitet Organisationen seit über 20 Jahren im GRC-Umfeld, von Linz aus. Das NISG 2018 betraf in Österreich vor allem Betreiber wesentlicher Dienste. Mit dem NISG 2026 wächst der Kreis auf rund 4.000 Unternehmen, und viele davon legen der Cybersicherheitsbehörde zum ersten Mal eine Selbstdeklaration vor.

Was wir dabei sehen: Einzelne Maßnahmen gibt es oft schon. Was fehlt, ist der rote Faden zwischen Risiko, Maßnahme und Beleg. Genau dort setzen wir mit CRISAM® an.

Wie sehen die zehn Bereiche aus § 32 in Ihrer Organisation aus? Wir zeigen Ihnen Ihren NISG 2026 Nachweis in CRISAM® an Ihrem eigenen Anwendungsfall.

Demo vereinbaren

Häufige Fragen zu § 32 NISG 2026

Welche zehn Bereiche nennt § 32 NISG 2026?

§ 32 Abs. 4 nennt Risikoanalyse und Sicherheit für Informationssysteme, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Anlagenmanagement sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Was heißt gefahrenübergreifender Ansatz?

Laut NISG 2026 geht es um den Schutz der Netz- und Informationssysteme samt deren physischen Komponenten vor Cybersicherheitsvorfällen. In der Praxis heißt das, nicht nur Cyberangriffe zu betrachten, sondern etwa auch Stromausfälle, physische Schäden oder den Ausfall eines Dienstleisters.

Gilt die Durchführungsverordnung (EU) 2024/2690 auch für mein Unternehmen?

Unmittelbar gilt sie für Anbieter digitaler Infrastruktur und digitaler Dienste. Laut WKO erklärt § 2 NISV 2026 ihren Anhang auch für die übrigen wesentlichen und wichtigen Einrichtungen der Anlagen 1 und 2 des NISG 2026 für anwendbar.

Bis wann muss die Selbstdeklaration erfolgen?

Binnen zwölf Monaten nach Eintritt der Registrierungspflicht ist der Cybersicherheitsbehörde eine Aufstellung der umgesetzten Risikomanagementmaßnahmen zu übermitteln. Die WKO nennt dafür den 30. September 2027.

Wer ist im Unternehmen verantwortlich?

Die Leitungsorgane, also Geschäftsführung oder Vorstand, sind für die Einhaltung und Aufsicht der Risikomanagementmaßnahmen verantwortlich. Sie müssen außerdem an eigens für sie gestalteten Cybersicherheitsschulungen teilnehmen.

Webinar NIS2/NISG Compliance für Österreich

10. November 2026, 14:00 Uhr, online. Wie österreichische Einrichtungen die Anforderungen des NISG 2026 in CRISAM® umsetzen. Weitere Termine von 8. Dezember 2026 bis 13. April 2027. Hier registrieren