Startseite / Ratgeber / NIS2 in Österreich

— Ratgeber

NIS2 in Österreich: was es für Website und IT kleiner Unternehmen bedeutet

NIS2 in Österreich ist seit 1. Oktober 2026 geltendes Recht: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt die EU-Richtlinie um. Direkt verpflichtet sind mittlere und große Unternehmen in bestimmten Sektoren. Kleine Unternehmen trifft NIS2 meist indirekt, als Lieferant oder Dienstleister eines betroffenen Kunden, der Nachweise zur IT- und Website-Sicherheit verlangt. Dieser Ratgeber ordnet ein, er ersetzt keine Rechtsberatung.

Veröffentlicht am 06.11.2026 · Von Rico Jacobs, DISOTECH GmbH

Stand: NISG 2026 gilt seit 1. Oktober 2026

Österreich hat die NIS-2-Richtlinie (EU) 2022/2555 verspätet umgesetzt. Ein erster Entwurf, das NISG 2024, scheiterte im Nationalrat. Die überarbeitete Fassung wurde am 12. Dezember 2025 vom Nationalrat beschlossen, am 18. Dezember 2025 vom Bundesrat bestätigt und am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht. Seit 1. Oktober 2026 ist das NISG 2026 vollständig in Kraft, zusammen mit der NIS-Verordnung (NISV 2026), die die Risikomanagementmaßnahmen und die Kriterien für meldepflichtige Vorfälle konkretisiert. Das bisherige NISG 2018 ist gleichzeitig außer Kraft getreten.

Zuständig ist die Cybersicherheitsbehörde im Innenministerium, im Gesetz als Bundesamt für Cybersicherheit eingerichtet. Meldungen über Vorfälle nimmt das CSIRT entgegen; für Unternehmen ist das in der Praxis CERT.at. Die Wirtschaftskammer stellt unter wko.at eine laufend aktualisierte Übersicht mit Fristenplan bereit; die Gesetzestexte stehen im RIS. Dieser Artikel gibt den Stand laut diesen Quellen von Anfang November 2026 wieder.

Wer direkt unter NIS2 fällt

Das NISG 2026 erfasst Einrichtungen, die in einem der Sektoren der Anlagen 1 und 2 tätig sind und mindestens die Größe eines mittleren Unternehmens haben. Beides muss zutreffen. Die Einstufung nimmt das Unternehmen selbst vor; einen Bescheid der Behörde gibt es im Regelfall nicht.

Als mittleres Unternehmen gilt nach der EU-Empfehlung, auf die das Gesetz verweist, wer mindestens 50 Mitarbeiter beschäftigt oder mehr als 10 Millionen Euro Umsatz und mehr als 10 Millionen Euro Bilanzsumme hat. Groß ist ein Unternehmen ab 250 Mitarbeitern oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme. Kleine Unternehmen darunter fallen grundsätzlich nicht unter das Gesetz, mit Ausnahmen wie DNS-Diensteanbietern, Vertrauensdiensteanbietern und Anbietern öffentlicher Kommunikationsnetze. Verbundene Unternehmen werden zugerechnet, Partnerunternehmen anteilig.

Für die meisten Handwerksbetriebe, Händler, Dienstleister, Ordinationen und Kanzleien in Österreich gilt also: nicht direkt betroffen. Die Pflichten erreichen sie trotzdem, über die Lieferkette.

Pflichten und Fristen für betroffene Einrichtungen

Wer unter das Gesetz fällt, hat seit 1. Oktober 2026 Risikomanagement- und Meldepflichten. Dazu kommen Fristen für Registrierung und Selbstdeklaration. Die Geschäftsleitung muss die Maßnahmen beaufsichtigen und an Cybersicherheitsschulungen teilnehmen; die Teilnahme ist zu dokumentieren.

Die wichtigsten Termine und Pflichten laut Gesetz und WKO-Fristenplan:

Was NIS2 für kleine Unternehmen bedeutet: die Lieferkette

Die Sicherheit der Lieferkette ist eine der vorgeschriebenen Maßnahmen. Betroffene Einrichtungen müssen die Schwachstellen ihrer unmittelbaren Anbieter und deren Cybersicherheitspraxis berücksichtigen und das vertraglich absichern. Die WKO weist ausdrücklich darauf hin, dass Dienstleister und Lieferanten dadurch indirekt zu Maßnahmen verpflichtet werden, und dass ein pauschaler Verweis auf das NISG in Verträgen nicht genügt.

In der Praxis heißt das: Ein Tischlereibetrieb, der Einbauten für ein Krankenhaus liefert, eine Softwarefirma, die ein Energieunternehmen betreut, oder eine Agentur mit Zugang zu Kundensystemen bekommt Fragebögen, Sicherheitsanhänge zu Verträgen oder Auditanfragen. Wer darauf keine belastbaren Antworten hat, wird als Risiko eingestuft und verliert im Zweifel den Auftrag. Gleichzeitig ist das eine Chance: Wer Sicherheit nachweisen kann, hat gegenüber Mitbewerbern ohne Nachweis einen Vorsprung.

Website und IT: was Kunden von Zulieferern erwarten

Die zehn Maßnahmenbereiche des Gesetzes lassen sich auf die IT eines kleinen Unternehmens übertragen. Niemand verlangt von einem Zehn-Personen-Betrieb ein Sicherheitsmanagement wie in einem Energieversorger. Erwartet wird, dass die Grundlagen stehen und belegt werden können. Die Website gehört dazu, weil sie öffentlich erreichbar ist, Kundendaten verarbeitet und bei einem Angriff als Einfallstor dient.

Diese Punkte lassen sich mit überschaubarem Aufwand umsetzen und auf Nachfrage vorzeigen:

Eine Sicherheitsprüfung der Website liefert die Bestandsaufnahme, aus der sich die Antworten für Kundenfragebögen ableiten lassen.

Selbstcheck: zehn Fragen, die ein NIS2-Kunde stellen wird

Beantworten Sie diese Fragen ehrlich mit Ja oder Nein. Jedes Nein ist ein Punkt, den ein betroffener Kunde früher oder später anspricht. Die Reihenfolge entspricht ungefähr der Häufigkeit, mit der die Punkte in Fragebögen auftauchen.

  1. Werden Website, Server und Arbeitsplätze innerhalb weniger Tage nach Erscheinen eines Updates aktualisiert, und gibt es ein Protokoll dazu?
  2. Existiert ein Backup außerhalb des Webservers, und wurde die Wiederherstellung in den letzten zwölf Monaten getestet?
  3. Hat jede Person einen eigenen Zugang mit nur den nötigen Rechten?
  4. Ist Multi-Faktor-Authentifizierung für Admin-Zugänge, E-Mail und Hosting aktiv?
  5. Ist bekannt, welche Dienstleister Zugriff auf Ihre Systeme haben, und sind diese vertraglich zu Vertraulichkeit und Meldung verpflichtet?
  6. Gibt es einen schriftlichen Ablauf für Sicherheitsvorfälle mit Ansprechpartnern und Meldewegen?
  7. Wird die Website von einer Firewall geschützt und auf Schadsoftware überwacht?
  8. Sind Mitarbeiter in den letzten zwölf Monaten zu Phishing geschult worden?
  9. Sind Datenschutz-Meldepflichten nach DSGVO und Sicherheitsmeldungen an den Kunden im selben Prozess abgebildet?
  10. Können Sie alle Punkte oben mit einem Dokument belegen, das Sie einem Kunden schicken würden?

Abgrenzung: NIS2, DSGVO und andere Pflichten

NIS2 regelt die Sicherheit von Netz- und Informationssystemen, die DSGVO den Schutz personenbezogener Daten. Beide Meldepflichten können nach demselben Vorfall gleichzeitig greifen: die Frühwarnung an das CSIRT innerhalb von 24 Stunden für betroffene Einrichtungen und die Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nach Art. 33 DSGVO für jeden Verantwortlichen, auch kleine Unternehmen. Führt ein Verstoß bereits zu einer DSGVO-Geldbuße, wird nach der NIS-2-Richtlinie dafür keine zweite Geldbuße verhängt.

Unabhängig von NIS2 gelten für Websites in Österreich weitere Pflichten, die wir in eigenen Ratgebern behandeln: die Datenschutzerklärung nach DSGVO, die Cookie-Banner-Pflicht nach TKG 2021 und für Onlineshops das Barrierefreiheitsgesetz (BaFG). Wer diese Grundlagen erfüllt und die Sicherheitspunkte aus diesem Artikel belegen kann, ist für Kundenfragen zu NIS2 gut aufgestellt.

Keine Rechtsberatung: so gehen Sie vor

Dieser Artikel ordnet ein, er berät nicht. Wir sind eine Webagentur, keine Kanzlei. Ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung unter das NISG 2026 fällt, wie Verträge mit Ihren Kunden zu gestalten sind und welche Nachweise Sie schulden, kann nur eine Anwältin oder ein Anwalt für IT-Recht oder ein spezialisierter Berater verbindlich beurteilen. Die Wirtschaftskammer bietet dazu Fragen und Antworten sowie Veranstaltungen an; die Cybersicherheitsbehörde informiert über das Unternehmensserviceportal.

Was wir übernehmen: die technische Bestandsaufnahme Ihrer Website und des Hostings, die Umsetzung von Updates, Backups, Zugriffskontrolle, Multi-Faktor-Authentifizierung und Firewall, die Dokumentation dieser Maßnahmen in einer Form, die Sie an Kunden weitergeben können, und die laufende Pflege im Rahmen der Wartung. Welche Schutzstufe für Ihre Website sinnvoll ist, klären wir im Gespräch anhand Ihrer Kundenstruktur und der Daten, die auf der Website verarbeitet werden.

Häufige Fragen

Mein Unternehmen hat 15 Mitarbeiter. Betrifft mich NIS2?

Direkt in der Regel nicht. Das NISG 2026 gilt für mittlere und große Unternehmen in den Sektoren der Anlagen 1 und 2, mit wenigen größenunabhängigen Ausnahmen wie DNS- oder Vertrauensdiensteanbietern. Wenn Sie aber Kunden in diesen Sektoren beliefern oder betreuen, werden diese Sicherheitsnachweise von Ihnen verlangen, weil sie die Lieferkette absichern müssen.

Bis wann müssen betroffene Unternehmen handeln?

Die Risikomanagement- und Meldepflichten gelten seit 1. Oktober 2026. Die Registrierung über das Unternehmensserviceportal läuft laut WKO bis Jahresende 2026, die Selbstdeklaration zu den umgesetzten Maßnahmen ist bis 30. September 2027 fällig. Die genauen Fristen stehen im Gesetz und im Fristenplan der WKO; prüfen Sie den aktuellen Stand, weil Verordnungen noch ergänzt werden.

Was ist ein erheblicher Vorfall, der gemeldet werden muss?

Die Kriterien legt die NIS-Verordnung 2026 fest. Betroffene Einrichtungen müssen erhebliche Cybersicherheitsvorfälle innerhalb von 24 Stunden als Frühwarnung, innerhalb von 72 Stunden als Meldung und innerhalb eines Monats als Abschlussbericht an das CSIRT übermitteln. Freiwillige Meldungen sind auch für nicht betroffene Unternehmen möglich; CERT.at nimmt Hinweise auf gehackte Websites unabhängig von NIS2 entgegen.

Reicht eine gewartete WordPress-Website als NIS2-Nachweis?

Sie ist ein Baustein, kein vollständiger Nachweis. Kunden fragen nach dem gesamten Betrieb: Website, E-Mail, Arbeitsplätze, Zugänge, Backups, Vorfallprozess. Eine dokumentierte Wartung mit Update-Protokoll, Backups, Firewall und Multi-Faktor-Authentifizierung deckt den Website-Teil ab und lässt sich in einen Fragebogen übernehmen; die übrige IT muss separat belegt werden.

Brauchen Sie dabei Hilfe?Wir sehen uns Ihre Website an und sagen Ihnen, was sinnvoll ist, auch wenn Sie es dann selbst machen.
Kurz anfragen

Das könnte auch passen

SicherheitAudit, Härtung, Überwachung und Hilfe im Ernstfall. Wartung & SupportGeprüfte Updates, getestete Backups, Überwachung und Support. Website gehackt: was tun?Website gehackt? Die richtige Reihenfolge für die ersten Stunden, typische Fehler und wann Fachhilfe nötig ist.07.10.2026 Managed Service für CloudflareEinrichtung, Regeln, Turnstile und Monitoring. Unabhängiger Dienstleister. Datenschutzerklärung und DSGVOWelche Gesetze für Websites in Österreich gelten, was in die Datenschutzerklärung gehört und welche Fehler wir bei der technischen Prüfung immer wieder sehen.06.11.2026 Impressumspflicht ÖsterreichWelche Angaben Ihr Impressum nach ECG, Mediengesetz und UGB braucht, was eine kleine von einer großen Website unterscheidet und wo das Impressum stehen muss.06.11.2026

Fragen zum Thema?

Schreiben Sie uns kurz, worum es bei Ihnen geht. Sie bekommen eine ehrliche Einschätzung.

  1. Wir lesen Ihre Anfrage und antworten innerhalb eines Werktags persönlich.
  2. In einem kurzen Gespräch klären wir Ziel, Umfang und Zeitrahmen.
  3. Sie erhalten ein schriftliches Angebot mit aufgeschlüsselten Positionen.

Ihr Ansprechpartner: Rico Jacobs, Geschäftsführer. DISOTECH GmbH, seit 2018.

Lieber direkt?

AnrufenE-Mail schreiben

Unter anderem für: Beauty Corner Rubin · Onyx Lashes · Poolroboter.ch · Augenkontakt · Resea Biotec · Wooden Tec · Alle Referenzen →

Projekt anfragen

Ihre Angaben verwenden wir zur Bearbeitung Ihrer Anfrage. Mehr dazu in der Datenschutzerklärung.