NIS2 ist da – warum lokale IT jetzt zählt

Seit 1. Oktober 2026 gilt in Österreich das NISG 2026. Betroffen sind rund 4.000 Unternehmen ab mittlerer Größe aus 18 Sektoren – von Energie und Transport über Lebensmittel bis zur verarbeitenden Industrie – und über die Lieferkettenpflicht faktisch auch deren Dienstleister. In Deutschland gilt das entsprechende Gesetz bereits seit Dezember 2025.

Die Fristen und Pflichten im Vergleich

In Kraft
Österreich (NISG 2026): 1.10.2026
Deutschland (BSIG neu): seit 6.12.2025

Registrierung bis
Österreich (NISG 2026): 31.12.2026
Deutschland (BSIG neu): 6.3.2026 (BSI-Nachfrist: 31.7.2026)

Meldefristen
Österreich (NISG 2026): 24 h / 72 h / 1 Monat
Deutschland (BSIG neu): 24 h / 72 h / 1 Monat

Strafen (wesentliche/besonders wichtige)
Österreich (NISG 2026): bis 10 Mio. € oder 2 %
Deutschland (BSIG neu): bis 10 Mio. € oder 2 %

Strafen (wichtige)
Österreich (NISG 2026): bis 7 Mio. € oder 1,4 %
Deutschland (BSIG neu): bis 7 Mio. € oder 1,4 %

Geschäftsleiterhaftung
Österreich (NISG 2026): ja, inkl. Schulungspflicht
Deutschland (BSIG neu): ja, nicht abdingbar

Österreich: Die Registrierung läuft ab 1.10.2026 über das USP, Frist ist der 31.12.2026. Bis 30.9.2027 folgt die Selbstdeklaration über die umgesetzten Maßnahmen. Wer die Registrierung versäumt, zahlt bis zu 50.000 Euro, im Wiederholungsfall 100.000.

Deutschland: Von geschätzt 29.500 betroffenen Einrichtungen waren zum 30.6.2026 erst 17.729 registriert (BSI) – rund 40 Prozent fehlen.

Der Maßnahmenkatalog ist in beiden Ländern derselbe: Backups und Wiederherstellung, Krisenmanagement, Verschlüsselung, Zugriffskontrolle, Multi-Faktor-Authentifizierung – und die Sicherheit der Lieferkette einschließlich der unmittelbaren Anbieter.

Zwei dieser Pflichten machen lokale IT zum Thema. Erstens die 24-Stunden-Frist: Wer binnen eines Tages an das CSIRT melden muss, was passiert ist, braucht Zugriff auf Protokolle und Dokumente – auch dann, wenn die externe Verbindung gerade das Problem ist. Resilienz heißt wörtlich: Es muss auch offline funktionieren. Zweitens die Lieferkettenpflicht: Jeder Dienstleister in der Kette ist eine Prüffrage mit Standort, Vertrag und Nachweis. Das gilt auch für KI – wer eine KI auf seinen Dokumentenbestand lässt, holt einen weiteren Anbieter in die Kette. Eine lokal oder in der EU betriebene Lösung, bei der nur anfragerelevante Daten die Umgebung verlassen, verkürzt diese Kette, statt sie zu verlängern.

Ein ECM ist dabei doppelt nützlich: Es ist selbst Teil der geforderten Resilienz (Wiederherstellbarkeit, Zugriffskontrolle, Protokollierung) – und es ist der Ort, an dem Risikoanalysen, Verträge und Nachweise für die Selbstdeklaration auditfest liegen.

Ist Ihr Unternehmen betroffen? Wir prüfen das mit Ihnen und zeigen, wie ELO die Nachweispflichten trägt.

Quellen: NISG 2026 – Beschluss im Parlament und Kundmachung BGBl. I Nr. 94/2025 (FEEI); WKO – NIS2-Übersicht; BSI – „NIS-2 in Zahlen“, Stand 30.6.2026; neues BSIG in Kraft (Ebner Stolz).