NIS2 & NISG 2026: Beratung & Umsetzung

Als Orientierung: NIS2 erfasst Unternehmen ab rund 50 Mitarbeitern bzw. 10 Mio. € Umsatz in einem der 18 Sektoren (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, IKT-Dienste, Herstellung, Lebensmittel). Kleinere Betriebe werden häufig indirekt über die Lieferkette ihrer betroffenen Kunden erfasst. Die verbindliche Einstufung ergibt sich aus dem Gesetz – wir helfen bei der Einordnung, ersetzen aber keine Rechtsberatung.

In Österreich setzt das NISG die Richtlinie um und tritt am 1. Oktober 2026 in Kraft; betroffene Einrichtungen müssen sich bis 31. Dezember 2026 registrieren und Vorfälle gestuft melden (24 Stunden / 72 Stunden / 1 Monat). In Deutschland gilt für die BSI-Registrierung der 6. März 2026 ohne Übergangsfrist.

NIS2 sieht Bußgelder von bis zu 10 Mio. € bzw. 2 % des weltweiten Jahresumsatzes vor. Hinzu kommt in vielen Fällen eine persönliche Verantwortung der Geschäftsleitung für das Risikomanagement.

NIS2 ist die EU-Richtlinie (EU) 2022/2555. Das NISG ist das österreichische Gesetz, das diese Richtlinie in nationales Recht umsetzt. In Deutschland heißt das entsprechende Umsetzungsgesetz NIS2UmsuCG.

Möglicherweise ja. Auch wenn Sie nicht direkt unter NIS2 fallen, verlangen betroffene Kunden zunehmend Sicherheitsnachweise von ihren Lieferanten und Dienstleistern. Über diese Lieferkettenanforderungen wirkt NIS2 faktisch auch auf kleinere Betriebe.

In Stufen: Readiness-Check zur Betroffenheit, Gap-Analyse gegen die zehn Mindestmaßnahmen, technische und organisatorische Umsetzung sowie laufender Betrieb mit Monitoring und Unterstützung beim Meldewesen. Als Managed Service Provider sind wir selbst von NIS2 erfasst und kennen die Anforderungen aus der Praxis.