Das NISG 2026 setzt die NIS2-Richtlinie in Österreich um – und bringt keinen einzelnen Stichtag, sondern eine Kaskade von Fristen. Wer die Reihenfolge kennt, plant realistisch und vermeidet Strafen schon bei den Formalpflichten.
- 1. Oktober 2026: NISG 2026 tritt in Kraft – Risikomanagement, Leitungspflichten und Meldepflichten gelten ab sofort
- 31. Dezember 2026: Ende der Registrierungsfrist beim Bundesamt für Cybersicherheit
- Binnen 12 Monaten ab Registrierungspflicht: Selbstdeklaration einreichen – für die meisten Einrichtungen also bis Herbst 2027
- Ab Oktober 2028: Nachweise durch Prüfberichte unabhängiger Stellen möglich
Vom Gesetzesbeschluss zum Stichtag
Nach dem gescheiterten ersten Anlauf im Juli 2024 hat der Nationalrat das Netz- und Informationssystemsicherheitsgesetz 2026 am 12. Dezember 2025 beschlossen. Kundgemacht wurde es am 23. Dezember 2025 (BGBl. I Nr. 94/2025). Das Gesetz tritt neun Monate nach der Kundmachung in Kraft – also am 1. Oktober 2026. Gleichzeitig nimmt das neu geschaffene Bundesamt für Cybersicherheit im Innenministerium seine Arbeit als Aufsichtsbehörde auf.
Die Fristen im Überblick
Veröffentlichung im Bundesgesetzblatt. Ab hier läuft die Vorbereitungszeit.
Risikomanagementmaßnahmen (§ 32), Pflichten der Leitungsorgane samt Schulung (§ 31) und Meldepflichten (§ 34) gelten ohne Übergangsfrist.
Wesentliche und wichtige Einrichtungen registrieren sich binnen drei Monaten beim Bundesamt für Cybersicherheit – elektronisch über das Unternehmensserviceportal (USP).
Binnen zwölf Monaten ab Eintritt der Registrierungspflicht: Beschreibung der umgesetzten Risikomanagementmaßnahmen inklusive Ergebnissen der Risikoanalyse.
Frühestens zwei Jahre nach Inkrafttreten kann die Behörde Nachweise durch Prüfberichte unabhängiger Stellen einfordern.
Der häufigste Denkfehler
Die Selbstdeklaration im Herbst 2027 wirkt wie eine komfortable Frist. Sie ist es nicht. Die Maßnahmen gelten ab dem 1. Oktober 2026 – die Selbstdeklaration beschreibt nur, was zu diesem Zeitpunkt bereits laufen sollte. Wer erst im Sommer 2027 mit der Risikoanalyse beginnt, hat im Herbst wenig vorzuweisen.
Was bei verpassten Fristen droht
- Formalpflichten wie Registrierung oder Änderungsmeldungen: bis 50.000 €, im Wiederholungsfall bis 100.000 €
- Inhaltliche Verstöße (Risikomanagement, Leitungspflichten, Meldungen): bis 10 Mio. € oder 2 % des weltweiten Vorjahresumsatzes bei wesentlichen, bis 7 Mio. € oder 1,4 % bei wichtigen Einrichtungen
Einrichtungen, die später betroffen werden
Wer die Voraussetzungen erst nach dem 1. Oktober 2026 erfüllt – etwa durch Wachstum über die Größenschwelle oder einen neuen Geschäftsbereich –, hat für die Registrierung ebenfalls drei Monate ab diesem Zeitpunkt. Die Frist für die Selbstdeklaration läuft dann entsprechend später.
Fazit
Die entscheidende Frist ist nicht der Herbst 2027, sondern der 1. Oktober 2026. Klären Sie zuerst die Betroffenheit, sichern Sie die Registrierung bis Jahresende ab und bauen Sie parallel ein Risikomanagement auf, das Sie in der Selbstdeklaration belegen können.
Häufige Fragen
Ab wann gilt das NISG 2026?
Bis wann muss ich mich nach dem NISG 2026 registrieren?
Wann ist die Selbstdeklaration fällig?
Marko DjurasinovicVITA – Governance, Compliance und Informationssicherheit. Schwerpunkte: NIS2 und NISG 2026, ISO 27001, Risikomanagement und IT-Governance.
Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung. Stand: 23. September 2026.
Fristen im Griff – Maßnahmen im Plan?
Wir klären Ihre Betroffenheit und bauen mit Ihnen einen realistischen Fahrplan bis zur Selbstdeklaration.
NIS2-Partner Österreich