Das NISG 2026 (BGBl. I Nr. 94/2025) tritt am 1. Oktober 2026 in Kraft und betrifft direkt rund 4.000 mittlere und große Einrichtungen in Österreich — ab 50 Beschäftigten oder 10 Mio. Euro Umsatz. Kleinere Betriebe fallen nicht darunter, bekommen die Anforderungen aber trotzdem: Paragraph 32 verpflichtet betroffene Einrichtungen ausdrücklich, die Sicherheit ihrer Lieferkette einschließlich ihrer unmittelbaren Dienstleister zu regeln. In der Praxis heißt das Fragebögen und Vertragsklauseln, die ab Herbst 2026 bei Zulieferern ankommen — bei Betrieben also, die selbst keine IT-Abteilung haben.
Wer direkt betroffen ist — und wer nicht
Das NISG 2026 unterscheidet wesentliche und wichtige Einrichtungen in 18 Sektoren. Die Schwelle liegt bei 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme; als groß gilt ab 250 Beschäftigten oder mehr als 50 Mio. Euro Umsatz. Betroffene müssen sich bis 31. Dezember 2026 registrieren und bis 30. September 2027 eine Selbstdeklaration abgeben. Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden als Frühwarnung und binnen 72 Stunden vollständig zu melden. Wenn Sie diese Größen nicht erreichen, sind Sie nicht meldepflichtig — das ist die gute Nachricht und zugleich der Grund, warum die meisten Betriebe das Thema abhaken, bevor der zweite Teil kommt.
Warum es kleine Betriebe trotzdem trifft
Der Teil, der in den Zusammenfassungen meist fehlt, steht in Paragraph 32: Betroffene Einrichtungen müssen die Risiken ihrer Lieferkette beherrschen, einschließlich der Sicherheitsanforderungen an ihre unmittelbaren Dienstleister und Lieferanten. Ein Unternehmen, das selbst unter das Gesetz fällt, kann diese Pflicht nicht erfüllen, ohne sie weiterzugeben. Es gibt dafür nur zwei Wege: eine Klausel im Vertrag oder einen Fragebogen. Beides landet bei Ihnen, wenn Sie an einen Betrieb dieser Größe liefern — und in einem Industriebezirk wie Vöcklabruck oder Gmunden trifft das auf sehr viele Zulieferer, Wartungsfirmen und Softwarepartner zu.
Was in solchen Fragebögen typischerweise steht
Die Formulierungen unterscheiden sich, die Substanz kaum. Gefragt wird nach: einem benannten Verantwortlichen für Informationssicherheit; einer Liste der eingesetzten Systeme und Zugänge; dem Umgang mit Sicherheitslücken und Updates; der Datensicherung samt getesteter Wiederherstellung; der Zugriffsverwaltung inklusive Zwei-Faktor-Anmeldung; einem Vorgehen bei Sicherheitsvorfällen mit Meldeweg und Fristen; und danach, ob Ihre eigenen Dienstleister ebenfalls verpflichtet sind. Keine dieser Fragen ist für sich schwierig. Schwierig ist, dass sie schriftlich und prüfbar beantwortet werden müssen, und dass ein leeres Feld im Zweifel wie ein Nein gelesen wird.
Was passiert, wenn Sie nicht antworten können
Sie bekommen keine Strafe — Sie sind ja nicht Adressat des Gesetzes. Die Verwaltungsstrafen von 50.000 Euro für eine versäumte Registrierung und 100.000 Euro für eine versäumte Selbstdeklaration treffen die betroffene Einrichtung, nicht ihren Lieferanten. Genau deshalb wird Ihr Kunde die Anforderung ernst nehmen: Er muss nachweisen, dass er seine Lieferkette geregelt hat. Wer den Nachweis nicht liefert, fällt bei der nächsten Vergabe hinten runter. Das ist kein rechtliches, sondern ein wirtschaftliches Risiko — und es wirkt schneller.
Was jetzt sinnvoll ist, in dieser Reihenfolge
Erstens: Klären Sie, ob einer Ihrer großen Kunden unter das Gesetz fällt. Ein Anruf beim Einkauf genügt und ist ohnehin besser, als den Fragebogen abzuwarten. Zweitens: Machen Sie eine Bestandsaufnahme Ihrer eigenen IT — welche Systeme, welche Zugänge, welche Sicherungen, wer hat worauf Zugriff. Drittens: Schließen Sie die drei bis fünf Lücken, die dabei immer auftauchen. Viertens: Halten Sie das Ergebnis schriftlich fest, damit der nächste Fragebogen eine halbe Stunde dauert und nicht zwei Tage. Diese Reihenfolge ist wichtig: Wer mit Punkt vier anfängt, schreibt Wunschdenken auf.
Was das bei uns kostet
Die Bestandsaufnahme aus Punkt zwei und drei ist bei uns der IT-Sicherheitscheck: eine einmalige Prüfung mit schriftlichem Bericht und Maßnahmenliste für 490 Euro. Sie schulden uns danach nichts weiter — der Bericht gehört Ihnen, auch wenn Sie die Maßnahmen selbst umsetzen oder jemand anderen damit beauftragen. Fragen Sie vorher bei der Wirtschaftskammer nach Beratungsförderungen für Oberösterreich: Für Beratungsleistungen zu Informations- und Cybersicherheit gibt es Förderungen, die einen erheblichen Teil des Honorars abdecken. Die Bedingungen ändern sich jährlich, deshalb steht hier keine Zahl — aber es lohnt den Anruf, bevor Sie beauftragen.
Der Zeitplan, an dem Sie sich orientieren können
Das Gesetz gilt ab 1. Oktober 2026. Die Registrierungsfrist für direkt Betroffene endet am 31. Dezember 2026 — das ist der Zeitraum, in dem die meisten Einrichtungen ihre Lieferketten durchgehen, weil sie dafür eine Bestandsaufnahme brauchen. Rechnen Sie also mit Fragebögen zwischen Oktober 2026 und Frühjahr 2027. Wer die eigene Bestandsaufnahme vorher gemacht hat, beantwortet sie aus der Schublade. Wer wartet, macht sie unter Termindruck neben dem Tagesgeschäft.
Zulieferer im Zentralraum Wels und Linz: was jetzt vorzubereiten ist
Das NISG 2026 gilt für ganz Österreich, aber der Fragebogen kommt dort an, wo viele Zulieferer sitzen: bei Maschinenbauern, Installationsbetrieben, Softwarepartnern und Dienstleistern rund um die großen Betriebe im Zentralraum. Legen Sie deshalb heute einen Ordner an, aus dem sich jede Anfrage in einer halben Stunde beantworten lässt. Hinein gehören: der Name der Person, die für Informationssicherheit zuständig ist, eine Liste der Systeme und Zugänge, der Nachweis der letzten getesteten Wiederherstellung, die Übersicht der Konten mit Zwei-Faktor-Anmeldung und eine Seite, die beschreibt, wer bei einem Vorfall wen anruft. Mehr verlangen die meisten Fragebögen am Anfang nicht. Die Prüfung der eigenen Lage übernehmen wir im Rahmen von IT-Sicherheit für Betriebe, für Kunden aus der Region mit Sitz in Wels oder Umgebung. Florin Feier aus Lenzing erledigt das per Fernwartung oder kommt nach Wels, Linz oder ins Salzkammergut vorbei.
Häufige Folgefragen
- Woher weiß ich, ob mein Kunde betroffen ist?
- Am einfachsten durch die Frage beim Einkauf — sie ist niemandem unangenehm, weil betroffene Unternehmen ohnehin ihre Lieferanten durchgehen müssen. Anhaltspunkte sind die Größe (ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz) und die Branche: Energie, Wasser, Verkehr, Gesundheit, Produktion bestimmter Güter, digitale Dienste.
- Wir haben schon einen Fragebogen bekommen — was jetzt?
- Beantworten Sie ihn nicht aus dem Gedächtnis. Machen Sie zuerst die Bestandsaufnahme, füllen Sie dann aus, und heben Sie beides gemeinsam auf. Der Fragebogen ist ein Nachweis, den Ihr Kunde archiviert; was Sie dort eintragen, sollte in einem Jahr noch stimmen und belegbar sein.
- Reicht es, die Fragen mit Ja zu beantworten?
- Nur, wenn es stimmt. Diese Fragebögen enden in der Regel mit einer Bestätigung, und einige Auftraggeber prüfen stichprobenweise nach. Eine unzutreffende Angabe ist schlechter als ein ehrliches Nein mit Zeitplan — das Nein kostet Sie ein Gespräch, die falsche Angabe den Auftrag.
- Was, wenn mehrere Kunden verschiedene Fragebögen schicken?
- Das ist der wahrscheinliche Fall, und er ist beherrschbar: Die Fragen ähneln sich stark, weil alle auf dieselben Anforderungen zurückgehen. Legen Sie deshalb eine eigene Beschreibung Ihrer IT-Sicherheit an — einmal geschrieben, aus der Sie jeden Fragebogen bedienen. Das dauert beim ersten Mal einen Tag und danach eine halbe Stunde je Kunde.
Kurz gesagt: Sie müssen das NISG 2026 nicht erfüllen, wenn Sie nicht darunterfallen. Aber Ihr größter Kunde muss nachweisen, dass er Sie geprüft hat — und diesen Nachweis erbringen Sie oder ein Mitbewerber. Die Bestandsaufnahme ist in beiden Fällen dieselbe Arbeit; der Unterschied ist nur, ob Sie sie vorher machen oder unter Frist.
Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.
Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.
Von Florin Feier · · Aktualisiert:
Wir melden uns an Werktagen innerhalb von 24 Stunden.
So geht es weiter
- Wir lesen und ordnen ein
- Wir melden uns mit einer Einschätzung
- Erst danach entscheiden Sie
Wenn es eilt, rufen Sie an: +43 676 3808501
In Ihrer Nähe: IT-Sicherheit in Lenzing · IT-Sicherheit in Schörfling am Attersee · IT-Sicherheit in Mondsee