Seit dem 1. Oktober 2026 hat Österreich ein neues Gesetz für Cybersicherheit. Das NISG 2026 bringt die europäische NIS-2-Richtlinie in heimisches Recht und erfasst deutlich mehr Unternehmen als die bisherige Regelung. Wer darunterfällt, muss sich in den nächsten Wochen bei der Behörde registrieren. Für viele Betriebe stellen sich damit zwei Fragen: Bin ich betroffen? Was heißt das für meine Website? Dieser Beitrag ordnet ein, was im Gesetz steht, und zeigt, welche Schritte für kleinere Betriebe sinnvoll sind. Er ersetzt keine rechtliche Beratung.
Worum es geht
Das Netz- und Informationssystemsicherheitsgesetz 2026 wurde im Rechtsinformationssystem des Bundes als BGBl. I Nr. 94/2025 kundgemacht. Es setzt die Richtlinie (EU) 2022/2555 um, die auf EU-Ebene als NIS 2 bekannt ist. Die Wirtschaftskammer nennt in ihrer NIS2-Übersicht den 1. Oktober 2026 als Stichtag, ab dem die neuen Regeln gelten. Zuständig ist das Bundesamt für Cybersicherheit.
Das Gesetz unterscheidet zwei Gruppen: wesentliche und wichtige Einrichtungen. Ob ein Unternehmen dazugehört, hängt grundsätzlich von zwei Fragen ab. Erstens: Ist es in einem der Sektoren tätig, die in den beiden Anlagen zum Gesetz aufgezählt sind? Dazu zählen laut WKO etwa Energie, Verkehr, Gesundheitswesen, Trinkwasser, digitale Infrastruktur und die Verwaltung von IKT-Diensten für andere Unternehmen, aber auch Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, die Herstellung von Waren, Anbieter digitaler Dienste und die Forschung. Zweitens: Erreicht es zumindest die Größe eines mittleren Unternehmens?
Diese Größe regelt § 25 NISG 2026. Als mittleres Unternehmen gilt, wer mindestens 50 Personen beschäftigt oder mehr als zehn Millionen Euro Jahresumsatz und zugleich mehr als zehn Millionen Euro Bilanzsumme erreicht. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz bei über 43 Millionen Euro Bilanzsumme spricht das Gesetz von einem großen Unternehmen. Gerechnet wird nach der EU-Empfehlung zur KMU-Definition, verbundene Unternehmen können also mitzählen.
Es gibt Ausnahmen in beide Richtungen. Manche Anbieter fallen unabhängig von ihrer Größe unter das Gesetz, nach § 24 etwa DNS-Diensteanbieter, Vertrauensdiensteanbieter und Anbieter öffentlicher Kommunikationsnetze oder -dienste. Umgekehrt nimmt das Gesetz im Bereich der öffentlichen Verwaltung etwa Schulen, Hochschulen und Gerichte ausdrücklich aus.
Die Registrierung selbst regelt § 29. Betroffene Einrichtungen geben dabei unter anderem ihren Namen, Kontaktdaten, Sektor, die Länder, in denen sie tätig sind, gegebenenfalls ihre IP-Adressbereiche und Angaben zu den Größenschwellen an. Das Gesetz verlangt die Registrierung innerhalb von drei Monaten ab Inkrafttreten. Das Bundesamt für Cybersicherheit rechnet daraus den 1. Jänner 2027 als Grundsatz und, wegen der Fristenregel in § 33 Abs. 2 AVG, den 4. Jänner 2027 als spätesten Termin. Die Anmeldung läuft über die Anwendung NIS2-Services im Unternehmensserviceportal. Wer die Kriterien erst später erfüllt, hat ab diesem Zeitpunkt ebenfalls drei Monate Zeit.
Was das für Betriebe in Österreich heißt
Für den Großteil der Betriebe, die wir betreuen, lautet die ehrliche Antwort: Sie sind nicht direkt betroffen. Ein Gasthof mit zwölf Mitarbeitenden, eine Physiotherapiepraxis oder ein Tischlereibetrieb liegen in der Regel unter der Größenschwelle. Die WKO hält fest, dass Kleinunternehmen grundsätzlich nicht erfasst sind, mit den genannten größenunabhängigen Sonderfällen. Wer selbst DNS für andere betreibt, sollte also genauer hinsehen.
Wichtig ist der zweite Satz, den die Kammer gleich dazu sagt: Kleine Betriebe können über die Lieferkette mittelbar berührt sein. Der Grund steht in § 32 Abs. 4 NISG 2026. Betroffene Einrichtungen müssen ihre Risiken aktiv steuern, und dazu gehört ausdrücklich die Sicherheit der Lieferkette, also auch die Frage, wie sorgfältig ihre direkten Anbieter und Dienstleister arbeiten. Laut NIS-FAQ der WKO betrifft das nicht pauschal jeden Lieferanten, sondern vor allem jene, deren Leistungen die IT-Systeme des Kunden berühren. Wenn Sie etwa für ein Spital, einen Energieversorger oder einen größeren Produktionsbetrieb Software, Wartung oder Online-Dienste liefern, kann es gut sein, dass Sie bald Fragen zu Ihrer IT-Sicherheit oder neue Vertragsklauseln bekommen.
Der Katalog in § 32 liest sich wie eine Checkliste guter Praxis: Backups und Wiederherstellung, Umgang mit Sicherheitsvorfällen, sichere Wartung und Schwachstellenbehebung, Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Nichts davon ist exotisch. Genau diese Punkte entscheiden auch bei einer kleinen Unternehmenswebsite darüber, ob ein Angriff ein Ärgernis bleibt oder den Betrieb tagelang lahmlegt.
Auch die Meldepflichten zeigen, worauf es ankommt. Betroffene Einrichtungen müssen einen erheblichen Vorfall laut Bundesamt für Cybersicherheit binnen 24 Stunden mit einer Frühwarnung und binnen 72 Stunden mit einer Meldung anzeigen. Das klappt nur, wenn klar ist, wer im Ernstfall zuständig ist und wie man den Hoster, die Agentur oder den IT-Dienstleister erreicht.
Was Sie jetzt tun können
Ob Ihr Betrieb unter das NISG 2026 fällt, müssen Sie selbst prüfen; eine automatische Einstufung durch die Behörde ist laut WKO nicht vorgesehen. Für die erste Einschätzung bietet die Kammer einen kostenlosen Online-Ratgeber unter ratgeber.wko.at/nis2 an. Im Zweifel klären Sie Ihre Einordnung mit dem Bundesamt, Ihrer Wirtschaftskammer oder einer rechtlichen Beratung.
Unabhängig davon lohnt sich bei Website und Hosting ein kurzer Sicherheitscheck:
- Betroffenheit klären: Sektor und Größe anhand von § 24 und § 25 prüfen, verbundene Unternehmen mitdenken. Wer betroffen ist, registriert sich rechtzeitig und wartet nicht bis zum letzten Tag.
- Updates einspielen: System, Plugins und Themes Ihrer Website aktuell halten und nicht mehr gepflegte Erweiterungen entfernen.
- Backups prüfen: Sicherungen regelmäßig, getrennt vom Webserver und mit einer Wiederherstellung, die auch einmal ausprobiert wurde.
- Verschlüsselung sicherstellen: Die gesamte Website läuft über HTTPS mit gültigem Zertifikat, Formulare übertragen Daten nur verschlüsselt.
- Zugänge aufräumen: Wer hat Zugriff auf Website, Hosting und Domain? Ehemalige Mitarbeitende und alte Dienstleister-Konten entfernen, Rechte auf das Nötige beschränken.
- Zwei-Faktor aktivieren: Für Website-Admin, Hosting-Kundenbereich, Domainverwaltung und E-Mail einen zweiten Faktor einschalten.
- Meldeweg festlegen: Eine Liste, wer im Ernstfall wen informiert, mit Telefonnummern von Hoster und Agentur, griffbereit auch offline.
- Für Kundenanfragen vorbereiten: Wenn Sie an betroffene Einrichtungen liefern, halten Sie fest, welche Maßnahmen Sie bereits umsetzen. Das macht Fragebögen deutlich einfacher.
Viele dieser Punkte gehören bei uns zur laufenden Websicherheit und zum Webhosting. Wenn Sie wissen wollen, wo Ihre Website heute steht, sehen wir sie uns gerne gemeinsam an. Die rechtliche Einordnung Ihres Betriebs übernehmen wir nicht, dafür sind Behörde, Kammer oder Beratung die richtige Adresse.
Häufige Fragen
Muss sich mein Kleinbetrieb beim Bundesamt registrieren?
In den meisten Fällen nicht. Die Registrierungspflicht trifft wesentliche und wichtige Einrichtungen, und das sind in der Regel mittlere und große Unternehmen in den genannten Sektoren. Ausnahmen gelten für bestimmte Anbieter wie DNS- oder Vertrauensdienste, die unabhängig von ihrer Größe erfasst sind. Prüfen Sie das im Zweifel mit dem WKO-Ratgeber oder lassen Sie es beraten.
Gilt die Frist 31. Dezember, 1. Jänner oder 4. Jänner?
Das Gesetz spricht von drei Monaten ab Inkrafttreten. Das Bundesamt nennt den 1. Jänner 2027 als grundsätzliches Ende und den 4. Jänner 2027 als spätesten Termin. Auf Seiten der WKO finden sich teilweise frühere Daten. Am einfachsten ist es, die Registrierung deutlich vor dem Jahreswechsel zu erledigen.
Bin ich als Lieferant eines betroffenen Unternehmens selbst verpflichtet?
Die Registrierungs- und Meldepflichten richten sich an die Einrichtungen, die selbst unter das Gesetz fallen. Ob das auf Sie zutrifft, prüfen Sie anhand der Kriterien oder mit dem WKO-Ratgeber. Ihre Kunden müssen aber die Sicherheit ihrer Lieferkette berücksichtigen. Das kann bedeuten, dass Sie Nachweise liefern oder vertragliche Sicherheitsanforderungen erfüllen sollen.
Reicht eine sichere Website, um NIS2 zu erfüllen?
Nein. Für betroffene Einrichtungen umfasst das Gesetz das gesamte Risikomanagement, von Schulungen der Geschäftsleitung bis zur Meldung von Vorfällen. Die Website ist ein Baustein davon. Für alle anderen Betriebe ist sie oft das sichtbarste und am leichtesten angreifbare System und deshalb ein guter Ausgangspunkt.