NIS2-Compliance: Registrierungsfrist 31. Dezember 2026 für 29.500 Firmen
Veröffentlicht am: 03.09.2026 um 19:04 Uhr | Redaktion boerse-global.de
Am 3. September 2026 findet im DigiSpace am FH OÖ Campus Steyr eine Informationsveranstaltung zur NIS2-Initiative statt. Das Treffen adressiert Unternehmen, die von der NIS2-Richtlinie sowie dem österreichischen Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) betroffen sind.
Neben den Kernorganisationen stehen insbesondere Zulieferer, Dienstleister und Technologiepartner im Fokus. Zu den zentralen Themen der Initiative gehören die Stärkung der Cyber-Resilienz, die Nachweisbarkeit von Sicherheitsvorkehrungen, Haftungsfragen sowie das Risikomanagement innerhalb der Lieferketten.
Umsetzungsschritte und Fristen in Österreich
Das NISG 2026 tritt in Österreich am 1. Oktober 2026 in Kraft. Für die betroffenen Unternehmen ergeben sich daraus verbindliche Zeitpläne für die Compliance: Die Registrierung muss bis zum 31. Dezember 2026 abgeschlossen sein.
Eine anschließende Selbstdeklaration ist bis zum 30. September 2027 gefordert. Bereits seit dem 1. März 2026 ist zudem das Resilienz- und Krisenvorsorge-Energiewirtschaftsgesetz (RKEG) wirksam, das spezifische Anforderungen für den Energiesektor definiert.
Bis zum 31. Oktober 2026 müssen NIS-Unternehmen grundlegende Basis-Sicherheitsmaßnahmen implementiert haben. Der Umfang dieser Anforderungen richtet sich nach der Einstufung der Organisation. Für sogenannte „wichtige“ Einrichtungen sind 37 Maßnahmen mit insgesamt 87 Anforderungen vorgesehen.
Bei „essenziellen“ Einrichtungen erhöht sich dieser Rahmen auf 43 Maßnahmen und 116 Anforderungen. Die Regulierung betrifft eine Vielzahl von Sektoren, darunter Energie, Transport, das Gesundheitswesen, digitale Dienste sowie die Fertigungs- und Lebensmittelindustrie.
Regulatorischer Rahmen und Registrierung in Deutschland
In Deutschland wurde die NIS2-Richtlinie bereits zum 6. Dezember 2025 durch das neue BSIG umgesetzt. Nach Schätzungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) hat sich der Kreis der betroffenen Einrichtungen dadurch massiv erweitert – von zuvor rund 4.500 auf etwa 29.500 Organisationen.
Die gesetzliche Registrierungspflicht nach § 33 BSIG sah ursprünglich eine Frist bis zum 6. März 2026 vor, die später durch eine Nachfrist bis zum 31. Juli 2026 ergänzt wurde. Trotz des Ablaufs dieser Fristen bleibt die Registrierung für betroffene Firmen weiterhin verpflichtend; bei Versäumnissen drohen Bußgelder von bis zu 500.000 Euro. Ausgenommen von den NIS2-Regelungen sind Finanzunternehmen, die unter die DORA-Verordnung fallen.
Neben den NIS2-Vorgaben müssen Unternehmen zunehmend auch spezifische Regeln für den Einsatz künstlicher Intelligenz beachten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken verstehen
Schwellenwerte und persönliche Haftung der Geschäftsführung
Die Einstufung als regulierte Einrichtung folgt klaren Schwellenwerten. Unternehmen gelten als „wichtig“, wenn sie mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz beziehungsweise eine Bilanzsumme von mehr als 10 Millionen Euro aufweisen. Die Kategorie der „besonders wichtigen“ Einrichtungen beginnt ab 250 Mitarbeitern oder einem Umsatz über 50 Millionen Euro bei einer Bilanzsumme von mehr als 43 Millionen Euro.
Bei Verstößen gegen die Sicherheitsauflagen sieht das Gesetz empfindliche Sanktionen vor. Diese können für besonders wichtige Einrichtungen bis zu 10 Millionen Euro und für wichtige Einrichtungen bis zu 7 Millionen Euro betragen. Bei Unternehmen mit einem Jahresumsatz von über 500 Millionen Euro erfolgt die Berechnung auf Basis des weltweiten Umsatzes.
Ein wesentlicher Aspekt der Neuregelung ist die persönliche Haftung der Geschäftsleitung gemäß § 38 BSIG. Führungskräfte sind verpflichtet, die Umsetzung der Sicherheitsmaßnahmen zu überwachen und müssen zudem ihrer gesetzlichen Schulungspflicht nachkommen.
Risikomanagement und Lieferkettensicherheit
Das geforderte Risikomanagement umfasst zehn gesetzlich definierte Mindestbereiche. Hierzu gehören auch strikte Meldepflichten bei Sicherheitsvorfällen: Eine erste Frühwarnung muss innerhalb von 24 Stunden erfolgen, eine detaillierte Folgemeldung nach 72 Stunden und ein abschließender Bericht nach einem Monat.
Besondere Bedeutung kommt der Absicherung der Lieferkette zu. Zulieferer werden zunehmend verpflichtet, detaillierte Sicherheitsfragen ihrer Auftraggeber zu beantworten, da andernfalls der Verlust von Aufträgen droht.
Als erste Handlungsschritte für Zulieferer werden die Erstellung eines IT-Inventars, die Einführung von Multi-Faktor-Authentifizierung (MFA), regelmäßige Backup-Tests sowie die Etablierung einer Incident-Response-Strategie empfohlen.
Wer sich mit der Stärkung der Cyber-Resilienz im Unternehmen befasst, sollte auch proaktive Schutzmaßnahmen gegen die häufigsten Angriffsmethoden implementieren. Dieser Gratis-Leitfaden zeigt in 4 Schritten, wie Firmen aus Verwaltung, Handel und Produktion Phishing-Angriffe stoppen können. Kostenloses Anti-Phishing-Paket herunterladen
Laut einer Cybersecurity-Studie des TÜV-Verbands aus dem Jahr 2025 waren 15 Prozent der deutschen Unternehmen in den vorangegangenen zwölf Monaten von IT-Sicherheitsvorfällen betroffen. Dabei wurden 10 Prozent der Angriffe über die Lieferkette verzeichnet. Während Phishing weiterhin die häufigste Angriffsmethode darstellt, registrierten bereits 51 Prozent der befragten Firmen KI-gestützte Attacken.
Zusammenspiel mit weiteren EU-Verordnungen
Die IT-Sicherheitsarchitektur wird durch weitere europäische Rechtsakte ergänzt. Der EU AI Act sieht bereits seit Februar 2025 verbote und Kompetenzpflichten vor, während Hochrisiko-Pflichten schrittweise bis August 2028 in Kraft treten. Für den Cyber Resilience Act beginnt eine erste Meldepflicht ab dem 11. September 2026; die vollständige Anwendbarkeit der Verordnung ist für den 11. Dezember 2027 vorgesehen.
