NISG 2026 in Kraft, doch die nächsten Änderungen sind bereits in Planung!

Seit dem 1.10.2026 gilt in Österreich das NISG 2026. Mehrere tausend Unternehmen aus 18 Sektoren müssen sich bis zum 31.12.2026 registrieren und Risikomanagementmaßnahmen umsetzen.
Das Thema NIS ist damit aber noch nicht abgeschlossen. Die EU-Kommission hat bereits ein neues Cybersicherheitspaket vorgelegt. Beschlossen werden könnte es schon 2027, spürbar für NIS2-pflichtige Unternehmen wird es jedoch erst frühstens im Jahr 2028. ¹⁾ 
 

Wie plant die EU mehr Cyberresilienz?

2 Vorschläge wurden am 20.1.2026 von der EU-Kommission vorgelegt:

• Änderung der NIS2-Richtlinie: Die Kommission will NIS2 an einigen Stellen vereinfachen und den Anwendungsbereich deutlicher definieren. Nationales „Gold-Plating“, also zusätzliche Vorgaben, die über die Richtlinie hinausgehen, soll eingeschränkt werden. Diese Änderungen müssten die Mitgliedstaaten jedoch zuerst in nationales Recht umsetzen.
• Cybersecurity Act 2 (CSA 2): Die neue Verordnung soll den Cybersecurity Act von 2019 ersetzen. Sie gilt nach ihrer Annahme als Verordnung direkt in allen Mitgliedstaaten. Es soll damit ein verbindlicher Rahmen für die Sicherheit von IKT-Lieferketten geschaffen werden. Zudem wird die EU-Agentur für Cybersicherheit (ENISA) gestärkt und die europäische Cybersicherheitszertifizierung neu aufgestellt.²⁾

Betreffen die geplanten Änderungen mein Unternehmen?

3 Fragen helfen bei der Einordnung:

1. Ist Ihr Unternehmen nach dem NISG 2026 eine wesentliche oder wichtige Einrichtung?
2. Beschäftigt Ihr Unternehmen weniger als 750 Personen und erzielt höchstens EUR 150 Mio. Jahresumsatz (bzw. höchstens EUR 129 Mio. Bilanzsumme)?
3. Setzen Sie in kritischen Systemen IKT-Komponenten, Cloud-Dienste oder Fernwartung von Anbietern ein, die außerhalb der EU ansässig sind oder von dort kontrolliert werden?

Unternehmen, die nach dem NISG 2026 als wesentliche oder wichtige Einrichtung gelten, sind von den geplanten Lieferkettenregeln grundsätzlich erfasst. Für mittelgroße Unternehmen kann sich durch die neue Kategorie „Small Mid-Caps“ zudem die bisherige NIS2-Einstufung ändern. Besonders genau sollten jene Unternehmen die Entwicklungen rund um den CSA 2 verfolgen, die in kritischen Systemen auf Anbieter aus Drittstaaten setzen.³⁾ 
 

Was soll sich bei NIS2 ändern?

Die Grundpflichten wie Risikomanagement, Meldepflichten, Registrierung und Verantwortung der Geschäftsleitung bleiben bestehen. Geändert werden sollen vor allem Einstufung und Details: ⁴⁾ 
 

Einstufung	Details
Neue Kategorie „Small Mid-Caps“	Unternehmen mit weniger als 750 Beschäftigten und höchstens EUR 150 Mio. Umsatz bzw. EUR 129 Mio. Bilanzsumme sollen grundsätzlich als wichtige statt als wesentliche Einrichtungen gelten. Laut Kommission sinken damit die Kosten für rund 22.500 Unternehmen EU-weit.
Präziserer Anwendungsbereich	Im Chemiesektor soll etwa der reine Vertrieb wegfallen, DNS-Anbieter wären nur noch ab den üblichen Größenschwellen erfasst. Betreiber von Unterseekabeln kommen als wesentliche Einrichtungen neu hinzu.
Weniger Gold-Plating	Erlässt die Kommission EU-weite technische Vorgaben, dürfen die Mitgliedstaaten keine zusätzlichen Anforderungen mehr festlegen.
Ransomware	Auf Anfrage müssen Unternehmen angeben, ob ein Lösegeld gefordert und gezahlt wurde, in welcher Höhe, an wen und auf welchem Weg.
Zertifikat statt Zusatzaudit	Ein künftiges EU-Zertifikat über die gesamte Cybersicherheitsaufstellung eines Unternehmens („Cyber Posture“) soll zusätzliche Sicherheitsaudits durch die Behörde ersetzen können.

 

Wie erhöht der CSA 2 die Sicherheit der IKT-Lieferkette?

Der Kern des CSA 2 sind sogenannte „nicht-technische Risiken“, also die Gefahr, dass ein IKT-Lieferant von einem Drittstaat beeinflusst wird. Bisher gab es dazu nur die 5G-Toolbox. Künftig soll ein verbindliches Verfahren in 5 Schritten gelten:

1. EU-weite Risikobewertung, ausgelöst durch die Kommission oder mindestens 3 Mitgliedstaaten
2. Einstufung von Drittstaaten mit ernsthaften Risiken, etwa wegen Pflichten zur Weitergabe von Schwachstellen an staatliche Stellen
3. Festlegung von „Schlüssel-IKT-Assets“
4. Liste der High-Risk-Supplier anhand von Sitz, Eigentümer:in- und Kontrollstruktur
5. Verbot dieser Komponenten in Schlüssel-IKT-Assets mit Übergangsfrist oder mildere Maßnahmen zur Risikominderung

Am weitesten gehen die Regeln für Mobilfunknetze. Dort müssen Komponenten von High-Risk-Supplier innerhalb von höchstens 36 Monaten nach Veröffentlichung der Lieferant:innenliste ausgetauscht werden. Als erste Schwerpunkte gelten 5G-Netze, Detektionsausrüstung sowie vernetzte und automatisierte Fahrzeuge. Genannt werden außerdem unter anderem Stromversorgung, Wasserversorgung, Cloud-Dienste, Drohnen, Medizinprodukte und Halbleiter.

Es reicht nicht mehr, nur den:die direkte:n Vertragspartner:in zu kennen. Entscheidend wird auch, wer die verbauten Komponenten herstellt, wo dieser Hersteller seinen Sitz hat und wer über Beteiligungen oder Kontrollrechte Einfluss auf ihn nehmen kann. Behörden können zudem die Offenlegung von Lieferant:inneninformationen, Einschränkungen bei Datentransfers und Fernzugriffen aus Drittstaaten oder eine Diversifizierung der Lieferkette verlangen. ⁵⁾ 
 

Fazit: Warum Transparenz in der Lieferkette jetzt entscheidend wird

Obwohl die Regelungen des NISG 2026 gerade erst in Kraft getreten sind, zeigt die EU-Initiative klar: Die Anforderungen an IT-Sicherheit und Risikomanagement bleiben dynamisch. Während die Reformen für manche KMU durch die Kategorie „Small Mid-Caps“ Entlastungen bringen können, verschärfen sich zeitgleich die Vorschriften für die IKT-Lieferkette und Drittstaatenkomponenten deutlich. Unternehmen sollten daher nicht nur die Fristen der aktuellen Registrierung einhalten, sondern bereits jetzt Transparenz in ihrer kompletten Lieferkette schaffen.
 

---

¹⁾ §§ 24, 29, 32 und 51 Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026), BGBl. I 2025/94. (abgefragt am 27.10.2026) 

²⁾ Vorschlag zur Änderung der NIS-2-Richtlinie, COM(2026) 13 final; Vorschlag für die Cybersicherheitsverordnung 2, COM(2026) 11 final. (abgefragt am 27.10.2026)

³⁾ § 24 NISG 2026; Empfehlung (EU) 2025/1099 der Kommission vom 21.5.2025 zur Definition kleiner Midcap-Unternehmen, ABl L 2025/1099; Art. 98 ff. COM(2026) 11 final. (abgefragt am 27.10.2026)

⁴⁾ RL (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14.12.2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der VO (EU) 910/2014 und der RL (EU) 2018/1972 sowie zur Aufhebung der RL (EU) 2016/1148 (NIS-2-Richtlinie), ABl L 2022/333, 80; Art. 1 COM(2026) 13 final. (abgefragt am 27.10.2026)

⁵⁾ Art. 98 bis 111 COM(2026) 11 final. (abgefragt am 27.10.2026)
 

---

Quellenverzeichnis:

• Bundesgesetz zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026), BGBl. I 2025/94.
• RL (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14.12.2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der VO (EU) 910/2014 und der RL (EU) 2018/1972 sowie zur Aufhebung der RL (EU) 2016/1148 (NIS-2-Richtlinie), ABl L 2022/333, 80.
• Empfehlung (EU) 2025/1099 der Kommission vom 21.5.2025 zur Definition kleiner Midcap-Unternehmen, ABl L 2025/1099.
• Vorschlag für eine RL des Europäischen Parlaments und des Rates zur Änderung der RL (EU) 2022/2555 im Hinblick auf Vereinfachungsmaßnahmen und die Angleichung an den [Vorschlag für die Cybersicherheitsverordnung 2], COM(2026) 13 final vom 20.1.2026.
• Vorschlag für eine VO des Europäischen Parlaments und des Rates über die Agentur der Europäischen Union für Cybersicherheit (ENISA), den europäischen Rahmen für die Cybersicherheitszertifizierung und die Sicherheit der IKT-Lieferkette sowie zur Aufhebung der VO (EU) 2019/881 (Cybersicherheitsverordnung 2), COM(2026) 11 final vom 20.1.2026.