Was gilt
Am 1. Oktober 2026 tritt das NISG 2026 in Kraft — Österreichs Umsetzung der NIS2-Richtlinie. Die Logik entspricht dem deutschen BSIG, aber mit eigenen Meldewegen, eigener Behördenstruktur und eigenen Registrierungspflichten.
Für Unternehmen mit Standorten in beiden Ländern heißt das: zwei Regime, ein Sicherheitsniveau. Wer seine Maßnahmen framework-neutral aufgebaut hat, meldet nur zweimal — wer pro Land ein eigenes Projekt fährt, zahlt doppelt.
Wen es betrifft
Unternehmen mit Sitz oder Niederlassung in Österreich in den NIS2-Sektoren — und deutsche Unternehmen mit österreichischen Töchtern oder Kunden.
Fallbeispiel (fiktiv): Die Doppelmeldung um drei Uhr nachts
Ein IT-Dienstleister mit Standorten in München und Linz wird Ziel eines Ransomware-Angriffs. Die deutsche Zentrale meldet fristgerecht ans BSI — an die österreichische Meldepflicht denkt in der Nacht niemand, die Frist verstreicht.
Die österreichische Behörde erfährt aus der Presse davon. Aus einem sauber gemanagten Vorfall wird ein Aufsichtsverfahren in Linz — nicht wegen des Angriffs, sondern wegen der unterlassenen Meldung.
Die Risiken, nüchtern eingeordnet
Bußgelder nach österreichischem Regime
Das NISG 2026 staffelt (§ 45 NISG 2026): Für inhaltliche Pflichtverletzungen — etwa fehlendes Risikomanagement oder eine versäumte Meldung — drohen wesentlichen Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Mio. € oder 1,4 %. Die verspätete Registrierung allein liegt in einer eigenen, deutlich niedrigeren Kategorie (§ 45 Abs. 4 Z 1 NISG 2026).
Doppelte Meldefristen, halbe Zeit
Im Ernstfall laufen deutsche und österreichische Uhren parallel — wer nur einen Meldeweg geübt hat, verpasst den zweiten.
Doppelter Projektaufwand
Ohne framework-neutrale Basis bauen DE- und AT-Standorte getrennte Compliance auf — doppelte Kosten für dasselbe Ergebnis.
Ihre nächsten Schritte
- 01Prüfen, ob österreichische Standorte oder Töchter unter das NISG fallen
- 02Meldeprozess um den AT-Meldeweg erweitern und einmal durchspielen
- 03Maßnahmen framework-neutral führen — einmal umsetzen, zweimal nachweisen
In Compliverse
Genau diese Schritte erzeugt der Kompass automatisch als Maßnahmen in Ihrem Plan — mit Fristen, Zuständigkeiten und Nachweisen.
Produkt-Klartext, kein Rechtsrat · Fallbeispiele sind fiktiv · Bußgeldrahmen laut Rechtsakt („bis zu“)