Am 1. Oktober 2026 tritt in Österreich das NISG 2026 in Kraft. Kundgemacht wurde es bereits am 23. Dezember 2025, die neun Monate dazwischen waren die Vorbereitungszeit. Für viele Unternehmen war es vor allem Wartezeit.
Der Teil, der die Führungsebene direkt trifft, steht selten im Zentrum der Diskussion. Leitungsorgane müssen an Cybersicherheitsschulungen teilnehmen, die eigens für sie konzipiert sind. Ein allgemeines IT-Briefing für alle Mitarbeitenden erfüllt das nicht.
Was das Gesetz von Leitungsorganen verlangt
Das NISG 2026 folgt derselben Logik wie die NIS2-Richtlinie in den anderen EU-Staaten. Die Leitung ist dafür verantwortlich, dass Risikomanagement-Massnahmen umgesetzt und überwacht werden, und sie muss sich selbst dafür qualifizieren.
Das ist mehr als eine formale Pflicht. Es ist die Antwort auf ein Muster, das man in jedem zweiten Vorfall sieht: Die Technik war bekannt, das Risiko war intern beschrieben, und die Entscheidung darüber ist nie an der richtigen Stelle gefallen.
Wer zum Leitungsorgan zählt, richtet sich nach der Rechtsform: Geschäftsführer, Vorstände, geschäftsführende Gesellschafter. Der IT-Leiter gehört nicht dazu, auch wenn er den Inhalt besser kennt.
Keine Frist, aber trotzdem dringend
Für die Registrierung gibt es klare Fristen. Für die Schulung der Leitungsorgane nennt das Gesetz keinen Stichtag. Das führt regelmässig zur falschen Schlussfolgerung, sie habe Zeit.
Die Pflicht gilt ab dem Inkrafttreten. Ohne Stichtag heisst nicht später, es heisst ab sofort und ohne Schonfrist. Und weil ein fehlender Schulungsnachweis zu den organisatorischen Verstössen zählt, die eigenständig geahndet werden können, ist er auch ohne Vorfall ein Thema.
Für organisatorische Verstösse, dazu gehören fehlende Registrierung, verspätete Meldungen und fehlende Schulungsnachweise, sind Geldstrafen bis 50'000 Euro vorgesehen, im Wiederholungsfall bis 100'000 Euro. Für die Einrichtung selbst greift der grosse Rahmen: bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei wesentlichen, bis 7 Millionen oder 1,4 Prozent bei wichtigen Einrichtungen.
Drei Länder, drei Uhren
Für österreichische Unternehmen mit Gesellschaften in Deutschland oder der Schweiz wird es unübersichtlich, und zwar nicht wegen der Inhalte, sondern wegen der Zeitachsen.
- Deutschland: BSIG in Kraft seit 6. Dezember 2025, Schulungspflicht der Geschäftsleitung in § 38 Absatz 3.
- Österreich: NISG 2026 in Kraft ab 1. Oktober 2026, Schulungspflicht für Leitungsorgane ohne Stichtag.
- Schweiz: keine NIS2. Dafür Melde- und ISMS-Pflichten aus dem Informationssicherheitsgesetz für kritische Infrastrukturen, und keine Schulungspflicht für die Leitung.
In einer Gruppe führt das zu drei verschiedenen Antworten auf dieselbe Frage. Wer das sauber halten will, braucht ein Register der Gesellschaften mit Sitz, Sektor, Grösse und der daraus folgenden Einstufung. Ohne dieses Register ist jede Aussage zur Betroffenheit eine Vermutung.
Was eine Schulung leisten muss, damit sie zählt
"Eigens konzipiert" ist die entscheidende Formulierung im österreichischen Text. Der Massstab ist nicht, ob jemand anwesend war, sondern ob die Leitung danach ihre Aufgabe erfüllen kann.
Konkret heisst das drei Fähigkeiten: Risiken erkennen und bewerten, Massnahmen beurteilen, Auswirkungen abschätzen. Alles auf der Ebene, auf der Leitungsorgane tatsächlich arbeiten, also an Geschäftsprozessen, Kunden, Verträgen und Budgets, nicht an Firewall-Regeln.
Und es heisst Dokumentation. Teilnehmende mit Funktion, Datum, Dauer, Inhalte. Der Nachweis ist der Teil, der im Ernstfall zählt, und er entsteht am einfachsten am Tag der Schulung selbst.
Was jetzt sinnvoll ist
Bis zum 1. Oktober bleibt wenig Zeit, danach läuft die Pflicht. Die pragmatische Reihenfolge:
- Einstufung klären und dokumentieren, wesentlich oder wichtig, je Gesellschaft
- Registrierung vorbereiten, damit der formale Teil nicht am Ende hängt
- Einen Termin für die Leitungsschulung setzen, bevor der Herbst voll ist
- Festlegen, wo die Schulungsdokumentation abgelegt wird und wer sie pflegt
Der Aufwand dafür ist überschaubar: ein Nachmittag Vorbereitung, ein halber Tag Durchführung. Teuer wird erst, was danach ansteht, nämlich die Massnahmen selbst.
Für Gruppen decken wir die Unterschiede zwischen Österreich, Deutschland und der Schweiz in einer Sitzung ab, auf Deutsch oder Englisch: NIS2-Schulung für die Geschäftsleitung. Was die deutsche Seite im Detail verlangt, steht in unserem Beitrag zur Schulungspflicht nach § 38 BSIG.
Häufige Fragen
Ab wann gilt das NISG 2026 in Österreich?
Das NISG 2026 wurde am 23. Dezember 2025 kundgemacht und tritt am 1. Oktober 2026 in Kraft. Für die Schulung der Leitungsorgane nennt das Gesetz keinen eigenen Stichtag, die Pflicht gilt also ab dem Inkrafttreten.
Wer zählt als Leitungsorgan?
Das richtet sich nach der Rechtsform: Geschäftsführer, Vorstände und geschäftsführende Gesellschafter. Der IT-Leiter oder der Informationssicherheitsbeauftragte gehören nicht dazu, auch wenn sie die Inhalte fachlich besser kennen.
Welche Strafen drohen bei fehlenden Schulungsnachweisen?
Organisatorische Verstösse wie fehlende Registrierung, verspätete Meldungen oder fehlende Schulungsnachweise sind mit Geldstrafen bis 50'000 Euro bedroht, im Wiederholungsfall bis 100'000 Euro. Für die Einrichtung selbst gilt der Rahmen bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes.
