NISG 2026: Fristen und Fahrplan für Unternehmen

Rechtsgrundlage: §§ 29, 31–34 und § 51 NISG 2026.

Das NISG 2026 tritt am 1. Oktober 2026 in Kraft. Für Einrichtungen, die zu diesem Zeitpunkt die gesetzlichen Voraussetzungen erfüllen, beginnen damit die vorgesehenen Registrierungs- und Umsetzungsabläufe. Unternehmen, die erst später in den Anwendungsbereich fallen, müssen ihren Fristbeginn gesondert bestimmen. Dieser Fahrplan ordnet die Schritte ein; der konkrete Fristenlauf ist vor Einreichung anhand des aktuellen Rechtsstands zu prüfen.

Ab wann es gilt – und warum „später" ein Trugschluss ist

Für Einrichtungen, die am 1. Oktober 2026 bereits registrierungspflichtig sind, beginnt die Dreimonatsfrist mit dem Inkrafttreten. Wer die Voraussetzungen erst später erfüllt, muss sich ehestmöglich, spätestens binnen drei Monaten ab Erfüllung der Voraussetzungen, registrieren.

Station 1: Registrierung – die erste harte Frist

Betroffene Einrichtungen müssen sich bei der Cybersicherheitsbehörde registrieren und dabei strukturierte Angaben übermitteln: Name, Kontaktdaten, Sektor und Art der Einrichtung, betroffene Mitgliedstaaten, Anschrift der Hauptniederlassung und Angaben zu den Schwellenwerten. Diese Registrierung hat innerhalb von drei Monaten ab Inkrafttreten zu erfolgen; der konkrete letzte Tag ist unter Berücksichtigung der anwendbaren Fristenregeln und des bereitgestellten Registrierungsverfahrens zu prüfen. Wer erst später die Voraussetzungen erfüllt, muss sich ehestmöglich, spätestens binnen drei Monaten ab diesem Zeitpunkt, registrieren.

Die Registrierungsfrist sollte mit verantwortlicher Stelle, benötigten Angaben und internem Freigabetermin geplant werden. Wer sich nicht fristgerecht registriert oder wissentlich falsche oder unvollständige Angaben übermittelt, begeht eine Verwaltungsübertretung nach § 45 Abs. 4 Z 1. Änderungen der Angaben nach § 29 Abs. 2 Z 1–5 sind ehestmöglich, spätestens binnen zwei Wochen, Änderungen nach Z 6–7 ehestmöglich, spätestens binnen drei Monaten mitzuteilen.

Ihre Aufgabe jetzt: Klären Sie die Betroffenheit (siehe Selbstcheck), bestimmen Sie Ihre Einstufung und bereiten Sie die Registrierungsangaben vor. Benennen Sie eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse – das verlangt das Gesetz ausdrücklich.

Station 2: Risikomanagement aufsetzen – parallel, nicht danach

Die Registrierung ist Formsache, die eigentliche Arbeit ist das Risikomanagement. Das Gesetz verlangt geeignete und verhältnismäßige Maßnahmen auf einer klar umrissenen Themenliste. Diese zehn Felder sollten Sie kennen, weil an ihnen später gemessen wird:

1. Risikoanalyse und Sicherheit der Informationssysteme
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs – Backup, Wiederherstellung, Krisenmanagement
4. Sicherheit der Lieferkette und der Beziehungen zu Ihren Dienstleistern
5. Sicherheit bei Beschaffung, Entwicklung und Wartung, inklusive Umgang mit Schwachstellen
6. Verfahren zur Bewertung, ob die Maßnahmen wirken
7. Grundlegende Cyberhygiene und Schulungen
8. Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle, Verwaltung der Anlagen
10. Mehr-Faktor-Authentifizierung und gesicherte Kommunikation

Ausgestaltung und Umfang richten sich nach Risiko und Verhältnismäßigkeit. Zu berücksichtigen sind insbesondere Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere; außerdem Stand der Technik, gegebenenfalls Normen und bewährte Verfahren sowie Umsetzungskosten. Eine kleinere Einrichtung kann bei hohem Risiko dennoch weitreichende Maßnahmen benötigen.

Ihre Aufgabe jetzt: Gehen Sie die zehn Felder als Bestandsaufnahme durch. Wo stehen Sie schon gut, wo klafft eine Lücke? Daraus wird Ihr Maßnahmenplan.

Station 3: Selbstdeklaration – der Nachweis nach zwölf Monaten

Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht müssen betroffene Einrichtungen der Behörde in strukturierter Form melden, welche Maßnahmen sie umgesetzt haben – inklusive der Sicherheit der Lieferketten und der Ergebnisse ihrer Risikoanalyse. Die Selbstdeklaration ist binnen zwölf Monaten nach Eintritt der Registrierungspflicht nach § 29 Abs. 2 zu übermitteln. Bei einer bereits am 1. Oktober 2026 erfassten Einrichtung läuft diese Frist grundsätzlich ab diesem Zeitpunkt; bei späterer Erfassung entsprechend später.

Ihre Aufgabe: Führen Sie von Anfang an ein Nachweisdossier. Eine laufende, überprüfbare Dokumentation erleichtert Selbstdeklaration, Aufsicht und einen später angeforderten Nachweis. Fehlende Dokumentation kann die Nachvollziehbarkeit der Umsetzung erschweren.

Station 4: Unabhängige Prüfung – wenn die Behörde ruft

Zusätzlich kann die Behörde verlangen, dass Sie die Umsetzung durch eine unabhängige Stelle nachweisen. Nach Aufforderung ist die technische, operative und organisatorische Umsetzung grundsätzlich binnen zwei Jahren durch Prüfung einer unabhängigen Stelle nachzuweisen. Bei wesentlichen Einrichtungen ist die operative und organisatorische Umsetzung abweichend binnen zwei Monaten nachzuweisen. Nur für den operativen und organisatorischen Nachweis nennt § 33 Abs. 2 einschlägige gültige Zertifikate als Alternative. Eine erstmalige Aufforderung ist frühestens zwei Jahre nach Inkrafttreten möglich. Diese Prüfung ist kein Startschuss, sondern eine mögliche spätere Kontrolle – aber sie ist ein weiterer Grund, sauber zu dokumentieren.

Der Fahrplan auf einen Blick

Der Fahrplan auf einen Blick

Ihren Fahrplan priorisieren. In 30 Minuten übersetzen wir diese Stationen in Ihre konkrete To-do-Liste – abgestimmt auf Größe, Branche und vorhandene Ressourcen. Kostenlos.

30-Minuten-Sparring buchen

Häufige Fragen

Ab wann gilt das NISG 2026?

Das NISG 2026 tritt am 1. Oktober 2026 in Kraft. Die Registrierungsfrist richtet sich nach § 29 Abs. 3, die Selbstdeklaration nach § 33 Abs. 1 und der unabhängige Nachweis nach § 33 Abs. 2. Für die Umsetzung des § 32 nennt das Gesetz keine allgemeine Übergangsfrist.

Bis wann muss ich mich registrieren?

Innerhalb von drei Monaten nach Inkrafttreten, also innerhalb von drei Monaten ab Inkrafttreten. Wer erst später die Voraussetzungen erfüllt, muss sich ehestmöglich, spätestens binnen drei Monaten ab diesem Zeitpunkt, registrieren.

Was ist die Selbstdeklaration und wann ist sie fällig?

Sie ist die strukturierte Meldung an die Behörde, welche Risikomanagementmaßnahmen Sie umgesetzt haben. Sie ist innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht fällig – für die meisten betroffenen Unternehmen also binnen zwölf Monaten nach Eintritt der Registrierungspflicht.

Muss ich meine Umsetzung von einer externen Stelle prüfen lassen?

Möglicherweise. Nach behördlicher Aufforderung ist die technische, operative und organisatorische Umsetzung grundsätzlich binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen. Bei wesentlichen Einrichtungen gilt für den operativen und organisatorischen Nachweis eine Zweimonatsfrist. Nur für diesen operativen und organisatorischen Teil nennt § 33 Abs. 2 einschlägige gültige Zertifikate als Alternative.