Die Umsetzung der europäischen NIS2-Richtlinie in Österreich geht nach mehrjähriger Verzögerung in die entscheidende Phase. Die EU-Vorgaben hätten bereits im Oktober 2024 in nationales Recht umgesetzt werden müssen. Nach einem gescheiterten ersten Gesetzesentwurf und einem von der Europäischen Kommission eingeleiteten Vertragsverletzungsverfahren wurde das NISG 2026 im Dezember 2025 beschlossen und kundgemacht. Es tritt am 1. Oktober 2026 in Kraft.
Betroffen sind laut den vorliegenden Angaben rund 5.000 Unternehmen, die als wesentliche oder wichtige Einrichtungen in verschiedenen regulierten Sektoren eingestuft werden. Dazu zählen unter anderem Energie, Gesundheit und digitale Dienste. Über Lieferketten können die Anforderungen auch Unternehmen betreffen, die nicht unmittelbar unter das Gesetz fallen. Zuständig für die Aufsicht ist das neu geschaffene Bundesamt für Cybersicherheit beim Innenministerium.
NISG 2026 bringt konkrete Pflichten
Mit dem Inkrafttreten rückt für betroffene Unternehmen die praktische Umsetzung der Vorgaben in den Mittelpunkt. Gefordert sind unter anderem nachweisbare Prozesse für Risikomanagement, Governance und die Erkennung von Sicherheitsvorfällen. Bei erheblichen Sicherheitsvorfällen gelten zudem kurze Meldefristen: Eine Frühwarnung muss innerhalb von 24 Stunden erfolgen, eine vollständige Meldung innerhalb von 72 Stunden. Der Abschlussbericht ist spätestens einen Monat später vorzulegen.
Auch die möglichen Sanktionen sind im Gesetz festgelegt. Für wesentliche Einrichtungen können Geldbußen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes verhängt werden. Für wichtige Einrichtungen liegt der Rahmen bei bis zu sieben Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Für Unternehmen stellt sich damit insbesondere die Frage, wie gut bestehende Sicherheits- und Meldeprozesse dokumentiert und nachweisbar sind. Eine einmalige Prüfung der IT-Infrastruktur reicht dafür nicht aus. Gefordert ist ein laufendes Risikomanagement.
Cyberversicherung als Teil des Risikomanagements
Welche Bedeutung ein kontinuierlicher Ansatz hat, zeigen Zahlen aus dem Stoïk Cyber Schadensbericht 2025. Demnach lag die Schadenfrequenz in der DACH-Region bei 9,24 Prozent, während der weltweite Durchschnitt des Versicherers 10,56 Prozent betrug. Rund 20 Prozent der Ransomware-Vorfälle im gesamten Stoïk-Portfolio wären dem Bericht zufolge vermeidbar gewesen, wenn bereits bekannte Schwachstellen rechtzeitig geschlossen worden wären. Für Makler und Versicherer wird NIS2 damit zunehmend zu einem Beratungsthema. Eine Cyberversicherung kann dabei einen Baustein im Umgang mit Cyberrisiken bilden, ersetzt jedoch nicht die gesetzlich geforderten organisatorischen und technischen Maßnahmen.
Stoïk bietet nach eigenen Angaben neben Versicherungsschutz auch Leistungen zur Prävention, Erkennung und Bewältigung von Sicherheitsvorfällen an. Dazu zählen unter anderem Managed Detection and Response (MDR), Managed Email Security, ein firmeninternes Computer Emergency Response Team (CERT) sowie Sensibilisierungsmaßnahmen. Technische Maßnahmen wie kontinuierliches Scanning der Angriffsfläche, Anforderungen an Backups und Multi-Faktor-Authentifizierung können ebenfalls Teil des Angebots beziehungsweise der Voraussetzungen sein.
„Wir wollen Unternehmen nicht nur versichern, sondern von Anfang an durch die Umsetzung begleiten“, erklärt Franziska Geier, Geschäftsführerin der Stoïk in Wien. „Daher unterstützen wir gerne auch bei offenen Fragen zu NIS2 und den damit entstehenden Herausforderungen.“
Vorbereitung auf den Oktober
Vor dem Inkrafttreten am 1. Oktober empfiehlt sich für betroffene Unternehmen eine Bestandsaufnahme. Im Mittelpunkt stehen dabei die Betroffenheit vom Gesetz, die konkrete Einstufung als wichtige oder wesentliche Einrichtung sowie die Frage, welche Anforderungen bereits erfüllt werden und wo noch Handlungsbedarf besteht.
Für Makler und Versicherer ergibt sich daraus ein Ansatzpunkt für die Beratung. Eine erste Einschätzung kann dabei helfen, offene Themen zu identifizieren. Für die konkrete rechtliche Beurteilung, insbesondere bei Fragen zur Lieferkettensicherheit und Kryptographie, bleibt spezialisierte Rechtsberatung erforderlich. Eine Cyberversicherung kann Unternehmen bei der Absicherung und Bewältigung von Cyberrisiken unterstützen. Eine automatische NISG-Konformität lässt sich daraus jedoch nicht ableiten. Die Verantwortung für die Umsetzung der gesetzlichen Anforderungen bleibt bei den jeweiligen Unternehmen.