Ab 1. Oktober 2026 gilt in Österreich das NISG 2026. Die meisten kleinen Betriebe sind nicht direkt betroffen, bekommen aber Fragebögen von Kunden, die es sind. Diese Seite erklärt, was dahintersteckt und was zu tun ist.
Fasannet, Stand Oktober 2026
Das sagen wir gleich am Anfang, weil derzeit viel Angst verkauft wird. Prüfen Sie es an drei Fragen.
Direkt erfasst sind in der Regel Einrichtungen mit mindestens 50 Beschäftigten oder mehr als zehn Millionen Euro Jahresumsatz. Ein Betrieb mit 1 bis 25 Arbeitsplätzen liegt darunter.
Es gibt achtzehn erfasste Sektoren, von Energie, Verkehr und Gesundheit über Bankwesen und Trinkwasser bis zu digitaler Infrastruktur, Post, Abfall und Lebensmittelproduktion. Wer in keinem davon tätig ist, fällt nicht darunter, egal wie groß er ist.
Einige Bereiche sind unabhängig von der Größe erfasst, etwa qualifizierte Vertrauensdiensteanbieter, Namenregister für Domains, DNS-Anbieter, Anbieter öffentlicher Kommunikationsnetze sowie Einrichtungen der Landesverwaltung.
In Österreich geht man von etwa vier- bis siebentausend direkt betroffenen Einrichtungen aus. Unterschieden wird zwischen wesentlichen und wichtigen Einrichtungen, mit abgestuften Pflichten und abgestuften Strafen. Zuständig ist das neue Bundesamt für Cybersicherheit im Innenministerium.
Betroffene Unternehmen müssen die Sicherheit ihrer Lieferanten bewerten und steuern. Bewerten können sie nur, was sie erfragen. Deshalb verschicken sie Fragebögen.
Betroffen sind damit faktisch auch Betriebe, die im Gesetz gar nicht vorkommen: die Kanzlei, die für einen Konzern arbeitet. Der Handwerksbetrieb, der an einen Energieversorger liefert. Die Agentur mit einem Kunden aus dem Gesundheitswesen. Der Zulieferer, der Daten austauscht.
Die Pflicht bleibt beim Auftraggeber. Die Arbeit kommt zu Ihnen. Wer nicht antworten kann, verliert im Zweifel den Auftrag, nicht wegen eines Gesetzesverstoßes, sondern weil der Kunde das Risiko nicht tragen will.
Die Fragebögen sehen unterschiedlich aus, fragen aber dasselbe ab. Es sind die Mindestbereiche aus Artikel 21 der Richtlinie.
Verlangt wird keine Zertifizierung, sondern Nachweisbarkeit. Nicht „wir machen Backups", sondern wann zuletzt eine Datei zurückgeholt wurde und wer es protokolliert hat.
Wir bearbeiten die technische Spalte. Für Leitlinien, Krisenkonzepte und Schulungen brauchen Sie einen Unternehmensberater, das ist in Österreich ein eigenes, reglementiertes Gewerbe.
Preise der IT-Betreuung ab 45 € je Gerät und Monat. Die Erhebung ist derselbe Vorgang wie unser IT-Bestandscheck. Wer den schon gemacht hat, hat die Unterlagen bereits.
Das NISG 2026 gilt ab 1. Oktober 2026, betroffene Einrichtungen registrieren sich bis 31. Dezember 2026 und geben bis 1. Oktober 2027 eine Selbstdeklaration ab. Für Lieferanten gibt es keine gesetzliche Frist, der Auftraggeber bestimmt, wann er eine Antwort will.
Direkt erfasst sind in Österreich Einrichtungen aus achtzehn Sektoren ab 50 Beschäftigten oder zehn Millionen Euro Umsatz, dazu einige Bereiche unabhängig von der Größe. Ein Betrieb mit 1 bis 25 Arbeitsplätzen fällt in aller Regel nicht darunter.
Weil betroffene Unternehmen die Sicherheit ihrer Lieferkette bewerten und steuern müssen. Sie fragen deshalb bei ihren Lieferanten nach.
Als Lieferant in aller Regel nicht. Dort reicht, dass Sie belegen können, was Sie tun. Für direkt betroffene Einrichtungen kann ein anerkanntes Zertifikat den organisatorischen Teil abdecken.
Nein. Unabhängige Prüfer werden von der Cybersicherheitsbehörde per Bescheid zugelassen, und wer Ihre IT betreut, kann sie nicht unabhängig prüfen. Wir bereiten Sie technisch vor, prüfen tut jemand anderer.
Die Erhebung ist unser IT-Bestandscheck: 690 Euro netto bis 10 Arbeitsplätze, 990 Euro bis 25, bei einem Betreuungsvertrag binnen 90 Tagen voll angerechnet. Das Beantworten der technischen Fragen danach nennen wir als Festpreis, bevor wir anfangen.
Das ist der Normalfall. Die Dokumentation entsteht bei der Erhebung, und danach haben Sie sie, unabhängig davon, ob der nächste Kunde nochmal fragt.
Im kostenlosen Erstgespräch von 30 Minuten sehen wir uns an, was gefragt wird, und sagen, ob der Bestandscheck der richtige Weg ist.
+43 664 993 829 33Montag bis Freitag, 9 bis 18 Uhr · Der IT-Bestandscheck als Grundlage
