Markus Roth, Spartenobmann Bundessparte Information und Consulting © Daniela Köppl
Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) gilt ab 1. Oktober 2026. Markus Roth, Spartenobmann Bundessparte Information und Consulting, im Interview mit NEW BUSINESS.
Herr Roth, wie bewerten Sie das NISG 2026 aus Sicht der Unternehmen?
Die Veröffentlichung des NISG 2026 bringt zunächst die dringend notwendige Rechtssicherheit. Gleichzeitig ist klar: Das NISG 2026 stellt für viele Unternehmen eine erhebliche organisatorische und wirtschaftliche Herausforderung dar. Umso wichtiger war, dass unsere Forderung nach einer Vorbereitungszeit für die Unternehmen erfüllt wurde.
Welche Bedeutung hat die vorgesehene Übergangsfrist?
Eine sehr große. Anders als in Deutschland, wo das NIS-2-Umsetzungsgesetz umgehend nach Veröffentlichung bereits seit 6. Dezember 2025 gilt, tritt das österreichische NISG 2026 erst neun Monate nach der Veröffentlichung, also am 1. Oktober 2026, in Kraft. Diese Übergangsfrist ist für die Unternehmen notwendig, weil zentrale Anforderungen – etwa Mitarbeiterschulungen, der Aufbau tragfähiger Melde- und Entscheidungsprozesse oder die Umsetzung risikobasierter organisatorischer Maßnahmen – nicht kurzfristig umgesetzt werden können. Jetzt liegt es an den Unternehmen, diese Zeit aktiv zu nutzen, um sich strukturiert vorzubereiten.
Welche Unternehmen sind vom NISG 2026 betroffen?
Rund 4.000 mittlere und große Unternehmen aus kritischen Sektoren wie Energie, Gesundheitswesen, digitale Infrastruktur oder verarbeitendes Gewerbe. Zusätzlich können über Lieferkettenanforderungen auch kleine Unternehmen betroffen sein. Gerade hier braucht es Augenmaß in der Umsetzung.
Was verlangt das Gesetz konkret von den Betrieben?
Gefordert ist ein systematisches Cybersicherheits- und Risikomanagement: insbesondere Risikomanagement, Incident- und Meldeprozesse, Maßnahmen zur Lieferkettensicherheit sowie Maßnahmen zur Cyberhygiene. Das ist kein rein technisches Thema, sondern betrifft Organisation, Technik und Verantwortung im gesamten Unternehmen.
Welche Rolle spielt die Geschäftsleitung?
Cybersicherheit wird ausdrücklich zur Aufgabe der Leitungsebene. Geschäftsführung und Vorstand müssen Maßnahmen genehmigen, deren Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Das stellt viele Unternehmen vor neue Governance-Fragen.
Was erwarten Sie von der praktischen Umsetzung durch die Behörden?
Entscheidend ist eine pragmatische, dialogorientierte Umsetzung. Angesichts der Komplexität muss Beratung im Vordergrund stehen – beraten statt strafen. Nur so können Unternehmen die Vorgaben realistisch umsetzen.
Wie unterstützen die Bundessparte Information und Consulting und die WKÖ die Unternehmen konkret?
Wir stellen bereits seit Inkrafttreten der NIS-2-Richtlinie umfassende Informations- und Unterstützungsangebote auf https://wko.at/nis bereit, die auch sehr gut angenommen werden:
• strukturierte Informationen und Betroffenheitschecks,
• Webinare und Veranstaltungen,
• regelmäßig stark nachgefragte Workshops der FV UBIT Akademie incite
• sowie die neu geschaffene Zertifizierung „NIS Expert“, über die bereits geprüfte Expert:innen zur Verfügung stehen, um die Betriebe zu unterstützen.
• Zusätzlich stehen auch wieder Mittel über die KMU-DIGITAL-Förderung bereit, die gemeinsam von WKÖ und BMAW getragen werden.
Wie fügt sich das NISG 2026 in den EU-Rechtsrahmen ein?
Die NIS-2-Richtlinie muss in allen EU-Mitgliedsstaaten umgesetzt werden. Zusätzlich gibt es andere EU-Rechtsakte im Bereich Cybersicherheit, besonders relevant ist der Cyber Resilience Act. Diese EU-Verordnung gilt vollinhaltlich ab Dezember 2027 und gibt Cybersicherheitsanforderungen für Hard- und Software vor. Unternehmen müssen sich darauf einstellen, dass Cybersicherheit entlang der gesamten Wertschöpfungskette regulatorisch relevant wird.
Was ist aus Ihrer Sicht jetzt entscheidend?
Unternehmen sollten die Zeit bis zum Inkrafttreten des NISG 2026 am 1. Oktober 2026 aktiv nutzen, um die Betroffenheit zu klären, Lücken zu identifizieren und Maßnahmen abhängig von der Priorität im Unternehmen schrittweise umzusetzen. Cybersicherheit entsteht nicht durch Gesetze, sondern durch umsetzbare Lösungen in den Betrieben. (red.)
Info-Box
Über die Bundessparte Information und Consulting
Die Sparte Information und Consulting vertritt die Interessen von rund 129.080 aktiven Mitgliedern, die hoch qualifizierte, technologie- und wissensbasierte Dienstleistungen erbringen. Mit einem jährlich nominellen Umsatzwachstum von mehr als 5,3 % und 275.000 gesicherten Arbeitsplätzen sind die Unternehmen ein Motor des Innovations- und Zukunftsstandorts Österreich.
https://wko.at/ic