Kurzantwort: Das NISG 2026 kontrolliert in drei Stufen. Zuerst erklären betroffene Einrichtungen selbst, was sie umgesetzt haben — die Selbstdeklaration, fällig bis 30. September 2027. Darauf kann die Cybersicherheitsbehörde Aufsichtsmaßnahmen stützen. Und ab 1. Oktober 2028 kann sie verlangen, dass die Umsetzung von einem zugelassenen unabhängigen Prüfer bestätigt wird.
Stufe eins: die Selbstdeklaration
Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht sind der Cybersicherheitsbehörde Informationen über die umgesetzten Risikomanagementmaßnahmen zu übermitteln. Das Gesetz nennt dabei ausdrücklich die genutzten Netz- und Informationssysteme, die Sicherheit der Lieferketten und die Ergebnisse der durchgeführten Risikoanalyse. Diese Übermittlung heißt im Gesetz Selbstdeklaration.
Dazu drei Punkte. Erstens hängt die Frist nicht an der eigenen Registrierung, sondern am Eintritt der Registrierungspflicht nach § 29 Abs. 2. Für Einrichtungen, die bereits am 1. Oktober 2026 unter das Gesetz fallen, entsteht diese Pflicht mit dem Inkrafttreten; die zwölf Monate enden damit am 30. September 2027. Ein Datum nennt das Gesetz nicht, es ergibt sich aus der Frist. Wer sich erst im November registriert, gewinnt dadurch keine Zeit. Zweitens gilt das nicht für alle: Wer erst später als wesentliche oder wichtige Einrichtung gilt, hat sich nach § 29 Abs. 3 binnen drei Monaten ab diesem Zeitpunkt zu registrieren, und die zwölf Monate laufen entsprechend später. Drittens ist die Registrierung ein anderer Vorgang als die Deklaration: Sie ist bis 31. Dezember 2026 fällig und verlangt Stammdaten, keine Sicherheitsangaben. Wer sich registrieren muss und was dabei anzugeben ist, steht im Beitrag zur Registrierungspflicht.
Die Deklaration ist damit kein Zeitpuffer für den Aufbau. Sie ist eine Erklärung über einen Zustand, der zu diesem Zeitpunkt bereits bestehen muss. Stichtag für die Maßnahmen nach § 32 ist der 1. Oktober 2026.
Stufe zwei: was die Deklaration auslösen kann
Bei wesentlichen Einrichtungen darf die Cybersicherheitsbehörde ohne besonderen Anlass tätig werden. Sie kann die Umsetzung der Maßnahmen kontrollieren — vor Ort und aus der Ferne, unter Mitwirkung der Einrichtung und nach vorheriger Verständigung. Sie kann Sicherheitsscans durchführen und Informationen anfordern, ausdrücklich einschließlich der dokumentierten Sicherheitskonzepte. Und sie kann eine Ad-hoc-Prüfung ansetzen, die das Gesetz unter anderem für die Überprüfung einer übermittelten Selbstdeklaration vorsieht.
Bei wichtigen Einrichtungen braucht sie einen Anlass — und das Gesetz benennt die Selbstdeklaration selbst als einen solchen. Erlangt die Behörde durch Nachweise, „wie insbesondere die Selbstdeklaration“, oder durch sonstige begründete Hinweise Kenntnis davon, dass eine wichtige Einrichtung ihren Pflichten mutmaßlich nicht nachkommt, kann sie dieselben Aufsichtsmaßnahmen setzen. Wer dort etwas erklärt, das nicht trägt, liefert den Anlass selbst mit.
Daraus folgt aber nicht, dass Beschönigen die sichere Variante wäre. Das Gegenteil steht im Strafrahmen: Wissentlich falsche Angaben in der Selbstdeklaration sind eine eigene Verwaltungsübertretung, und wer die Deklaration gar nicht fristgerecht abgibt, ebenfalls. Umgekehrt nimmt das Gesetz die Nichtumsetzung von Maßnahmen ausdrücklich von der Strafe aus, soweit die Behörde davon nur aus der Selbstdeklaration erfahren hat. Wer offene Punkte einräumt, bleibt für genau diese Punkte straffrei. Wer sie verschweigt oder falsch darstellt, nicht. Wie die Strafen im Einzelnen verteilt sind und wann sie die Geschäftsführung persönlich treffen, steht im Beitrag zur Haftung der Geschäftsführung.
Stufe drei: die Prüfung durch eine unabhängige Stelle
Die dritte Stufe regelt das Gesetz am genauesten.
Die Cybersicherheitsbehörde kann verlangen, dass die technische, operative und organisatorische Umsetzung der Maßnahmen durch eine Prüfung einer unabhängigen Stelle nachgewiesen wird. Die Fristen dafür sind gestaffelt: Grundsätzlich stehen zwei Jahre ab der Aufforderung zur Verfügung. Wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung abweichend davon binnen zwei Monaten nachweisen. Für Aufforderungen an wichtige Einrichtungen gilt die Anlassregel sinngemäß. Die erste Aufforderung überhaupt kann frühestens zwei Jahre nach Inkrafttreten ergehen, also ab 1. Oktober 2028.
Zwei Monate sind keine Aufbauzeit. Sie reichen, um zu prüfen, was läuft. Nicht, um zu bauen, was fehlt.
Wer prüfen darf, ist kein offener Begriff. Ein unabhängiger Prüfer ist eine natürliche Person, die von der Cybersicherheitsbehörde auf Antrag zugelassen wird. Das Gesetz verlangt dafür drei Dinge:
- ein Reifeprüfungs-, Diplomprüfungs- oder Berufsreifeprüfungszeugnis oder eine einschlägige berufliche Qualifikation,
- eine durchgängige facheinschlägige Berufserfahrung von mindestens drei Jahren im Bereich der Cybersicherheit, im Ausmaß von zumindest zwanzig Wochenstunden,
- und den Nachweis der Eignung in einer Eignungsprüfung bei der Behörde. Eine unabhängige Stelle ist die juristische Person oder eingetragene Personengesellschaft, die sich zumindest eines solchen Prüfers bedient. Sie muss eine Niederlassung in Österreich oder einem anderen Mitgliedstaat haben. Übt der Prüfer die Tätigkeit selbständig aus, ist er selbst die unabhängige Stelle.
Die Behörde führt eine Liste der zugelassenen Prüfer und stellt sie den betroffenen Einrichtungen zur Verfügung. Wer fünf Jahre lang keine Prüfung durchführt, verliert die Zulassung. Nähere Regelungen zu den erforderlichen Fachkenntnissen, zur Form der Eignungsprüfung und zu den Gebühren kann die Behörde per Verordnung festlegen.
Für den Nachweis der operativen und organisatorischen Umsetzung lässt das Gesetz ausdrücklich auch einschlägige gültige Zertifikate zu. Ein Zertifikat nach ISO/IEC 27001 kann an dieser Stelle also tragen. Es ersetzt aber weder die Registrierung noch die Selbstdeklaration noch die Meldung von Vorfällen. Und es deckt nur ab, was im Geltungsbereich des Zertifikats tatsächlich geregelt ist. Was eine Zertifizierung abdeckt und was nicht, ist Gegenstand eines eigenen Beitrags.
Zwei Punkte entschärfen den Zeitdruck. Das Gesetz lässt die Prüfung ausdrücklich auf der eigenen Risikoanalyse oder auf einer Risikoabwägung aufsetzen, die nicht länger als zwei Jahre zurückliegt — vorhandene Vorarbeit kann also tragen. Und bis das Zulassungsverfahren angelaufen ist, gibt es eine Brücke: Die nach altem Recht anerkannten qualifizierten Stellen gelten ab dem Inkrafttreten als unabhängige Stellen, und zwar bis zwölf Monate nach Inkrafttreten jener Verordnung, die die Anforderungen an die Prüfer festlegt. Anträge auf Zulassung als unabhängiger Prüfer sind überhaupt erst ab dem Inkrafttreten dieser Verordnung möglich.
Der Prüfbericht und die Unterschrift der Geschäftsführung
Das Ergebnis einer solchen Prüfung bleibt nicht im Haus. Der Prüfbericht über die Umsetzung der Maßnahmen ist der Cybersicherheitsbehörde in strukturierter Form zu übermitteln — einschließlich der festgestellten Mängel und eines Maßnahmenplans zu deren Beseitigung. Unterschrieben wird er von den eingesetzten Prüfern und von den Leitungsorganen der geprüften Einrichtung.
Damit bestätigt die Geschäftsführung der Behörde schriftlich, dass sie die festgestellten Mängel kennt. Zusammen mit der Pflicht, die Einhaltung der Maßnahmen sicherzustellen und zu beaufsichtigen, schließt sich hier der Kreis zur persönlichen Verantwortung. Die verspätete Übermittlung des Prüfberichts ist eigens strafbewehrt.
Zwei praktische Punkte gehören dazu. Die Kosten einer Prüfung durch eine unabhängige Stelle trägt die geprüfte Einrichtung, sofern die Behörde in begründeten Fällen nichts anderes entscheidet. Und die Prüfung organisiert die Einrichtung selbst: Die Behörde fordert den Nachweis, die Einrichtung beauftragt daraufhin eine unabhängige Stelle und gibt der Behörde die geplante Prüfung spätestens einen Monat vorher mit einem Prüfplan bekannt, aus dem die Einzelheiten hervorgehen.
Was schon vor dem NISG 2026 galt
Für einen Teil der betroffenen Unternehmen ist das alles keine Umstellung. Schon das Netz- und Informationssystemsicherheitsgesetz aus dem Jahr 2018 verpflichtete Betreiber wesentlicher Dienste, mindestens alle drei Jahre die Erfüllung der Sicherheitsanforderungen nachzuweisen — durch Zertifizierungen oder durch Überprüfungen durch qualifizierte Stellen, einschließlich der dabei aufgedeckten Sicherheitsmängel. Auch der behördliche Zugriff auf Systeme und Unterlagen war dort bereits vorgesehen.
Drei Dinge ändern sich: Der Kreis der Verpflichteten wird um ein Vielfaches größer und umfasst nun auch wichtige Einrichtungen. Der feste Dreijahrestakt weicht einer anlassbezogenen Aufforderung durch die Behörde. Und an die Stelle der qualifizierten Stelle tritt das Zulassungsverfahren für unabhängige Prüfer mit Eignungsprüfung und öffentlicher Liste.
Was das jetzt bedeutet
Noch ist nicht bekannt, welche Fragen die Selbstdeklaration im Einzelnen stellen wird; die Wirtschaftskammer verweist auf ein Formular über das Unternehmensserviceportal. Auch die Verordnung zu den Prüferanforderungen steht noch aus, und ohne sie kann niemand die Zulassung als unabhängiger Prüfer beantragen. Wer darauf wartet, wartet allerdings auf das Falsche.
Denn was die Behörde in allen drei Stufen verlangt, hat dieselbe Form: nachvollziehbare Belege darüber, dass etwas getan wurde, wann, von wem und mit welchem Ergebnis. Solche Belege entstehen nicht rückwirkend. Sie entstehen als Nebenprodukt eines Betriebs, in dem Sicherheitsarbeit einen festen Ablauf hat — ob das ein schlankes Sicherheitskonzept ist oder ein vollständiges Managementsystem nach ISO/IEC 27001, hängt von Größe und Risiko ab. Ohne einen solchen Ablauf steht am Tag der Aufforderung eine Sammlung von Erinnerungen, und die lässt sich nicht übermitteln.
Was davon heute schon belegbar ist, zeigt eine Gap-Analyse.
Häufige Fragen zum Nachweis
Wer darf die Prüfung nach dem NISG 2026 durchführen?
Eine unabhängige Stelle, die sich eines von der Cybersicherheitsbehörde zugelassenen unabhängigen Prüfers bedient, oder ein solcher Prüfer selbst. Die Zulassung erfolgt auf Antrag und setzt Qualifikation, mindestens drei Jahre facheinschlägige Berufserfahrung und eine Eignungsprüfung voraus. Die Behörde führt dazu eine Liste.
Darf der Berater prüfen, der das System aufgebaut hat?
Eine ausdrückliche Unvereinbarkeit enthalten die Bestimmungen zu den unabhängigen Prüfern und zum Nachweis nicht. Fachlich ist die Trennung dennoch die saubere Linie: Wer ein konkretes System aufgebaut hat, sollte dieses System nicht selbst prüfen. Die Trennung ist mandatsbezogen zu verstehen, nicht als Berufsverbot.
Wer zahlt die Prüfung?
Die geprüfte Einrichtung, sofern die Cybersicherheitsbehörde in hinreichend begründeten Fällen keine andere Entscheidung trifft.
Muss eine geplante Prüfung angekündigt werden?
Ja, und zwar durch die geprüfte Einrichtung. Sie übermittelt der Cybersicherheitsbehörde spätestens einen Monat vorher einen Prüfplan, aus dem die Einzelheiten der beabsichtigten Prüfung hervorgehen.
Gibt es einen festen Prüfturnus?
Nein. Die Pflicht zum Nachweis durch eine unabhängige Stelle entsteht erst, wenn die Cybersicherheitsbehörde dazu auffordert — einen Turnus wie die frühere Dreijahresfrist kennt das NISG 2026 nicht. Ob und wann sie auffordert, entscheidet die Behörde; bei wichtigen Einrichtungen braucht sie dafür zusätzlich einen Anlass. Die erste Aufforderung überhaupt ist frühestens zwei Jahre nach Inkrafttreten möglich, also ab 1. Oktober 2028.
Wo das im Gesetz steht
| Aussage | Fundstelle |
|---|---|
| Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht | § 33 Abs. 1 NISG 2026 |
| Eintritt der Registrierungspflicht | § 29 Abs. 2 NISG 2026 |
| Registrierung binnen drei Monaten ab Inkrafttreten, später Betroffene binnen drei Monaten ab Erfüllung der Voraussetzungen | § 29 Abs. 3 NISG 2026 |
| Nachweis durch unabhängige Stelle, zwei Jahre bzw. zwei Monate, Zertifikate zulässig, erste Aufforderung frühestens nach zwei Jahren | § 33 Abs. 2 NISG 2026 |
| Prüfbericht mit Mängeln und Maßnahmenplan, unterschrieben von Leitungsorganen und Prüfern | § 33 Abs. 3 NISG 2026 |
| Kosten trägt die geprüfte Einrichtung | § 33 Abs. 4 NISG 2026 |
| Prüfplan einen Monat im Voraus | § 33 Abs. 5 NISG 2026 |
| Unabhängige Stellen und unabhängige Prüfer, Zulassung, Liste, Verordnungsermächtigung | § 7 NISG 2026 |
| Aufsichtsmaßnahmen bei wesentlichen Einrichtungen | § 38 Abs. 1 NISG 2026 |
| Anlassbezogene Aufsicht bei wichtigen Einrichtungen, Selbstdeklaration als Anlass | § 38 Abs. 2 NISG 2026 |
| Strafausnahme für Mängel, die der Behörde nur aus der Selbstdeklaration bekannt werden | § 45 Abs. 1 Z 3 NISG 2026 |
| Strafbarkeit bei versäumter Selbstdeklaration, wissentlich falschen Angaben und verspätetem Prüfbericht (bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro) | § 45 Abs. 4 NISG 2026 |
| Qualifizierte Stellen gelten übergangsweise als unabhängige Stellen; Zulassungsanträge erst ab Inkrafttreten der Verordnung | § 51 Abs. 7 und 8 NISG 2026 |
| Nachweis alle drei Jahre durch qualifizierte Stellen nach alter Rechtslage | § 17 Abs. 3 NISG (2018) |
Quellen
- Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, konsolidierte Fassung mit Stand 1. Oktober 2026 — RIS
- Netz- und Informationssystemsicherheitsgesetz (NISG), Fassung vom 18. September 2026 — RIS
- Wirtschaftskammer Österreich, Fragen und Antworten zu NISG 2026 — wko.at
