Kurzantwort: Die Pflicht aus dem NISG 2026 trifft den Kunden; der Lieferant hat aus dem Gesetz selbst keine. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette in das eigene Risikomanagement einbeziehen und der Behörde gegenüber darstellen. Wer selbst nicht erfasst ist, bekommt die Anforderung deshalb über den Vertrag mit dem Kunden.
Daraus entsteht eine Lage, die auf den ersten Blick widersprüchlich wirkt: Die Betroffenheitsprüfung ergibt ein klares Nein, und trotzdem liegt ein Fragebogen des größten Kunden auf dem Tisch.
Woher der Druck kommt
§ 32 Abs. 4 lit. d NISG 2026 zählt zu den Risikomanagementmaßnahmen die „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Zu berücksichtigen sind dabei ausdrücklich die spezifischen Schwachstellen der einzelnen Anbieter, die Gesamtqualität der Produkte, die Cybersicherheitspraxis der Anbieter und die Sicherheit ihrer Entwicklungsprozesse.
Dazu kommt die Selbstdeklaration. Wesentliche und wichtige Einrichtungen haben der Cybersicherheitsbehörde binnen zwölf Monaten ab Eintritt der Registrierungspflicht Informationen über die umgesetzten Maßnahmen zu übermitteln, „insbesondere betreffend die genutzten Netz- und Informationssysteme und die Sicherheit der Lieferketten sowie die Ergebnisse der durchgeführten Risikoanalyse“. Der Kunde muss also nicht nur wissen, wie es bei seinen Lieferanten aussieht. Er muss es der Behörde in strukturierter Form darstellen können.
Deshalb kommen die Fragebögen. Der Kunde bereitet damit eine eigene gesetzliche Pflicht vor.
Wie weit die Pflicht reicht
Folgendes ist wichtig zu beachten:
Das Gesetz erfasst die unmittelbaren Anbieter. Der Wortlaut spricht von den „unmittelbaren Anbietern oder Diensteanbietern“. Eine Pflicht, die gesamte Kette über mehrere Stufen zu prüfen, steht dort nicht. Dass Fragebögen dennoch weitergereicht werden, ist eine vertragliche Entscheidung des jeweiligen Auftraggebers, keine gesetzliche Vorgabe.
Der Lieferant selbst hat aus dem NISG 2026 keine Pflicht. Wer selbst nicht unter das Gesetz fällt, wird es durch die Lieferkettenregel seines Kunden nicht. Was er liefern muss, ergibt sich aus dem Vertrag. Das ist die Grundlage jeder Verhandlung darüber, was angemessen ist.
Kein Label und keine Zertifizierung ist vorgeschrieben. Das NISG 2026 nennt keine Norm und kein Gütesiegel als Nachweis. Auch die Verhältnismäßigkeit gilt hier: Das Gesetz verlangt, Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle zu berücksichtigen. Ein Auftraggeber, der von einem unkritischen Zulieferer dasselbe verlangt wie von seinem Rechenzentrumsbetreiber, geht damit über das hinaus, was das Gesetz von ihm erwartet.
Zertifikate sind dem Gesetz allerdings nicht fremd. Für den eigenen Nachweis gegenüber der Cybersicherheitsbehörde lässt § 33 Abs. 2 NISG 2026 den Nachweis der operativen und organisatorischen Umsetzung ausdrücklich auch „durch einschlägige gültige Zertifikate“ zu. Welche Zertifikate das sind, sagt das Gesetz nicht; die Vorgaben dazu trifft die Cybersicherheitsbehörde. Für die technische Umsetzung gilt diese Erleichterung nicht. Das betrifft die Einrichtung selbst, nicht ihre Lieferanten — es zeigt aber, welchen Stellenwert Zertifikate im Nachweissystem des Gesetzes haben.
Zuerst prüfen: Ist der Lieferant selbst erfasst?
Viele Lieferanten, die einen Fragebogen erhalten, sind IT-Dienstleister. Für sie stellt sich vor der Nachweisfrage eine andere: ob sie nicht selbst unter das Gesetz fallen.
Das NISG 2026 definiert den „Anbieter verwalteter Dienste“ als Einrichtung, die Dienste im Zusammenhang mit Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder anderen Netz- und Informationssystemen erbringt, durch Unterstützung oder aktive Verwaltung, in den Räumlichkeiten der Kunden oder aus der Ferne. Der „Anbieter verwalteter Sicherheitsdienste“ ist nach § 3 Z 24 NISG 2026 ein solcher Anbieter verwalteter Dienste, der Unterstützung für Tätigkeiten im Zusammenhang mit dem Risikomanagement im Bereich der Cybersicherheit erbringt: etwa ein Dienstleister, der für seine Kunden ein Security Operations Center, das Monitoring oder das Schwachstellenmanagement betreibt.
Beide Arten von Anbietern bilden im Gesetz einen eigenen Sektor, und dieser Sektor steht in Anlage 1, also unter den Sektoren mit hoher Kritikalität. Damit gilt für sie die allgemeine Größenregel: als mittleres Unternehmen sind sie wichtige Einrichtung (§ 24 Abs. 2 Z 1 NISG 2026), als großes Unternehmen wesentliche Einrichtung (§ 24 Abs. 1 Z 3 NISG 2026). Unterhalb dieser Schwellen greift das Gesetz nur, wenn die Cybersicherheitsbehörde die Einrichtung nach § 26 NISG 2026 mit Bescheid einstuft. Anlage 1 nimmt dabei jene Fälle aus, „in denen diese Dienste ausschließlich von der betroffenen Einrichtung betrieben und genutzt werden“. Das ist enger, als es klingt: „Einrichtung“ ist nach § 3 Z 10 NISG 2026 die einzelne juristische Person. Die Ausnahme trifft also die echte Inhouse-IT innerhalb einer Gesellschaft. Betreibt dagegen eine eigene Gesellschaft im Firmenverbund die IT für ihre Schwestergesellschaften, ist sie Anbieter verwalteter Dienste — auch ohne einen einzigen externen Kunden. Die FAQ, die die Wirtschaftskammer Österreich gemeinsam mit der NIS-Behörde im Innenministerium herausgibt, sagt das ausdrücklich: ein Konzernprivileg ist im NISG 2026 nicht vorgesehen. Diese FAQ ist eine Auslegung der Behörde, kein Gesetzestext — sie deckt sich hier aber mit dem Wortlaut.
Wer außerdem Telefonie oder Internetzugang im eigenen Namen an Kunden verkauft, ist Anbieter eines öffentlich zugänglichen Kommunikationsdienstes und damit ohne jede Größenschwelle erfasst. Für diese Gruppe ist der Fragebogen des Kunden das kleinere Thema. Der Beitrag NISG 2026: Telekom-Anbieter sind immer betroffen behandelt diesen Fall; den allgemeinen Einstieg bietet die Betroffenheitsprüfung.
Welcher Nachweis wann genügt
Weil der Auftraggeber seine Auswahl gegenüber der Behörde rechtfertigen muss, hängt die Antwort an seiner Einstufung des Lieferanten. Die folgende Zuordnung ist eine Einordnung aus der Beratungspraxis, keine Rechtsfolge. Das Gesetz schreibt keine Stufen vor.
| Rolle des Lieferanten | Was in der Praxis meist erwartet wird |
|---|---|
| Zulieferer ohne Zugriff auf Systeme oder Daten des Kunden | belastbare Auskunft plus ein vorzeigbares Dokument zur Informationssicherheit |
| Dienstleister mit Datenzugriff, für den Betrieb des Kunden nicht kritisch | anerkannter Nachweis eines Mindestniveaus, etwa eine der unteren Stufen eines Gütesiegels |
| Dienstleister, von dem der Betrieb des Kunden abhängt, und der nicht selbst unter das NISG 2026 fällt | höhere Stufe eines Gütesiegels oder Managementsystem nach ISO 27001 |
| Dienstleister, der selbst unter das NISG 2026 fällt | eigene Gesetzespflichten nach §§ 32 bis 34; der Nachweis gegenüber dem Kunden folgt daraus |
Beim österreichischen Cyber Trust Austria Label gibt es laut Schemabetreiber vier Stufen: Standard, Silber, Gold und Platinum. Der Betreiber positioniert den Prüfbericht der höchsten Stufe als Sicherheitsnachweis gemäß § 33 NISG 2026 zur Vorlage bei der Cybersicherheitsbehörde und als Abdeckung der Durchführungsverordnung (EU) 2024/2690. Das ist die Aussage des Betreibers und keine gesetzliche Anerkennung; das NISG 2026 nennt kein Label.
Der andere Weg ist ein Managementsystem nach ISO 27001. Es ist aufwendiger und deckt dafür den laufenden Betrieb ab, nicht nur eine Momentaufnahme. Was das an Kosten, Dauer und Ablauf bedeutet, steht im Beitrag zu Kosten, Dauer und Ablauf einer ISO-27001-Zertifizierung; der Aufbau des Managementsystems ist auf der Seite zu ISO 27001 beschrieben.
Zur Durchführungsverordnung (EU) 2024/2690 noch ein Hinweis. Ihr Erwägungsgrund 3 führt ISO/IEC 27001, ISO/IEC 27002, ETSI EN 319401 und CEN/TS 18026:2024 als Grundlage der technischen Anforderungen im Anhang an. Ihr Artikel 1 zählt den Anwendungsbereich abschließend auf: DNS-Anbieter, TLD-Namenregister, Cloud-, Rechenzentrums- und CDN-Anbieter, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter. Für ein Unternehmen außerhalb dieser Aufzählung ist sie kein Maßstab, für einen IT-Dienstleister mit verwalteten Diensten dagegen sehr wohl.
Wenn ein Kunde Nachweise verlangt und unklar ist, welcher Weg angemessen ist: Eine Gap-Analyse klärt zuerst den Ist-Stand, bevor eine Zertifizierung beauftragt wird. Was sie leistet und was nicht, steht in einem eigenen Beitrag. Kontaktdaten für ein erstes Gespräch finden sich auf der Seite zu NIS-2 und NISG 2026.
Häufige Fragen
Muss ein Lieferant nach dem NISG 2026 selbst etwas tun?
Aus dem Gesetz nicht, solange er nicht in einem der Sektoren tätig ist und die Voraussetzungen erfüllt. Die Pflicht trifft den betroffenen Kunden. Was der Lieferant nachweisen muss, ergibt sich aus dem Vertrag mit diesem Kunden.
Wie weit reicht die Lieferkettenpflicht in der Kette nach unten?
Das Gesetz spricht von den unmittelbaren Anbietern und Diensteanbietern. Eine gesetzliche Pflicht, weitere Stufen zu prüfen, ergibt sich daraus nicht. Vertraglich kann ein Auftraggeber mehr verlangen.
Schreibt das NISG 2026 eine bestimmte Zertifizierung oder ein Label vor?
Nein. Das Gesetz nennt Maßnahmen und Ergebnisse, keine Norm und kein Gütesiegel. Welcher Nachweis akzeptiert wird, entscheidet der Auftraggeber im Rahmen seines eigenen Risikomanagements.
Woran erkennt ein Lieferant, welche Stufe von ihm erwartet wird?
An seiner Rolle beim Kunden. Je stärker der Kunde von der Leistung abhängt und je weiter der Zugriff auf Systeme und Daten reicht, desto höher fällt die Einstufung möglicherweise aus. Wer den Kunden direkt fragt, wie er ihn eingeordnet hat, erspart sich Nachweise, die niemand verlangt hat.
Was gilt, wenn der Kunde mehr fordert, als das Gesetz verlangt?
Vertraglich kann er das. Als Argument steht der Verhältnismäßigkeitsgrundsatz des NISG 2026 zur Verfügung: Risikoexposition, Größe sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle sind zu berücksichtigen. Eine Einstufung, die dazu nicht passt, lässt sich sachlich hinterfragen.
Wo das im Gesetz steht
| Aussage im Beitrag | Fundstelle |
|---|---|
| Sicherheit der Lieferkette als Pflichtinhalt; beschränkt auf unmittelbare Anbieter | NISG 2026 § 32 Abs. 4 lit. d |
| Selbstdeklaration mit Angaben zur Sicherheit der Lieferketten | NISG 2026 § 33 Abs. 1 |
| Verhältnismäßigkeit der Maßnahmen | NISG 2026 § 32 Abs. 3 |
| Begriffe „Anbieter verwalteter Dienste“ und „Anbieter verwalteter Sicherheitsdienste“ | NISG 2026 § 3 Z 23 und Z 24 |
| Sektor „Verwaltung von IKT-Diensten (Business-to-Business)“ | NISG 2026 § 2 Z 9 |
| MSP und MSSP als Arten von Einrichtungen; Ausnahme für Dienste, die ausschließlich von der betroffenen Einrichtung betrieben und genutzt werden | NISG 2026 Anlage 1 Nr. 9 |
| „Einrichtung“ ist die einzelne juristische Person | NISG 2026 § 3 Z 10 |
| Sektor 9 steht unter den Sektoren mit hoher Kritikalität | NISG 2026 Anlage 1 |
| Größenregel für Anlage-1-Einrichtungen: mittel wichtig, groß wesentlich | NISG 2026 § 24 Abs. 2 Z 1 und Abs. 1 Z 3 |
| Behördliche Einstufung unterhalb der Größenschwellen | NISG 2026 § 26 |
| Nachweis der operativen und organisatorischen Umsetzung auch durch einschlägige gültige Zertifikate | NISG 2026 § 33 Abs. 2 |
| Anbieter öffentlicher Kommunikationsdienste ohne Größenschwelle | NISG 2026 § 24 Abs. 2 Z 3 lit. a |
| Normen als Grundlage der technischen Anforderungen; abschließender Anwendungsbereich | Durchführungsverordnung (EU) 2024/2690, Erwägungsgrund 3 und Artikel 1 |
Quellen
Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, Fassung vom 01.10.2026 (RIS)
Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 (EUR-Lex)
Cyber Trust Austria, Übersicht der Label-Stufen (Kompetenzzentrum Sicheres Österreich)
