Kurzantwort: Das NISG 2026 verlangt von der Geschäftsführung zwei Dinge, die sie nicht abgeben kann: dafür zu sorgen, dass die Sicherheitsmaßnahmen umgesetzt sind, und selbst an einer Schulung teilzunehmen, die für Leitungsorgane gemacht ist. Die Geldstrafen richten sich gegen das Unternehmen. Persönlich wird es an einer anderen Stelle: Die Behörde kann einem Mitglied der Geschäftsführung einer wesentlichen Einrichtung vorübergehend untersagen, seine Aufgaben wahrzunehmen, und diese Untersagung wird ins Firmenbuch eingetragen.
Der übliche Einwand dazu lautet: Kontrollieren wird das ohnehin niemand.
Bei diesem Gesetz greift der Einwand nicht, und das hat einen einfachen Grund. Betroffene Unternehmen müssen der Behörde von sich aus mitteilen, welche Maßnahmen sie umgesetzt haben. Diese Selbstdeklaration ist Pflicht, und sie hat ein Datum: Die Frist läuft zwölf Monate ab dem Zeitpunkt, an dem die Registrierungspflicht eintritt. Wer schon beim Inkrafttreten am 1. Oktober 2026 betroffen ist, muss sie bis zum 30. September 2027 abgeben. Maßgeblich ist der Eintritt der Pflicht, nicht der Tag, an dem sich das Unternehmen tatsächlich registriert.
Wer die Selbstdeklaration gar nicht abgibt oder wissentlich falsche Angaben darin macht, riskiert eine Geldstrafe bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro. Wer sie dagegen ehrlich ausfüllt und dabei offene Punkte einräumt, muss für genau diese offengelegten Lücken keine Strafe fürchten: Das Gesetz nimmt Mängel aus, von denen die Behörde ausschließlich aus der Selbstdeklaration erfährt. Was die Behörde daraufhin anordnet, ist eine andere Sache — ab der ersten Anordnung läuft die Eskalation, die weiter unten beschrieben ist.
Ein Wort zu den beiden Kategorien, weil davon fast alles Weitere abhängt. Das Gesetz unterscheidet wesentliche und wichtige Einrichtungen. Wesentlich ist ein Teil davon unabhängig von der Unternehmensgröße — etwa qualifizierte Vertrauensdiensteanbieter, DNS-Diensteanbieter, Namenregister für Domänen oberster Stufe und Einrichtungen, die als kritisch eingestuft wurden. Bei den übrigen entscheiden Sektor und Größe. Bei wesentlichen Einrichtungen darf die Behörde auch ohne konkreten Anlass prüfen, vor Ort oder aus der Ferne; bei wichtigen nur, wenn sie Hinweise hat. Welche Kategorie im Einzelfall gilt, klärt die Betroffenheitsprüfung.
Zwei Pflichten, die an der Person hängen
Das Gesetz spricht nicht von Geschäftsführern, sondern von „Leitungsorganen“. Gemeint sind die Personen, die nach Gesetz, Satzung oder Vertrag zur Führung der Geschäfte berufen sind. In der GmbH ist das die Geschäftsführung, in der Aktiengesellschaft der Vorstand. Der Aufsichtsrat führt die Geschäfte nicht und fällt nach dieser Definition nicht darunter.
Die erste Pflicht ist die Aufsicht. Umsetzen muss die Maßnahmen das Unternehmen. Die Geschäftsführung muss dafür sorgen, dass das passiert, und regelmäßig prüfen, ob es weiter passiert. Das Gesetz sagt dazu wörtlich „sicherstellen und beaufsichtigen“.
Die zweite Pflicht ist die eigene Schulung. Die Geschäftsführung muss an Schulungen zur Cybersicherheit teilnehmen, die für Leitungsorgane gemacht sind. Daneben steht eine zweite, davon getrennte Pflicht: Das Unternehmen muss seinen Mitarbeitern regelmäßig Schulungen anbieten. Für beide sieht das Gesetz je eine eigene Strafe vor.
Praktisch heißt das: Die Sicherheitsschulung, die alle im Haus durchlaufen, deckt die Mitarbeiterpflicht ab. Für die Geschäftsführung braucht es eine zweite.
Muss die Geschäftsführung die Maßnahmen förmlich freigeben?
Die europäische Richtlinie verlangt von den Leitungsorganen dreierlei: die Maßnahmen zu billigen, ihre Umsetzung zu überwachen, und für Verstöße der Einrichtung verantwortlich gemacht werden zu können. Im österreichischen Text steht das Wort „billigen“ nicht; dort heißt es „sicherstellen und beaufsichtigen“. Ob damit ein förmlicher Genehmigungsakt entfällt oder ob er im „Sicherstellen“ bereits enthalten ist, ist eine Auslegungsfrage, die der Wortlaut allein nicht beantwortet.
Für die Praxis ist die Antwort weniger wichtig als der Nachweis. Die Aufsicht muss im Ernstfall belegbar sein, spätestens in der Selbstdeklaration oder bei einer Prüfung. Ein Protokoll, in dem die Geschäftsführung die Maßnahmen zur Kenntnis nimmt und freigibt, ist der kürzeste Weg zu diesem Beleg — und er erledigt die Auslegungsfrage gleich mit.
Was passiert, wenn nichts passiert
Die Behörde geht stufenweise vor. Der Bescheid setzt voraus, dass eine Aufforderung folgenlos geblieben ist, und die schärfsten Maßnahmen setzen voraus, dass auch der Bescheid nicht erfüllt wurde.
| Stufe | Was die Behörde tut | Für wen |
|---|---|---|
| 1 | Aufforderung, bestimmte Maßnahmen innerhalb einer Frist umzusetzen | wesentliche und wichtige Einrichtungen |
| 2 | Bescheid mit Frist; die Umsetzung ist nachzuweisen | wesentliche und wichtige Einrichtungen |
| begleitend | Anordnung, betroffene Personen über die Bedrohung zu unterrichten; Anordnung, einzelne Aspekte des Verstoßes öffentlich bekannt zu machen | wesentliche und wichtige Einrichtungen |
| begleitend | Bestellung eines Überwachungsbeauftragten auf Zeit | nur wesentliche Einrichtungen |
| 3 | Aussetzung von Zertifizierungen oder Genehmigungen für die erbrachten Dienste; Untersagung der Leitungsaufgaben | nur wesentliche Einrichtungen |
Die öffentliche Bekanntmachung des Verstoßes verdient dabei mehr Aufmerksamkeit, als sie üblicherweise bekommt. Sie trifft auch wichtige Einrichtungen, sie setzt keinen vorherigen Bescheid voraus, und sie wirkt sofort nach außen.
Die Aussetzung in Stufe 3 betrifft Zertifizierungen und Genehmigungen, die für die erbrachten Dienste erforderlich sind — also regulatorische Zulassungen, nicht ein freiwillig erworbenes Managementsystem-Zertifikat.
Wie hart die Behörde reagiert, hängt vom Einzelfall ab. Als schwerer Verstoß gilt dabei immer: ein wiederholter Verstoß, eine unterlassene Meldung oder Behebung erheblicher Vorfälle, das Nichtbeheben von Mängeln trotz verbindlicher Anweisung, das Behindern von Prüfungen sowie die bewusste Übermittlung falscher oder grob verfälschender Informationen.
Das Tätigkeitsverbot — und was es nicht ist
Die Behörde kann einem Mitglied der Geschäftsführung einer wesentlichen Einrichtung per Bescheid vorübergehend untersagen, Leitungsaufgaben in diesem Unternehmen wahrzunehmen. Dieser Bescheid geht an das Firmenbuchgericht zur Eintragung.
Eine Abberufung ist das nicht. Die Behörde entzieht kein Amt und bestellt niemanden ab. Untersagt ist vorübergehend die Wahrnehmung der Aufgaben, und die Untersagung ist unverzüglich aufzuheben, sobald das Unternehmen die angeordneten Maßnahmen nachweislich ergriffen hat; auch die Aufhebung wird eingetragen. Praktisch bleibt die Gesellschaft in dieser Zeit trotzdem handlungsfähig zu halten, was in der Regel bedeutet, dass jemand anderes die Geschäfte führt.
Die Untersagung steht am Ende einer Kette, der im Gesetz zwei Stufen vorausgehen. Bemerkenswert bleibt, dass es sie überhaupt gibt. Bei Geldstrafen hat eine Behörde Spielraum nach unten. Ein Eintrag im Firmenbuch ist öffentlich und lässt sich nicht abstufen.
Wann die Strafe die Person trifft
Die großen Zahlen aus den Schlagzeilen richten sich gegen das Unternehmen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei wesentlichen Einrichtungen, bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen, je nachdem, welcher Betrag höher ist. Bezugsgröße ist dabei der Umsatz des Unternehmens, zu dem die Einrichtung gehört, im vorangegangenen Geschäftsjahr — für eine Konzerntochter also nicht ihr eigener. Beides sind Höchstbeträge. Verhängt werden die Strafen nicht von der Cybersicherheitsbehörde, sondern von der Bezirksverwaltungsbehörde.
Persönlich wird es über eine ältere Regel. Nach dem Verwaltungsstrafgesetz ist für die Einhaltung von Verwaltungsvorschriften durch ein Unternehmen grundsätzlich verantwortlich, wer es nach außen vertritt, also die Geschäftsführung. Das NISG 2026 schaltet diese Verantwortlichkeit nicht ab. Es macht sie nachrangig: Von einer Strafe gegen die verantwortliche Person ist abzusehen, wenn für denselben Verstoß bereits eine Strafe gegen das Unternehmen verhängt wird.
Der Unterschied ist wichtig. „Abzusehen, wenn“ ist etwas anderes als „ausgeschlossen“. Bleibt das Unternehmen ungestraft, besteht die persönliche Verantwortlichkeit nach dem Wortlaut weiter.
„Das hat die IT“
Der Satz kommt in Erstgesprächen regelmäßig. Er leistet weniger, als er soll.
Die Pflichten aus dem NISG treffen die Geschäftsführung, nicht die IT-Abteilung und nicht den IT-Dienstleister. Wer die verwaltungsstrafrechtliche Verantwortung wirklich verschieben will, braucht dafür eine förmliche Bestellung: einen verantwortlichen Beauftragten für einen klar abgegrenzten Bereich. Diese Person muss der Bestellung nachweislich zugestimmt haben und in ihrem Bereich auch anordnen dürfen. Eine Klausel im Dienstleistervertrag erfüllt diese Voraussetzungen regelmäßig nicht.
Dazu kommt eine Regel, die den Fall der unbeaufsichtigten Delegation ausdrücklich erfasst, allerdings auf der Ebene des Unternehmens: Es kann auch dann verantwortlich gemacht werden, wenn erst mangelnde Überwachung oder Kontrolle durch eine Führungsperson den Verstoß ermöglicht hat. Ein Budget freizugeben und das Thema danach nicht mehr anzusehen, verschiebt das Problem also nicht nach außen. Es verdoppelt es.
Ob eine konkrete Konstruktion trägt, gehört im Einzelfall anwaltlich geprüft. Die Aufsichtspflicht der Geschäftsführung bleibt davon in jedem Fall unberührt.
Die Schulung ist der schnellste Punkt auf der Liste
Von allem, was das Gesetz verlangt, ist die Schulung der Geschäftsführung am schnellsten erledigt und am einfachsten zu belegen. Sie ist auch die einzige Pflicht, die die Geschäftsführung ausschließlich selbst erfüllen kann: Die Aufsicht lässt sich organisieren, die Teilnahme an einer Schulung nicht.
Zwei österreichische Anbieter schneiden ihre Kurse für Leitungsorgane ähnlich zu. Die TÜV AUSTRIA Akademie nennt für ihren Kurs für Führungskräfte unter anderem den Überblick über die Anforderungen des NISG 2026, die Funktionsweise eines wirksamen Risikomanagement-Prozesses und die Verantwortlichkeiten von Leitungsorganen. Die ARS Akademie nennt für ihr Seminar für Geschäftsführung und Vorstand eine ähnliche Agenda. Sie hält ausdrücklich fest, dass allgemeine Mitarbeiterschulungen die Pflicht der Leitungsorgane nicht erfüllen. Beide Angaben stammen von den Anbietern, nicht von einer Behörde.
Inhaltliche Vorgaben macht das Gesetz nicht; es verlangt nur, dass die Schulung für Leitungsorgane gestaltet ist. Aus den Pflichten selbst ergeben sich allerdings vier Fragen, die eine Schulung beantworten sollte — das ist eine fachliche Einschätzung, keine gesetzliche Vorgabe:
- Worum es bei NIS-2 und dem NISG 2026 geht und wen das Gesetz erfasst.
- Welche Pflichten an der Geschäftsführung hängen und welche am Unternehmen.
- Wie ein meldepflichtiger Vorfall erkannt und innerhalb der 24-Stunden-Frist gemeldet wird.
- Woran die Geschäftsführung erkennt, ob die Maßnahmen tatsächlich wirken.
Geschäftsführer müssen keine Sicherheitsfachleute werden. Sie müssen ihre eigene Rolle in diesem Gesetz kennen.
Was ohnehin gilt, auch ohne NISG
Das NISG 2026 ist eine von mehreren Haftungsquellen. Geschäftsführer schulden ihrer Gesellschaft seit jeher die Sorgfalt eines ordentlichen Geschäftsmannes, Vorstände die eines ordentlichen und gewissenhaften Geschäftsleiters. Wer diese Sorgfalt verletzt, haftet der Gesellschaft für den Schaden.
Das GmbH-Gesetz und das Aktiengesetz enthalten dazu auch eine entlastende Regel, die sogenannte Business Judgement Rule: Wer eine unternehmerische Entscheidung trifft, sich vorher ausreichend informiert hat, keine sachfremden Interessen verfolgt und annehmen darf, zum Wohl der Gesellschaft zu handeln, hat seine Sorgfaltspflicht auch dann nicht verletzt, wenn sich die Entscheidung später als falsch erweist.
Diese Regel hat eine Grenze, die oft übersehen wird. Sie schützt unternehmerisches Ermessen. Ob ein Gesetz eingehalten wird, ist keine Ermessensfrage — dafür gibt es keinen geschützten Spielraum. Was innerhalb der Pflicht sehr wohl Ermessen zulässt, ist das Wie: welche Maßnahmen, in welcher Reihenfolge, mit welchen Mitteln. Wer diese Entscheidungen informiert trifft und dokumentiert, steht deutlich besser da als jemand, der die Frage nie behandelt hat.
Wie diese zivilrechtliche Haftung im konkreten Fall mit dem NISG zusammenspielt, gehört anwaltlich geklärt.
Was das für die nächsten Monate heißt
Der Kalender ist übersichtlich. Das NISG 2026 tritt am 1. Oktober 2026 in Kraft. Registriert sein muss man bis 31. Dezember 2026. Die Selbstdeklaration ist für alle, die schon zum Inkrafttreten betroffen sind, bis 30. September 2027 fällig.
Ob das Unternehmen überhaupt erfasst ist, klärt die Betroffenheitsprüfung; ist es erfasst, folgt die Registrierung. Daneben muss der Meldeprozess stehen, weil die 24-Stunden-Frist keinen Vorlauf kennt. Und die Schulung der Geschäftsführung lässt sich jederzeit terminieren, unabhängig von allem anderen.
Wo das Unternehmen bei den Sicherheitsmaßnahmen tatsächlich steht, zeigt eine strukturierte Analyse des Ist-Zustands. Welche Regelwerke im Einzelfall greifen und in welcher Reihenfolge sie abzuarbeiten sind, klärt die Beratung vorab.
Häufige Fragen
Müssen alle Geschäftsführer an der Schulung teilnehmen oder reicht einer?
Die Pflicht ist an die Funktion des Leitungsorgans gebunden und trifft damit jedes Mitglied. Eine Regelung, wonach die Teilnahme eines Einzelnen für das ganze Organ genügt, enthält das Gesetz nicht. Die sichere Lesart ist deshalb, dass alle teilnehmen.
Reicht die allgemeine Sicherheitsschulung, die alle Mitarbeiter bekommen?
Nach dem Wortlaut nicht. Verlangt sind Schulungen, die für Leitungsorgane spezifisch gestaltet sind. Die Mitarbeiterschulung ist eine eigene Pflicht des Unternehmens, und für jede der beiden sieht das Gesetz eine eigene Strafe vor.
Lässt sich die Verantwortung vertraglich auf den IT-Dienstleister übertragen?
Die Pflichten aus dem NISG bleiben bei der Geschäftsführung. Verschieben lässt sich die verwaltungsstrafrechtliche Verantwortung, und auch die nur über die förmliche Bestellung eines verantwortlichen Beauftragten mit eigener Anordnungsbefugnis im abgegrenzten Bereich. Ob eine bestimmte Konstruktion diese Voraussetzungen erfüllt, ist eine Frage für eine Rechtsanwaltskanzlei. Wie die fachliche Seite dieser Rolle extern besetzt wird, steht im Beitrag zu CISO as a Service.
Kann die Untersagung auch die Geschäftsführung einer wichtigen Einrichtung treffen?
Nach dem Wortlaut nicht — diese Stufe ist auf wesentliche Einrichtungen beschränkt, die einem Bescheid nicht nachkommen. Zu beachten ist allerdings, dass sich die Einstufung ändern kann: Wächst ein Unternehmen oder ändert sich seine Tätigkeit, kann aus einer wichtigen eine wesentliche Einrichtung werden.
Kann die Geschäftsführung persönlich bestraft werden, wenn das Unternehmen schon bestraft wurde?
Für denselben Verstoß sieht das Gesetz vor, von der Strafe gegen die verantwortliche Person abzusehen, wenn dafür bereits eine Strafe gegen das Unternehmen verhängt wird. Umgekehrt besteht die persönliche Verantwortlichkeit weiter, wenn es zu keiner Strafe gegen das Unternehmen kommt.
Wo das im Gesetz steht
| Aussage im Beitrag | Fundstelle |
|---|---|
| Wer als „Leitungsorgan“ gilt | NISG 2026 § 3 Z 11 |
| Wesentliche Einrichtungen, teils unabhängig von der Unternehmensgröße | NISG 2026 § 24 Abs. 1 |
| Registrierungspflicht und Registrierung binnen drei Monaten ab Inkrafttreten | NISG 2026 § 29 Abs. 2 und Abs. 3 |
| Aufsichtspflicht: sicherstellen und beaufsichtigen | NISG 2026 § 31 Abs. 1 |
| Schulungspflicht für Leitungsorgane; Schulungsangebot für Mitarbeiter | NISG 2026 § 31 Abs. 2 |
| Pflicht zur Umsetzung der Risikomanagementmaßnahmen | NISG 2026 § 32 |
| Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht | NISG 2026 § 33 Abs. 1 |
| Prüfung ohne Anlass bei wesentlichen, nur bei Hinweisen bei wichtigen Einrichtungen | NISG 2026 § 38 Abs. 1 Z 1 und Abs. 2 |
| Stufe 1: Aufforderung; Stufe 2: Bescheid | NISG 2026 § 39 Abs. 1 und Abs. 2 |
| Unterrichtung Betroffener, öffentliche Bekanntmachung des Verstoßes, Überwachungsbeauftragter | NISG 2026 § 39 Abs. 3 |
| Aussetzung von Zertifizierungen; Untersagung der Leitungsaufgaben, Eintragung ins Firmenbuch | NISG 2026 § 39 Abs. 4 |
| Aufhebung der Untersagung nach Nachweis | NISG 2026 § 39 Abs. 5 |
| Was immer als schwerer Verstoß gilt | NISG 2026 § 39 Abs. 7 |
| Zuständigkeit der Bezirksverwaltungsbehörde für Verwaltungsstrafen | NISG 2026 § 44 Abs. 1 |
| Verantwortlichkeit des Unternehmens bei mangelnder Überwachung | NISG 2026 § 44 Abs. 4 |
| Persönliche Strafe nur nachrangig | NISG 2026 § 44 Abs. 5 |
| Eigene Strafe für fehlende Schulungen von Leitungsorganen und Mitarbeitern | NISG 2026 § 45 Abs. 1 Z 1 und Z 2 |
| Keine Strafe für fehlende Maßnahmen, die nur aus der Selbstdeklaration bekannt werden | NISG 2026 § 45 Abs. 1 Z 3 |
| Strafrahmen 10 Millionen Euro oder 2 Prozent und 7 Millionen Euro oder 1,4 Prozent | NISG 2026 § 45 Abs. 2 und Abs. 3 |
| Bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro, unter anderem für versäumte oder wissentlich falsche Selbstdeklaration | NISG 2026 § 45 Abs. 4 Z 7 und Z 8 |
| Verantwortlichkeit der nach außen Vertretungsbefugten, verantwortlicher Beauftragter | VStG § 9 Abs. 1, 2 und 4 |
| Sorgfalt, Haftung und Business Judgement Rule beim Geschäftsführer | GmbHG § 25 Abs. 1, 1a und 2 |
| Sorgfalt, Haftung und Business Judgement Rule beim Vorstand | AktG § 84 Abs. 1, 1a und 2 |
| Billigen, Überwachen, Verantwortlichkeit in der Richtlinie | Richtlinie (EU) 2022/2555 Art. 20 Abs. 1 |
Quellen
- Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) — RIS
- Verwaltungsstrafgesetz 1991 (VStG), § 9 — RIS
- GmbH-Gesetz, § 25 — RIS
- Aktiengesetz, § 84 — RIS
- Richtlinie (EU) 2022/2555 (NIS-2), Art. 20 — EUR-Lex
- TÜV AUSTRIA Akademie, „NISG 2026 / NIS2 Verantwortung und Compliance für Führungskräfte“ — tuv-akademie.at
- ARS Akademie, „NISG 2026 für Geschäftsführung & Vorstand“ — ars.at
