Seit dem 1. Oktober 2026 gilt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026. Damit haben Deutschland und Österreich die NIS2-Richtlinie umgesetzt, jeweils mit eigener Behörde, eigener Registrierung und eigener Meldestelle. Die Schweiz ist kein EU-Mitglied, für sie gilt die Richtlinie nicht. Sie verlangt von Betreiberinnen kritischer Infrastrukturen trotzdem schon seit April 2025, Cyberangriffe zu melden.
Für ein Unternehmen mit Standorten in allen drei Ländern heißt das: bis zu drei Rechtsordnungen mit ähnlichen Fristen und verschiedenen Adressaten. Welche davon greift, entscheidet sich an jeder Gesellschaft einzeln.
Die Pflichten stehen im neuen BSI-Gesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), in Kraft seit dem 6. Dezember 2025. Das Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen. In den Sektoren aus den Anlagen des Gesetzes gilt als besonders wichtig in der Regel, wer mindestens 250 Beschäftigte hat oder über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme. Als wichtig gilt, wer mindestens 50 Beschäftigte oder jeweils über 10 Millionen Euro Umsatz und Bilanzsumme hat (§ 28 BSIG).
Drei Pflichten betreffen den Betrieb unmittelbar:
Zuständig ist das BSI für alle Einrichtungen, die in Deutschland niedergelassen sind (§ 59 BSIG).
Das NISG 2026 ist am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht worden und nach § 51 neun Monate später, zum nächsten Monatsersten, in Kraft getreten. Zuständige Behörde ist das neu gegründete Bundesamt für Cybersicherheit, das dem Bundesminister für Inneres unmittelbar nachgeordnet ist (§ 3a).
Was das BSIG „besonders wichtige Einrichtung“ nennt, heißt in Österreich wie in der Richtlinie „wesentliche Einrichtung“. Unterlagen für beide Länder halten die Begriffe deshalb am besten getrennt.
In der Schweiz regelt das Informationssicherheitsgesetz (ISG) die Meldung. Seit dem 1. April 2025 gilt für Betreiberinnen kritischer Infrastrukturen: Sie müssen Cyberangriffe dem Bundesamt für Cybersicherheit BACS melden, innerhalb von 24 Stunden nach der Entdeckung. Fehlende Angaben lassen sich innerhalb von 14 Tagen ergänzen. Meldepflichtig sind Angriffe, die die Funktionsfähigkeit gefährden, zu Manipulation oder Abfluss von Informationen führen oder mit Erpressung, Drohung oder Nötigung verbunden sind. Wer darunter fällt, zählt Art. 74b ISG auf, Ausnahmen regelt die Cybersicherheitsverordnung (BACS).
Seit dem 1. Oktober 2025 gelten die Sanktionen. Wer der Meldepflicht nicht nachkommt, kann laut BACS mit einer Busse bis 100.000 Franken belegt werden.
Das Recht bewegt sich weiter. Der Bundesrat hat am 25. September 2026 das VBS beauftragt, bis Juni 2027 eine Vernehmlassungsvorlage für ein eigenständiges Cybersicherheitsgesetz auszuarbeiten. Die Meldepflicht soll dorthin überführt werden (Bundesrat). Eine neue Pflicht entsteht damit heute nicht.
Den Rahmen setzt Artikel 26 der NIS2-Richtlinie, beide Umsetzungen folgen ihm. Im Grundsatz zählt, wo eine Einrichtung niedergelassen ist. Ist die Gesellschaft in Wien eine wesentliche oder wichtige Einrichtung, fällt sie unter das NISG 2026 und registriert sich beim österreichischen Bundesamt. Die betroffene Muttergesellschaft in München fällt unter das BSIG und registriert sich beim BSI. Trifft ein Vorfall Systeme an beiden Standorten, können zwei Meldungen an zwei Stellen fällig werden, jeweils mit 24 Stunden für die erste.
Für einige digitale Dienste gilt eine Ausnahme. DNS-Diensteanbieter, TLD-Registries, Anbieter von Domain-Registrierungsdiensten, Cloud- und Rechenzentrumsanbieter, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider sowie Online-Marktplätze, Suchmaschinen und soziale Netzwerke unterliegen nur einem Mitgliedstaat, dem ihrer Hauptniederlassung. Das ist der Staat, in dem die Entscheidungen zum Cybersicherheitsrisikomanagement vorwiegend fallen. Lässt sich das nicht bestimmen, zählt der Ort der Umsetzung, danach die Niederlassung mit den meisten Beschäftigten in der EU (§ 60 BSIG, § 28 NISG 2026). Liegt diese Hauptniederlassung in Deutschland, ist das BSI für die gesamte EU zuständig.
Für Konzerne kommt eine Rechenregel dazu. Beide Gesetze ermitteln die Unternehmensgröße nach der KMU-Empfehlung der EU-Kommission und rechnen dabei Partner- und verbundene Unternehmen mit. Ausgenommen ist eine Einrichtung, die bei ihren IT-Systemen und deren Betrieb von der Gruppe unabhängig ist (§ 28 Abs. 4 BSIG, § 25 Abs. 4 NISG 2026). Eine kleine Tochter, die auf der IT der Mutter läuft, kann damit über die Konzernzahlen in den Anwendungsbereich fallen.
Für den Schweizer Standort gilt das ISG, sofern er zu den dort genannten Betreiberinnen gehört. Umgekehrt fällt die EU-Tochter eines Schweizer Unternehmens unter das Recht ihres EU-Landes. Wer als Schweizer Anbieter einen der genannten digitalen Dienste in der EU anbietet, ohne dort niedergelassen zu sein, muss einen Vertreter in der EU benennen (§ 60 Abs. 3 BSIG, § 28 Abs. 4 NISG 2026).
Für die deutschen Pflichten gibt es auf unserer NIS2-Seite den NIS2-Readiness-Check. Er fragt fünf Pflichtbereiche aus dem BSIG ab und liefert am Ende ein PDF, das Sie an Geschäftsführung oder IT-Leitung weitergeben können. Die Auswertung läuft in Ihrem Browser. Der Check bildet den Rechtsstand des BSIG ab, für eine österreichische Gesellschaft gelten die Fundstellen des NISG 2026.
Wer seine Maßnahmen nach § 30 Absatz 1 BSIG dokumentieren muss, braucht auch eine Übersicht, welche Daten welchen Schutz bekommen. Darum ging es in unserem Webcast „ISEC7 CLASSIFY: NIS2 kommt. Sind Ihre Daten vorbereitet?“ vom 4. November 2025, die Aufzeichnung gibt es nach Registrierung. Am 20. Oktober 2026 zeigen wir live, wie sich Datenklassifizierung in E-Mails, Office-Dokumenten und SharePoint einführen lässt. Weitere Termine stehen in der Webcast-Übersicht.
Ob eine Ihrer Gesellschaften betroffen ist, klären wir im Gespräch und nicht im Fragebogen. Die rechtliche Einordnung im Einzelfall gehört zu Ihrer Rechtsberatung. Bei Analyse, Beratung und Umsetzung unterstützen wir Sie, mit eigenen Lösungen und denen unserer Partner. Schreiben Sie an sales@isec7.com.
Stand dieses Beitrags: Gesetzestexte und Behördenseiten, abgerufen am 28. September 2026.