FASANNET +43 664 993 829 33 Rückruf anfordern

NIS2 und das NISG 2026

Ein Kunde schickt einen NIS2-Fragebogen. Was jetzt?

Die meisten kleinen Betriebe sind vom NISG 2026 nicht direkt betroffen. Sie bekommen aber Fragebögen von Kunden, die es sind. Wir liefern die technischen Antworten mit Belegen.

Rückruf zum Fragebogen Was wir übernehmen
1. Okt. 2026Inkrafttreten des NISG 2026 in Österreich
31. Dez. 2026Frist zur Registrierung betroffener Einrichtungen
1. Okt. 2027Selbstdeklaration der Einrichtungen
ab 50Beschäftigte als Schwelle im Regelfall

Betroffenheit · Stand Oktober 2026

Ist mein Betrieb betroffen? Meist nicht direkt.

Das sagen wir gleich am Anfang, weil derzeit viel Angst verkauft wird. Prüfen Sie es an drei Fragen.

Größe

Direkt erfasst sind in der Regel Einrichtungen mit mindestens 50 Beschäftigten oder mehr als zehn Millionen Euro Jahresumsatz. Ein Betrieb mit 1 bis 25 Arbeitsplätzen liegt darunter.

Sektor

Es gibt achtzehn erfasste Sektoren, von Energie, Verkehr und Gesundheit über Bankwesen und Trinkwasser bis zu digitaler Infrastruktur, Post, Abfall und Lebensmittelproduktion. Wer in keinem davon tätig ist, fällt nicht darunter, egal wie groß er ist.

Ausnahmen von der Größe

Einige Bereiche sind unabhängig von der Größe erfasst, etwa qualifizierte Vertrauensdiensteanbieter, Namenregister für Domains, DNS-Anbieter, Anbieter öffentlicher Kommunikationsnetze sowie Einrichtungen der Landesverwaltung.

In Österreich geht man von etwa vier- bis siebentausend direkt betroffenen Einrichtungen aus. Unterschieden wird zwischen wesentlichen und wichtigen Einrichtungen, mit abgestuften Pflichten und abgestuften Strafen. Zuständig ist das neue Bundesamt für Cybersicherheit im Innenministerium.

Die Lieferkette

Warum der Fragebogen zu Ihnen kommt.

Betroffene Unternehmen müssen die Sicherheit ihrer Lieferanten bewerten und steuern. Bewerten können sie nur, was sie erfragen. Deshalb verschicken sie Fragebögen.

Betroffen sind damit faktisch auch Betriebe, die im Gesetz gar nicht vorkommen. Die Kanzlei, die für einen Konzern arbeitet. Der Handwerksbetrieb, der an einen Energieversorger liefert. Die Agentur mit einem Kunden aus dem Gesundheitswesen. Der Zulieferer, der Daten austauscht.

Die Pflicht bleibt beim Auftraggeber. Die Arbeit kommt zu Ihnen.

Wer nicht antworten kann, verliert im Zweifel den Auftrag. Nicht wegen eines Gesetzesverstoßes, sondern weil der Kunde das Risiko nicht tragen will.

Was gefragt wird

Zehn Bereiche im NIS2-Fragebogen.

Die Fragebögen sehen unterschiedlich aus, fragen aber dasselbe ab. Es sind die Mindestbereiche aus Artikel 21 der Richtlinie.

Organisation

  • Risikoanalyse und Sicherheitsleitlinien
  • Umgang mit Sicherheitsvorfällen
  • Betriebsfortführung, Sicherung, Krisenmanagement
  • Sicherheit in der Lieferkette
  • Schulung und Sensibilisierung der Mitarbeiter

Technik

  • Sicherheit bei Beschaffung, Entwicklung und Wartung
  • Verfahren zur Bewertung der Wirksamkeit
  • Verschlüsselung
  • Zugriffskontrolle und Verwaltung der Werte
  • Mehrfaktor-Anmeldung und gesicherte Kommunikation

Verlangt wird keine Zertifizierung, verlangt wird Nachweisbarkeit. Also nicht „wir machen Backups“, sondern wann zuletzt eine Datei zurückgeholt wurde und wer es protokolliert hat. Wir bearbeiten die technische Spalte. Für Leitlinien, Krisenkonzepte und Schulungen brauchen Sie einen Unternehmensberater. Das ist in Österreich ein eigenes, reglementiertes Gewerbe.

Was wir tun

Beim Fragebogen übernehmen wir den technischen Teil.

Machen wir

  • den technischen Stand erheben: Geräte, Updates, Sicherung, Zugriffe, Netz
  • die technischen Fragen des Fragebogens beantworten
  • die Belege dazu liefern, statt Behauptungen
  • auflisten, was technisch fehlt, mit Aufwand und Reihenfolge
  • diese Punkte umsetzen, wenn Sie wollen

Machen wir nicht

  • Sicherheitsleitlinien, Krisenkonzepte und Schulungsprogramme erstellen. Das ist Unternehmensorganisation und gehört zu einem dafür berechtigten Berater
  • NIS2 zertifizieren. Das dürfen nur unabhängige Prüfer, die von der Cybersicherheitsbehörde zugelassen sind
  • als unabhängiger Prüfer auftreten. Wer Ihre IT betreut, kann sie nicht unabhängig prüfen
  • Ihnen einreden, Sie wären betroffen, wenn Sie es nicht sind

Die Erhebung ist derselbe Vorgang wie unser IT-Bestandscheck. Wer den schon gemacht hat, hat die Unterlagen bereits.

Häufige Fragen

Fragen zu NIS2.

Ihre Frage ist nicht dabei? Fragen Sie uns direkt.

Ab wann gilt das und bis wann muss ich etwas tun?

Das NISG 2026 gilt ab 1. Oktober 2026. Betroffene Einrichtungen registrieren sich bis 31. Dezember 2026 und geben bis 1. Oktober 2027 eine Selbstdeklaration ab. Für Lieferanten gibt es keine gesetzliche Frist, der Auftraggeber bestimmt, wann er eine Antwort will.

Ist mein Betrieb direkt betroffen?

Direkt erfasst sind in Österreich Einrichtungen aus achtzehn Sektoren ab 50 Beschäftigten oder zehn Millionen Euro Umsatz, dazu einige Bereiche unabhängig von der Größe. Ein Betrieb mit 1 bis 25 Arbeitsplätzen fällt in aller Regel nicht darunter.

Warum bekomme ich dann einen NIS2-Fragebogen?

Weil betroffene Unternehmen die Sicherheit ihrer Lieferkette bewerten und steuern müssen. Sie fragen deshalb bei ihren Lieferanten nach.

Brauche ich eine ISO-27001-Zertifizierung?

Als Lieferant in aller Regel nicht. Dort reicht, dass Sie belegen können, was Sie tun. Für direkt betroffene Einrichtungen kann ein anerkanntes Zertifikat den organisatorischen Teil abdecken.

Sind Sie zugelassener Prüfer?

Nein. Unabhängige Prüfer werden von der Cybersicherheitsbehörde per Bescheid zugelassen, und wer Ihre IT betreut, kann sie nicht unabhängig prüfen. Wir bereiten Sie technisch vor, prüfen tut jemand anderer.

Was kostet das?

Die Erhebung ist unser IT-Bestandscheck: 690 € netto bis 10 Arbeitsplätze, 990 € bis 25, bei einem Betreuungsvertrag binnen 90 Tagen voll angerechnet. Das Beantworten der technischen Fragen danach nennen wir als Festpreis, bevor wir anfangen.

Wir haben gar keine IT-Dokumentation. Ist das schlimm?

Das ist der Normalfall. Die Dokumentation entsteht bei der Erhebung. Danach haben Sie sie, auch wenn der nächste Kunde wieder fragt.

Fragebogen erhalten? Bringen Sie ihn mit.

Im kostenlosen Erstgespräch von 30 Minuten sehen wir uns an, was gefragt wird. Danach sagen wir, ob der Bestandscheck der richtige Weg ist.