NIS2 ab Oktober 2026: Neue Pflichten für Wiener Unternehmen

Jeder fünfte Cyberangriff in Wien erfolgt mittlerweile über die Lieferkette. „Genau deshalb rückt NIS2 stärker in den Mittelpunkt, denn die Widerstandsfähigkeit eines Unternehmens endet nicht an der eigenen Firewall“, sagt Martin Heimhilcher, Obmann der Sparte Information und Consulting der WK Wien.

Das Netz- und Informationssystemsicherheitsgesetz 2026 tritt am 1. Oktober 2026 vollständig in Kraft. Es soll die Wirtschaft vor den wachsenden Bedrohungen durch Cyberkriminalität schützen und die digitale Widerstandsfähigkeit erhöhen.

NIS2 und digitale Souveränität waren auch Themen der Studie „Cybersecurity in Österreich“. KPMG und das Kompetenzzentrum Sicheres Österreich (KSÖ) haben die Studie heuer zum elften Mal erstellt. Die Wien-Zahlen wurden zum vierten Mal erhoben.

NIS2 macht Cybersicherheit zur Managementaufgabe

Statt bislang 100 Organisationen werden in Österreich künftig mehrere tausend Unternehmen vom Netz- und Informationssystemsicherheitsgesetz 2026 betroffen sein. Cybersicherheit muss daher als Managementaufgabe verstanden und in die Geschäftsprozesse integriert werden.

Erst 19 Prozent der Wiener Unternehmen haben Maßnahmen zur Sicherheit ihrer Lieferkette etabliert. Nur 36 Prozent haben bereits Schulungen für ihre Unternehmensführungen umgesetzt. Gleichzeitig wissen viele Betriebe noch immer nicht, ob sie künftig unter die NIS2-Regelungen fallen werden.

„Cybersicherheit ist längst keine reine IT-Aufgabe mehr, sondern ein zentraler Bestandteil unternehmerischer Resilienz, vergleichbar mit Brandschutz und Betriebshaftpflicht. Die Ergebnisse unserer KPMG & KSÖ Studie „Cybersecurity in Österreich 2026“ zeigen, wie entscheidend es ist, Risiken frühzeitig zu erkennen und wirksame Schutzmaßnahmen fest in der Unternehmenssteuerung zu verankern. Spätestens mit NIS2 ist klar: Cyberrisiken gehören auf die Agenda der Geschäftsführung“, sagt Robert Lamprecht, Partner bei KPMG Austria.

Digitale Souveränität und internationale Abhängigkeiten

Die Digitalisierung eröffnet Unternehmen neue Chancen, schafft jedoch gleichzeitig auch Abhängigkeiten. Wiener Unternehmen sehen eine hohe Abhängigkeit von der EU (91 Prozent) und den USA (80 Prozent). Das Vertrauen in die EU ist mit 97 Prozent jedoch deutlich größer als jenes in die USA mit nur 39 Prozent.

Eine starke Abhängigkeit von anderen Staaten besteht vor allem in folgenden Bereichen: Cloud-Technologie (56 Prozent), Künstliche Intelligenz (54 Prozent) und IT-Komponenten (53 Prozent).

62 Prozent der Wiener Betriebe sagen, dass sie die Abhängigkeit von ausländischen Geschäftspartnern aktuell nicht umgehen können. Rund 38 Prozent der von einer Unterbrechung der Lieferkette betroffenen Unternehmen könnten nach eigener Einschätzung nur rund drei Monate wirtschaftlich überleben.

Vor dem Hintergrund geopolitischer Spannungen wird digitale Souveränität zunehmend bedeutender. Unternehmen und Staaten wollen und müssen bei kritischen Technologien handlungsfähig bleiben.

Aus der Studie geht auch hervor, dass 85 Prozent der Wiener Unternehmen Cybersecurity-Lösungen aus Österreich bevorzugen würden und sich eine stärkere europäische Zusammenarbeit im Bereich Cybersicherheit wünschen.

„Digitale Souveränität ist eine zentrale wirtschaftspolitische Herausforderung. Unser Ziel muss sein, die digitale Resilienz Europas zu stärken und heimische Unternehmen unabhängiger und widerstandsfähiger zu machen“, sagt Heimhilcher abschließend.

Welche Unternehmen von NIS2 betroffen sind

Von NIS2 besonders betroffen sind mittlere und große Unternehmen aus insgesamt 18 gesellschaftlich und wirtschaftlich relevanten Sektoren: Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelwirtschaft und bestimmte Bereiche der Industrie.

Wer unter das Gesetz fällt, muss ab 1. Oktober angemessene technische, organisatorische und operative Cybersicherheitsmaßnahmen umgesetzt haben. Dazu gehört auch die Absicherung der Lieferkette.

Da die Verantwortung bei der Geschäftsführung liegt, muss sie entsprechende Cybersicherheitsschulungen absolvieren.

Ab 1. Oktober gelten zudem neue Meldepflichten für erhebliche Cybersicherheitsvorfälle. Betroffene Unternehmen müssen sich bis spätestens 31. Dezember registrieren.

Auch Unternehmen, die selbst nicht unmittelbar unter NIS2 fallen, sollten ihre Cybersecurity überprüfen. Als Lieferanten oder Dienstleister von NIS2-pflichtigen Unternehmen können sie künftig verstärkt mit Sicherheitsanforderungen ihrer Auftraggeber konfrontiert werden.