White Paper · Teil 1 von 3
Teil 1: Die Zahlen der neuen Behörde. Was sieben Jahre NIS-1-Aufsicht in Österreich gezeigt haben, und was neu Betroffene unter NIS-2 daraus lernen können.
Datenbasis: Erledigungen des Bundesamts für Cybersicherheit vom 16.10.2026, Stichtag 30.9.2026
Für rund 4.000 österreichische Unternehmen beginnt mit dem NISG 2026, was 104 Betreiber wesentlicher Dienste seit 2019 kennen: eine Aufsicht mit Nachweispflicht, Meldepflicht und Strafdrohung. Wie diese Aufsicht unter NIS-1 tatsächlich gearbeitet hat, zeigen erstmals zwei Auskünfte des Bundesamts für Cybersicherheit nach dem Informationsfreiheitsgesetz. Wir haben sie ausgewertet. Drei Ergebnisse sind für neu betroffene Unternehmen entscheidend.
Ergebnis 1
In sieben Jahren gingen 18 Sachverhaltsdarstellungen an die Strafbehörden, rechnerisch eine auf jeden sechsten der 104 Betreiber. Laut BMI-Bericht Cybersicherheit 2025 beruhte der überwiegende Teil auf Fristversäumnissen und nicht umgesetzten Sicherheitsmaßnahmen. Was aus den Verfahren wurde, ist beim Bundesamt nicht erfasst. Mit dem NISG 2026 berichten die Strafbehörden künftig jährlich, und der Strafrahmen steigt auf bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.
Für Sie
Die eigentliche Arbeit ist nicht die Registrierung bis 31.12.2026, sondern die Sicherheitsmaßnahmen umzusetzen und das einer Prüfstelle belegen zu können. Das braucht Zeit, und kontrollieren kann die Behörde schon vor dem ersten formellen Nachweis.
Ergebnis 2
Anerkannt waren 31 Prüfstellen, Prüfberichte eingebracht haben 17, und drei Viertel aller 133 Berichte stammen von nur vier Stellen. Die Behörde hat in sieben Jahren fünf Einschauen bei Prüfstellen gemacht. Dieselben Stellen prüfen künftig für ein Vielfaches an Unternehmen.
Für Sie
Suchen Sie Ihre Prüfstelle früh, und fragen Sie nach Referenzen in Ihrem Sektor, den konkreten Prüfern und der Zahl der Nachweise, die die Stelle schon eingereicht hat.
Ergebnis 3
Die Pflichtmeldungen stiegen von 21 im Jahr 2020 auf 197 im Jahr 2025, rechnerisch fast zwei je Betreiber und Jahr.
Für Sie
Die Frühwarnung binnen 24 Stunden schafft nur, wer Zuständigkeit, Meldeschwelle und Meldeweg vorher geklärt hat.
Download
Kostenlos, ohne Anmeldung. Lizenz CC BY 4.0: teilen und weiterverwenden mit Quellenangabe.
Anfragen an das Bundeskanzleramt, eine Nachfrage beim Bundesamt für Cybersicherheit und Anfragen an die Strafbehörden laufen. Teil 2 und Teil 3 der Serie werten sie aus.
Das White Paper dient der Information und ersetzt keine rechtliche Beratung. Es steht unter der Lizenz CC BY 4.0. Dem Bundesamt für Cybersicherheit danken wir für die fristgerechte und vollständige Beantwortung. Fragen, Hinweise oder Korrekturen gerne an thomas@section8.eu.