Eine aktuelle KPMG Analyse unter 1.396 österreichischen Unternehmen zeigt deutlichen Nachholbedarf: Vor allem bei der Absicherung von Lieferketten und der Einordnung regulatorischer Pflichten bestehen weiterhin erhebliche Lücken.
1.354 Tage nach dem Inkrafttreten der europäischen NIS-2-Richtlinie beginnt nun auch in Österreich die operative Umsetzung: Mit 1. Oktober 2026 treten die zentralen Bestimmungen des Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026) in Kraft. Cybersicherheit wird damit noch stärker zur verbindlichen Führungs- und Organisationsaufgabe. Für die rund 4.000 betroffenen Einrichtungen geht es nun darum, den Anwendungsbereich zu klären, Verantwortlichkeiten festzulegen und die erforderlichen Maßnahmen zur Stärkung der Cybersicherheit nachweisbar im Unternehmen zu verankern.
Ab dem Inkrafttreten des Gesetzes werden die Pflichten und Fristen für Betroffene erstmals spürbar. Für 2026 gilt: Erhebliche Sicherheitsvorfälle müssen ab dem 1. Oktober 2026 gemeldet werden und die Registrierung bis spätestens Ende dieses Jahres (31. Dezember 2026) abgeschlossen sein. Weitere Fristen, wie die Abgabe der Selbstdeklaration, folgen bis Ende September 2027.
Cybersicherheit wird verbindliche Führungsaufgabe
„Das NISG 2026 ist kein Schutzschild, das man einmal aufstellt und dann wieder vergisst. Es ist vielmehr ein Navigationssystem für die Unternehmensführung: Es zeigt, wo Risiken liegen, wer handeln muss und ob die gewählten Maßnahmen tatsächlich greifen“, sagt Robert Lamprecht, Partner im Bereich Cybersecurity & Crisis Management bei KPMG.
Die Bedeutung dieser Führungsverantwortung unterstreicht die aktuelle Studie „Cybersecurity in Österreich 2026“, die KPMG gemeinsam mit dem Sicherheitsforum Digitale Wirtschaft des Kompetenzzentrum Sicheres Österreich (KSÖ) durchgeführt hat. Insgesamt nahmen 1.396 österreichische Unternehmen teil. 25 Prozent der Befragten berichten, dass Cyberangriffe auf ihr Unternehmen stark oder eher zugenommen haben; jeder achte registrierte Angriff überwand die bestehenden Sicherheitsmaßnahmen.
Jedes sechste Unternehmen steht noch am Anfang
Die Detailauswertung zum NISG 2026 zeigt deutliche Unterschiede beim Umsetzungsstand. Im Durchschnitt erreichen die befragten Unternehmen 2,96 von 5 möglichen Punkten. Rund die Hälfte der Unternehmen (51 Prozent) kommt auf einen Umsetzungsstand von mindestens 3 Punkten und hat damit bereits wesentliche Anforderungen umgesetzt. Gleichzeitig liegen 16 Prozent unter 2 Punkten. Diese Unternehmen müssen zunächst grundlegende Strukturen schaffen, Verantwortlichkeiten festlegen und konkrete Umsetzungspläne entwickeln.
Auch bei der Frage, welche gesetzlichen Vorgaben für das eigene Unternehmen gelten, besteht erheblicher Klärungsbedarf: 24 Prozent der Befragten kennen ihre regulatorische Betroffenheit nicht und 25 Prozent sehen sich von keiner der abgefragten Regelungen betroffen. Das bedeutet jedoch nicht automatisch, dass keine Pflichten bestehen. Entscheidend ist eine strukturierte Prüfung des Sektors, der Unternehmensgröße, der Rolle in der Lieferkette und möglicher Überschneidungen zwischen verschiedenen Regelungen.
Eine solche Prüfung ist auch für Dienstleister und Zulieferer relevant. Denn betroffene Unternehmen müssen Cyberrisiken entlang ihrer gesamten Liefer- und Wertschöpfungskette bewerten und steuern. Dadurch steigen die Sicherheitsanforderungen auch für Unternehmen, die selbst nicht unmittelbar unter das NISG 2026 fallen.
Lieferkette bleibt die größte Schwachstelle
Während Multi-Faktor-Authentifizierung mit durchschnittlich 3,62 von 5 Punkten bereits vergleichsweise weit umgesetzt ist, erreicht die Lieferkettensicherheit nur 2,03 Punkte. Lediglich 11 Prozent der Unternehmen bewerten ihre Maßnahmen in diesem Bereich als vollständig umgesetzt und wirksam. „Ein Unternehmen kann die eigene Haustüre noch so gut sichern; wenn entlang der Lieferkette Nebeneingänge offenstehen, bleibt die gesamte Organisation verwundbar. Deshalb müssen Lieferantensteuerung, Verantwortlichkeiten und Sicherheitsnachweise zu einem durchgängigen System verbunden werden“, erklärt Lamprecht.
Wie groß dieses Risiko ist, zeigt das aktuelle Angriffsgeschehen: Jeder fünfte Angriff auf einen Dienstleister oder Lieferanten hat zu einem Angriff auf das eigene Unternehmen geführt. Gegenüber dem Vorjahr hat sich dieser Anteil mehr als verdoppelt.
NISG 2026 und RKEG: Mehrfachregulierung gemeinsam umsetzen
NISG 2026 und das Resilienz kritischer Einrichtungen-Gesetz (RKEG) sind zwei eng miteinander verknüpfte Säulen der österreichischen Sicherheits- und Resilienzregulierung. Während das NISG 2026 die Sicherheit von Netz- und Informationssystemen stärkt, zielt das RKEG auf die Widerstandsfähigkeit kritischer Einrichtungen gegenüber physischen und sonstigen, nicht cyberbezogenen Risiken ab. Viele Unternehmen müssen darüber hinaus weitere Vorgaben berücksichtigen: Von den Unternehmen, die eine NISG-2026-Betroffenheit angeben, nennen 55 Prozent zusätzlich den AI Act, 47 Prozent den Cyber Resilience Act (CRA), 30 Prozent das RKEG und 14 Prozent den Digital Operational Resilience Act (DORA).
Diese Überschneidungen sprechen für eine gemeinsame Umsetzung statt getrennter Compliance-Silos. „Einheitliche Governance-, Kontroll- und Nachweisstrukturen können Doppelarbeiten vermeiden und zugleich die Wirksamkeit der Maßnahmen erhöhen. Dafür braucht es ein funktionsübergreifendes Programm, das Management, Recht und Compliance, Einkauf, Risikomanagement, Fachbereiche und IT zusammenführt“, so Lamprechts Appell.
