NISG 2026: Was Beschäftigte wirklich wissen müssen

Seit 1. Oktober 2026 gilt in Österreich das NISG 2026, die Umsetzung der europäischen NIS-2-Richtlinie. Viel ist darüber geschrieben worden, meist für Geschäftsführungen und IT-Abteilungen. Diese Seite ist für alle anderen: für die Buchhalterin, den Lagerleiter, die Monteurin im Außendienst. Was verlangt das Gesetz von Ihnen, und was nicht?

Vorweg: Wir sind keine Rechtsberatung. Ob Ihr Betrieb unter das NISG 2026 fällt, klären Sie mit Ihrer rechtlichen Beratung oder Ihrer Interessenvertretung. Was folgt, stützt sich auf den Gesetzestext im Rechtsinformationssystem des Bundes (BGBl. I Nr. 94/2025), gelesen am 14. Oktober 2026.

Das Gesetz verpflichtet den Betrieb, nicht Sie persönlich

Das NISG 2026 richtet sich an „wesentliche und wichtige Einrichtungen". Das sind Betriebe bestimmter Sektoren und Größen, die im Gesetz und in seinen Anlagen beschrieben sind. Die Pflichten treffen die Einrichtung und ihre Leitungsorgane, also in der Regel die Geschäftsführung.

Für Beschäftigte sind drei Stellen wichtig:

• § 31 Abs. 2: Die Einrichtungen haben ihren Mitarbeitern regelmäßig Schulungen anzubieten, damit diese Risiken der Cybersicherheit erkennen und bewerten können. Die Geschäftsführung selbst muss an eigenen, für sie gestalteten Schulungen teilnehmen.
• § 32 Abs. 4: Die Risikomanagementmaßnahmen umfassen unter anderem grundlegende Verfahren der Cyberhygiene und Schulungen (lit. g), die Sicherheit der Lieferkette (lit. d), Konzepte für die Zugriffskontrolle (lit. i) und Multi-Faktor-Authentifizierung (lit. j).
• § 34: Erhebliche Cybersicherheitsvorfälle meldet die Einrichtung an das zuständige Computer-Notfallteam (CSIRT): eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden, einen Abschlussbericht spätestens einen Monat danach.

Fehlt das Schulungsangebot, ist das eine Verwaltungsübertretung der Einrichtung (§ 45 Abs. 1 Z 2). Die Strafbestimmungen des Gesetzes (§§ 44 und 45) richten sich an die Einrichtungen; eine Strafe für Beschäftigte, die auf einen falschen Link geklickt haben, haben wir im Gesetz nicht gefunden. Was im Arbeitsverhältnis gilt, regeln Arbeitsvertrag, Weisungen und Betriebsvereinbarungen, nicht das NISG.

Was das praktisch für Sie heißt

Aus diesen Paragraphen folgt für Beschäftigte kein Prüfungsstoff zum Auswendiglernen, sondern eine Handvoll Gewohnheiten.

1. Die angebotene Schulung nutzen. Ob die Teilnahme Pflicht ist und als Arbeitszeit gilt, legt Ihr Arbeitgeber fest. Das Gesetz verlangt das Angebot. Sinnvoll ist eine Schulung dann, wenn Sie danach etwas anders machen, nicht wenn Sie eine Folienpräsentation durchgeklickt haben.

2. Die Maschen kennen, die Sie selbst treffen. Für die meisten Beschäftigten sind das nicht Angriffe auf Server, sondern Nachrichten: eine Rechnung mit neuer Bankverbindung, ein angeblich geteiltes Dokument, das eine Anmeldung verlangt, ein Anruf der „IT", die Ihren Code braucht, eine Anmeldeanfrage am Handy, die Sie nicht ausgelöst haben. Die europäische Agentur für Cybersicherheit ENISA nennt Phishing in ihrem Lagebild 2025 als Einstiegsweg in rund 60 Prozent der untersuchten Vorfälle.

3. Bei Geld, Daten und Zugängen über einen zweiten Weg nachfragen. Wer eine Änderung von Kontodaten oder eine dringende Bitte der Geschäftsführung unter der Nummer prüft, die er schon kennt, macht viele dieser Maschen wirkungslos. Das gilt auch, wenn die Mail von einer echten Adresse kommt; Postfächer können übernommen sein.

4. Anmeldebestätigungen nur geben, wenn Sie sich selbst anmelden. Multi-Faktor-Authentifizierung steht im Gesetz, weil sie wirkt. Sie wirkt aber nur, wenn niemand eine fremde Anfrage bestätigt oder einen Code weitergibt.

5. Sofort melden, auch wenn Sie unsicher sind. Die Fristen des § 34 laufen ab Kenntnisnahme. Die zuständige Stelle in Ihrem Betrieb kann nur prüfen, was sie erfährt. Ein früher Fehlalarm kostet wenig. Eine Meldung nach drei Tagen kostet die Zeit, in der man noch etwas hätte tun können.

Melden ist kein Geständnis

Der fünfte Punkt ist der, an dem es in der Praxis am ehesten hakt. Wer auf einen Link geklickt hat, schämt sich und wartet. Das britische National Cyber Security Centre empfiehlt Organisationen deshalb ausdrücklich eine Kultur, in der Menschen, die geklickt haben, sich sicher fühlen, das zu melden.

Das NISG 2026 kennt außerdem die freiwillige Meldung (§ 37): Einrichtungen können auch Cyberbedrohungen und Beinahe-Vorfälle melden, ohne ihre Identität zu nennen. Für Ihren Alltag heißt das: Auch der Versuch, der nicht geklappt hat, ist eine Information wert. Melden Sie die verdächtige Mail, nicht nur den Treffer.

Datenschutz läuft parallel

Geht es um personenbezogene Daten, etwa eine falsch versandte Lohnliste, ein öffentlich geteilter Ordner mit Kundendaten oder ein verlorenes Diensthandy, kommt die Datenschutz-Grundverordnung dazu. Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten möglichst binnen 72 Stunden ab Bekanntwerden der Datenschutzbehörde, außer sie führt voraussichtlich zu keinem Risiko. Auch diese Pflicht trifft den Betrieb. Auch hier beginnt alles damit, dass jemand Bescheid sagt.

Und der Betriebsrat?

Wenn Ihr Betrieb Schulungen einführt, ist eine Frage berechtigt: Was erfährt der Arbeitgeber über mich? Kontrollmaßnahmen, die die Menschenwürde berühren, brauchen in Österreich die Zustimmung des Betriebsrats durch Betriebsvereinbarung (§ 96 Abs. 1 Z 3 ArbVG). Ob eine bestimmte Schulung oder eine Auswertung darunter fällt, ist eine Frage für Betriebsrat und Rechtsberatung.

Für eine gute Schulung reicht ohnehin wenig: Der Betrieb muss belegen können, dass er das Angebot gemacht hat und wer es wahrgenommen hat. Einzelne Antworten, Fehler oder Punkte braucht er dafür nicht.

Was eine Schulung leisten sollte

Ein paar Fragen, mit denen Sie ein Schulungsangebot selbst einschätzen können:

• Erreicht sie auch Kolleginnen und Kollegen ohne Firmen-PC, etwa in Werkstatt, Lager oder Außendienst?
• Zeigt sie echte Beispiele aus dem Arbeitsalltag statt abstrakter Regeln?
• Endet jede Einheit mit einer Regel, die man sich merken kann?
• Erklärt sie, wie und bei wem man meldet?
• Ist klar, welche Daten der Arbeitgeber über Ihre Teilnahme sieht?

Wie wir das in Wachsam umsetzen

Wachsam ist ein Sicherheitsspiel fürs Handy. In jedem Fall hat ein Fuchs, der Trickser, eine Mail, einen Anruf oder eine Nachricht vorbereitet und dabei drei Spuren hinterlassen. Ein Fall dauert drei bis vier Minuten und endet mit einer Merkregel. Der Betrieb sieht pro Person nur, ob die Grundstufe offen, begonnen oder abgeschlossen ist, mit Datum. Antworten und Fehler bleiben auf dem Handy.

Ob Wachsam für Ihren Betrieb passt, sehen Sie am schnellsten selbst: Spielen Sie einen Fall im Browser unter /spielen. Ohne Anmeldung, ohne Mailadresse.

Checkliste für Beschäftigte

• Ich weiß, wer in meinem Betrieb die zuständige Stelle für Sicherheitsvorfälle ist und wie ich sie erreiche, auch nach Dienstschluss.
• Ich prüfe neue Kontodaten und dringende Zahlungsbitten über eine Nummer, die ich schon kenne.
• Ich bestätige keine Anmeldeanfrage, die ich nicht selbst ausgelöst habe, und gebe keinen Code weiter.
• Ich melde verdächtige Nachrichten auch dann, wenn ich nicht darauf hereingefallen bin.
• Ich melde sofort, wenn ich geklickt, eingegeben oder etwas falsch verschickt habe.

Quellen (abgerufen am 14.10.2026): RIS, NISG 2026, BGBl. I Nr. 94/2025, §§ 31, 32, 34, 37, 44, 45; Verordnung (EU) 2016/679, Art. 33; § 96 ArbVG; ENISA Threat Landscape 2025 (Oktober 2025); NCSC UK, Phishing attacks: defending your organisation.