Die NIS2-Richtlinie der EU setzt verbindliche Maßstäbe. Mit dem NISG 2026 tritt Österreichs nationale Umsetzung am 01. Oktober 2026 in Kraft. Für viele Gewerbe- und Industrieunternehmen entstehen dadurch erstmals konkrete Cyberpflichten: strukturiertes Risikomanagement, Meldepflichten bei Vorfällen, persönliche Haftung der Geschäftsführung und vieles mehr. Betroffen ist, wer in einem der 18 regulierten Sektoren tätig ist, mehr als 50 Mitarbeitende beschäftigt, einen Jahresumsatz sowie eine Bilanzsumme von jeweils über 10 Mio. Euro aufweist oder Teil einer kritischen Lieferkette ist.
Die Regulierung zeigt Wirkung: Im europäischen Vergleich weist Stoïks Cyber Schadensbericht 2025 für Österreich und Deutschland eine Schadenfrequenz von 9,24% aus, gegenüber 11,38% in Frankreich und 11,33% in Spanien. Compliance allein reicht trotzdem nicht.
Warum das in Österreich besonders gilt
Wo Cyberschäden in Österreich und Deutschland trotz hoher Compliance-Kultur auftreten, folgen sie einem klaren Muster: technisch komplexer als in anderen europäischen Märkten, häufiger mit Ransomware und Datenabfluss verbunden. Drei strukturelle Faktoren erklären das: eine dicht vernetzte KMU-Landschaft, verbreitete Altsysteme und ein DSGVO-Paradox, das die Bereitschaft erhöht, Lösegeld zu zahlen, wenn Daten abgezogen wurden. Das NISG 2026 setzt genau hier an: Gefordert ist nicht einmalige Compliance, sondern laufende, aktive Risikoreduzierung.
Was das NISG 2026 verlangt und wie man es umsetzt
Artikel 21 der NIS2-Richtlinie, im NISG 2026 verankert, schreibt ein kontinuierliches Risikomanagement vor. Unternehmen müssen einen NISG-Beauftragten benennen und 13 Kernbereiche abdecken: von Risikoanalyse und Incident Management über Lieferkettensicherheit und Multi-Faktor-Authentifizierung bis zu Mitarbeiterschulungen. Erhebliche Vorfälle müssen innerhalb von 24 bis 72 Stunden an das staatliche CSIRT gemeldet werden. Dazu kommt eine Holschuld: Unternehmen müssen selbst prüfen, ob sie betroffen sind, und sich bis spätestens 31.12.2026 registrieren.
Besonders scharf sind die Pflichten für die Geschäftsführung: Genehmigung aller Cybersicherheitsmaßnahmen, Überwachung ihrer Wirksamkeit und verpflichtende Schulungen. Wer diese Pflichten schuldhaft vernachlässigt, haftet persönlich mit dem Privatvermögen gegenüber dem eigenen Unternehmen. Ein Haftungsausschluss im Vorfeld ist gesetzlich unwirksam. Bei beharrlicher Weigerung kann die Behörde außerdem eine temporäre Suspendierung der verantwortlichen Geschäftsführung erwirken.
Was das für die Maklerberatung bedeutet
Die meisten Unternehmer wissen, dass sie aktiv werden müssen. Die wenigsten haben erkannt, dass eine moderne Cyberversicherung wie die von Stoïk durch integrierte Prävention und Soforthilfe-Prozesse einen Teil der gesetzlichen Pflichten abdeckt.
Für Makler ergibt sich daraus eine neue Rolle als strategischer Risikoberater: im Erstgespräch fragen, ob das Unternehmen unter das NISG 2026 fällt; gezielt nachfragen, ob Meldeprozesse für das CSIRT etabliert und laufendes Schwachstellen-Monitoring betrieben wird; und erklären, dass moderner Cyberschutz technische Prävention mit Absicherung für Forensik, IT-Wiederherstellung, Betriebsunterbrechung und Drittschäden verbindet. Diese Brücke zu bauen ist die Beratungsleistung, die Gewerbekunden heute erwarten.
Für weiterführende Fragen rund um Cyberversicherung stehen Wolfgang Pfauser und Moritz Schmid von Stoïk gerne zur Verfügung.
Foto oben v.l.n.r.: Wolfgang Pfauser und Moritz Schmid von Stoïk
zurück zur Übersicht
Beitrag speichern
sharing is caring
Das könnte Sie auch interessieren
