Für Unternehmen und Behörden beginnt die Arbeit nicht erst mit einem Cybervorfall. Vor dem Inkrafttreten des österreichischen Netz- und Informationssystemsicherheitsgesetzes 2026 (NISG 2026) am 1. Oktober müssen Organisationen zunächst klären, ob sie als wesentliche oder wichtige Einrichtung erfasst sind. Gemeinden sind nach der geprüften Berichterstattung ausgenommen; für den Finanzsektor können speziellere europäische Regeln vorgehen.
Ist eine Organisation erfasst, braucht sie belastbare Zuständigkeiten. Das Gesetz sieht Registrierung, Risikomanagement und Berichte über erhebliche Cybersicherheitsvorfälle vor. Leitungsorgane müssen Schulungen absolvieren und die Umsetzung überwachen. Welche Fristen und Einzelpflichten gelten, hängt von Einstufung und Vorfall ab; eine pauschale Checkliste ersetzt daher keine Prüfung des Gesetzestexts.
Das neue Bundesamt für Cybersicherheit erstellt Lagebilder, koordiniert große Vorfälle und übernimmt Aufsicht. Bei wesentlichen Einrichtungen kann es öffentlich erreichbare Systeme auf Schwachstellen prüfen lassen. Das Amt erhält damit technische Prüf- und Durchsetzungsaufgaben, aber keine polizeiliche Befehls- oder Zwangsgewalt.
Praktisch ergeben sich drei erste Schritte: Betroffenheit und Einstufung dokumentieren, interne und externe Meldewege festlegen sowie Termine für Leitungsschulungen und Wirksamkeitsnachweise planen. Dazu gehört auch, Zuständigkeiten gegenüber Dienstleistern vertraglich zu klären, ohne die gesetzliche Verantwortung einfach auszulagern.
Das NISG 2026 schafft einen verbindlicheren Rahmen, verhindert Angriffe aber nicht automatisch. Entscheidend ist, ob Organisationen die geforderten Maßnahmen tatsächlich umsetzen, testen und bei veränderter Gefahrenlage anpassen.