NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus, die die frühere NIS-Richtlinie von 2016 ablöst und ihren Anwendungsbereich erheblich ausweitet. In Österreich wird sie durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) umgesetzt, das am 1. Oktober 2026 in Kraft tritt; der erste Umsetzungsversuch war 2024 an der erforderlichen Zweidrittelmehrheit im Nationalrat gescheitert.
Erfasst werden wesentliche und wichtige Einrichtungen in 18 Sektoren ab 50 Beschäftigten oder 10 Millionen Euro Umsatz, dazu deren Lieferanten über die Lieferkettenpflicht. Die Pflichten umfassen Risikomanagementmaßnahmen, die Schulung und persönliche Verantwortung der Leitungsorgane, gestufte Vorfallsmeldungen binnen 24 und 72 Stunden sowie die Registrierung bei der Behörde binnen drei Monaten nach Inkrafttreten. Als zentrale Aufsichtsstelle wird ein Bundesamt für Cybersicherheit beim Innenministerium eingerichtet.
Der Strafrahmen reicht bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Wichtig für den Mittelstand ist der indirekte Weg: Auch nicht unmittelbar erfasste Unternehmen bekommen die Anforderungen über Verträge ihrer größeren Kunden weitergereicht.