NIS-2 (NISG) in Österreich und ISO 27001 im Vergleich

Ein österreichisches Unternehmen hat sein Informationssicherheitsmanagement aufgebaut, das Zertifizierungsaudit bestanden und legt nun zufrieden sein Zertifikat auf den Tisch: „Wir sind nach ISO 27001 zertifiziert. Damit wäre das NISG 2026 für uns doch erledigt.“

Das Zertifikat ist tatsächlich eine ausgezeichnete Ausgangslage. An dieser Stelle folgt trotzdem ein kleines, eher knappes: Nein.

ISO 27001 und das österreichische Netz- und Informationssystemsicherheitsgesetz 2026 überschneiden sich erheblich. Das Gesetz verlangt Risikomanagement, Incident Management, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitsprüfungen, Schulungen, Kryptografie, Zugriffsschutz, Asset Management und sichere Authentifizierung. Wer ein belastbares ISMS betreibt, hat dafür schon sehr viel gebaut.

Das NISG 2026 enthält daneben aber gesetzliche Pflichten, die in keinem ISO-Zertifikat stecken: Registrierung, Selbstdeklaration, behördliche Meldefristen, besondere Nachweise, Aufsicht und Sanktionen. Das Zertifikat bringt Sie also weit durch die Kontrolle. Einfach durchgewunken werden Sie damit nicht.

Die kurze Antwort

ISO 27001 mappt sehr gut auf die Risikomanagementmaßnahmen des § 32 NISG 2026. Für fast jeden dort genannten Themenblock gibt es passende Anforderungen im Hauptteil der Norm oder Controls in Anhang A.

Die Deckung ist dennoch nicht automatisch vollständig:

• Das NISG 2026 ist ein Gesetz, ISO 27001 eine freiwillige Managementsystemnorm.
• Der gesetzliche Anwendungsbereich und der Geltungsbereich eines ISO-Zertifikats können auseinanderfallen.
• Viele Controls aus Anhang A werden risikobasiert ausgewählt und sind nicht allein deshalb umgesetzt, weil ein Zertifikat existiert.
• Das Gesetz enthält konkrete Registrierungs-, Melde-, Nachweis- und Aufsichtspflichten.
• Für bestimmte digitale Anbieter gelten zusätzlich sehr detaillierte europäische Vorgaben.

Besonders interessant ist § 33 Abs. 2 NISG 2026: Für den Nachweis der operativen und organisatorischen Umsetzung können einschlägige gültige Zertifikate verwendet werden. Das ist eine echte rechtliche Aufwertung eines passenden ISO 27001-Zertifikats. Die technische Umsetzung und die übrigen gesetzlichen Pflichten erledigt das Zertifikat trotzdem nicht von selbst.

Welches österreichische NIS-Gesetz vergleichen wir hier?

Dieser Artikel betrachtet das NISG 2026, kundgemacht als BGBl. I Nr. 94/2025. Es setzt die europäische NIS-2-Richtlinie in österreichisches Recht um und tritt am 1. Oktober 2026 in Kraft. Bis einschließlich 30. September 2026 gilt noch das bisherige NISG.

Stand dieses Vergleichs ist der 14. August 2026. Das Datum ist wichtig, weil § 32 Abs. 5 weitere Konkretisierungen durch Verordnung ermöglicht. Ein Mapping zu einem Cybergesetz ist daher kein Ölgemälde, das man einmal aufhängt und anschließend hundert Jahre betrachtet. Es braucht gelegentlich ein Update.

Wer fällt unter das NISG 2026?

Das Gesetz unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Vereinfacht hängt die Einordnung davon ab,

• in welchem Sektor und mit welcher Tätigkeit eine Einrichtung arbeitet;
• wie groß das Unternehmen ist;
• ob besondere gesetzliche Tatbestände greifen;
• und ob die Cybersicherheitsbehörde eine größenunabhängige Einstufung vornimmt.

Die erfassten Sektoren stehen in den Anlagen 1 und 2. Dazu gehören unter anderem Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, IKT-Dienste, öffentliche Verwaltung, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung.

Einige Einrichtungen gelten unabhängig von ihrer Größe als wesentlich. Kleinere Organisationen können außerdem nach § 26 eingestuft werden, wenn ihre Dienste beispielsweise für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten besonders wichtig sind. „Wir haben weniger als 50 Mitarbeiter“ ist deshalb noch keine vollständige Betroffenheitsprüfung.

Was regelt ISO 27001?

ISO 27001 beschreibt ein Informationssicherheitsmanagementsystem, kurz ISMS. Die Organisation soll ihren Kontext und ihren Geltungsbereich bestimmen, Risiken bewerten, Maßnahmen auswählen, Verantwortlichkeiten klären, Ziele verfolgen, die Wirksamkeit überwachen und das System fortlaufend verbessern.

Die Norm ist grundsätzlich freiwillig. Eine akkreditierte Zertifizierungsstelle kann das ISMS in einem festgelegten Geltungsbereich prüfen und zertifizieren. Wie ein solches Projekt funktioniert, beschreiben wir in unseren sieben Schritten zum ISO 27001-Zertifikat.

Der festgelegte Geltungsbereich ist für den Vergleich entscheidend. Ein Zertifikat kann beispielsweise nur eine bestimmte Dienstleistung, Gesellschaft oder Organisationseinheit erfassen. Das NISG 2026 richtet sich dagegen nach seinem gesetzlichen Anwendungsbereich. Ein ausgesprochen kunstvoll klein formulierter ISO-Scope verkleinert kein Gesetz.

NISG 2026 und ISO 27001: das Mapping

§ 32 Abs. 4 NISG 2026 nennt zehn Mindestbereiche für die Risikomanagementmaßnahmen. Die folgende Zuordnung zeigt die jeweils naheliegenden ISO-Anforderungen. Sie ist eine fachliche Zuordnung, keine Behauptung, dass ein einzelnes Control die jeweilige gesetzliche Pflicht vollständig erfüllt.

Wichtig: Ein zertifiziertes ISMS muss sämtliche Anforderungen des Hauptteils erfüllen. Die einzelnen Controls aus Anhang A werden jedoch bspw. über das Risikomanagement ausgewählt und in der Anwendbarkeitserklärung begründet. Sie dürfen daher nicht aus dem Zertifikat rückwärts schließen: „A.8.24 steht in Anhang A, also setzen wir Kryptografie automatisch NISG-konform ein.“ Erst ein Blick in die Anwendbarkeitserklärung und in die tatsächliche Umsetzung zeigt, was vorhanden ist.

Wo passen NISG 2026 und ISO 27001 besonders gut zusammen?

Risikomanagement statt Maßnahmenlotterie

Beide Regelwerke wollen keine Einkaufsliste technischer Spielzeuge. Maßnahmen sollen zum tatsächlichen Risiko passen. Das NISG 2026 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. ISO 27001 liefert dafür mit Risikoidentifikation, Risikobewertung und Risikobehandlung einen vollständigen Prozess.

Ein vorhandenes ISO 27001-Risikomanagement kann deshalb weitgehend weiterverwendet werden. Es muss aber die gesetzliche Perspektive berücksichtigen: das Ausmaß der Risikoexposition, die betroffenen Dienste sowie mögliche gesellschaftliche und wirtschaftliche Auswirkungen.

Vorfälle erkennen und beherrschen

Die Controls A.5.24 bis A.5.28 decken Vorbereitung, Bewertung, Reaktion, Lernen und Beweissicherung ab. Das ist genau die operative Grundlage, die ein Unternehmen braucht, bevor es einen erheblichen Vorfall korrekt melden kann. Unser Artikel zum NIS-2 Incident Management zeigt, wie daraus ein belastbarer Ablauf wird.

Lieferanten und ausgelagerte Leistungen

Beide Ansätze machen klar: Ausgelagerte IT ist nicht ausgelagerte Verantwortung. ISO 27001 bringt Auswahl, vertragliche Regelung, Überwachung und Änderungen von Lieferantenleistungen zusammen. Das NISG 2026 schaut ausdrücklich auf unmittelbare Anbieter, deren Schwachstellen, die Qualität ihrer Produkte und ihre Entwicklungsprozesse.

Business Continuity und Wiederherstellung

Auch bei Backups, Wiederanlauf und Krisenmanagement ist die Schnittmenge groß. ISO 27001 liefert Kontrollen für Informationssicherheit während Störungen und für die IKT-Bereitschaft zur Geschäftsfortführung. Wie Sie aus schutzwürdigen Prozessen und ihren Abhängigkeiten sinnvolle Pläne ableiten, erklären wir im Artikel BCM einfach erklärt.

Wirksamkeit statt Existenzkontrolle

Ein Dokument ist noch keine wirksame Maßnahme. Das NISG 2026 fordert Konzepte und Verfahren zur Bewertung der Wirksamkeit. ISO 27001 bringt dafür Überwachung und Messung, Interne Audits, Managementbewertung und Verbesserung mit. Genau um den Unterschied zwischen „vorhanden“ und „funktioniert“ geht es in unserem Artikel Wirksamkeit in NIS-2: Bringt das was?.

Wo ist das NISG 2026 genauer als ISO 27001?

Gesetzliche Meldungen mit Uhr

ISO 27001 verlangt einen beherrschten Umgang mit Informationssicherheitsvorfällen. Sie nennt aber keine österreichische Behörde und keine gesetzliche Meldetreppe.

§ 34 NISG 2026 verlangt bei erheblichen Cybervorfällen grundsätzlich:

• unverzüglich, spätestens innerhalb von 24 Stunden, eine Frühwarnung;
• unverzüglich, spätestens innerhalb von 72 Stunden, eine Vorfallmeldung;
• auf Ersuchen einen Zwischenbericht;
• grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung einen Abschlussbericht.

Hinzu kann die Pflicht kommen, Empfänger betroffener Dienste zu informieren. Ob ein Vorfall erheblich ist, wird anhand der Kriterien aus § 35 und gegebenenfalls weiterer europäischer Konkretisierungen bewertet.

Registrierung und Selbstdeklaration

Betroffene Einrichtungen müssen sich nach § 29 bei der Cybersicherheitsbehörde registrieren. Für bei Inkrafttreten bereits erfasste Einrichtungen läuft dafür grundsätzlich eine dreimonatige Frist. Änderungen bestimmter Angaben müssen anschließend innerhalb der gesetzlichen Fristen gemeldet werden.

Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht folgt nach § 33 Abs. 1 eine strukturierte Selbstdeklaration über umgesetzte Risikomanagementmaßnahmen, genutzte Netz- und Informationssysteme, Lieferkettensicherheit und Ergebnisse der Risikoanalyse. ISO 27001 kennt weder dieses Register noch dieses behördliche Formular.

Konkrete Verantwortung und Schulung der Leitungsorgane

§ 31 verpflichtet die Leitungsorgane, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. Außerdem müssen sie an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten.

ISO 27001 verlangt Führung, Kompetenz und Bewusstsein. Das NISG 2026 macht aus der Schulung der Leitungsorgane aber eine ausdrückliche gesetzliche Pflicht. Ein Geschäftsführer kann sich daher nicht mit dem Hinweis herausdrehen, dass der ISB neulich ein Webinar besucht habe.

Aufsicht und Sanktionen

Die Cybersicherheitsbehörde kann unter anderem Unterlagen und Informationen anfordern, Kontrollen und Sicherheitsscans durchführen sowie Ad-hoc-Prüfungen veranlassen. Verstöße können mit erheblichen Geldstrafen geahndet werden. Für wesentliche Einrichtungen sieht § 45 einen Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent – jeweils abhängig davon, welcher Betrag höher ist.

Eine ISO-Zertifizierungsstelle kann ein Zertifikat verweigern, aussetzen oder entziehen. Eine Verwaltungsstrafe verhängt sie nicht. Das ist eine andere Gewichtsklasse.

Wo geht ISO 27001 weiter oder wird genauer?

Das NISG 2026 zählt in § 32 wichtige Sicherheitsfelder auf. ISO 27001 baut darum ein vollständiges Managementsystem.

Besonders deutlich wird das bei:

• Kontext und interessierten Parteien;
• einem formal festgelegten ISMS-Geltungsbereich;
• Informationssicherheitspolitik und messbaren Zielen;
• Rollen, Ressourcen, Kompetenz, Kommunikation und Dokumentenlenkung;
• einem planmäßigen Internen Audit;
• der Managementbewertung;
• Nichtkonformitäten, Korrekturmaßnahmen und fortlaufender Verbesserung.

Auch Anhang A differenziert viele technische und organisatorische Themen stärker aus: Konfigurationsmanagement, Datenlöschung, Datenmaskierung, Schutz vor Datenabfluss, Protokollierung, Überwachung, Netztrennung, sichere Codierung, Sicherheitstests und Änderungssteuerung sind nur einige Beispiele.

Allerdings gibt es eine wichtige Fußnote: Für bestimmte digitale Anbieter konkretisiert die EU-Durchführungsverordnung 2024/2690 die NIS-2-Anforderungen sehr detailliert. Dazu gehören beispielsweise Cloud- und Rechenzentrumsanbieter, Managed Service Provider, Managed Security Service Provider, DNS-Dienste und Online-Marktplätze. In diesen Fällen reicht der Vergleich mit den zehn Zeilen aus § 32 allein nicht aus.

Was steht nur im NISG 2026?

Nicht aus ISO 27001 ableiten lassen sich insbesondere:

• die gesetzliche Betroffenheit als wesentliche oder wichtige Einrichtung;
• die Registrierung und Aktualisierung der Registerdaten;
• die Selbstdeklaration gegenüber der Cybersicherheitsbehörde;
• die gesetzlichen Meldewege, Inhalte und Fristen für erhebliche Vorfälle;
• die gesetzlichen Kriterien für die Erheblichkeit;
• das besondere Nachweisverfahren durch unabhängige Stellen;
• behördliche Aufsichts- und Durchsetzungsbefugnisse;
• Verwaltungsstrafen;
• Sonderpflichten etwa für Domänennamen-Registrierungsdienste.

Das sind keine kleinen Restarbeiten, die man im Projektplan unter „Sonstiges“ ablegt.

Was steht nur in ISO 27001?

ISO 27001 verlangt wiederum Managementsystemelemente, die das NISG 2026 nicht in derselben geschlossenen Systematik vorgibt:

• Kontextanalyse und interessierte Parteien;
• eine Informationssicherheitspolitik;
• Informationssicherheitsziele;
• einen definierten ISMS-Geltungsbereich;
• die Anwendbarkeitserklärung;
• Dokumentenlenkung;
• Interne Audits;
• Managementbewertungen;
• systematische Behandlung von Nichtkonformitäten;
• fortlaufende Verbesserung des ISMS.

Zudem schützt ISO 27001 Informationen grundsätzlich unabhängig davon, ob sie digital, auf Papier oder nur im Kopf eines Mitarbeiters vorliegen. Das NISG 2026 konzentriert sich auf Cybersecurity sowie die Sicherheit der für Betrieb und Dienste genutzten Netz- und Informationssysteme, wenn auch einschließlich ihrer physischen Komponenten.

Reicht ein ISO 27001-Zertifikat als NISG-Nachweis?

Es hilft ausdrücklich – es reicht allein aber nicht.

Nach § 33 Abs. 2 kann die operative und organisatorische Umsetzung der Risikomanagementmaßnahmen auch durch einschlägige gültige Zertifikate nachgewiesen werden. Für ein ISO 27001-Zertifikat sprechen dabei vor allem drei Dinge:

1. Der Zertifikats-Geltungsbereich erfasst die NISG-relevante Einrichtung und ihre Systeme tatsächlich.
2. Die benötigten Controls sind in der Anwendbarkeitserklärung enthalten und wirksam umgesetzt.
3. Die Zertifizierung ist aktuell, akkreditiert und inhaltlich einschlägig.

Die technische Umsetzung muss im gesetzlichen Nachweisverfahren dennoch abgedeckt werden. Zudem bleiben Registrierung, Selbstdeklaration, Vorfallmeldungen, Leitungsanforderungen und alle weiteren gesetzlichen Pflichten bestehen.

Das Zertifikat ist also kein Freifahrtschein. Es ist eher ein sehr gut gefüllter Aktenkoffer, den Sie an der Kontrolle nicht erst noch hektisch packen müssen.

So führen Sie einen brauchbaren NISG-ISO-Abgleich durch

1. Betroffenheit und gesetzlich erfasste Einrichtung klären

Prüfen Sie Tätigkeit, Sektor, Unternehmensgröße, Konzernbeziehungen, Niederlassung und mögliche größenunabhängige Einstufungen. Das Ergebnis sollte nachvollziehbar dokumentiert sein.

2. NISG-Bereich und Zertifikats-Geltungsbereich vergleichen

Markieren Sie Gesellschaften, Standorte, Dienste, Systeme und Lieferanten, die gesetzlich relevant sind. Prüfen Sie anschließend, ob Ihr ISMS sie tatsächlich erfasst. Ein grünes Häkchen beim Wort „Zertifikat“ ersetzt diese Arbeit nicht.

3. § 32 gegen ISMS und Anwendbarkeitserklärung mappen

Ordnen Sie jedem gesetzlichen Themenblock vorhandene Prozesse, Verantwortliche, Richtlinien, technische Maßnahmen und Nachweise zu. Halten Sie offen fest, wo nur ein Konzept existiert und wo die Umsetzung wirksam gezeigt werden kann.

4. Gesetzesspezifische Pflichten ergänzen

Bauen Sie Registrierung, Selbstdeklaration, Meldekaskade, Empfängerinformation, Leitungsorganschulung und behördliche Nachweise ausdrücklich ein. Diese Punkte sollten nicht zufällig in einer allgemeinen Incident-Richtlinie versteckt sein.

5. Technische Nachweise separat betrachten

Prüfen Sie, welche technischen Kontrollen tatsächlich messbar und prüfbar sind. Dazu gehören beispielsweise Konfigurationen, Logs, Wiederherstellungstests, Zugriffsschutz, MFA, Schwachstellenbehandlung und Netzwerkmaßnahmen.

6. Verordnungen und EU-Vorgaben beobachten

§ 32 Abs. 5 erlaubt weitere nationale Konkretisierungen. Für bestimmte digitale Anbieter gilt bereits die EU-Durchführungsverordnung 2024/2690. Das Mapping braucht daher einen Verantwortlichen und einen Aktualisierungsprozess – und nicht den Status „einmal im Jahr schaut vielleicht jemand nach“.

Aus Sicht eines Auditors

Ein ISO 27001-Auditor wird bei einem NISG-betroffenen Unternehmen erwarten, dass das Gesetz als relevante rechtliche Anforderung erkannt und in das ISMS integriert wurde. Dazu passt unser Artikel über rechtliche und vertragliche Anforderungen nach ISO 27001.

Das Zertifizierungsaudit wird dadurch aber nicht automatisch zur vollständigen NISG-Prüfung. Der ISO-Auditor prüft die Normkonformität des ISMS im zertifizierten Geltungsbereich. Die Cybersicherheitsbehörde und die unabhängigen Stellen prüfen mit einem anderen Auftrag, anderen Befugnissen und gesetzlichen Prüfkriterien.

Die sauberste Lösung ist deshalb ein gemeinsames Managementsystem mit einer sichtbaren Zuordnung der zusätzlichen NISG-Pflichten. Keine zweite Sicherheitswelt, aber auch kein optimistisches „wird schon irgendwie im Zertifikat mit drin sein“.

Interesse geweckt?

Sie fallen möglicherweise unter das österreichische NISG 2026 und möchten wissen, wie viel Ihr vorhandenes ISMS bereits abdeckt? Oder Sie wollen ISO 27001 von Anfang an so aufbauen, dass die NISG-Pflichten nicht später als regulatorischer Anbau danebenstehen?

Dann sprechen Sie mit uns. Wir gleichen Geltungsbereiche, Anforderungen, Prozesse und Nachweise miteinander ab und machen sichtbar, was bereits trägt und was vor dem 1. Oktober 2026 beziehungsweise den folgenden Nachweisfristen noch ergänzt werden muss.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.