Zum Inhalt
TOMORISUNIVERSITYTraining anfragen

UNIVERSITY.GOVERNANCE, RISK & COMPLIANCE

NIS2 und NISG 2026 umsetzen: Pflichten, Maßnahmen, Nachweise

Betroffenheit, Registrierung, Leitungspflichten, Risikomanagement, Lieferkette, Meldefristen, Aufsicht und ein 90-Tage-Plan für Unternehmen und Verwaltung in Österreich

Premium

Gratis-Vorschau startenInhouse für Ihr Team

Das lernen Sie

  • Die Betroffenheit einer Einrichtung nach Sektor, Größe und Sondertatbeständen prüfen und als wesentlich oder wichtig einstufen
  • Registrierung, Kontaktstelle und Änderungsmeldungen fristgerecht erfüllen
  • Die Pflichten des Leitungsorgans und die Schulungspflicht nach § 31 NISG 2026 umsetzen und belegen
  • Risikomanagementmaßnahmen nach § 32 NISG 2026, NISV 2026 und Durchführungsverordnung (EU) 2024/2690 planen, priorisieren und dokumentieren
  • Eine Risikoanalyse mit den vier Risikokategorien der NISV 2026 durchführen
  • Die Lieferkette mit Verzeichnis, Bewertung und Vertragsklauseln steuern
  • Erhebliche Cybersicherheitsvorfälle erkennen und Frühwarnung, Meldung und Abschlussbericht fristgerecht abgeben
  • Selbstdeklaration und Prüfung durch unabhängige Stellen vorbereiten und einen Nachweisordner aufbauen
  • Aufsichtsbefugnisse und Strafrahmen einordnen
  • NISG 2026, DSGVO und ISO/IEC 27001 in einem Sicherheitsmanagement zusammenführen
  • Einen realistischen 90-Tage-Plan erstellen und in den laufenden Betrieb überführen

Beschreibung

Seit 1. Oktober 2026 gilt in Österreich das Netz- und Informationssystemsicherheitsgesetz 2026. Es setzt die NIS2-Richtlinie um und erfasst Unternehmen und Verwaltungsstellen kraft Gesetzes, ohne Bescheid. Wer betroffen ist, muss sich registrieren, die Leitung schulen, Risikomanagementmaßnahmen umsetzen, die Lieferkette steuern, erhebliche Vorfälle binnen 24 Stunden vorwarnen und die Umsetzung nachweisen. Dieser Kurs führt Sie Schritt für Schritt durch alle Pflichten, mit Paragraphen, Fristen und Vorlagen für die Praxis.

Betroffenheit prüfen: Rechtsrahmen und Zeitleiste, die Sektoren der Anlagen 1 und 2, Größenschwellen, wesentliche und wichtige Einrichtungen, die Sonderlage von Verwaltung und Gemeinden.

Registrierung, Leitung und Schulung: Fristen und Angaben der Registrierung, die Verantwortung des Leitungsorgans, die strafbewehrte Schulungspflicht, eine tragfähige Sicherheitsorganisation.

Risikomanagementmaßnahmen: die zehn Mindestbereiche, die Konkretisierung durch NISV 2026 und Durchführungsverordnung (EU) 2024/2690, Risikoanalyse, kompensierende Maßnahmen und die technischen Grundlagen mit der größten Wirkung.

Lieferkette: Anbieterverzeichnis, Einstufung, Bewertung, Vertragsklauseln und was auf IT-Dienstleister und Zulieferer zukommt.

Meldepflichten: wann ein Vorfall erheblich ist, Frühwarnung, Meldung, Abschlussbericht, Unterrichtung der Dienstempfänger und das Zusammenspiel mit DSGVO und Versicherung.

Aufsicht, Nachweise und Strafen: Selbstdeklaration, Prüfung durch unabhängige Stellen, Befugnisse der Cybersicherheitsbehörde, Strafrahmen und ein Nachweisordner, der einer Prüfung standhält.

Umsetzung: Abgleich mit DSGVO und ISO/IEC 27001 und ein konkreter Plan für die ersten 90 Tage.

Jedes Modul endet mit einer Übung, deren Ergebnis direkt in Ihren Nachweisordner und Ihren Umsetzungsplan einfließt. Der Kurs gibt den Rechtsstand November 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.

Aufbau

  1. Betroffenheit prüfen: Wer fällt unter das NISG 2026?Gratis

    Rechtsrahmen und Zeitleiste, die Sektoren nach den Anlagen 1 und 2 mit ihren Ausschlüssen, die Größenschwellen und ihre richtige Berechnung mit verbundenen und Partnerunternehmen, die Einstufung als wesentliche oder wichtige Einrichtung und die Sonderlage der öffentlichen Verwaltung und der Gemeinden. Ergebnis: ein begründetes, freigegebenes Prüfblatt für Ihren Nachweisordner.

    • NIS2 und NISG 2026: Rechtsrahmen und Zeitleiste (20 Min.)
    • Sektoren und Einrichtungsarten nach den Anlagen 1 und 2 (20 Min.)
    • Größenschwellen und Einstufung: wesentlich oder wichtig (15 Min.)
    • Gruppen, Beteiligungen und Mitarbeiterzahl richtig berechnen (20 Min.)
    • Öffentliche Verwaltung und Gemeinden (15 Min.)
    • Übung: Betroffenheitsprüfung mit Entscheidungsweg (60 Min.)

  2. Registrierung, Leitungsorgan und SchulungspflichtPremium

    Registrierung im USP mit Datenblatt, Kontaktstelle und Änderungsfristen, die Verantwortung und Haftung des Leitungsorgans mit Sorgfaltsnachweis, die strafbewehrte Schulungspflicht mit Curriculum und Nachweisen sowie eine Sicherheitsorganisation mit RACI-Matrix und ISB-Bestellung.

    • Registrierung und Kontaktstelle (20 Min.)
    • Die Verantwortung des Leitungsorgans (20 Min.)
    • Schulungspflicht für Leitung und Mitarbeitende (15 Min.)
    • Sicherheitsorganisation: Rollen, Gremien, Berichtslinien (15 Min.)
    • Übung: Governance-Beschluss und Schulungsplan (45 Min.)

  3. Risikomanagementmaßnahmen nach § 32 NISG 2026 und Art. 21 NIS2Premium

    Die Grundsätze des § 32 NISG 2026, die Konkretisierung durch NISV 2026 und Durchführungsverordnung (EU) 2024/2690, alle zehn Mindestbereiche mit Umsetzungsbeispielen und Nachweisen, kompensierende Maßnahmen, eine Risikoanalyse im Workshop-Format und die technischen Kernmaßnahmen mit der größten Wirkung.

    • Grundsätze: geeignet, verhältnismäßig, Stand der Technik (15 Min.)
    • Die zehn Mindestbereiche in der Praxis (15 Min.)
    • Die Mindestbereiche f bis j mit Umsetzungsbeispielen (15 Min.)
    • Risikoanalyse schlank und prüffest durchführen (15 Min.)
    • Technische Kernmaßnahmen mit der größten Wirkung (15 Min.)
    • Übung: Gap-Analyse nach § 32 Abs. 4 (45 Min.)

  4. Sicherheit der LieferkettePremium

    Was § 32 Abs. 4 lit. d NISG 2026 von der Lieferkette verlangt, Konzept und Verzeichnis der Anbieter, Einstufung, ein Fragebogen mit 30 Fragen und Bewertungsschlüssel, Musterklauseln für die Sicherheitsanlage und ein Nachweispaket für IT-Dienstleister und Zulieferer.

    • Was das Gesetz zur Lieferkette verlangt (15 Min.)
    • Anbieter verzeichnen, einstufen und bewerten (15 Min.)
    • Der Lieferanten-Fragebogen mit Bewertungsschlüssel (15 Min.)
    • Verträge und Zusammenarbeit gestalten (15 Min.)
    • Wenn Sie selbst Lieferant sind: IT-Dienstleister und Zulieferer (10 Min.)
    • Übung: Lieferantenverzeichnis und Bewertung (45 Min.)

  5. Meldepflichten: erhebliche Vorfälle und FristenPremium

    Wann ein Vorfall nach § 35 NISG 2026 und § 5 NISV 2026 erheblich ist, Frühwarnung, Meldung, Abschlussbericht und Fortschrittsbericht mit Fristen und Meldeteam, die Unterrichtung der Dienstempfänger, parallele Meldewege und Formulartexte für jede Meldestufe.

    • Wann ein Vorfall erheblich ist (15 Min.)
    • Ablauf und Fristen der Meldung nach § 34 (15 Min.)
    • Dienstempfänger informieren und parallele Meldepflichten (15 Min.)
    • Formulartexte für Frühwarnung, Meldung und Abschlussbericht (10 Min.)
    • Übung: Erheblichkeit bewerten und Fristenplan erstellen (45 Min.)

  6. Aufsicht, Nachweise und StrafenPremium

    Selbstdeklaration und Prüfung durch unabhängige Stellen nach § 33, Aufsicht und Einschau durch die Cybersicherheitsbehörde, die Strafrahmen der §§ 44 bis 46, ein Nachweisordner mit Indexliste und ein internes Auditprogramm zur Wirksamkeitsprüfung.

    • Selbstdeklaration und Prüfung durch unabhängige Stellen (15 Min.)
    • Aufsicht und Durchsetzung durch die Cybersicherheitsbehörde (15 Min.)
    • Strafen und ihre Voraussetzungen (15 Min.)
    • Dokumentation und Nachweisordner (15 Min.)
    • Interne Audits und Wirksamkeitsprüfung (15 Min.)
    • Übung: Nachweismatrix und Selbstdeklaration vorbereiten (45 Min.)

  7. Umsetzung in 90 Tagen und Verhältnis zu DSGVO und ISO 27001Premium

    Ein gemeinsamer Vorfallprozess für NISG 2026 und DSGVO, der Abgleich mit ISO/IEC 27001, ein 90-Tage-Plan als Wochenplan in 13 Wochen und der Übergang in den Betrieb mit Jahreskalender, Kennzahlen und Managementbericht.

    • Das Verhältnis zur DSGVO (15 Min.)
    • ISO/IEC 27001 und das NISG 2026 (15 Min.)
    • Der Umsetzungsplan für die ersten 90 Tage (15 Min.)
    • Nach den 90 Tagen: Betrieb, Kennzahlen, Managementbericht (10 Min.)
    • Übung: Ihr 90-Tage-Plan (60 Min.)

Voraussetzungen

Grundkenntnisse der IT-Organisation Ihrer Einrichtung und der Grundbegriffe der Informationssicherheit. Juristische Vorkenntnisse sind nicht nötig. Für die Übungen hilft es, wenn Sie Zugang zu Kennzahlen wie Mitarbeiterzahl, Umsatz und Bilanzsumme und zu einer Übersicht Ihrer Systeme und Dienstleister haben.

Teilnahmebestätigung

Nach einem Live-, Vor-Ort- oder Inhouse-Training erhalten Sie eine Teilnahmebestätigung der TOMORIS UNIVERSITY als PDF per E-Mail. Sie nennt Kurstitel, Datum, Dauer und Inhalte.

Im E-Learning erstellen Sie Ihren Teilnahmenachweis selbst: Nach bestandenem Abschlussquiz steht er in Ihrem Lernkonto bereit, zum Speichern als PDF oder zum Drucken, mit Ergebnis, Datum, Umfang und Inhalten des Kurses.

Die Bestätigung belegt Ihre Teilnahme. Sie ist kein staatlich anerkannter Abschluss und keine Zertifizierung eines Herstellers wie Microsoft oder Fortinet. Prüfungen für Herstellerzertifikate legen Sie direkt beim Hersteller ab.

Offene Termine

Derzeit ist kein offener Termin geplant. Fragen Sie uns, auch als Inhouse-Training für Ihr Team