Gilt NIS2 für mich, und was ändert der Cyber Resilience Act an meiner Website?

Österreich: das NISG 2026 gilt seit 1. Oktober 2026

Das Netz- und Informationssystemsicherheitsgesetz 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht. Nach § 51 treten seine Bestimmungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft. Nachgerechnet: neun Monate nach dem 23. Dezember 2025 ist der 23. September 2026, der nächste Monatserste der 1. Oktober 2026; KPMG Österreich nennt dieses Datum in seiner Übersicht vom 19. Dezember 2025. Betroffen sind wesentliche und wichtige Einrichtungen in den Sektoren der Anlagen 1 und 2. Die Größe bestimmt § 25: Ein mittleres Unternehmen beschäftigt zumindest 50 Mitarbeiter oder erzielt über zehn Millionen Euro Jahresumsatz bei über zehn Millionen Euro Bilanzsumme; ein großes beschäftigt zumindest 250 Mitarbeiter oder erzielt über 50 Millionen Euro Umsatz bei über 43 Millionen Euro Bilanzsumme. Wer darunter fällt, registriert sich nach § 29 Abs. 3 innerhalb von drei Monaten ab Inkrafttreten bei der Cybersicherheitsbehörde, dem Bundesamt für Cybersicherheit nach § 3a. § 34 verlangt bei einem erheblichen Vorfall eine Frühwarnung „in jedem Fall aber innerhalb von 24 Stunden nach Kenntnisnahme“, eine Meldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Meldung. § 45 sieht Geldstrafen bis 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes für wesentliche und bis 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen vor, je nachdem, welcher Betrag höher ist.

Deutschland: das BSI-Gesetz nennt dieselben Schwellen und Fristen

In Deutschland steht die Umsetzung im BSI-Gesetz in der Fassung des Gesetzes vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301), das laut gesetze-im-internet.de am 6. Dezember 2025 in Kraft trat. Nach § 28 Absatz 2 gelten als wichtige Einrichtungen Unternehmen der in den Anlagen 1 und 2 bestimmten Einrichtungsarten, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen; als besonders wichtige Einrichtungen nach Absatz 1 solche der Anlage 1 mit mindestens 250 Mitarbeitern oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme. Einzelne Einrichtungsarten wie Vertrauensdiensteanbieter sind unabhängig von der Größe erfasst. § 32 nennt dieselben Stufen wie Österreich: Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung. Das Bundesamt für Sicherheit in der Informationstechnik schreibt auf seiner Seite für regulierte Unternehmen, die gesetzliche Registrierungsfrist sei bereits abgelaufen, und bietet eine Betroffenheitsprüfung unter betroffenheitspruefung-nis-2.bsi.de an.

Die verlangten Maßnahmen sind dieselben, die ein Versicherer verlangt

Beide Gesetze zählen die Risikomanagementmaßnahmen in ähnlichem Wortlaut auf, in Österreich in § 32 Absatz 4 lit. a bis j, in Deutschland in § 30 Absatz 2 Nummer 1 bis 10: Konzepte zur Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup-Management und Wiederherstellung, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Management und Offenlegung von Schwachstellen, Bewertung der Wirksamkeit, Schulung, Kryptografie, Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Wer die Obliegenheiten einer Cyberversicherung kennt, erkennt die Liste wieder: zeitnahe Updates, geschützte Sicherungen, zweiter Faktor, getrennte Zugänge. Für Ihre Website heißt das als Einordnung: Eine Bibliothek ohne Herstellerpflege, eine offene Anmeldemaske ohne zweiten Faktor oder eine Konfigurationsdatei im Webverzeichnis fallen in die Felder, die beide Gesetze nennen, Management von Schwachstellen und Zugriffskontrolle, auch wenn das Gesetz die Website nicht eigens erwähnt.

Was Sie bis Dezember 2027 von Herstellern erwarten dürfen

Die Pflicht zur Schwachstellenbehandlung trifft einen Punkt, der heute allein bei den Website-Betreibern liegt: Bei WordPress hatten laut Patchstack 2026 46 Prozent der 11.334 neuen Lücken des Jahres 2025 zur Veröffentlichung noch keine Korrektur, und 91 Prozent der Lücken steckten in Erweiterungen; Patchstack ist ein Sicherheitsanbieter, die Zahlen stammen aus seiner eigenen Datenbank. Hersteller, die die Verordnung erfasst, müssen seit September 2026 aktiv ausgenutzte Lücken melden und ab Dezember 2027 Lücken über den Lebenszyklus behandeln. Für Ihre Auswahl heißt das schon heute: Bevorzugen Sie Erweiterungen und Bibliotheken von Herstellern, die Sicherheitslücken veröffentlichen und zeitnah schließen, und meiden Sie solche, deren letzte Aktualisierung Jahre zurückliegt. Die Herstellerpflege, die der Prüfbereich Aktualität an der Website misst, ist die Eigenschaft, die der Cyber Resilience Act für erfasste Produkte zur Pflicht macht.

Kleine Betriebe erreicht NIS2 über ihre Kunden

Ein Betrieb mit zwanzig Mitarbeitern und einem Umsatz unter zehn Millionen Euro fällt in der Regel nicht unter die Schwellen. Die Maßnahme „Sicherheit der Lieferkette“ gilt aber für seine Kunden: Das BSI-Gesetz verlangt in § 30 Absatz 2 Nummer 4 die Sicherheit der Lieferkette „einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“; das NISG 2026 nennt in § 32 Absatz 4 lit. d die Lieferkette einschließlich der Schwachstellen der Anbieter und deren Cybersicherheitspraxis. Wie eine Einrichtung das tut, regeln die Gesetze nicht im Detail. Zu erwarten ist, dass solche Kunden ihren Zulieferern Fragen stellen, Erklärungen oder Nachweise verlangen und die Antworten in Verträge aufnehmen. Wenn Ihr größter Kunde ein Krankenhaus, ein Energieversorger oder ein Logistiker ist, kommt die Frage nach dem Stand Ihrer Website eher von dort als von einer Behörde. Ein Prüfbericht mit Datum beantwortet den Teil der Frage, der die Website betrifft.

Tipps aus der Praxis

• Die Schwellen zählen je Gesellschaft. Ein kleines Tochterunternehmen eines großen Konzerns muss sich selbst einordnen; KPMG Österreich schreibt, das NISG 2026 sehe kein Konzernprivileg vor, und konzerninterne IT-Services könnten die Anwendbarkeit auslösen.
• Eine Erklärung an einen NIS2-Kunden sollte nur enthalten, was Sie belegen können. Ein Satz zu viel wird im Vorfall zur Frage.
• Wer eine Website für andere baut und betreibt, hat eine andere Rolle als wer sie nur nutzt. Agenturen gehören in diese Betrachtung hinein.
• Der Cyber Resilience Act verpflichtet Hersteller, Lücken zu behandeln; das Einspielen der Updates bleibt bei Ihnen.