NISG 2026 — Schulungspflicht für Mitarbeiter: Was österreichische Unternehmen bis Oktober umsetzen müssen

Von Fabian Hable · April 2026 · Aktualisiert: 10. Juli 2026

Am 23. Dezember 2025 wurde das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) im Bundesgesetzblatt veröffentlicht. Damit ist die europäische NIS2-Richtlinie nun auch in Österreich geltendes Recht. Die zentralen Pflichten treten am 1. Oktober 2026 in Kraft — ohne Übergangsfrist.

Für rund 4.000 Unternehmen in Österreich bedeutet das: Security Awareness Schulungen sind nicht mehr freiwillig. Sie sind eine dokumentierbare Compliance-Pflicht, die direkt die Geschäftsführung betrifft.

Dieser Artikel erklärt, was das NISG 2026 konkret verlangt, wer betroffen ist und wie Unternehmen die Schulungspflicht pragmatisch umsetzen können.

Was das NISG 2026 von Unternehmen verlangt

Das NISG 2026 setzt die europäische NIS2-Richtlinie in österreichisches Recht um. Die Kernpflichten basieren auf den Artikeln 20 und 21 der Richtlinie und lassen sich in drei Bereiche zusammenfassen.

Erstens müssen Mitglieder der Geschäftsleitung persönlich an Cybersecurity-Schulungen teilnehmen. Das ist keine Delegation an die IT-Abteilung — die Geschäftsführung selbst muss nachweisen, dass sie über ausreichende Kenntnisse verfügt, um Cybersicherheitsrisiken zu bewerten und Managemententscheidungen zu treffen.

Zweitens müssen Unternehmen allen Mitarbeitenden regelmäßig Schulungen anbieten, damit diese Risiken erkennen und angemessen reagieren können. Das Gesetz spricht von „ausreichenden Kenntnissen und Fähigkeiten zur Erkennung und Bewertung von Risiken".

Drittens müssen diese Maßnahmen dokumentiert sein. Bei einem Audit oder Sicherheitsvorfall muss das Unternehmen nachweisen können, dass Schulungen stattgefunden haben, welche Themen behandelt wurden und wer teilgenommen hat.

Die Sanktionen sind erheblich: Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Zusätzlich können Behörden Leitungspersonen die Ausübung ihrer Funktion untersagen.

Schulungspflicht für Leitungsorgane (§ 31) — warum Mitarbeiter-Trainings hier nicht reichen

Ein Punkt wird in der Praxis häufig übersehen: Das NISG 2026 kennt zwei getrennte Schulungspflichten. § 31 verpflichtet Geschäftsführung und Vorstand persönlich zur Teilnahme an Cybersicherheitsschulungen, die spezifisch für Leitungsorgane konzipiert sind. Die allgemeinen Awareness-Schulungen der Belegschaft erfüllen diese Pflicht ausdrücklich nicht — auch dann nicht, wenn die Geschäftsführung daran teilnimmt.

Für beide Ebenen gilt: Die Teilnahme ist nachzuweisen. Feste Wiederholungsintervalle nennt das Gesetz nicht — wie oft geschult wird, ist risikobasiert im Unternehmen festzulegen und zu begründen. Wer die Schulungen plant, sollte Leitungsebene und Belegschaft daher getrennt budgetieren und dokumentieren.

Wer ist betroffen?

Das NISG 2026 unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen. Die Einstufung richtet sich nach der Branche und der Unternehmensgröße.

Betroffen sind Unternehmen aus 18 definierten Sektoren — darunter Energie, Transport, Gesundheitswesen, digitale Infrastruktur, Lebensmittelproduktion, Abfallwirtschaft und verarbeitendes Gewerbe. Ein Unternehmen fällt unter das NISG, wenn es mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz von über 10 Millionen Euro erzielt und eine Bilanzsumme von über 10 Millionen Euro aufweist.

Wichtig: Auch Unternehmen, die nicht direkt unter das Gesetz fallen, können betroffen sein — nämlich als Teil der Lieferkette eines betroffenen Unternehmens. Das NISG 2026 verlangt von betroffenen Einrichtungen, Cybersicherheitsrisiken in ihrer Lieferkette zu berücksichtigen. In der Praxis bedeutet das: Auftraggeber werden von ihren Zulieferern zunehmend Nachweise über Sicherheitsmaßnahmen einfordern. Was das konkret für Zulieferer bedeutet — und wie Sie Awareness über die Unternehmensgrenze hinaus organisieren — haben wir in einem eigenen Beitrag zur NIS2-Lieferkette aufbereitet.

Betroffene Einrichtungen müssen sich zudem selbst einstufen und beim neuen Bundesamt für Cybersicherheit im Innenministerium registrieren — die Frist läuft bis 31. Dezember 2026. Danach folgt eine strukturierte Selbstdeklaration der umgesetzten Maßnahmen (bis September 2027), zu denen auch die Schulungen zählen.

Was „ausreichende Kenntnisse und Fähigkeiten" bedeutet

Das Gesetz definiert nicht im Detail, welche Themen eine Schulung abdecken muss. Es gibt jedoch klare Orientierungspunkte.

Die ENISA (Agentur der Europäischen Union für Cybersicherheit) empfiehlt folgende Kernthemen für Mitarbeiterschulungen: Erkennung von Phishing und Social Engineering, sichere Passwortpraktiken und Authentifizierung, sicherer Umgang mit mobilen Geräten und Fernzugriff, physische Sicherheit am Arbeitsplatz, Meldeprozesse bei Sicherheitsvorfällen sowie Umgang mit KI-Tools und Schatten-IT.

Entscheidend ist nicht die Länge der Schulung, sondern dass sie nachweisbar stattgefunden hat, relevante Themen behandelt und regelmäßig wiederholt wird. Ein einmaliges 30-Minuten-Video vor zwei Jahren wird keinen Auditor überzeugen.

Dokumentierte Schulungsnachweise — was Auditoren sehen wollen

Ein häufiger Fehler ist die Annahme, dass eine E-Mail mit dem Betreff „Bitte schaut euch dieses PDF an" als Schulungsnachweis gilt. Auditoren erwarten mehr.

Ein solider Schulungsnachweis enthält: den vollständigen Namen des Teilnehmers, das Datum der Schulung, die behandelten Themen, eine Form der Lernzielüberprüfung (Quiz, Assessment) und die Bestätigung des Anbieters oder der Plattform. Idealerweise gibt es zusätzlich einen aggregierten Unternehmensreport, der zeigt, wie viele Mitarbeitende geschult wurden, welche Themenbereiche abgedeckt sind und wo es noch Lücken gibt.

Digitale Trainingsplattformen generieren diese Nachweise automatisch. Wer auf Präsenzschulungen setzt, muss Teilnahmelisten führen und Inhalte dokumentieren — ein deutlich höherer Aufwand.

Umsetzung in der Praxis — drei Wege

Für die praktische Umsetzung gibt es drei bewährte Modelle, die sich auch kombinieren lassen.

Der erste Weg ist ein Cloud-Training mit E-Mail-Login. Mitarbeitende melden sich mit ihrer E-Mail-Adresse an und erhalten einen Zugangscode — kein Passwort, kein IT-Rollout nötig. Das funktioniert auch für Mitarbeitende ohne Firmen-Laptop oder Firmen-E-Mail, etwa in Produktion oder Logistik.

Der zweite Weg ist ein SCORM-Paket für das eigene LMS. Unternehmen, die bereits ein Learning Management System wie SAP SuccessFactors oder Moodle nutzen, können ein SCORM-1.2-Paket importieren. Die Inhalte laufen direkt im bestehenden System, das Tracking übernimmt das LMS.

Der dritte Weg ergänzt das Training um eine eigene Phishing-Kampagne. Regelmäßige, unangekündigte Test-Mails zeigen, ob das Gelernte im Alltag ankommt — ein starker Wirksamkeitsnachweis gegenüber Auditoren. Wichtig für Datenschutz und Betriebsrat: Die Durchführung bleibt am besten im Haus (eigene IT oder ein Tool Ihrer Wahl), sodass keine Mitarbeiterdaten an Dritte fließen — externe Unterstützung holt man sich für Konzeption, Design und Auswertungslogik.

Fristen im Überblick

Die wichtigsten Termine auf einen Blick:

• 23. Dezember 2025 — NISG 2026 im Bundesgesetzblatt veröffentlicht
• 1. Oktober 2026 — Pflichten treten in Kraft, darunter die Schulungspflicht; keine Übergangsfrist
• 31. Dezember 2026 — Ende der Registrierungsfrist beim Bundesamt für Cybersicherheit
• September 2027 — Selbstdeklaration der umgesetzten Maßnahmen

Unternehmen, die jetzt mit der Umsetzung beginnen, haben noch genügend Zeit für einen strukturierten Rollout. Wer bis zum Sommer wartet, riskiert eine hektische Last-Minute-Implementierung — und im schlimmsten Fall lückenhafte Dokumentation bei der ersten Prüfung.

Häufige Fragen zur NISG-2026-Schulungspflicht

Ab wann gilt die Schulungspflicht?

Die Pflichten treten am 1. Oktober 2026 in Kraft — ohne Übergangsfrist. Das Gesetz selbst ist bereits seit 23. Dezember 2025 im Bundesgesetzblatt veröffentlicht.

Gilt die Schulungspflicht für alle Mitarbeitenden?

Betroffene Einrichtungen müssen allen Beschäftigten regelmäßig Awareness-Schulungen anbieten. Für Geschäftsführung und Vorstand gilt zusätzlich eine eigene, strengere Pflicht nach § 31 — allgemeine Mitarbeiterschulungen erfüllen diese ausdrücklich nicht.

Wie oft müssen Schulungen wiederholt werden?

Das NISG 2026 schreibt kein festes Intervall vor; die Wiederholung ist risikobasiert festzulegen. In der Praxis hat sich ein jährlicher Rhythmus mit unterjährigen Auffrischungen etabliert — eine einmalige Schulung gilt nicht als „regelmäßig".

Welche Nachweise verlangen Auditoren?

Pro Teilnehmer: Name, Datum, behandelte Themen, eine Lernzielkontrolle (z. B. ein Quiz) und die Bestätigung der Plattform oder des Anbieters. Dazu idealerweise ein aggregierter Unternehmensreport über Teilnahmequoten und Themenabdeckung.

Was droht bei Verstößen?

Geldbußen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Die unterlassene Registrierung kann mit bis zu 100.000 Euro geahndet werden; Leitungspersonen kann zudem die Ausübung ihrer Funktion untersagt werden.

Dieser Artikel bietet eine allgemeine Orientierung zur Schulungspflicht im Rahmen des NISG 2026. Er ersetzt keine Rechtsberatung. Für eine individuelle Einschätzung der Betroffenheit Ihres Unternehmens empfehlen wir die Konsultation eines spezialisierten Beraters.