NIS2-Registrierung: Frist für KMU endet am 31. Juli 2026

Und wer sind die Opfer? Das BSI stuft KMU im Lagebericht 2025 explizit als besonders gefährdet ein – wegen fehlender Ressourcen, fehlendem Fachwissen und unklarer Zuständigkeiten; 80 Prozent aller angezeigten Ransomware-Angriffe in Deutschland betrafen KMU. Eine weitere Auswertung zeigt: 96 Prozent aller auf Leak-Seiten veröffentlichten deutschen Opfer sind Unternehmen mit weniger als 5.000 Mitarbeitern. Die Vorstellung, Angreifer interessierten sich nur für Konzerne, ist damit widerlegt – es ist genau umgekehrt.

Gleichzeitig rüsten die Angreifer technisch auf: Im ersten Quartal 2026 waren bereits 86 Prozent aller Phishing-Angriffe KI-gestützt – täuschend echte Mails, fehlerfrei, personalisiert. Auf der Verteidigerseite sieht es dagegen mau aus: Rund 52 Prozent der KRITIS-Betreiber verfügen noch nicht über ausreichende Angriffserkennungssysteme.

Chefsache im Wortsinn: Die Geschäftsführung haftet persönlich

Ein Punkt, der in vielen Betrieben noch nicht angekommen ist: Die rechtliche Verantwortung für Cybersicherheit rückt 2026 verstärkt in die Führungsetagen – nach NIS2-Artikel 20 und Änderungen im GmbH- und Aktiengesetz haften Geschäftsführer persönlich für Versäumnisse im IT-Risikomanagement, und diese Haftung ist nicht delegierbar. „Darum kümmert sich unser IT-Dienstleister“ ist damit keine Antwort mehr, die im Ernstfall trägt. Die Verantwortung bleibt am Schreibtisch der Geschäftsführung.

Das gilt in Österreich

Österreich setzt NIS2 über das NISG 2026 um – verspätet, aber jetzt mit klarem Fahrplan. Das Gesetz wurde am 23. Dezember 2025 kundgemacht und tritt am 1. Oktober 2026 in Kraft. Die Verspätung hatte Folgen: Die Europäische Kommission leitete ein Vertragsverletzungsverfahren ein und schickte am 7. Mai 2025 eine mit Gründen versehene Stellungnahme nach Wien.

Zur Betroffenheit gehen die Schätzungen auseinander: Rund 5.000 Unternehmen und Organisationen sind direkt betroffen, dazu etwa 50.000 Zulieferer; die WKO spricht von rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 festgelegten gesellschaftlich relevanten Sektoren. Neu ist die Aufsicht: Das durch das NISG 2026 geschaffene Bundesamt für Cybersicherheit – dem Innenministerium unterstellt – übernimmt Registrierungen, überwacht die Compliance, nimmt Vorfallmeldungen entgegen und verhängt Verwaltungsstrafen.

Die gute Nachricht für österreichische Betriebe: Mehr Zeit als in Deutschland. Betroffene Einrichtungen müssen sich bis 31. Dezember 2026 registrieren. Bei den Strafen gilt: Nach § 45 NISG 2026 drohen wesentlichen Einrichtungen Geldstrafen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Eine verpasste Registrierung kommt günstiger, aber nicht gratis: Für die Verletzung organisatorischer Pflichten wie der Registrierungspflicht drohen Strafen bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.

Auch in Österreich greift die Lieferketten-Logik: Kleinbetriebe können indirekt betroffen sein, wenn sie als Zulieferer für direkt regulierte Einrichtungen tätig sind – deren Auftraggeber werden Cybersecurity-Nachweise einfordern. Realistisch bleibt bei der Durchsetzung etwas Luft: Erste Bußgeldverfahren werden voraussichtlich nicht vor 2027 oder 2028 sichtbar. Wer sich darauf verlässt, verwechselt allerdings Behördentempo mit Kundentempo – die Fragebögen der Auftraggeber kommen früher.

Und in der Schweiz?

Die Schweiz ist kein EU-Mitglied und hat NIS2 nicht übernommen. Das Schweizer Pendant ist das revidierte Informationssicherheitsgesetz (ISG) samt BACS-Meldewesen für kritische Infrastrukturen, das ab 2025 greift. Wer daraus Entwarnung ableitet, übersieht den Export über Verträge: Als Zulieferer für EU-Unternehmen werden Schweizer KMU zunehmend mit NIS2-Anforderungen konfrontiert – auch ohne formale Verpflichtung, weil grosse EU-Konzerne die Cybersecurity ihrer gesamten Lieferkette gewährleisten müssen.

Der Mechanismus ist derselbe wie in Deutschland: EU-Unternehmen geben die NIS2-Anforderungen über Vertragsklauseln, Audit-Rechte und Incident-Notification-Pflichten an ihre Schweizer Zulieferer weiter – NIS2 wird de facto über die Lieferkette in die Schweiz exportiert. Und die Konsequenz ist ebenfalls dieselbe: Indirekt betroffene KMU riskieren den Verlust von Aufträgen, wenn sie NIS2-Anforderungen nicht erfüllen. Das ist keine Theorie: Schweizer Anbieter, die vertragliche Pull-Through-Anforderungen nicht erfüllen können, verlieren 2026 sichtbar Ausschreibungen.

Einordnung: Was jetzt ansteht

Die Lage lässt sich in drei Sätzen zusammenfassen. Erstens: Wer registrierungspflichtig ist, hat mit dem 31. Juli ein hartes Datum – die Nachfrist wurde bereits einmal gewährt, auf eine zweite sollte niemand wetten. Zweitens: Wer nicht registrierungspflichtig ist, aber regulierte Kunden hat, wird 2026 trotzdem geprüft – nur eben vom Kunden statt vom BSI. Drittens: Die Angriffszahlen zeigen, dass Cyber-Risikomanagement für KMU längst keine Compliance-Übung mehr ist, sondern Existenzschutz.

Der sinnvolle nächste Schritt ist deshalb keine hektische Tool-Beschaffung, sondern eine ehrliche Standortbestimmung: erst die eigene Betroffenheit klären (direkt, indirekt, gar nicht), dann den tatsächlichen Sicherheitsstand des Betriebs realistisch bewerten – und erst danach über Maßnahmen und Nachweise entscheiden. Wer diese Reihenfolge einhält, kann dem nächsten Kundenfragebogen gelassen entgegensehen. Wer sie überspringt, füllt ihn im Blindflug aus.