Was bedeutet NIS-2 für Gemeinden eigentlich? Wie der Name schon sagt, soll das Netz- und Informationssystemsicherheitsgesetz für mehr Cybersicherheit bei IT-Systemen von Unternehmen sorgen. Auch Betreiber von kritischer Infrastruktur müssen künftig ihre Systeme vor Hackerangriffen schützen. Immerhin lagen öffentliche Einrichtungen und Behörden zuletzt mit rund 2.600 Angriffen pro Organisation und Woche weltweit an zweiter Stelle aller Branchen, gleich hinter dem Bildungswesen.
Das Horror-Szenario: Hackerangriff legt Infrastruktur lahm
Erst kürzlich war die Arbeiterkammer OÖ, das Berliner Landesnetz und die lettische Straßenverkehrsbehörde von solchen Angriffen betroffen – mit teilweise schwerwiegenden Folgen. Die gesetzliche Antwort darauf: Wer kritische Infrastruktur betreibt, muss sie künftig absichern – sonst haftet er dafür.
Das NISG 2026 verpflichtet mittlere und große Einrichtungen in 18 definierten Sektoren – von Energie über Wasser bis zur öffentlichen Verwaltung – zu Mindeststandards in der Cybersicherheit: Risikomanagement, Meldepflichten bei Vorfällen, Schulung der Führungsebene. Der Nationalrat hat das Gesetz im Dezember 2025 beschlossen, es tritt am 1. Oktober 2026 in Kraft.
Ist meine Gemeinde betroffen?
Das Gesetz gilt grundsätzlich für mittlere und große Unternehmen ab 50 Mitarbeitenden oder mehr als zehn Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme in den definierten NIS-Sektoren. Gemeinden und Gemeindeverbände sind gemäß § 24 Abs. 3 NISG 2026 ausdrücklich vom Sektor „öffentliche Verwaltung“ ausgenommen. Doch aufgepasst: Sobald eine Gemeinde eigene Stadtwerke, eine Wasserversorgung, eine digitale Infrastruktur oder andere kritische Dienste betreibt, kann die Schwelle schnell erreicht sein. Außerdem können Gemeinden als Mitglieder von Verbänden mit Sektorentätigkeit in die NIS-Thematik hineinrutschen.
Unwissenheit schützt vor Strafe nicht
Neu ist das Prinzip der Selbsteinstufung: Betroffene Einrichtungen müssen selbst feststellen, ob sie unter das NISG 2026 fallen, und sich registrieren. Wer seine Registrierungspflicht nicht erfüllt, riskiert eine Strafe.
Was kostet das – und was bringt es?
Die Kostenseite ist real:Risikomanagement-Prozesse, technische, organisatorische und operative Schutzmaßnahmen, Dokumentation, im Zweifel externe Beratung. Für kleine Gemeindeverwaltungen mit angespannten Budgets ist das kein Nebenprojekt. Die Gegenrechnung fällt trotzdem eindeutig aus: Österreich verzeichnete im April 2026 im Schnitt 2.122 Cyberangriffe pro Organisation und Woche, ein Plus von 17 Prozent gegenüber dem Vorjahr und der höchste Wert im gesamten DACH-Raum.
Nicht jede Gemeinde muss das NISG 2026 erfüllen. Aber jede Gemeinde sollte sich so verhalten, als müsste sie es.
Ein Ausfall der Gemeindeverwaltung, ein verschlüsseltes Melderegister, eine lahmgelegte Wasserversorgung oder Datendiebstahl kostet ungleich mehr als jede Vorsorge, an Geld, an Vertrauen, an Handlungsfähigkeit. Cybersicherheit bzw. Resilienz ist keine Frage der Rechtspflicht, sondern der Handlungsfähigkeit einer Verwaltung, die zunehmend digital arbeitet, vom Wasserwerk bis zum Bürgerservice.
Leitfaden für Gemeinden
Der beigefügte Leitfaden gibt einen kompakten Überblick. Er zeigt, wann eine Gemeinde oder kommunale Einrichtung unter das NISG 2026 fällt, welche Pflichten entstehen und welche Schritte jetzt wichtig sind. Entscheidend ist dabei nicht nur, was eine Gemeinde tut, sondern auch welcher Rechtsträger die jeweilige Leistung tatsächlich erbringt. Eine kommunale GmbH oder ein Gemeindeverband ist daher grundsätzlich eigenständig zu prüfen.
Drei Fragen schaffen schnell Klarheit
Für eine erste Einschätzung empfiehlt sich ein strukturierter Blick auf drei Punkte:
1. Wer erbringt die Leistung?
Ist es die Gemeinde selbst, ein Gemeindeverband, eine kommunale Gesellschaft oder ein externer Dienstleister?
2. Gehört die Tätigkeit zu einem NISG-Sektor?
Insbesondere Wasser, Abwasser, Abfall, Energie und bestimmte IT-Dienstleistungen können relevant sein.
3. Wird die erforderliche Größenordnung erreicht?
Für die Einstufung spielen insbesondere Beschäftigtenzahl, Umsatz und Bilanzsumme eine Rolle. Auch Beteiligungen und verbundene Einrichtungen können bei der Berechnung relevant sein.
Zusätzlich sind gesetzliche Sonderregelungen zu beachten – etwa bei untergeordneten Tätigkeiten im Wasser- und Abwasserbereich oder bei organisatorisch, technisch und operativ unabhängigen IT-Strukturen.
Wenn die Gemeinde betroffen ist: Jetzt vorbereiten
Für betroffene Einrichtungen beginnt die Arbeit nicht erst mit dem Inkrafttreten des Gesetzes. Wer frühzeitig Klarheit über Zuständigkeiten, Systeme und Risiken schafft, kann die Umsetzung wesentlich leichter bewältigen.
Zu den wichtigsten nächsten Schritten gehören:
- Betroffenheit und zuständigen Rechtsträger klären und dokumentieren
- Verantwortlichkeiten und Ansprechpersonen festlegen
- relevante Dienste, IT-Systeme, Daten und Standorte erfassen
- Risiken, Abhängigkeiten und Sicherheitslücken bewerten
- kritische Dienstleister und Lieferketten berücksichtigen
- technische Schutzmaßnahmen wie MFA, Patchmanagement und sichere Backups überprüfen
- Notfall- und Vorfallprozesse vorbereiten und testen
- Schulungen und regelmäßige Berichterstattung organisieren
- alle Maßnahmen nachvollziehbar dokumentieren
Besonders wichtig: Die Fristen laufen früh an. Die Registrierung hat grundsätzlich bis 31. Dezember 2026 zu erfolgen. Bis 1. Oktober 2027 ist die vorgesehene Selbstdeklaration zu übermitteln. Ab dem Inkrafttreten des Gesetzes sind zudem die laufenden Sicherheits- und Meldepflichten zu beachten. Weitere Informationen zur Registrierung werden in Kürze von der Cybersicherheitsbehörde bereitgestellt (Link unten).
Cybersicherheit ist mehr als eine IT-Aufgabe
Das NISG 2026 betrifft nicht nur die technische Infrastruktur. Gefordert sind auch klare Verantwortlichkeiten, Risikoanalysen, Notfallplanung, Schulungen, Lieferantensicherheit und eine belastbare Dokumentation.
Für Gemeinden empfiehlt es sich daher, das Thema frühzeitig gemeinsam mit Verwaltung, IT, Führungsebene und relevanten Dienstleistern anzugehen. So lässt sich nicht nur die gesetzliche Umsetzung vorbereiten – gleichzeitig können wichtige kommunale Dienste widerstandsfähiger gegen Cyberangriffe und Ausfälle gemacht werden.
Unser Tipp
Prüfen Sie jetzt, ob Ihre Gemeinde oder eine kommunale Einrichtung betroffen sein könnte. Der beigefügte Leitfaden unterstützt dabei, die relevanten Rechtsträger und Tätigkeiten einzuordnen, die Größe zu bestimmen und die nächsten Umsetzungsschritte zu planen.
Da einzelne Vorgaben – insbesondere die konkrete Ausgestaltung der Risikomanagementmaßnahmen – noch weiter konkretisiert werden, lohnt es sich, die weitere Entwicklung aufmerksam zu verfolgen und die eigenen Vorbereitungen frühzeitig zu starten.
Kurz gesagt: Nicht jede Gemeinde ist NISG-pflichtig. Aber jede Gemeinde sollte jetzt wissen, ob und wo sie betroffen sein könnte.
