Insights · Pillar
Das NISG 2026 nennt Penetrationstests nicht ausdrücklich als Pflicht. Über die Wirksamkeitsbewertung nach § 32, den Nachweis nach § 33 und die NIS2-Durchführungsverordnung werden sie für viele Einrichtungen dennoch zum De-facto-Standard. Was die Geschäftsführung in Österreich wirklich schuldet.
Am 1. Oktober 2026 tritt das NISG 2026 in Österreich in Kraft. Registrierung nach Paragraph 29, Selbstdeklaration nach Paragraph 33, Schulungen der Leitungsorgane nach Paragraph 31, Risikomanagement-Maßnahmen nach Paragraph 32 — was wesentliche und wichtige Einrichtungen bis zum Stichtag erledigt haben sollten, und welche Aufsichts- und Durchsetzungsbefugnisse die Behörde ab diesem Tag aktiv nutzen darf.
Vom Start ohne strukturiertes ISMS zur ISO-27001-Zertifizierungs-Reife in 12 Monaten — ein Monats-für-Monats-Plan für österreichische Mittelständler. Mit ISO 27001 Clauses 4 bis 10 als Gerüst, ISO 27005 als Risiko-Methodik und drei realistischen Verzögerungs-Punkten aus der Praxis.
Wer entscheidet, wann ein Cybersicherheitsvorfall erheblich ist? Welche Information geht in welcher Frist an welche Stelle? Praxis-Leitfaden für die NIS2-Meldepflicht in Österreich — § 34 NISG 2026 plus NIS2-DV Artikel 3 plus ISO 27001 A.5.24 bis A.5.30 als zusammenwirkende Quellen-Ebenen.
Die EU-Durchführungsverordnung 2024/2690 konkretisiert für mehrere Sektoren, wie die zehn NIS2-Mindestmaßnahmen technisch umgesetzt werden müssen. Was sich für DNS-, Cloud- und Vertrauensdienste-Anbieter konkret ändert — und welche Pflichten in Österreich daraus erwachsen.
Welche Zertifizierungsstellen bieten ISO 27001 in Österreich? Wie läuft der Zertifizierungsprozess konkret ab, und welche Kosten kommen realistisch auf ein mittelständisches Unternehmen zu? Ein Praxis-Leitfaden für die Entscheidung vor der Zertifizierung.
NISG 2026 ist die österreichische Umsetzung der EU-NIS2-Richtlinie. Welche Unternehmen jetzt unter NIS2 fallen, welche Pflichten konkret auf der Geschäftsführung liegen und welche Strafen drohen — ein Praxis-Check für die Leitungsebene.
ISO 27001, NIS2 und TISAX verlangen nicht nur Prozesse — sie verlangen Belege, dass diese Prozesse wirken. Was Auditoren fragen und was Unternehmen vorbereiten müssen.
Wer ISO 27001 als Projekt mit Stichdatum behandelt, scheitert vorhersehbar. Warum die Norm einen kontinuierlichen Pflegezyklus statt eines Endpunkts braucht.
ISO 27001 gilt als Großunternehmen-Standard. Falsch. Drei Hebel, mit denen mittelständische Organisationen die Norm pragmatisch und skalierbar einsetzen.
ISO 27001 wirkt komplex, liefert aber das Gegenteil. Warum die Norm Cybersicherheit strukturiert, statt sie zu verkomplizieren — aus Auditoren-Sicht.
