Österreich · NISG 2026
Seit 1. Oktober 2026 gilt in Österreich das NISG 2026, ohne Übergangsfrist für die Risikomanagementmaßnahmen. Deren Wirksamkeit müsst ihr bewerten, und ab Oktober 2028 kann die Behörde einen Nachweis verlangen.
Das Wort Penetrationstest steht nicht im Gesetzestext. Es steht dort, wo das Gesetz konkret wird.
Konzepte und Verfahren zur Bewertung der Wirksamkeit eurer Risikomanagementmaßnahmen.
Der EU-Anhang gilt über die Verordnung für alle Einrichtungen: Tests nach Risiko planen, nach dokumentierter Methodik durchführen, dokumentieren, kritische Befunde beheben.
Laut Gesetzesbegründung: Inspektion der Konfigurationen plus Penetrationstest, der reale Angreifer nachbildet. Ein „Assumed Breach“ wird jedenfalls abgedeckt.
ISO 27001 belegt nach § 33 Abs. 2 nur die operative und organisatorische Umsetzung, nicht die technische.
Wesentliche Einrichtungen bis 10 Mio. € oder 2 % des Weltumsatzes, wichtige bis 7 Mio. € oder 1,4 %, der höhere Betrag zählt (§ 45).
Die Leitung muss die Maßnahmen sicherstellen, beaufsichtigen und sich schulen lassen (§ 31). Wesentlichen Einrichtungen droht eine Untersagung der Leitungsaufgaben auf Zeit (§ 39).
Bericht mit Methodik, Befunden nach Kritikalität, Zuordnung zu § 32 und Maßnahmenplan, Grundlage für Selbstdeklaration und Nachweis.
Registrierung, Selbstdeklaration und Prüfbericht nach § 33 bleiben bei euch, Rechtsberatung bieten wir nicht an.
Was ein Angreifer aus dem Internet sieht: Perimeter, Web-Anwendungen, VPN, E-Mail. Den Umfang leiten wir aus eurer Risikoanalyse ab.
Wir starten mit einem normalen Benutzerkonto im internen Netz und zeigen, wie weit es bis zur Domäne und zu euren kritischen Diensten reicht.
Härtung, Berechtigungen und das Prinzip der minimalen Rechte, geprüft an den Systemen, die euren Dienst tragen.
Wesentliche Einrichtungen prüft die Behörde auch ohne Anlass (§ 38 Abs. 1). Nicht erfasst sind unter anderem Gemeinden, Schulen und Universitäten.
Das Gesetz verlangt einen gefahrenübergreifenden Ansatz, der die Netz- und Informationssysteme samt ihren physischen Komponenten schützt.
Pentest belegt direkt Test misst mit: Erkennung, Phishing-Simulation
Frühwarnung an das sektorale CSIRT, wo es keines gibt, an das nationale CSIRT.
Meldung des Cybersicherheitsvorfalls an dieselbe Stelle.
Abschlussbericht, gerechnet ab der Meldung nach 72 Stunden.
Im Pentest seht ihr, ob und wann euer Monitoring anschlägt, also ob diese Fristen im Ernstfall zu halten sind.
Nicht im Gesetzestext. Es verlangt eine Bewertung der Wirksamkeit (§ 32), die Verordnung Sicherheitstests, und die Gesetzesbegründung beschreibt die technische Prüfung nach § 33 als Penetrationstest.
Für die organisatorische und operative Seite kann das Zertifikat als Nachweis dienen. Die technische Umsetzung nimmt § 33 Abs. 2 davon aus, sie muss geprüft werden.
Die Maßnahmen gelten seit 1. Oktober 2026. Sinnvoll ist ein Test vor der Selbstdeklaration: Dann meldet ihr umgesetzte Maßnahmen statt offener Lücken.
Einen festen Turnus nennt das Gesetz nicht. Häufigkeit und Umfang folgen eurer Risikoanalyse (DVO 2024/2690, Anhang Nr. 6.5.2). Für den Nachweis darf die Prüfung höchstens zwei Jahre alt sein.
30 Minuten Erstgespräch, kostenlos. Wir klären Scope und Prioritäten, danach bekommt ihr ein Festpreisangebot.
