Was bedeutet das NISG 2026 für Hosting und Server?

Das neue Netz- und Informationssystemsicherheitsgesetz macht Serverbetrieb zur Chefsache. Hier steht, was das Gesetz verlangt, welche Maßnahmen an Hosting und Servern ansetzen – und was Ihnen ein Hoster abnehmen kann und was nicht.

Kurze Antwort

1Das NISG 2026 (BGBl. I Nr. 94/2025) tritt am 1. Oktober 2026 in Kraft und setzt die EU-Richtlinie NIS 2 in Österreich um.
2Betroffen sind rund 4.000 mittlere und große Einrichtungen aus 18 Sektoren; sie müssen sich über das Unternehmensserviceportal (USP) registrieren.
3Server und Hosting sind Teil der Risikomanagementmaßnahmen, die Sie nachweisen müssen: Zugriffsschutz mit MFA, Backups, Verschlüsselung, Protokollierung und Notfallplanung.
4Erhebliche Sicherheitsvorfälle melden Sie gestaffelt: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat.
5Verpflichtet bleibt Ihr Unternehmen – der Hosting-Anbieter ist Teil Ihrer Lieferkette, übernimmt Ihre Pflichten aber nicht.

Rechtsgrundlage und Fristen

Das NISG 2026 wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht und gilt ab 1. Oktober 2026. Zuständig wird das neue Bundesamt für Cybersicherheit im Innenministerium. Ab diesem Tag ist die Anwendung „NIS2 Services“ im USP für Registrierung und Vorfallsmeldungen verfügbar (Quelle: usp.gv.at).

Erfasst sind laut WKO rund 4.000 Einrichtungen in 18 Sektoren – von Energie, Gesundheit und IT-Diensten bis zu Lebensmitteln, Produktion und digitalen Diensten. Maßgeblich ist die Unternehmensgröße: in der Regel ab 50 Beschäftigten bzw. mehr als 10 Mio. € Umsatz und Bilanzsumme. Die Geschäftsleitung haftet für die Umsetzung und muss sich schulen lassen. Bei Verstößen drohen für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Quelle: wko.at).

Welche Pflichten den Server betreffen

Zugriffskontrolle & Multi-Faktor-Authentifizierung

SSH nur mit Schlüsseln, MFA für Panel und Admin-Zugänge, getrennte Konten statt geteilter Root-Passwörter.

Business Continuity & Backup

Regelmäßige, getestete Backups mit einer Kopie außerhalb des Produktivservers; dokumentierte Wiederherstellungszeit.

Kryptografie

TLS für alle Dienste, verschlüsselte Backups, sichere Verwaltung von Schlüsseln und Secrets.

Bewältigung von Sicherheitsvorfällen

Zentrale Logs, Alarmierung und ein Ablauf, wer innerhalb von 24 Stunden die Frühwarnung auslöst.

Cyberhygiene & Schwachstellenmanagement

Patch-Rhythmus für Betriebssystem, Container und CMS; Härtung nach Standard-Checklisten.

Sicherheit der Lieferkette

Vertrag und Auftragsverarbeitungsvereinbarung mit dem Hoster, Kenntnis des Rechenzentrumsstandorts, Ausstiegsplan.

Beispiele aus Österreich

Wiener Lebensmittelproduzent mit Webshop

Ein Produktionsbetrieb mit 120 Beschäftigten fällt unter den Sektor Lebensmittel. Der Webshop läuft auf einem VPS: Für das NISG muss das Unternehmen belegen, wer Admin-Zugriff hat, wie oft gesichert wird und wie ein Vorfall gemeldet würde.

Grazer IT-Dienstleister

Ein Managed-Service-Anbieter betreut Kundensysteme auf eigenen Servern. IT-Dienste gehören zu den Sektoren mit hoher Kritikalität – hier zählen Protokollierung und Incident-Response besonders, weil ein Vorfall mehrere Kunden trifft.

Oberösterreichischer Maschinenbauer

Das ERP liegt auf einem dedizierten Server. Die Geschäftsleitung muss die Maßnahmen billigen und eine Cybersicherheitsschulung absolvieren; Serverhärtung und Backup-Tests werden Teil der Selbstdeklaration.

Häufige Fehler

„Unser Hoster ist zertifiziert, also sind wir compliant.“ – Die Pflichten liegen beim Unternehmen, nicht beim Anbieter.
Backups nur auf demselben Server – ein Ransomware-Angriff trifft dann Original und Kopie.
Kein Meldeablauf: Wer erst im Vorfall klärt, wer meldet, verpasst die 24-Stunden-Frist.
Die Registrierung aufschieben – sie ist über das USP bis zum 1. Jänner 2027 fällig.

Wie 4hosting hilft

Jedes VPS-Paket enthält monatlich 1 bis 8 Stunden DevOps- und CyberSecurity-Leistungen, dedizierte Server 5 bis 10 Stunden, GPU-Server 10 Stunden; bei cPanel-Hosting ab dem Paket cPanel Advanced 1 Stunde. Sie fordern die Stunden im Kundenpanel an – etwa für Serverhärtung, WAF- und DDoS-Regeln, zentrale Logs mit Alarmierung, Backup-Konzepte gegen Ransomware oder einen Incident-Response-Plan. Nicht genutzte Stunden verfallen am Monatsende.

Die Server stehen in einem EU-Rechenzentrum in Frankfurt, nicht in Österreich; eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO ist verfügbar, die Maßnahmen orientieren sich an ISO 27001. 4hosting zertifiziert nicht und unterschreibt keine NISG-Konformität für Sie – Registrierung, Selbstdeklaration und Meldungen bleiben Aufgabe Ihres Unternehmens.

Fragen und Antworten

Muss mein Server in Österreich stehen?

Das NISG 2026 schreibt keinen österreichischen Serverstandort vor. Entscheidend sind die Sicherheitsmaßnahmen und die Kontrolle über Ihre Lieferkette. Die Server von 4hosting stehen in einem EU-Rechenzentrum (Frankfurt), nicht in Österreich.

Bis wann muss ich die Maßnahmen nachweisen?

Laut WKO ist die Selbstdeklaration zu den umgesetzten Risikomanagementmaßnahmen bis 30. September 2027 abzugeben; die Registrierung erfolgt bis 1. Jänner 2027.

Bestätigt 4hosting meine NISG-Konformität?

Nein. 4hosting ist keine Prüf- oder Zertifizierungsstelle. Wir setzen technische Maßnahmen an Ihren Servern um und dokumentieren sie; die rechtliche Bewertung und die Meldungen bleiben bei Ihnen.