Österreich · NISG 2026
NIS2-Betroffenheitscheck für Österreich
Anders als früher stellt keine Behörde die Betroffenheit von sich aus fest. Jede Einrichtung ermittelt sie selbst und registriert sich bis 31. Dezember 2026 selbst. Nur die größenunabhängige Einstufung nach § 26 ergeht weiterhin mit Bescheid der Cybersicherheitsbehörde. Dieser Check führt Sie durch die Prüfung – und erstellt daraus ein datiertes Dokument, das Ihre Selbstermittlung nachvollziehbar festhält.
- Anonym – Ihre Antworten bleiben im Browser; der Check speichert und sendet nichts davon
- Jede Frage mit Fundstelle im Gesetz
Was ohne JavaScript bleibt
Der interaktive Check braucht JavaScript. Die Einstufung selbst wird hier bewusst nicht noch einmal zusammengefasst: Sie hängt an mehreren ineinander greifenden Bestimmungen der §§ 24 bis 26, und eine verkürzte Zweitfassung wäre nach der ersten Gesetzesänderung falsch, ohne dass es jemandem auffällt. Maßgeblich ist ohnehin allein das Gesetz.
Die Eckdaten
- Rechtsgrundlage: Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, kundgemacht am 23. Dezember 2025.
- 1. Oktober 2026: Das Gesetz gilt. Risikomanagement (§ 32), Pflichten des Leitungsorgans samt Cybersicherheitsschulung (§ 31) und die Meldepflichten (§ 34) gelten ohne Übergangsfrist.
- 31. Dezember 2026: Registrierung beim Bundesamt für Cybersicherheit (§ 29 Abs. 3). Wer die Voraussetzungen erst später erfüllt, hat dafür drei Monate ab diesem Zeitpunkt.
- Meldefristen bei einem erheblichen Vorfall: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats (§ 34 Abs. 2) – an das zuständige CSIRT.
- Strafrahmen: bis 10 Mio. € oder 2 % des weltweiten Konzernumsatzes für wesentliche, bis 7 Mio. € oder 1,4 % für wichtige Einrichtungen (§ 45 Abs. 2 und 3); für Verstoße gegen die Registrierungspflichten bis 50.000 €, im Wiederholungsfall bis 100.000 € (§ 45 Abs. 4). Für Stellen der öffentlichen Verwaltung gelten diese Geldstrafen nicht – dort tritt ein Feststellungsbescheid mit Veröffentlichung an ihre Stelle (§ 46 Abs. 2).
- Übermittlungsweg der Registrierung: bislang nicht kundgemacht. § 29 Abs. 2 verlangt nur einen sicheren elektronischen Kanal; er ist vor dem Stichtag beim Bundesamt für Cybersicherheit zu erfragen.
Hinweis
Diese Angaben sind eine Orientierungshilfe, keine Rechtsberatung und rechtlich nicht bindend. Die größenunabhängige Einstufung nach § 26 erfolgt ausschließlich mit Bescheid der Cybersicherheitsbehörde. TG Advisory ist keine „unabhängige Stelle“ und kein „unabhängiger Prüfer“ im Sinne des § 7 NISG 2026 und stellt keine Nachweise nach § 33 Abs. 2 und 3 aus. Den Volltext des Gesetzes finden Sie im Rechtsinformationssystem des Bundes unter ris.bka.gv.at.
Für wen gilt NIS2 in Österreich?
Das NISG 2026 erfasst Einrichtungen, die in Österreich niedergelassen sind oder hier Dienste erbringen, in einem der Sektoren der Anlage 1 oder Anlage 2 tätig sind und mindestens die Größe eines mittleren Unternehmens erreichen (§ 24 in Verbindung mit § 25). Einzelne Dienste sind unabhängig von der Unternehmensgröße erfasst, darunter Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, DNS-Diensteanbieter, TLD-Namenregister, Vertrauensdiensteanbieter und Stellen der öffentlichen Verwaltung. Die folgenden Listen nennen die Sektoren in der Reihenfolge der Anlagen. Die Einstufung selbst hängt zusätzlich an Haupttätigkeit, Größenklasse und Sonderfällen und wird deshalb im Check Frage für Frage geprüft.
Anlage 1 · Sektoren mit hoher Kritikalität
Anlage 1 Z 1 Energie
Elektrizität, Fernwärme/-kälte, Erdöl, Erdgas, Wasserstoff — inkl. Betreiber öffentlicher Ladepunkte.
Anlage 1 Z 2 Verkehr
Erfasst: gewerbliche Luftfahrt und Flughäfen · Eisenbahnunternehmen und Infrastrukturbetreiber, auch Anschlussbahnen und Serviceeinrichtungen · Binnen-, See- und Küstenschifffahrt sowie Häfen · Straßenverkehrsbehörden und Betreiber intelligenter Verkehrssysteme. Nicht erfasst: Speditionen, Frächter, Bus-, Taxi- und Zustellunternehmen im Straßenverkehr.
Anlage 1 Z 3 Bankwesen
Kreditinstitute nach Art. 4 Z 1 VO (EU) 575/2013.
Anlage 1 Z 4 Finanzmarktinfrastrukturen
Betreiber von Handelsplätzen, zentrale Gegenparteien.
Anlage 1 Z 5 Gesundheitsversorgung, Labore, Arzneimittel
Krankenanstalten, Ambulatorien und andere Gesundheitsdienstleister im Sinne des Art. 3 lit. g der Richtlinie 2011/24/EU · EU-Referenzlaboratorien nach Art. 15 der Verordnung (EU) 2022/2371 · Arzneimittelforschung und Pharmaherstellung (ÖNACE C21) · Hersteller kritischer Medizinprodukte.
Anlage 1 Z 6 Trinkwasser
Lieferanten und Versorger mit Wasser für den menschlichen Gebrauch.
Anlage 1 Z 7 Abwasser
Sammeln, Entsorgen oder Behandeln von kommunalem, häuslichem oder industriellem Abwasser.
Anlage 1 Z 8 Internet-, Cloud- und Rechenzentrumsdienste für andere
Rechenzentrum oder Cloud für Kunden · Internet-, Telefon- oder Mobilfunkanbieter · Hosting und DNS · elektronische Signaturen und Zeitstempel · Internet-Knoten (IXP) und Auslieferungsnetze (CDN).
Anlage 1 Z 9 IT-Dienstleistungen für andere Unternehmen (IT-Systemhaus, Managed Services)
Anbieter verwalteter Dienste (MSP) und verwalteter Sicherheitsdienste (MSSP): laufende Betreuung fremder IT — Server, Netzwerke, Arbeitsplätze, Backup, Firewall, SOC. Das trifft IT-Systemhäuser und Managed-Security-Anbieter.
Anlage 1 Z 10 Öffentliche Verwaltung
Einrichtungen auf Bundes- und Landesebene. Gemeinden und Gemeindeverbände sind ausgenommen.
Anlage 1 Z 11 Bodenstationen für Satellitendienste
Betreiber von Bodeninfrastrukturen, die weltraumgestützte Dienste ermöglichen — Satellitenbodenstationen und zugehörige Anlagen.
Anlage 2 · Sonstige kritische Sektoren
Anlage 2 Z 1 Post- und Kurierdienste
Briefe, Pakete oder Sendungen für Dritte befördern und zustellen — Postdiensteanbieter (§ 3 Z 3 PMG) und Kurier-, Express- und Paketdienste (§ 3 Z 4a PMG).
Anlage 2 Z 2 Abfallbewirtschaftung
Unternehmen nach § 2 Abs. 6 Z 3 und 4 AWG 2002.
Anlage 2 Z 3 Herstellung und Großhandel mit chemischen Stoffen
Erfasst: Unternehmen, die chemische Stoffe herstellen und diese Stoffe oder Gemische im Großhandel vertreiben, sowie die Produktion von Erzeugnissen daraus in ÖNACE-Abteilung 20.
Anlage 2 Z 4 Lebensmittel: Großhandel und industrielle Verarbeitung
Lebensmittelunternehmen im Großhandel und in der industriellen Produktion. Trifft nur eine der beiden Stufen zu, wählen Sie den Bereich trotzdem — der Wortlaut ist an dieser Stelle strittig.
Anlage 2 Z 5 Herstellung von Medizinprodukten, Elektronik, Maschinen oder Fahrzeugen
Nur diese: Medizinprodukte und In-vitro-Diagnostika · Elektronik (ÖNACE C26) · elektrische Ausrüstungen (C27) · Maschinenbau (C28) · Kraftwagen (C29) · sonstiger Fahrzeugbau (C30).
Anlage 2 Z 6 Online-Marktplatz, Suchmaschine oder soziales Netzwerk
Plattformen, auf denen Dritte untereinander Geschäfte abschließen · Online-Suchmaschinen · Dienste sozialer Netzwerke.
Anlage 2 Z 7 Forschung und Entwicklung zu kommerziellen Zwecken
Angewandte Forschung oder experimentelle Entwicklung, deren Ergebnisse kommerziell verwertet werden sollen.
Häufige Fragen zum NISG 2026
Was prüft der NIS2-Betroffenheitscheck?
Er führt durch genau die Prüfung, die das NISG 2026 jeder Einrichtung selbst auferlegt: Niederlassung oder Diensterbringung in Österreich, Sektor nach Anlage 1 oder Anlage 2, Haupttätigkeit, Größenklasse nach § 25 und die Sonderfälle der §§ 24 bis 26. Am Ende steht ein datiertes Dokument, das die Antworten, das Ergebnis und die herangezogenen Bestimmungen festhält und sich zu den Unterlagen legen lässt.
Wer ist in Österreich von NIS2 betroffen?
Grundsätzlich Einrichtungen aus den Sektoren der Anlagen 1 und 2, die mindestens ein mittleres Unternehmen im Sinne des § 25 Abs. 3 sind. Unabhängig von der Größe erfasst das Gesetz unter anderem Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, DNS-Diensteanbieter, TLD-Namenregister, Vertrauensdiensteanbieter und Stellen der öffentlichen Verwaltung. Anders als früher stellt keine Behörde die Betroffenheit von sich aus fest: Jede Einrichtung ermittelt sie selbst. Nur die größenunabhängige Einstufung nach § 26 ergeht mit Bescheid der Cybersicherheitsbehörde.
Welche Größenkriterien gelten?
Mittleres Unternehmen: ab 50 Mitarbeitern, oder mehr als 10 Mio. € Jahresumsatz und zugleich mehr als 10 Mio. € Jahresbilanzsumme (§ 25 Abs. 3). Großes Unternehmen: ab 250 Mitarbeitern, oder mehr als 50 Mio. € Jahresumsatz und zugleich mehr als 43 Mio. € Jahresbilanzsumme (§ 25 Abs. 2). Die beiden Wege sind gleichwertig: Die Mitarbeiterzahl allein kann die Schwelle reißen. Werden Netz- und Informationssysteme mit einer Unternehmensgruppe geteilt, sind die Zahlen der Partner- und verbundenen Unternehmen hinzuzurechnen (§ 25 Abs. 4).
Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung?
Inhaltlich keiner: Es gelten dieselben Anforderungen an Risikomanagement und Meldung. Der Unterschied liegt in der Aufsicht und im Strafrahmen. Wesentliche Einrichtungen stehen unter voller Aufsicht, die Behörde darf auch ohne Anlass kontrollieren; bei wichtigen Einrichtungen erfolgt die Aufsicht anlassbezogen, und die Nachweisfristen sind länger. Der Strafrahmen beträgt bis 10 Mio. € oder 2 % des weltweiten Umsatzes gegenüber bis 7 Mio. € oder 1,4 % (§ 45 Abs. 2 und 3).
Ab wann gilt das NISG 2026, und bis wann ist zu registrieren?
Das Gesetz gilt ab 1. Oktober 2026. Risikomanagement (§ 32), die Pflichten des Leitungsorgans (§ 31) und die Meldepflichten (§ 34) gelten ohne Übergangsfrist. Die Registrierung beim Bundesamt für Cybersicherheit ist bis 31. Dezember 2026 vorzunehmen (§ 29 Abs. 3); wer die Voraussetzungen erst später erfüllt, hat dafür drei Monate ab diesem Zeitpunkt. Der Übermittlungsweg ist bislang nicht kundgemacht — § 29 Abs. 2 verlangt nur einen sicheren elektronischen Kanal.
Welche Pflichten treffen die Geschäftsführung?
Das Leitungsorgan hat die Risikomanagementmaßnahmen sicherzustellen und ihre Umsetzung zu überwachen (§ 31 Abs. 1). Es muss selbst eine Cybersicherheitsschulung absolvieren und den Mitarbeitern vergleichbare Schulungen anbieten (§ 31 Abs. 2). Das Unterlassen der Schulung des Leitungsorgans ist in § 45 Abs. 1 Z 1 der erstgereihte Straftatbestand und fällt in den höchsten Strafrahmen. Das Gesetz adressiert damit ausdrücklich die Leitungsebene, nicht die IT-Abteilung.
Welche Meldefristen gelten bei einem erheblichen Vorfall?
Frühwarnung binnen 24 Stunden, vollständige Meldung samt erster Bewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats (§ 34 Abs. 2). Adressat ist das zuständige CSIRT — das Gesetz benennt es je Sektor, für die meisten Sektoren ist das CERT.at.
Welche Strafen sieht das NISG 2026 vor?
Bis zu 10 Mio. € oder 2 % des gesamten weltweiten Umsatzes des vorangegangenen Geschäftsjahres für wesentliche, bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen (§ 45 Abs. 2 und 3). Maßgeblich ist der höhere Betrag, und maßgeblich ist der Umsatz des Unternehmens, dem die Einrichtung angehört, nicht nur der der Einrichtung selbst. Verspätete oder unrichtige Registrierung: bis 50.000 €, im Wiederholungsfall bis 100.000 € (§ 45 Abs. 4). Für Stellen der öffentlichen Verwaltung gelten diese Geldstrafen nicht; dort tritt ein Feststellungsbescheid mit Veröffentlichung an ihre Stelle (§ 46 Abs. 2).
Wir sind nicht direkt betroffen. Betrifft uns NIS2 trotzdem?
Möglicherweise als Lieferant. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette in ihr Risikomanagement einbeziehen (§ 32 Abs. 4) und geben die Anforderungen vertraglich weiter. Nicht betroffen zu sein heißt deshalb nicht, keine Nachweise liefern zu müssen. Außerdem gilt das Ergebnis für den heutigen Stand: Wer die Voraussetzungen später erfüllt, etwa durch Wachstum, eine neue Tätigkeit oder eine geänderte Konzernstruktur, muss sich binnen drei Monaten ab diesem Zeitpunkt registrieren (§ 29 Abs. 3 zweiter Satz).
Werden meine Eingaben gespeichert?
Nein. Der Check läuft vollständig im Browser. Es gibt kein Konto und keine Anmeldung, die Antworten werden an keinen Server übertragen, und das Ergebnisdokument entsteht ebenfalls lokal. Der Check ist kostenlos.
Ersetzt der Check eine rechtliche Prüfung?
Nein. Er ist eine Orientierungshilfe, keine Rechtsberatung und rechtlich nicht bindend. Die größenunabhängige Einstufung nach § 26 erfolgt ausschließlich mit Bescheid der Cybersicherheitsbehörde. TG Advisory ist keine „unabhängige Stelle" und kein „unabhängiger Prüfer" im Sinne des § 7 NISG 2026 und stellt keine Nachweise nach § 33 Abs. 2 und 3 aus. Maßgeblich ist allein der Gesetzestext im Rechtsinformationssystem des Bundes.
Bei der Umsetzung der Anforderungen unterstützt TG Advisory beratend und organisatorisch: Gap-Analyse gegen NIS2 beziehungsweise das NISG 2026, Risikomanagement, Richtlinien, Nachweisfähigkeit und Schulung des Leitungsorgans. Einen Überblick geben die Leistungen.