NIS2 in Österreich: Wer fällt unter das NISG 2026?

NIS2 in Österreich: das NISG 2026 im Überblick

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) wird in Österreich durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt. Es wurde am 23.12.2025 kundgemacht (BGBl. I Nr. 94/2025).

Entscheidend für die Praxis: Nach § 51 treten die Verpflichtungen „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten" in Kraft. Bis dahin gilt das bisherige NISG (BGBl. I Nr. 111/2018) weiter.

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (Bundesamt für Cybersicherheit, § 4). Sie übt unter anderem die Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen aus (§ 4 Abs. 1 Z 13).

Wichtig für Geschäftsführer und Vorstände: Wer betroffen ist, muss Risikomanagementmaßnahmen (§ 32) umsetzen und erhebliche Cybersicherheitsvorfälle melden (§ 34). Der erste Schritt ist daher immer die Klärung der Frage: Bin ich überhaupt im Anwendungsbereich?

Die 18 Sektoren des NISG 2026

Das NISG 2026 gilt für Einrichtungen in bestimmten Sektoren. § 2 nennt folgende 18 Sektoren, wobei die genauen Teilsektoren in den Anlagen 1 und 2 des Gesetzes festgelegt sind:

1. Energie 2. Verkehr 3. Bankwesen 4. Finanzmarktinfrastrukturen 5. Gesundheitswesen 6. Trinkwasser 7. Abwasser 8. Digitale Infrastruktur 9. Verwaltung von IKT-Diensten (Business-to-Business) 10. Öffentliche Verwaltung 11. Weltraum 12. Post- und Kurierdienste 13. Abfallbewirtschaftung 14. Produktion, Herstellung und Handel mit chemischen Stoffen 15. Produktion, Verarbeitung und Vertrieb von Lebensmitteln 16. Verarbeitendes Gewerbe und Herstellung von Waren 17. Anbieter digitaler Dienste 18. Forschung

Ob Ihre konkrete Tätigkeit erfasst ist, hängt von der genauen Einordnung in den zugehörigen Teilsektoren nach den Anlagen 1 und 2 ab. Diese Detailzuordnung sollten Sie sorgfältig prüfen.

Wesentliche Einrichtung oder wichtige Einrichtung?

Das NISG 2026 unterscheidet zwei Kategorien: die wesentliche Einrichtung und die wichtige Einrichtung (§ 24). Die Einstufung entscheidet über den Umfang der Aufsicht und die Höhe möglicher Geldstrafen.

Als wesentliche Einrichtung gelten (§ 24 Abs. 1) unter anderem:

• unabhängig von der Unternehmensgröße: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen im Sektor der öffentlichen Verwaltung auf Bundesebene sowie Einrichtungen, die als kritische Einrichtungen gemäß der Richtlinie (EU) 2022/2557 ermittelt wurden;
• Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen gemäß § 25 Abs. 2 betreiben;
• Einrichtungen, die von der Cybersicherheitsbehörde als wesentliche Einrichtung eingestuft wurden (§ 26 Abs. 1 und 2).

Als wichtige Einrichtung gelten (§ 24 Abs. 2) unter anderem:

• Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben;
• Einrichtungen im Sektor der öffentlichen Verwaltung auf Landesebene (§ 24 Abs. 5);
• unabhängig von ihrer Größe: Anbieter öffentlicher elektronischer Kommunikationsnetze bzw. -dienste, Vertrauensdiensteanbieter sowie von der Cybersicherheitsbehörde als wichtig eingestufte Einrichtungen — sofern sie nicht bereits als wesentliche Einrichtung gelten.

Ausnahmen (§ 24 Abs. 6): Einrichtungen mit überwiegendem Bezug zur nationalen Sicherheit, öffentlichen Sicherheit oder Strafverfolgung, das Universitäts-, Hochschul- und Schulwesen, die Gerichtsbarkeit, die Gesetzgebung sowie die Österreichische Nationalbank gelten grundsätzlich nicht als wesentliche oder wichtige Einrichtungen (für Vertrauensdiensteanbieter gilt diese Ausnahme jedoch nicht).

Verhältnis zu DORA: Für Einrichtungen, die in den Anwendungsbereich der Verordnung (EU) 2022/2554 fallen, gehen die einschlägigen Bestimmungen dieser Verordnung vor (§ 24 Abs. 7).

Größenschwellen: großes und mittleres Unternehmen

Die Einstufung knüpft in vielen Fällen an die Unternehmensgröße an. Das NISG 2026 verweist dafür auf § 25:

• Großes Unternehmen gemäß § 25 Abs. 2
• Mittleres Unternehmen gemäß § 25 Abs. 3

Vereinfacht gilt: Betreibt eine Einrichtung der Art nach Anlage 1 ein großes Unternehmen, ist sie in der Regel eine wesentliche Einrichtung. Betreibt eine Einrichtung der Art nach Anlage 1 oder 2 ein großes oder mittleres Unternehmen, ist sie in der Regel eine wichtige Einrichtung.

Die konkreten Schwellenwerte für Mitarbeiterzahl, Umsatz und Bilanzsumme nach § 25 sowie die Regeln zur Zurechnung verbundener Unternehmen sollten Sie im Einzelfall genau prüfen — die genauen Zahlen sind [TÄPSUSTAB PARTNER-JURIST]. Ausschlaggebend bleibt außerdem, ob Ihre Tätigkeit einem Teilsektor der Anlagen 1 oder 2 zuzuordnen ist.

Was folgt aus der Einstufung? Pflichten und Strafen

Sowohl wesentliche als auch wichtige Einrichtungen unterliegen zentralen Pflichten:

• Risikomanagement (§ 32): geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Basis eines gefahrenübergreifenden Ansatzes — von Risikoanalyse über Backup und Krisenmanagement bis zu Lieferkettensicherheit und Multi-Faktor-Authentifizierung.
• Meldepflichten (§ 34): Ein erheblicher Cybersicherheitsvorfall (§ 35) ist unverzüglich zu melden — Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Meldung.

Die Einstufung wirkt sich direkt auf den Strafrahmen aus (§ 45):

Angesichts dieser Beträge lohnt sich eine frühzeitige und sorgfältige Selbstprüfung. Nutzen Sie unser kostenloses Scoping-/Gap-Tool, um Schritt für Schritt festzustellen, ob und als welche Kategorie Sie unter das NISG 2026 fallen.