NIS2-Registrierungspflicht in Österreich: Wer sich wann und wo melden muss

Worum geht es bei der Registrierungspflicht nach dem NISG 2026?

Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) setzt Österreich die europäische NIS2-Richtlinie um. Das Gesetz wurde am 23.12.2025 kundgemacht (BGBl. I Nr. 94/2025).

Ein zentraler erster Schritt für betroffene Unternehmen ist die Registrierung bei der zuständigen Behörde. Erst wenn eine Einrichtung erfasst und registriert ist, kann die Aufsicht überhaupt greifen – deshalb ist die Registrierungspflicht die praktische Eintrittskarte in das NIS2-Regime.

Das NISG 2026 unterscheidet dabei zwei Kategorien von Einrichtungen:

• wesentliche Einrichtung (§ 24 Abs. 1)
• wichtige Einrichtung (§ 24 Abs. 2)

Beide Kategorien unterliegen Pflichten – der Unterschied liegt vor allem im Umfang der Aufsicht und in der Höhe möglicher Sanktionen.

> Wichtig: Prüfen Sie frühzeitig, ob Ihr Unternehmen überhaupt in den Anwendungsbereich fällt. Genau dabei hilft unser kostenloses Scoping-Tool.

Wer muss sich registrieren?

Ob Ihr Unternehmen betroffen ist, hängt von Sektor und Unternehmensgröße ab. Das NISG 2026 erfasst in § 2 insgesamt 18 Sektoren, darunter:

• Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen
• Gesundheitswesen, Trinkwasser, Abwasser
• Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B)
• Öffentliche Verwaltung, Weltraum, Post- und Kurierdienste
• Abfallbewirtschaftung, Chemie, Lebensmittel
• Verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung

Die genauen Teilsektoren ergeben sich aus den Anlagen 1 und 2 des Gesetzes.

Als wesentliche Einrichtung gelten unter anderem (§ 24 Abs. 1):

• unabhängig von der Größe: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene sowie kritische Einrichtungen nach der Richtlinie (EU) 2022/2557
• Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen (§ 25 Abs. 2) betreiben

Als wichtige Einrichtung gelten unter anderem (§ 24 Abs. 2):

• Einrichtungen der in Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben
• Einrichtungen der öffentlichen Verwaltung auf Landesebene
• unabhängig von der Größe: Anbieter öffentlicher elektronischer Kommunikationsnetze/-dienste und Vertrauensdiensteanbieter

Einige Bereiche sind ausdrücklich ausgenommen (§ 24 Abs. 6), etwa Einrichtungen der nationalen Sicherheit, das Universitäts-, Hochschul- und Schulwesen sowie die Gerichtsbarkeit.

Bei welcher Behörde und über welchen Kanal wird registriert?

Zuständige nationale Behörde ist die Cybersicherheitsbehörde (angesiedelt im Bundesamt für Cybersicherheit, § 3a, § 4 NISG 2026). Sie nimmt unter anderem die Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen wahr (§ 4 Abs. 1 Z 13).

Die Registrierung erfolgt nach § 29 Abs. 3 gegenüber der Cybersicherheitsbehörde. Werden nach der Registrierung Änderungen relevant, sind diese der Behörde gemäß § 29 Abs. 4 im dort vorgegebenen Zeitraum bekanntzugeben.

Daneben bestehen weitere Strukturen im NISG 2026:

• die Zentrale Anlaufstelle (§ 5)
• sektorspezifische CSIRTs und das nationale CSIRT (§ 34) – zuständig etwa für Vorfallsmeldungen
• das Nationale Koordinierungszentrum für Cybersicherheit (§ 6)

Welche Angaben genau übermittelt werden müssen und über welchen konkreten elektronischen Kanal: [TÄPSUSTAB PARTNER-JURIST]. Der genaue elektronische Melde- bzw. Registrierungskanal geht aus dem Gesetzestext nicht eindeutig hervor.

Bis wann muss registriert werden?

Das NISG 2026 knüpft die Registrierungspflicht an die fristgerechte Registrierung gemäß § 29 Abs. 3. Die konkrete Frist innerhalb dieser Bestimmung ergibt sich aus dem Gesetzeswortlaut zu § 29 – der exakte Fristbeginn und die Fristdauer sind hier [TÄPSUSTAB PARTNER-JURIST].

Was jedoch feststeht: Die Pflichten des NISG 2026 treten laut § 51 „nach Ablauf von neun Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten“ in Kraft. Bis zu diesem Zeitpunkt bleibt das bisherige NISG (BGBl. I Nr. 111/2018) anwendbar.

Die Kundmachung erfolgte am 23.12.2025. Unternehmen sollten diese neunmonatige Übergangsfrist nutzen, um ihre Betroffenheit zu klären und die Registrierung vorzubereiten.

Empfehlung: Warten Sie nicht bis zum Inkrafttreten. Die Größen- und Sektorprüfung sowie eine erste Gap-Analyse lassen sich schon jetzt durchführen.

Was passiert bei fehlender oder falscher Registrierung?

Das NISG 2026 verknüpft die Registrierungspflicht ausdrücklich mit Verwaltungsstrafen. Nach § 45 Abs. 4 begeht eine Verwaltungsübertretung, wer sich unter anderem:

• nicht fristgerecht gemäß § 29 Abs. 3 registriert oder im Zuge der Registrierung wissentlich falsche oder unvollständige Angaben übermittelt (§ 45 Abs. 4 Z 1)
• Änderungen gemäß § 29 Abs. 4 nicht im vorgegebenen Zeitraum bekannt gibt (§ 45 Abs. 4 Z 2)

Diese Verstöße können mit einer Geldstrafe von bis zu 50 000 EUR und im Wiederholungsfall bis zu 100 000 EUR geahndet werden (§ 45 Abs. 4).

Zur Einordnung: Für schwerwiegendere Pflichtverletzungen (z. B. fehlende Risikomanagementmaßnahmen oder unterlassene Vorfallsmeldung) sieht das Gesetz deutlich höhere Rahmen vor:

Maßgeblich ist jeweils der höhere Betrag (§ 45 Abs. 2 und 3).