NIS2 in Österreich: Das NISG 2026 gilt ab 1. Oktober 2026.

Über die Betroffenheit entscheiden im Regelfall zwei Fragen, und beide beantwortet das Gesetz selbst: Gehört Ihre Einrichtung zu einer der in den Anlagen 1 und 2 genannten Arten? Und erreicht sie die Größe eines mittleren oder großen Unternehmens? Zweimal Nein heißt im Regelfall: nicht betroffen. Einige Arten von Einrichtungen sind aber unabhängig von ihrer Größe erfasst — und wer Domänennamen-Registrierungsdienste erbringt, muss sich registrieren, ohne überhaupt in den Anlagen zu stehen (§ 24 Abs. 1 und 2, § 29 Abs. 1).

Diese Seite fasst zusammen, was im kundgemachten Gesetzestext steht, mit Paragraf und Quelle zu jeder Aussage. Sie ersetzt keine Rechtsberatung und keine Prüfung des Einzelfalls.

Die Daten, die zählen

Österreich hat eigene Begriffe. Es gibt kein BSI und keine „Betreiber kritischer Anlagen“ wie im deutschen Recht, sondern das Bundesamt für Cybersicherheit sowie wesentliche und wichtige Einrichtungen. Wer deutsche Vorlagen ungeprüft übernimmt, redet an der Rechtslage vorbei.

Zuerst die Entwarnung: Die meisten Unternehmen sind nicht betroffen

Das Gesetz gilt nicht für die Wirtschaft insgesamt. Es trifft Einrichtungen, bei denen beide Voraussetzungen zusammenkommen — die Art der Tätigkeit und die Unternehmensgröße. Ein Handwerksbetrieb mit 80 Beschäftigten ist groß genug, gehört aber keiner der aufgezählten Arten an: nicht betroffen. Ein Cloud-Anbieter mit zwölf Beschäftigten gehört zur richtigen Art, ist aber zu klein: ebenfalls nicht betroffen.

Frage 1: Gehört die Einrichtung zu einer Art nach Anlage 1 oder 2?

Die Anlagen zählen 18 Sektoren auf — elf mit hoher Kritikalität in Anlage 1, sieben sonstige kritische Sektoren in Anlage 2 — und beschreiben je Sektor genau, welche Art von Einrichtung gemeint ist. Diese Beschreibung ist der eigentliche Test, nicht der Sektorname.

Die Sektorbezeichnung allein sagt wenig. „Verarbeitendes Gewerbe“ etwa meint nicht jeden Produktionsbetrieb, sondern die in der Anlage genannten NACE-Abteilungen 26 bis 30 — Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektronische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile sowie sonstiger Fahrzeugbau — sowie Hersteller von Medizinprodukten und In-vitro-Diagnostika. „Forschung“ meint Einrichtungen, deren primäres Ziel die kommerzielle Verwertung angewandter Forschung ist, und schließt Bildungseinrichtungen ausdrücklich aus. Vor jeder Aussage über die eigene Betroffenheit gehört deshalb die Anlage selbst gelesen, nicht die Überschrift.

Frage 2: Erreicht die Einrichtung die Größe?

Die Einstufung richtet sich nach Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme und erfolgt nach § 25 Abs. 1 unter Anwendung der Art. 1 bis 6 des Anhangs der EU-Empfehlung 2003/361/EG, mit Ausnahme des Art. 3 Abs. 4. Anders als mancherorts zu lesen, nennt das Gesetz die Zahlen selbst — in § 25:

Auf die Konjunktionen kommt es an: Die Mitarbeiterzahl allein genügt, die Geldgrößen wirken nur gemeinsam. Wer 40 Beschäftigte hat und 12 Mio. € umsetzt, aber eine Bilanzsumme von 6 Mio. € ausweist, erreicht die Schwelle nicht.

Drei Regeln aus dem Anhang der Empfehlung, auf den § 25 Abs. 1 verweist, entscheiden in der Praxis öfter als die Zahlen selbst:

• Ein Jahr über der Schwelle genügt nicht. Der Status ändert sich erst, wenn die Werte in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten werden (Art. 4 Abs. 2 des Anhangs). Ein einmaliger Ausreißer nach oben macht Sie also noch nicht zur erfassten Einrichtung — und ein einmaliger Rückgang befreit Sie nicht.
• Gezählt werden Jahresarbeitseinheiten, nicht Köpfe. Teilzeit und Saisonarbeit gehen anteilig ein; Auszubildende zählen nicht mit, und die Dauer von Mutterschutz und Elternzeit wird nicht mitgerechnet (Art. 5 des Anhangs). Wer knapp über 50 liegt, sollte das nachrechnen, bevor er sich für erfasst hält.
• Öffentliche Beteiligung schadet hier nicht. Nach Art. 3 Abs. 4 des Anhangs gilt ein Unternehmen mit 25 % oder mehr öffentlicher Beteiligung sonst nicht als KMU — genau diese Bestimmung nimmt § 25 Abs. 1 ausdrücklich aus. Für kommunale Betriebe zählen also die Zahlen, nicht der Eigentümer.

Eine Besonderheit steht in § 25 Abs. 4: Die Daten von Partner- und verbundenen Unternehmen werden nicht hinzugerechnet, wenn die Einrichtung bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig von diesen Unternehmen ist. Das ist mehr wert, als es klingt — ohne diese Ausnahme würden nach Art. 6 des Anhangs die Daten von Partnerunternehmen anteilig und die verbundener Unternehmen zu 100 % hinzugerechnet. Für Tochtergesellschaften mit eigener IT kann dieser Absatz allein über die Betroffenheit entscheiden.

Und daraus folgt die Einstufung

Unabhängig von der Größe gelten unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter und Einrichtungen der Bundesverwaltung als wesentliche Einrichtungen; Anbieter öffentlicher Kommunikationsnetze und -dienste sowie Vertrauensdiensteanbieter zumindest als wichtige (§ 24 Abs. 1 und 2). Und unabhängig von den Anlagen trifft die Registrierungspflicht des § 29 auch Einrichtungen, die Domänennamen-Registrierungsdienste erbringen (§ 29 Abs. 1 und 2).

Was betroffene Einrichtungen tun müssen

Registrieren (§ 29). Zu übermitteln sind unter anderem Name und Anschrift, aktuelle Kontaktdaten, Sektor, Teilsektor und Art der Einrichtung nach Anlage 1 oder 2, die Mitgliedstaaten, in denen Dienste erbracht werden, gegebenenfalls die IP-Adressbereiche — und ausdrücklich Angaben zu den Schwellenwerten des § 25 samt der Einstufung als wesentlich oder wichtig. Wer sich registriert, legt seine Betroffenheitsprüfung also offen; sie sollte belegbar sein.

Risiken managen (§ 32). Verlangt sind geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht, gemessen am Stand der Technik und am tatsächlichen Risiko. Der Katalog in Abs. 4 nennt ausdrücklich auch „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“ (lit. g) — Schulung ist hier also nicht nur eine Pflicht der Leitung nach § 31, sondern zugleich eine Risikomanagementmaßnahme. Ein bestimmtes Produkt und eine bestimmte Zertifizierung schreibt das Gesetz selbst nicht vor. Die Cybersicherheitsbehörde kann eine Einrichtung aber nach § 40 dazu verpflichten, zum Nachweis einzelner Anforderungen des § 32 IKT-Produkte, -Dienste oder -Prozesse zu verwenden, die nach einem europäischen Schema gemäß Art. 49 der Verordnung (EU) 2019/881 zertifiziert sind.

Wirksamkeit nachweisen (§ 33). Das ist die einzige förmliche Nachweispflicht des Gesetzes — und sie hat ein Datum. Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht ist der Cybersicherheitsbehörde eine Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen zu übermitteln (Abs. 1). Auf Aufforderung tritt eine Prüfung durch eine unabhängige Stelle hinzu: die Umsetzung ist binnen zwei Jahren nachzuweisen, wesentliche Einrichtungen haben die operative und organisatorische Umsetzung abweichend davon binnen zwei Monaten nachzuweisen; dieser Nachweis ist auch durch gültige Zertifikate möglich (Abs. 2). Die erste Aufforderung kann frühestens zwei Jahre nach Inkrafttreten ergehen. Die Kosten der Prüfung trägt die geprüfte Einrichtung (Abs. 4). Verstöße gegen § 33 — verspätete Selbstdeklaration, falsche Angaben darin, verspäteter Prüfbericht — sind nach § 45 Abs. 4 gesondert strafbewehrt.

Vorfälle melden (§ 34). Gemeldet wird nicht beim Bundesamt, sondern beim für die Einrichtung zuständigen sektorspezifischen CSIRT — gibt es keines, beim nationalen CSIRT; das CSIRT leitet die Meldung an die Cybersicherheitsbehörde weiter (§ 34 Abs. 1). Dann gilt: 24 Stunden Frühwarnung, 72 Stunden Meldung mit erster Bewertung, Zwischenbericht auf Ersuchen, Abschlussbericht binnen eines Monats. Beeinträchtigt der Vorfall die Dienste, sind zusätzlich die Empfänger dieser Dienste unverzüglich zu unterrichten (§ 34 Abs. 3). Die 24- und die 72-Stunden-Frist laufen ab Kenntnisnahme des Vorfalls — nicht ab dem Zeitpunkt, zu dem die Ursache geklärt ist. Die Monatsfrist für den Abschlussbericht läuft dagegen ab der Übermittlung der 72-Stunden-Meldung.

Strafen (§ 45). Wesentliche Einrichtungen bis zu 10 Mio. € oder 2 %, wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % — jeweils vom gesamten weltweiten Umsatz, den das Unternehmen, dem die Einrichtung angehört, im vorangegangenen Geschäftsjahr getätigt hat. Es zählt also der Konzernumsatz, nicht der der Einrichtung. Anders als in der EU-KI-Verordnung (EU AI Act), wo für KMU einschließlich Start-ups der jeweils niedrigere Betrag gilt (Art. 99 Abs. 6), ist hier ausdrücklich der höhere Betrag maßgeblich.

§ 31: Die Schulungspflicht steht ausdrücklich im Gesetz

Für die Geschäftsleitung ist dies die Bestimmung mit den unmittelbarsten Folgen, weil sie sie persönlich adressiert:

Zwei Pflichten in zwei Sätzen: Die Leitungsorgane müssen selbst teilnehmen — an einer eigens für sie gestalteten Schulung, nicht an der allgemeinen Mitarbeiterunterweisung. Und die Einrichtung muss ihren Mitarbeitern regelmäßig Schulungen anbieten. Nach § 31 Abs. 1 haben die Leitungsorgane zudem die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen.

Was das Gesetz nicht sagt, ist ebenso wichtig: keine Dauer, keine Häufigkeit, keine vorgeschriebenen Inhalte, keine Zertifizierung, kein anerkannter Anbieter. Das ist Chance und Risiko zugleich. Es gibt keinen Inhaltsstandard, an dem man scheitern kann — aber auch keinen, auf den man sich berufen kann. Was es sehr wohl gibt, ist ein Strafrahmen: Nach § 45 Abs. 1 Z 1 und 2 begeht eine Verwaltungsübertretung, wer die Schulung der Leitungsorgane oder das Schulungsangebot an die Mitarbeiter nicht vorsieht. Womit man im Anlassfall dasteht, ist die eigene Dokumentation: wer wann woran teilgenommen hat, mit welchem Inhalt, und wer das angeordnet hat.

Ein Vorbehalt, der zum heutigen Stand gehört: Für die Teilnahmepflicht der Leitungsorgane nach § 31 sieht das Gesetz keine Verordnungsermächtigung vor. Für Schulungen als Teil des Risikomanagements ist die Cybersicherheitsbehörde dagegen nach § 32 Abs. 5 ausdrücklich ermächtigt, nähere Anforderungen mit Verordnung festzulegen. Eine solche Verordnung gibt es bislang nicht — sie kann aber kommen, und dann gelten deren Vorgaben. Wer heute dokumentiert, hat es dann leichter, nicht schwerer.

NISG 2026 und EU-KI-Verordnung sind zwei verschiedene Gesetze

Beide verlangen Schulung. Beim NISG ist der Nachweis sogar ausdrücklich geregelt: Schulungen zählen nach § 32 Abs. 4 lit. g zu den Risikomanagementmaßnahmen, und über deren Umsetzung ist nach § 33 Abs. 1 eine Selbstdeklaration abzugeben. Die KI-Verordnung kennt keine solche Nachweispflicht — wohl aber Aufsichtsbehörden und Geschäftskunden, die im Anlassfall fragen. Verwechseln sollte man die beiden Regelwerke trotzdem nicht: Sie haben unterschiedliche Anwendungsbereiche, und keines ersetzt das andere.

Wer in einem der 18 Sektoren arbeitet und KI einsetzt, hat also beide Pflichten. Für das NISG ist der Nachweis vorgeschrieben; für die KI-Verordnung ist er das Einzige, womit sich im Anlassfall belegen lässt, dass man etwas getan hat. In beiden Fällen sollte er vorliegen, bevor jemand danach fragt.

Was sich in den nächsten Wochen ohne fremde Hilfe erledigen lässt

1. Die Anlage lesen, nicht die Überschrift. Prüfen Sie die Beschreibung der Art der Einrichtung in Anlage 1 oder 2 gegen Ihre tatsächliche Tätigkeit — und halten Sie das Ergebnis schriftlich fest, mitsamt Begründung. Auch ein „nicht betroffen“ ist ein Prüfergebnis, das man später zeigen können sollte.
2. Die Größe berechnen. Jahresarbeitseinheiten statt Köpfe, ohne Auszubildende, Umsatz und Bilanzsumme aus dem letzten Rechnungsabschluss — und die Werte der beiden letzten Geschäftsjahre nebeneinanderlegen, weil der Status erst nach zwei Jahren über oder unter der Schwelle kippt. Dazu die Frage nach der Unabhängigkeit von Partner- und verbundenen Unternehmen nach § 25 Abs. 4.
3. Verantwortung benennen. Wer meldet binnen 24 Stunden an welches CSIRT, wenn der Vorfall an einem Freitagabend auffällt? Ohne benannte Person, Vertretung und hinterlegten Meldeweg ist die Frist nicht zu halten.
4. Die Schulung terminieren. Die Teilnahme der Leitungsorgane ist keine Delegationsaufgabe. Ein Termin im Kalender ist mehr wert als ein Konzept ohne Datum.
5. Nachweise dort sammeln, wo sie anfallen. Teilnahmen, Regeln, Zuständigkeiten. Der Aufwand entsteht nicht beim Schulen, sondern beim späteren Zusammensuchen.

Häufige Fragen

Ab wann gilt das NISG 2026?

Ab 1. Oktober 2026. Das Gesetz wurde am 23. Dezember 2025 als BGBl. I Nr. 94/2025 kundgemacht; nach § 51 treten die maßgeblichen Bestimmungen neun Monate nach der Kundmachung mit dem nächstfolgenden Monatsersten in Kraft.

Ab welcher Größe ist ein Unternehmen betroffen?

Als mittleres Unternehmen gilt nach § 25 Abs. 3, wer zumindest 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von über zehn Millionen Euro erzielt und zugleich eine Jahresbilanzsumme von über zehn Millionen Euro hat, sofern sie nicht bereits als großes Unternehmen gilt. Als großes Unternehmen gilt nach § 25 Abs. 2, wer zumindest 250 Mitarbeiter beschäftigt oder über 50 Millionen Euro Jahresumsatz erzielt und zugleich eine Bilanzsumme über 43 Millionen Euro hat. Die Größe allein genügt aber nicht: Die Einrichtung muss zusätzlich einer in Anlage 1 oder 2 genannten Art angehören. Der Status ändert sich zudem erst, wenn die Werte in zwei aufeinanderfolgenden Geschäftsjahren über- oder unterschritten werden (Art. 4 Abs. 2 des Anhangs der Empfehlung 2003/361/EG, auf die § 25 Abs. 1 verweist).

Bis wann muss man sich registrieren?

Das Gesetz sagt: innerhalb von drei Monaten ab Inkrafttreten (§ 29 Abs. 3). Bei einem Inkrafttreten am 1. Oktober 2026 liegt das Fristende am Jahreswechsel; wer bis Ende Dezember 2026 registriert ist, ist in jedem Fall rechtzeitig. Die Registrierung erfolgt beim Bundesamt für Cybersicherheit. Wer erst später betroffen wird, hat sich ehestmöglich zu registrieren, in jedem Fall aber innerhalb von drei Monaten ab Erfüllung der Voraussetzungen.

Schreibt das NISG 2026 Cybersicherheitsschulungen vor?

Ja, an zwei Stellen. Nach § 31 Abs. 2 müssen Leitungsorgane wesentlicher und wichtiger Einrichtungen an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen, und die Einrichtungen haben ihren Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. Zusätzlich nennt der Katalog der Risikomanagementmaßnahmen in § 32 Abs. 4 lit. g ausdrücklich Schulungen im Bereich der Cybersicherheit. Dauer, Häufigkeit, Inhalte oder eine Zertifizierung schreibt das Gesetz nicht vor; für die Risikomanagementmaßnahmen kann die Cybersicherheitsbehörde nach § 32 Abs. 5 nähere Anforderungen mit Verordnung festlegen.

Welche Meldefristen gelten bei einem Cybersicherheitsvorfall?

Gemeldet wird an das für die Einrichtung zuständige sektorspezifische CSIRT, sonst an das nationale CSIRT (§ 34 Abs. 1) — nicht an die Cybersicherheitsbehörde. Nach § 34 Abs. 2 gilt: Frühwarnung unverzüglich, jedenfalls binnen 24 Stunden nach Kenntnisnahme; Meldung mit erster Bewertung binnen 72 Stunden; Zwischenbericht auf Ersuchen; Abschlussbericht spätestens einen Monat nach der Meldung. Dauert der Vorfall noch an, tritt zunächst ein Fortschrittsbericht an die Stelle des Abschlussberichts.

Ist das NISG 2026 dasselbe wie die EU-KI-Verordnung?

Nein. Das NISG 2026 setzt die NIS2-Richtlinie um und betrifft die Cybersicherheit in bestimmten Sektoren. Die EU-KI-Verordnung betrifft den Einsatz von KI-Systemen und gilt unabhängig von Sektor und Größe. Beide Regelwerke verlangen Schulung und Nachweis, aber es sind zwei getrennte Pflichten.