Kurzantwort: Wesentliche und wichtige Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten des NISG 2026 bei der Cybersicherheitsbehörde registrieren (§ 29 Abs. 3). Das Gesetz tritt am 1. Oktober 2026 in Kraft. Als letzten Tag der Frist nennt die WKO in den gemeinsam mit der NIS-Behörde im Innenministerium erarbeiteten Fragen und Antworten den 31. Dezember 2026. Wer sie versäumt, riskiert eine Geldstrafe von bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.
Wer sich registrieren muss
Die Registrierungspflicht knüpft an zwei Bedingungen an: die Zugehörigkeit zu einem der im Gesetz aufgezählten Sektoren und die Unternehmensgröße. Die Sektoren stehen in den Anlagen 1 und 2 des NISG 2026. Anlage 1 umfasst die Bereiche mit besonders hoher Kritikalität, Anlage 2 weitere kritische Sektoren.
Die Größe regelt § 25. Ein Unternehmen gilt als mittleres Unternehmen, wenn es zumindest 50 Mitarbeiter beschäftigt — oder wenn es einen Jahresumsatz von über zehn Millionen Euro erzielt und die Jahresbilanzsumme über zehn Millionen Euro liegt. Auf diese Verknüpfung kommt es an: Der Umsatz allein genügt nicht, wenn die Bilanzsumme darunter bleibt. Ein Betrieb mit 30 Mitarbeitern, zwölf Millionen Umsatz und sechs Millionen Bilanzsumme überschreitet die Schwelle nach dieser Regel nicht. Als großes Unternehmen gilt, wer zumindest 250 Mitarbeiter beschäftigt oder über 50 Millionen Euro Umsatz bei mehr als 43 Millionen Euro Bilanzsumme erreicht.
Ein Punkt wird dabei regelmäßig übersehen: Nach § 25 Abs. 1 in Verbindung mit der Empfehlung 2003/361/EG fließen die Daten von Partnerunternehmen und verbundenen Unternehmen in die Berechnung ein. Eine Tochtergesellschaft mit 20 Mitarbeitern kann über den Konzernverbund in die Pflicht rutschen, obwohl sie für sich betrachtet klar darunter liegt. Es gibt dazu allerdings eine Ausnahme, die häufig übersehen wird: § 25 Abs. 4 stellt die Zurechnung ab, wenn die Einrichtung in Bezug auf die von ihr genutzten Netz- und Informationssysteme unabhängig ist.
Ob die Zurechnung im konkreten Fall greift, hängt am Aufbau der Gruppe. Wir prüfen das im kostenlosen Erstgespräch.
Wesentlich oder wichtig — drei Wege, nicht einer
Die verbreitete Faustregel „Anlage 1 gleich wesentlich, Anlage 2 gleich wichtig“ ist zu grob. § 24 Abs. 1 kennt drei voneinander unabhängige Wege in die Kategorie „wesentliche Einrichtung“:
| Grundlage | Wen es betrifft | Ab welcher Größe |
|---|---|---|
| § 24 Abs. 1 Z 1 | Qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene sowie Einrichtungen, die als kritisch nach der Richtlinie (EU) 2022/2557 ermittelt wurden | unabhängig von der Unternehmensgröße |
| § 24 Abs. 1 Z 2 | Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher Kommunikationsdienste | bereits als mittleres Unternehmen |
| § 24 Abs. 1 Z 3 | Einrichtungen der in Anlage 1 genannten Art | erst als großes Unternehmen |
Wichtige Einrichtung ist nach § 24 Abs. 2 Z 1, wer aus Anlage 1 oder Anlage 2 stammt und ein großes oder mittleres Unternehmen betreibt — soweit nicht bereits einer der drei Wege oben greift. Dazu kommen zwei Gruppen, die das Gesetz unabhängig von der Größe als wichtige Einrichtung führt (§ 24 Abs. 2 Z 3): Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher Kommunikationsdienste sowie Vertrauensdiensteanbieter, die nicht schon als qualifizierte Anbieter wesentliche Einrichtung sind. Ein Vertrauensdiensteanbieter mit drei Mitarbeitern fällt also ebenfalls unter das Gesetz.
Zwei Konsequenzen daraus. Erstens: Ein DNS-Diensteanbieter mit fünf Mitarbeitern ist wesentliche Einrichtung. Die Größenschwelle gilt für diese Gruppe schlicht nicht, und wer die Betroffenheit nur über Mitarbeiterzahl und Umsatz prüft, übersieht das. Zweitens: Ein mittelgroßes Unternehmen aus einem Anlage-1-Sektor ist in der Regel eine wichtige Einrichtung — ein Telekom-Anbieter derselben Größe aber eine wesentliche, weil Z 2 ihn ausdrücklich erfasst.
Der Unterschied hat Gewicht. Für wesentliche Einrichtungen liegt der Strafrahmen bei bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, für wichtige bei bis zu sieben Millionen oder 1,4 Prozent (§ 45 Abs. 2 und 3). Und nur bei wesentlichen Einrichtungen kann die Behörde Leitungsorganen die Wahrnehmung ihrer Aufgaben vorübergehend untersagen.
Was bei der Registrierung anzugeben ist
§ 29 Abs. 2 listet auf, was elektronisch und über einen sicheren Kommunikationskanal an die Cybersicherheitsbehörde zu übermitteln ist:
- Name der Einrichtung
- Anschrift und aktuelle Kontaktdaten
- Sektor beziehungsweise Sektoren, Teilsektor beziehungsweise Teilsektoren und Art beziehungsweise Arten der Einrichtung gemäß Anlage 1 oder 2
- die EU-Mitgliedstaaten, in denen Dienste erbracht werden
- gegebenenfalls die IP-Adressbereiche
- Anschrift der Hauptniederlassung und weiterer Niederlassungen in der EU
- Angaben zu den Schwellenwerten nach § 25 und dazu, ob es sich um eine wesentliche oder wichtige Einrichtung handelt
Punkt 3 ist in der Praxis der schwierigste. Sektor, Teilsektor und Einrichtungsart sind drei Ebenen derselben Zuordnung, von grob nach fein — und das Gesetz verlangt ausdrücklich die Mehrzahl, weil eine Einrichtung in mehrere Kategorien fallen kann. Genau dort wird es bei Mischbetrieben unübersichtlich: Ein Produktionsbetrieb, der zusätzlich Logistik für Dritte übernimmt, oder ein Handelsunternehmen mit eigenem Rechenzentrum kann in mehreren Anlagen auftauchen. Welche Sparte die maßgebliche ist, lässt sich nicht immer aus dem Gesetzestext ableiten. Für diese Einordnung lohnt sich eine externe Prüfung, in strittigen Konstellationen eine anwaltliche.
Zusätzlich verlangt § 29 Abs. 6 eine benannte Kontaktstelle für den Austausch von Cybersicherheitsinformationen — mindestens eine Telefonnummer und eine E-Mail-Adresse. Und § 29 Abs. 4 setzt für Änderungen harte Fristen: Name, Anschrift, Kontaktdaten, Sektor und Einrichtungsart sowie die Mitgliedstaaten der Diensteerbringung sind ehestmöglich, jedenfalls binnen zwei Wochen nachzumelden; die übrigen Angaben binnen drei Monaten. Die Registrierung ist damit kein einmaliger Akt, sondern ein Datensatz, der gepflegt werden muss.
Wo registriert wird
Der Gesetzestext selbst nennt nur den elektronischen Weg über einen sicheren Kommunikationskanal. Konkreter wird die Wirtschaftskammer: Nach ihrer Auskunft zum Zeitpunkt der Veröffentlichung dieses Beitrags erfolgt die Registrierung über ein bereitgestelltes elektronisches Formular, das über das Unternehmensserviceportal (USP) beziehungsweise über den Portalverbund erreichbar sein wird.
Für die Vorbereitung heißt das vor allem eines: Der USP-Zugang und die Berechtigungen sollten stehen, bevor die Frist läuft. Wer im Dezember erst klärt, wer im Unternehmen überhaupt USP-Vertretungsbefugnis hat, verliert Zeit an einer Stelle, an der es keine geben müsste. Das Formular selbst war zum Zeitpunkt der Veröffentlichung dieses Beitrags noch nicht online.
Warum die Registrierung nicht der erste Schritt ist
Ein verbreitetes Missverständnis: Die Pflichten des NISG 2026 entstünden durch die Registrierung. Das ist nicht so. Sie entstehen kraft Gesetzes — durch Sektor und Größe. Die Registrierung meldet eine Betroffenheit, die ohnehin besteht. Wer betroffen ist und sich nicht registriert, hat sämtliche Pflichten trotzdem und zusätzlich eine Verwaltungsübertretung.
Umgekehrt gilt aber auch: Eine Registrierung auf Verdacht ist kein harmloses Sicherheitsnetz. Sie erzeugt Behördenkontakt, laufende Nachmeldepflichten und in der Folge die Selbstdeklaration — für ein Unternehmen, das möglicherweise gar nicht in den Anwendungsbereich fällt. Wo die Zuordnung unklar ist, ist die saubere Prüfung vor der Registrierung die günstigere Variante, nicht die aufwendigere.
Die Fristen danach — und warum sie kein Puffer sind
Nach der Registrierung folgt die Selbstdeklaration. Nach § 33 Abs. 1 sind innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht Informationen über die umgesetzten Risikomanagementmaßnahmen zu übermitteln, insbesondere zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferketten und zu den Ergebnissen der durchgeführten Risikoanalyse.
Das liest sich nach viel Zeit. Ist es nicht. Die Risikomanagementmaßnahmen nach § 32 gelten ab dem Tag des Inkrafttretens, also ab dem 1. Oktober 2026. Die Selbstdeklaration ist eine Erklärung über etwas, das bereits läuft — kein Zeitraum, um es aufzubauen. Wer im Sommer 2027 mit der Risikoanalyse beginnt, hat im September 2027 nichts zu deklarieren.
Dasselbe gilt für die Governance-Pflichten. § 31 verpflichtet die Leitungsorgane, die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen, und schreibt die Teilnahme an speziell für Leitungsorgane gestalteten Cybersicherheitsschulungen vor. Auch das gilt ab dem ersten Tag. Wie die Meldepflichten im Ernstfall ablaufen, steht im Beitrag zur NIS-2-Meldepflicht.
Unabhängig von der Rechtspflicht bleibt der sachliche Kern: Ein Unternehmen, dessen Betrieb an digitalen Systemen hängt, sollte wissen, welche dieser Systeme es wie lange entbehren kann und was ein Ausfall kostet. Diese Frage beantwortet eine Risikoanalyse — und sie ist auch dann sinnvoll, wenn das NISG 2026 gar nicht greift. Für den Einstieg genügt eine einfache Analyse; sie liefert die Grundlage, auf der alles Weitere aufbaut — bis hin zum Aufbau eines ISMS.
Was passiert, wenn die Frist verstreicht
§ 45 Abs. 4 Z 1 erfasst ausdrücklich, wer sich nicht fristgerecht nach § 29 Abs. 3 registriert oder im Zuge der Registrierung wissentlich falsche oder unvollständige Angaben übermittelt. Der Strafrahmen liegt bei bis zu 50.000 Euro, im Wiederholungsfall bei bis zu 100.000 Euro. Dieselbe Bestimmung erfasst auch, wer Änderungen nicht rechtzeitig bekannt gibt oder die Selbstdeklaration versäumt.
Daneben steht ein Instrument, das in der öffentlichen Diskussion kaum vorkommt: Kommt eine wesentliche Einrichtung einem Bescheid der Cybersicherheitsbehörde nicht fristgerecht nach, kann die Behörde den Leitungsorganen dieser Einrichtung — einschließlich ihrer rechtlichen Vertreter — mit Bescheid vorübergehend untersagen, Leitungsaufgaben wahrzunehmen. Dieser Bescheid wird dem Firmenbuchgericht zur Eintragung übermittelt. Aufgehoben wird die Untersagung, sobald die angeordneten Maßnahmen nachweislich ergriffen wurden.
Diese Möglichkeit gilt nur für wesentliche Einrichtungen und setzt einen vorangegangenen Bescheid voraus. Sie ist damit kein Regelfall. Sie zeigt aber, welches Gewicht der Gesetzgeber der Aufsichtspflicht der Geschäftsführung beimisst.
Rechtslage und Verwaltungspraxis zum NISG 2026 entwickelten sich zum Zeitpunkt der Veröffentlichung dieses Beitrags noch laufend weiter; insbesondere zum Registrierungsverfahren waren weitere Konkretisierungen der Behörde zu erwarten.
Häufige Fragen
Muss sich jede Gesellschaft eines Konzerns einzeln registrieren?
Registrierungspflichtig ist die einzelne Einrichtung, nicht der Konzern. Für die Größenermittlung werden nach § 25 Abs. 4 allerdings die Daten von Partnerunternehmen und verbundenen Unternehmen einbezogen. Eine kleine Tochtergesellschaft kann dadurch selbst registrierungspflichtig werden, obwohl ihre eigenen Kennzahlen deutlich unter der Schwelle liegen.
Was gilt für Unternehmen, die erst später betroffen werden?
Wer die Voraussetzungen erst nach dem 1. Oktober 2026 erfüllt — etwa durch Wachstum über die Größenschwelle oder durch ein neues Geschäftsfeld —, muss sich ehestmöglich registrieren, jedenfalls aber innerhalb von drei Monaten ab dem Zeitpunkt, zu dem die Voraussetzungen erfüllt sind (§ 29 Abs. 3).
Was ist eine Einrichtungsart?
Die feinste der drei Zuordnungsebenen. Der Sektor beschreibt das Feld, der Teilsektor den Bereich darin, die Einrichtungsart die konkrete Funktion, die ein Unternehmen in diesem Bereich ausübt. Die zulässigen Bezeichnungen ergeben sich aus den Anlagen 1 und 2 des NISG 2026 und sind nicht frei wählbar.
Ändert sich die Einstufung, wenn das Unternehmen wächst?
Ja. Wächst eine wichtige Einrichtung aus Anlage 1 vom mittleren zum großen Unternehmen, wird sie zur wesentlichen Einrichtung — mit strengerem Aufsichtsregime und höherem Strafrahmen. Solche Änderungen der Angaben sind nach § 29 Abs. 4 der Cybersicherheitsbehörde bekannt zu geben.
Genügt die Registrierung, um die Anforderungen zu erfüllen?
Nein. Die Registrierung ist eine Meldepflicht und sagt nichts über das Sicherheitsniveau aus. Die inhaltlichen Anforderungen stehen in § 32 und gelten ab dem 1. Oktober 2026 unabhängig davon, ob die Registrierung erfolgt ist.
