NISG 2026: Ist mein Unternehmen betroffen? Die Betroffenheitsprüfung in drei Schritten

Am 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft — Österreichs Umsetzung der EU-Richtlinie NIS-2. Rund 4.000 Unternehmen aus 18 Sektoren müssen ab dann verpflichtende Sicherheitsmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle melden und sich bei der Cybersicherheitsbehörde registrieren. Viele davon wissen es noch nicht.

Ob Ihr Unternehmen dazugehört, lässt sich in drei Schritten prüfen. Dieser Beitrag führt durch die Betroffenheitsprüfung, nennt die Fristen und zeigt, was betroffene Unternehmen jetzt tun sollten.

Die Kurzantwort

Betroffen ist, wer beide Voraussetzungen erfüllt: Das Unternehmen ist in einem der 18 Sektoren der Anlagen 1 und 2 des NISG 2026 tätig, und es erreicht mindestens die Größe eines mittleren Unternehmens — ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme. Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz, etwa qualifizierte Vertrauensdiensteanbieter oder DNS-Diensteanbieter. Und auch wer nicht direkt betroffen ist, bekommt das Gesetz häufig über die Lieferkette zu spüren.

Schritt 1: Sind Sie in einem NIS-Sektor tätig?

Das NISG 2026 unterscheidet Sektoren mit hoher Kritikalität (Anlage 1) und sonstige kritische Sektoren (Anlage 2). Zur Anlage 1 gehören unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement und öffentliche Verwaltung.

Die Anlage 2 umfasst unter anderem Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, die Produktion, Verarbeitung und den Vertrieb von Lebensmitteln, das verarbeitende Gewerbe (etwa Medizinprodukte, Maschinenbau, Fahrzeugbau, Elektronik), Anbieter digitaler Dienste wie Online-Marktplätze sowie Forschung. Gerade hier finden sich viele Mittelständler, die sich selbst nicht als „kritische Infrastruktur“ sehen würden.

Maßgeblich ist die konkrete Tätigkeit laut Anlage 1 und 2 des Gesetzes (BGBl. I Nr. 94/2025). Im Zweifel lohnt der Blick in den Gesetzestext — oder eine strukturierte Prüfung.

Schritt 2: Erreichen Sie die Größenschwelle?

Das Gesetz gilt ab der Größe eines mittleren Unternehmens: mindestens 50 Mitarbeiter oder mehr als 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme. Kleinere Unternehmen fallen im Regelfall nicht unter das NISG 2026.

Ein oft übersehener Punkt: Bei der Größenberechnung zählen verbundene Unternehmen mit. Beteiligungen über 50 Prozent werden voll zugerechnet, Partnerunternehmen mit 25 bis 50 Prozent anteilig. Eine 30-Personen-Tochter eines größeren Konzerns kann damit sehr wohl betroffen sein. Keine Zurechnung erfolgt nur bei organisatorischer, operativer und technischer Unabhängigkeit.

Schritt 3: Gilt für Sie ein Sonderfall?

Unabhängig von der Größe betroffen sind unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Registrierungsstellen und DNS-Diensteanbieter. Die Cybersicherheitsbehörde kann Einrichtungen außerdem per Bescheid in den Anwendungsbereich aufnehmen. Und wer bereits als kritische Einrichtung nach der RKE-Richtlinie eingestuft wurde, gilt automatisch als wesentliche Einrichtung nach dem NISG 2026.

Wesentlich oder wichtig — macht das einen Unterschied?

Das Gesetz teilt betroffene Unternehmen in wesentliche und wichtige Einrichtungen. Bei den umzusetzenden Sicherheitsmaßnahmen gibt es keinen Unterschied. Unterschiede bestehen bei Aufsicht und Sanktionen: Wesentliche Einrichtungen werden proaktiv beaufsichtigt und müssen ihre Umsetzung nach Aufforderung nachweisen, wichtige Einrichtungen werden anlassbezogen geprüft. Auch die Strafrahmen unterscheiden sich.

Nicht direkt betroffen? Die Lieferkette kommt trotzdem

Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette gewährleisten — und geben diese Pflicht vertraglich an Dienstleister und Lieferanten weiter. Wer für ein NIS-pflichtiges Unternehmen arbeitet, wird deshalb zunehmend Sicherheitsnachweise vorlegen müssen, auch ohne selbst unter das Gesetz zu fallen. Nachweisbare Basis-Sicherheit, etwa über ein Cyber Trust Austria Label oder eine ISO-27001-Zertifizierung, wird damit zum Wettbewerbsfaktor.

Die Fristen im Überblick

• 1. Oktober 2026: Das NISG 2026 tritt in Kraft. Ab jetzt gelten die Pflichten, insbesondere die Meldepflicht bei erheblichen Sicherheitsvorfällen.
• 31. Dezember 2026: Wesentliche und wichtige Einrichtungen müssen registriert sein (die Form der Registrierung wird noch per Verordnung festgelegt).
• 30. September 2027: Frist für die Selbstdeklaration — die Information an die Cybersicherheitsbehörde über die umgesetzten Risikomanagementmaßnahmen.
• Ab 30. November 2028: Wesentliche Einrichtungen müssen die Umsetzung auf Aufforderung nachweisen können.

Was betroffene Unternehmen jetzt tun sollten

Erstens: Die Betroffenheit sauber prüfen und dokumentieren — auch ein begründetes „nicht betroffen“ ist ein Ergebnis, das Sie gegenüber Kunden und Behörden belegen können.

Zweitens: Den Ist-Stand gegen den Maßnahmenkatalog des Gesetzes erheben. Dazu gehören unter anderem Risikoanalyse, Incident-Handling, Backup- und Notfallmanagement, Lieferkettensicherheit, Schulungen, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Wer bereits ein ISMS nach ISO 27001 betreibt, deckt einen Großteil davon ab.

Drittens: Die Verantwortung klären. Die Leitungsorgane — Geschäftsführung oder Vorstand — sind persönlich für die Einhaltung verantwortlich und müssen an spezifischen Cybersicherheitsschulungen teilnehmen. Das Thema lässt sich nicht vollständig an die IT delegieren.

Unsicher, ob Ihr Unternehmen betroffen ist? Die Betroffenheitsprüfung ist der erste Schritt jedes NIS-2-Projekts — kontaktieren Sie uns gerne für ein kostenloses Strategiegespräch.

Häufige Fragen zum NISG 2026

Gilt das NISG 2026 auch für kleine Unternehmen?

Im Regelfall nein: Unternehmen mit weniger als 50 Mitarbeitern und höchstens 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme fallen nicht direkt unter das Gesetz. Drei Ausnahmen sind zu beachten. Erstens gelten bestimmte Einrichtungen unabhängig von ihrer Größe als betroffen, etwa Vertrauensdiensteanbieter oder DNS-Dienste. Zweitens zählen verbundene Unternehmen bei der Größenberechnung mit — eine kleine Tochtergesellschaft eines Konzerns kann dadurch betroffen sein. Drittens erreichen die Pflichten viele kleine Unternehmen indirekt über die Lieferkette: Betroffene Kunden verlangen vertraglich Sicherheitsmaßnahmen und Nachweise von ihren Dienstleistern und Lieferanten.

Bis wann muss die Registrierung erfolgen?

Wesentliche und wichtige Einrichtungen müssen sich binnen drei Monaten nach Inkrafttreten registrieren, also bis 31. Dezember 2026. In welcher Form die Registrierung erfolgt, legt die Cybersicherheitsbehörde noch per Verordnung fest. Die Registrierung ist keine Formalität, die man aufschieben sollte: Wer die Pflicht verletzt, riskiert Strafen bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro. Binnen zwölf Monaten nach Eintritt der Registrierungspflicht, also bis 30. September 2027, folgt die Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen.

Welche Strafen drohen bei Verstößen?

Für Kernpflichten wie die Umsetzung der Risikomanagementmaßnahmen drohen wesentlichen Einrichtungen Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Konzernjahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Organisatorische Verstöße wie eine unterlassene Registrierung oder fehlende Selbstdeklaration kosten bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro. Dazu kommt die persönliche Verantwortung der Leitungsorgane für Einhaltung und Aufsicht — bei wesentlichen Einrichtungen kann die Aufsicht im Extremfall bis zum Entzug von Genehmigungen gehen.

Zählen Tochter- und Partnerunternehmen bei der Größe mit?

Ja. Bei der Prüfung der Größenschwelle werden Mitarbeiter, Umsatz und Bilanzsumme verbundener Unternehmen hinzugerechnet: Beteiligungen über 50 Prozent vollständig, Partnerunternehmen mit 25 bis 50 Prozent anteilig. Nur wenn ein Unternehmen organisatorisch, operativ und technisch unabhängig ist, unterbleibt die Zurechnung. Für Unternehmensgruppen bedeutet das: Die Betroffenheit jeder einzelnen Gesellschaft muss geprüft werden, und auch formal kleine Gesellschaften können über die Konzernzurechnung in den Anwendungsbereich fallen.

Reicht eine ISO-27001-Zertifizierung für das NISG 2026?

Eine ISO-27001-Zertifizierung deckt einen Großteil der geforderten Risikomanagementmaßnahmen ab und ist die beste strukturelle Grundlage für die NIS-Compliance. Sie ersetzt aber nicht die gesetzlichen Pflichten des NISG 2026: Registrierung, Selbstdeklaration und die Meldung erheblicher Sicherheitsvorfälle bleiben eigenständige Anforderungen. Sinnvoll ist ein integriertes Vorgehen — ein ISMS nach ISO 27001 als Rückgrat, ergänzt um die NIS-spezifischen Prozesse. So entsteht ein System statt zwei paralleler Baustellen.

Bereits zertifiziert und unsicher, ob das reicht? Der Beitrag ISO 27001 und NIS-2: Was eine Zertifizierung wirklich abdeckt – und was nicht zeigt, wo die typischen Lücken liegen.

Quellen: WKO — NISG 2026: neue Pflichten zur Cybersicherheit · NISG 2026, BGBl. I Nr. 94/2025 (RIS) — Stand: August 2026.