Kurzantwort: Für Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher Kommunikationsdienste gilt im NISG 2026 keine Größenschwelle. Sie sind unabhängig von Mitarbeiterzahl, Umsatz und Bilanzsumme erfasst. Wer zusätzlich die Größe eines mittleren Unternehmens erreicht, rückt in die strengere Kategorie auf. Ob ein Anbieter eigene Netztechnik betreibt oder Leistungen nur weiterverkauft, spielt dafür keine Rolle.
Am 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz 2026 in Kraft. Für die meisten Branchen lautet die erste Frage, ob das Unternehmen groß genug ist, um erfasst zu sein. Für Telekommunikationsanbieter stellt sich diese Frage nicht.
Warum die Größe hier keine Rolle spielt
Das Gesetz teilt betroffene Unternehmen in wesentliche und wichtige Einrichtungen. § 24 Abs. 2 Z 3 lit. a NISG 2026 zählt zu den wichtigen Einrichtungen „unabhängig von ihrer Größe … Anbieter von öffentlichen elektronischen Kommunikationsnetzen oder von öffentlich zugänglichen Kommunikationsdiensten“. Ein Anbieter mit zwei Beschäftigten steht damit im selben Anwendungsbereich wie ein Konzern.
Eine Stufe darüber greift § 24 Abs. 1 Z 2 NISG 2026: Wer ein mittleres Unternehmen betreibt und Anbieter solcher Netze oder Dienste ist, gilt als wesentliche Einrichtung. Mittleres Unternehmen heißt nach § 25 Abs. 3 NISG 2026: mindestens 50 Mitarbeiter, oder über 10 Millionen Euro Jahresumsatz und zugleich über 10 Millionen Euro Bilanzsumme. In anderen Sektoren führt diese Größe nur zur wichtigen Einrichtung; für Telekommunikation zieht das Gesetz die Grenze eine Klasse tiefer.
| Ausgangslage | Einstufung nach NISG 2026 |
|---|---|
| Anbieter unterhalb der Schwelle für mittlere Unternehmen | wichtige Einrichtung (§ 24 Abs. 2 Z 3 lit. a) |
| Anbieter, der ein mittleres Unternehmen betreibt | wesentliche Einrichtung (§ 24 Abs. 1 Z 2) |
Folgendes ist wichtig zu beachten: Bei der Größenermittlung zählen Partner- und verbundene Unternehmen grundsätzlich mit. Nicht zugerechnet wird nur dann, wenn die Einrichtung bei den Netz- und Informationssystemen, die sie für ihre Dienste nutzt, organisatorisch, technisch und operativ von diesen Unternehmen unabhängig ist (§ 25 Abs. 4 NISG 2026). Ein praktisches Beispiel dafür sind Stadtwerke, Landesenergieversorger und E-Werke, die ihr Glasfasernetz ursprünglich für die eigene Netzsteuerung errichtet haben und heute Internet oder Telefonie mitverkaufen. Erfasst ist dabei die Einheit, die den Dienst anbietet, nicht der Konzern als Ganzes. Ob diese Einheit unterhalb der Schwelle bleibt oder über die Konzernzahlen zur wesentlichen Einrichtung wird, entscheidet die Prüfung dieser Unabhängigkeit.
Wie die Prüfung in anderen Sektoren abläuft, in denen die Größe entscheidet, zeigt der Beitrag zur NISG-2026-Betroffenheitsprüfung.
Auch ohne eigene Netztechnik: Wer den Dienst anbietet, ist Anbieter
Viele Telefonie-Anbieter mieten SIP-Trunks bei einem Carrier und verkaufen die Telefonie unter eigenem Namen an ihre Kunden weiter. Die Frage, ob das genügt, um erfasst zu sein, beantwortet das Telekommunikationsgesetz über zwei getrennte Begriffe. Nach § 4 Z 25 TKG 2021 ist „Betreiber“ ein Unternehmen, das ein öffentliches Kommunikationsnetz oder eine zugehörige Einrichtung betreibt oder zum Betrieb hiervon befugt ist. Nach § 4 Z 36 TKG 2021 ist „Anbieter“ ein Unternehmen, das einen Kommunikationsdienst öffentlich anbietet. Die Hardware entscheidet über die erste Rolle, nicht über die zweite.
Das NISG 2026 knüpft in § 24 Abs. 2 Z 3 lit. a an beide Rollen an: Anbieter von Netzen oder von Diensten. Wer Telefonie im eigenen Namen, mit eigenem Vertrag und eigener Rechnung an Endkunden anbietet, ist Anbieter eines öffentlich zugänglichen Kommunikationsdienstes, unabhängig davon, wessen Technik darunter läuft. Dasselbe Prinzip gilt für die Anzeigepflicht: § 6 Abs. 1 TKG 2021 verlangt die Anzeige an die Regulierungsbehörde für „die beabsichtigte Bereitstellung eines öffentlichen Kommunikationsnetzes oder das Anbieten eines öffentlichen Kommunikationsdienstes“. Anders liegt der Fall, wenn ein Unternehmen Kunden nur an einen Carrier vermittelt und der Vertrag zwischen Kunde und Carrier zustande kommt.
Ob eine konkrete Konstellation die Anbieterrolle begründet, ist im Zweifel eine rechtliche Einzelfallfrage und gehört zu einer Rechtsanwaltskanzlei.
Am 1. Oktober wechselt der Maßstab
Bisher stand die Sicherheitspflicht der Branche im Telekommunikationsgesetz. § 44 Abs. 1 TKG 2021 verlangt in der Fassung, die zum Zeitpunkt der Veröffentlichung dieses Beitrags gilt, dass Betreiber und Anbieter „durch technische und organisatorische Maßnahmen ein Sicherheitsniveau zu gewährleisten“ haben, das die Risiken angemessen beherrscht. Die Regulierungsbehörde kann danach Maßnahmen vorschreiben und bei Gefahr in Verzug sofort anordnen.
Mit dem 1. Oktober 2026 ändert sich dieser Absatz grundlegend. Er lautet dann: „Betreiber und Anbieter haben nach Maßgabe anderer Rechtsvorschriften Maßnahmen für Cybersicherheit zu ergreifen.“ Was folgt, ist eine Verordnungsermächtigung für den Fall, dass diese anderen Vorschriften nicht ausreichen. Welche Vorschriften gemeint sind, sagt der Absatz nicht. Die Sicherheitspflichten für Anbieter öffentlicher Kommunikationsnetze und -dienste stehen ab diesem Tag jedoch im NISG 2026, das am selben Tag in Kraft tritt. Mit Ablauf des 30. September 2026 treten auch die bisherige Netz- und Informationssystemsicherheitsverordnung und die Verordnung über qualifizierte Stellen außer Kraft.
Für Telekommunikationsanbieter bedeutet das einen Wechsel des Maßstabs und des Ansprechpartners. Während das Telekommunikationsgesetz bisher allgemein technische und organisatorische Maßnahmen verlangt, zählt das NISG 2026 die Pflichtinhalte einzeln auf. Register, Selbstdeklaration und Nachweis laufen bei der Cybersicherheitsbehörde.
Der Datenschutzteil des Telekommunikationsgesetzes bleibt davon unberührt. § 163 Abs. 3 Z 3 TKG 2021 verlangt weiterhin die Umsetzung eines Sicherheitskonzepts für die Verarbeitung personenbezogener Daten. Und § 164 TKG 2021 verpflichtet Betreiber öffentlicher Kommunikationsdienste, eine Verletzung des Schutzes personenbezogener Daten oder der nicht öffentlich zugänglichen Daten einer juristischen Person unverzüglich der Datenschutzbehörde zu melden. Diese Pflicht besteht ausdrücklich „unbeschadet des § 44“ und läuft unabhängig weiter.
Wann ein Vorfall „erheblich“ ist, definiert § 35 Abs. 1 NISG 2026. Erheblich ist er, wenn er schwerwiegende Betriebsstörungen der erbrachten Dienste oder schwerwiegende finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. „Verursachen kann“ heißt: der Schaden muss zum Zeitpunkt der Meldung noch nicht eingetreten sein. Für die Beurteilung nennt § 35 Abs. 2 NISG 2026 sechs Kriterien, unter anderem den Marktanteil des Anbieters und das betroffene geografische Gebiet. Nach § 35 Abs. 3 NISG 2026 kann die Cybersicherheitsbehörde weitere Kriterien mit Verordnung festlegen.
Ab Oktober bestehen damit zwei Meldewege nebeneinander:
| Telekommunikationsgesetz | NISG 2026 | |
|---|---|---|
| Auslöser | Verletzung des Schutzes personenbezogener Daten oder nicht öffentlicher Daten einer juristischen Person | erheblicher Cybersicherheitsvorfall |
| Adressat | Datenschutzbehörde, gegebenenfalls die Betroffenen | zuständiges sektorspezifisches CSIRT, das an die Cybersicherheitsbehörde weiterleitet |
| Frist | unverzüglich | 24 Stunden, 72 Stunden, Abschlussbericht nach einem Monat |
| Grundlage | § 164 TKG 2021 | § 34 NISG 2026 |
Was zuerst zu tun ist
Der Meldeweg an das CSIRT. CSIRT steht für Computer Security Incident Response Team: eine Stelle, die Cybersicherheitsvorfälle entgegennimmt, analysiert und die betroffene Einrichtung bei der Bewältigung unterstützt. Die Aufgaben zählt § 8 Abs. 1 NISG 2026 auf. Diese Pflicht ist für die Branche nicht ganz neu, wohl aber ihr Adressat. Bis 30. September 2026 verlangt § 44 Abs. 5 TKG 2021, Sicherheitsvorfälle mit beträchtlichen Auswirkungen unverzüglich der Regulierungsbehörde mitzuteilen, die sie an den Bundesminister für Inneres weiterleitet; diese Bestimmung entfällt mit 1. Oktober 2026 ersatzlos. An ihre Stelle tritt die Meldung an das CSIRT nach § 34 NISG 2026, mit gestuften Fristen statt einer einzigen Mitteilung. Die Meldung an die Datenschutzbehörde nach § 164 TKG 2021 läuft davon unabhängig weiter. Unverzüglich, jedenfalls binnen 24 Stunden nach Kenntnisnahme, ist eine Frühwarnung zu übermitteln, binnen 72 Stunden eine Meldung mit einer ersten Bewertung von Schweregrad und Auswirkungen, auf Ersuchen ein Zwischenbericht und spätestens einen Monat nach dieser Meldung ein Abschlussbericht. Was in den ersten 24 Stunden konkret zu tun ist, beschreibt der Beitrag NIS-2-Meldepflicht: Die ersten 24 Stunden zählen.
Registrierung und Selbstdeklaration. Die Registrierung bei der Cybersicherheitsbehörde hat binnen drei Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 3 NISG 2026); die Frist läuft damit zum Jahreswechsel 2026/2027 aus. Die Selbstdeklaration über die umgesetzten Risikomanagementmaßnahmen folgt binnen zwölf Monaten ab Eintritt der Registrierungspflicht. Fordert die Cybersicherheitsbehörde später zur Prüfung durch eine unabhängige Stelle auf, bleiben für den technischen Nachweis zwei Jahre ab der Aufforderung. Für die operative und organisatorische Umsetzung hat eine wesentliche Einrichtung dagegen nur zwei Monate ab der Aufforderung; dieser Teil kann auch durch einschlägige gültige Zertifikate nachgewiesen werden (§ 33 Abs. 2 NISG 2026). Die erste Aufforderung kann frühestens zwei Jahre nach Inkrafttreten ergehen, also ab Oktober 2028. Einzelheiten stehen im Beitrag zur Registrierungspflicht.
Wiederherstellbarkeit. Das NISG 2026 nennt als Pflichtinhalt der Risikomanagementmaßnahmen die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Aus der Projektpraxis kommen dazu zwei Fragen, die das Gesetz nicht ausformuliert: Steht fest, wohin wiederhergestellt wird, und ist sichergestellt, dass das Backup selbst nicht betroffen ist? Ein Notfallplan, der auch offline vorliegt, erspart im Ernstfall das Nachdenken, für das dann keine Kapazität bleibt.
Ein häufiger Einwand. Kleine Anbieter halten dem Gesetz entgegen, sie müssten denselben Aufwand tragen wie ein Konzern, ohne ihn verrechnen zu können. Darauf antwortet das Gesetz selbst. Es verlangt, bei der Beurteilung der Verhältnismäßigkeit „das Ausmaß der Risikoexposition der Einrichtung sowie ihrer Dienste, die Größe der Einrichtung und die Wahrscheinlichkeit des Eintretens von Cybersicherheitsvorfällen und deren Schwere“ zu berücksichtigen. Beim Anwendungsbereich gibt es keine Größenschwelle, beim Umfang der Maßnahmen gilt die Verhältnismäßigkeit.
Dass sich die Verantwortung dafür nicht an die IT abgeben lässt, behandelt der Beitrag zur persönlichen Verantwortung der Geschäftsführung.
Eine Regel, die im Telekommunikationsgesetz bleibt
§ 45 TKG 2021 gibt der zuständigen Bundesministerin die Möglichkeit, Hersteller von Netzkomponenten oder Bereitsteller von Dienstleistungen für solche Netze aus Gründen der nationalen Sicherheit mit Bescheid als Hochrisikolieferanten einzustufen. Maßstab ist nach § 45 Abs. 2 TKG 2021, ob davon auszugehen ist, dass der Betroffene die für ihn in der Europäischen Union geltenden einschlägigen Normen, insbesondere zu Informationssicherheit und Datenschutz, mit hoher Wahrscheinlichkeit nicht oder nicht ständig einzuhalten in der Lage ist. Zu den Beurteilungskriterien zählen Mängel in der Qualität der Produkte, ausdrücklich einschließlich RAN, Core-Netze und Managed Services, sowie die Cybersicherheitspraxis des Lieferanten. Diese Regel steht neben den Lieferkettenpflichten des NISG 2026 und betrifft die Auswahl der eigenen Technik.
Unsicher, wie Ihr Unternehmen im NISG 2026 eingeordnet ist und welche Anforderungen schon erfüllt sind? Eine Gap-Analyse stellt den Ist-Stand gegen die Anforderungen. Kontaktdaten für ein erstes Gespräch finden sich auf der Seite zu NIS-2 und NISG 2026.
Häufige Fragen
Wozu die Größenprüfung, wenn keine Größenschwelle gilt?
Die Größe entscheidet über die Kategorie, nicht über die Betroffenheit. Unterhalb der Schwelle für mittlere Unternehmen liegt eine wichtige Einrichtung vor, ab dieser Schwelle eine wesentliche. Risikomanagementmaßnahmen und Selbstdeklaration gelten für beide Kategorien gleichermaßen; die Einstufung wirkt auf die behördliche Aufsicht.
An wen wird ein erheblicher Cybersicherheitsvorfall gemeldet?
An das zuständige sektorspezifische CSIRT, in Ermangelung eines solchen an das nationale CSIRT (§ 34 Abs. 1 NISG 2026). Für die Zuständigkeit gilt eine Stufenregel. Die Cybersicherheitsbehörde kann nach § 8 Abs. 3 NISG 2026 für jeden Sektor eine Einrichtung dazu ermächtigen, muss es aber nicht. Derselbe Absatz regelt den Fall mit: „Solange kein sektorspezifisches CSIRT besteht, hat das nationale CSIRT die Aufgaben des jeweiligen sektorspezifischen CSIRTs für den jeweiligen Sektor wahrzunehmen.“ Welche Stellen ermächtigt sind, macht die Cybersicherheitsbehörde nach § 8 Abs. 5 NISG 2026 öffentlich bekannt; für die Übergangszeit nimmt nach § 51 Abs. 6 NISG 2026 das bisher ermächtigte nationale CSIRT diese Aufgaben weiter wahr, bis ein neues nationales CSIRT ermächtigt ist, längstens zwei Jahre ab Inkrafttreten. Ein zuständigkeitsfreier Raum entsteht dadurch nicht. Vor dem ersten Ernstfall ist die aktuelle Bekanntmachung zu prüfen, weil sich die Adresse der Meldung damit ändern kann. Das CSIRT leitet die Meldung unverzüglich an die Cybersicherheitsbehörde weiter. Die Meldung geht also nicht direkt an die Behörde.
Ersetzt die Meldung nach dem NISG 2026 die Meldung nach dem Telekommunikationsgesetz?
Nein. Die Meldung nach dem Telekommunikationsgesetz gilt ausdrücklich „unbeschadet“ der Sicherheitspflichten und betrifft einen anderen Sachverhalt: die Verletzung des Schutzes personenbezogener Daten oder nicht öffentlich zugänglicher Daten einer juristischen Person, zu melden an die Datenschutzbehörde. Ein Vorfall kann beide Pflichten gleichzeitig auslösen. Umgekehrt ist keine eigene Meldung an die Regulierungsbehörde nötig: nach § 34 Abs. 8 NISG 2026 stellt die Cybersicherheitsbehörde der Regulierungsbehörde und der KommAustria die Informationen über gemeldete Vorfälle selbst zur Verfügung.
Ist ein Anbieter erfasst, der Kunden ohne Nummern versorgt, etwa über eine reine App?
Das Telekommunikationsgesetz nimmt nummernunabhängige interpersonelle Kommunikationsdienste von der Anzeigepflicht an die Regulierungsbehörde aus. Das NISG 2026 enthält eine solche Ausnahme nicht und spricht allgemein von öffentlich zugänglichen Kommunikationsdiensten. Wer nicht im Register der Regulierungsbehörde steht, kann daher trotzdem vom NISG 2026 erfasst sein.
Bleibt die Regulierungsbehörde für Sicherheitsfragen zuständig?
Nur nachrangig. Das Telekommunikationsgesetz ermächtigt die Regulierungsbehörde in der ab 1. Oktober 2026 geltenden Fassung, im Einvernehmen mit der Cybersicherheitsbehörde und weiteren Stellen nähere Bestimmungen über technische und organisatorische Sicherheitsmaßnahmen mit Verordnung festzulegen. Voraussetzung ist, dass die anderen Rechtsvorschriften nicht ausreichen. Zwei Aufgaben bleiben unabhängig davon bei der RTR-GmbH: eine Branchenrisikoanalyse alle zwei Jahre, deren bereinigter Abschlussbericht auf der RTR-Website veröffentlicht wird, und die Mitwirkung an einem Mustersicherheitskonzept für Betreiber und Anbieter (§ 44 Abs. 3 Z 1 und 2 TKG 2021). Das Mustersicherheitskonzept ist für kleinere Anbieter eine konkrete Arbeitshilfe, sobald es vorliegt.
Wo das im Gesetz steht
| Aussage im Beitrag | Fundstelle |
|---|---|
| Anbieter öffentlicher Kommunikationsnetze und -dienste sind unabhängig von der Größe wichtige Einrichtungen | NISG 2026 § 24 Abs. 2 Z 3 lit. a |
| Als mittleres Unternehmen werden sie zur wesentlichen Einrichtung | NISG 2026 § 24 Abs. 1 Z 2 |
| Schwellenwerte für mittlere und große Unternehmen | NISG 2026 § 25 Abs. 2 und 3 |
| Zurechnung von Partner- und verbundenen Unternehmen, Ausnahme bei Unabhängigkeit | NISG 2026 § 25 Abs. 4 |
| Begriffe „Betreiber“ und „Anbieter“ | TKG 2021 § 4 Z 25 und Z 36 |
| Anzeigepflicht für das Anbieten eines öffentlichen Kommunikationsdienstes | TKG 2021 § 6 Abs. 1 |
| Sicherheitspflicht bisher und ab 1. Oktober 2026 | TKG 2021 § 44 Abs. 1 in beiden Fassungen |
| Bisherige Vorfallsmeldung an die Regulierungsbehörde, Weiterleitung an den Bundesminister für Inneres; entfällt mit 1. Oktober 2026 | TKG 2021 § 44 Abs. 5 und 6 (Fassung bis 30.9.2026) |
| Sicherheitskonzept für personenbezogene Daten; Meldung an die Datenschutzbehörde | TKG 2021 § 163 Abs. 3 Z 3 und § 164 |
| Hochrisikolieferanten | TKG 2021 § 45 |
| Verhältnismäßigkeit der Maßnahmen, einschließlich Größe | NISG 2026 § 32 Abs. 3 |
| Backup, Wiederherstellung, Krisenmanagement | NISG 2026 § 32 Abs. 4 lit. c |
| Registrierung binnen drei Monaten ab Inkrafttreten | NISG 2026 § 29 Abs. 3 |
| Selbstdeklaration binnen zwölf Monaten; Nachweis binnen zwei Jahren nach Aufforderung | NISG 2026 § 33 Abs. 1 und 2 |
| Meldung an das CSIRT; Fristen 24 Stunden, 72 Stunden, ein Monat | NISG 2026 § 34 Abs. 1 und 2 |
| Weitergabe der Vorfallsinformationen an Regulierungsbehörde und KommAustria durch die Cybersicherheitsbehörde | NISG 2026 § 34 Abs. 8 |
| Definition des erheblichen Cybersicherheitsvorfalls; Beurteilungskriterien; Verordnungsermächtigung | NISG 2026 § 35 |
| Aufgaben der CSIRTs; Ermächtigung sektorspezifischer CSIRTs und Auffangregel; Bekanntmachung | NISG 2026 § 8 Abs. 1, 3 und 5 |
| Übergangsregel für das nationale CSIRT | NISG 2026 § 51 Abs. 6 |
| Branchenrisikoanalyse und Mustersicherheitskonzept bei der RTR-GmbH | TKG 2021 § 44 Abs. 3 Z 1 und 2 |
Quellen
Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, Fassung vom 01.10.2026 (RIS)
Telekommunikationsgesetz 2021 (TKG 2021), BGBl. I Nr. 190/2021 (RIS)
