- Betroffen ist, wer eine Tätigkeit aus Anlage 1 oder Anlage 2 des NISG 2026 ausübt und mindestens ein mittleres Unternehmen ist: ab 50 Mitarbeitenden oder ab 10 Mio. € Umsatz und 10 Mio. € Bilanzsumme (§ 24 und § 25 NISG 2026).
- Insgesamt 18 Sektoren: Anlage 1 umfasst 11 von Energie bis Weltraum, Anlage 2 sieben weitere von Post bis Forschung. Darunter ist mit Maschinenbau, Elektronik und Fahrzeugbau ein großer Teil der österreichischen Industrie.
- Große Unternehmen aus Anlage 1 sind wesentliche Einrichtungen, alle anderen Erfassten wichtige Einrichtungen. Die Pflichten sind fast gleich, Aufsicht und Strafrahmen unterscheiden sich.
- Gemeinden sind ausgenommen, ihre Stadtwerke nicht. Für Banken und Finanzmarktinfrastrukturen geht DORA vor, das NISG 2026 ist gesondert zu prüfen. Kleine Unternehmen werden nur per Bescheid erfasst, bekommen die Anforderungen aber über ihre Kunden.
- Niemand wird Sie anschreiben. Das NISG 2026 sieht keine Benachrichtigung vor: Sie stufen sich selbst ein, dokumentieren die Entscheidung und registrieren sich bis 4. Jänner 2027 selbst. Wer wartet, bis jemand auf ihn zukommt, versäumt die Frist.
Grundlagen: Was das NISG 2026 insgesamt verlangt, mit Fristen, Pflichten und Strafen, steht auf der laufend gepflegten Seite NISG 2026 im Überblick →
Wer ist betroffen? Die zwei Prüffragen
Das NISG 2026 nennt kein Unternehmen beim Namen. Es beschreibt Arten von Einrichtungen in zwei Anlagen und legt in § 24 fest, ab welcher Größe diese als wesentliche oder wichtige Einrichtung gelten. Für Ihre Prüfung heißt das:
- Üben wir eine Tätigkeit aus, die in Anlage 1 oder 2 steht? Maßgeblich ist die Tätigkeit, nicht die Rechtsform oder die Eigentümerin. Ein Stadtwerk ist Energieversorger, eine Konzerntochter mit IT-Betrieb ist Managed Service Provider. Die Listen unten führen jeden Sektor mit den Betrieben auf, die in Österreich typischerweise dahinterstehen.
- Sind wir mindestens ein mittleres Unternehmen? Die Schwellen stehen in § 25, mit zwei Besonderheiten: Verbundene Unternehmen zählen bei der Größe mit, und einige Einrichtungen sind unabhängig von der Größe erfasst.
Beide Fragen mit Ja beantwortet: Sie sind erfasst. Welche der beiden Einstufungen gilt, zeigt die Spalte ganz rechts in den Listen.
Anlage 1: Sektoren mit hoher Kritikalität
Die Tabellen sind nach den Sektoren des Gesetzes geordnet. In der mittleren Spalte stehen die Arten von Einrichtungen, in Klartext und mit den Beispielen, die in der Praxis am häufigsten vorkommen.
| Sektor (Anlage 1) | Wer darunter fällt | Einstufung |
|---|---|---|
| 1 · Energiea) Elektrizität | Stromversorger, Verteiler- und Übertragungsnetzbetreiber, Erzeuger (wenn Haupttätigkeit), Strombörsen, Anbieter von Aggregierung, Laststeuerung oder Speicherdiensten, Betreiber von Ladepunkten | größenabhängig |
| 1 · Energieb) Fernwärme und Fernkälte | Betreiber von Fernwärme- oder Fernkältenetzen, häufig kommunale oder genossenschaftliche Heizwerke | größenabhängig |
| 1 · Energiec) Erdöl | Betreiber von Erdöl-Fernleitungen, Raffinerien, Produktions- und Aufbereitungsanlagen, Erdöllagern, zentrale Bevorratungsstellen | größenabhängig |
| 1 · Energied) Erdgas | Gasversorger, Verteiler- und Fernleitungsnetzbetreiber, Speicherunternehmen, LNG-Anlagen, Erdgasunternehmen, Raffination und Aufbereitung von Erdgas | größenabhängig |
| 1 · Energiee) Wasserstoff | Betreiber von Anlagen zur Erzeugung, Speicherung und Fernleitung von Wasserstoff | größenabhängig |
| 2 · Verkehra) Luftverkehr | Gewerbliche Luftfahrtunternehmen, Flughäfen und Einrichtungen auf Flughäfen, Flugverkehrskontrolle | größenabhängig |
| 2 · Verkehrb) Schienenverkehr | Eisenbahn-Infrastrukturbetreiber, Eisenbahnunternehmen einschließlich Serviceeinrichtungen wie Terminals oder Verschubanlagen | größenabhängig |
| 2 · Verkehrc) Schifffahrt | Passagier- und Frachtschifffahrt auf Binnengewässern und See, Hafenbetreiber, Schiffsverkehrsdienste | größenabhängig |
| 2 · Verkehrd) Straßenverkehr | Straßenverkehrsbehörden mit Verkehrsmanagement, Betreiber intelligenter Verkehrssysteme. Nicht erfasst: Transportunternehmen und Speditionen auf der Straße | größenabhängig |
| 3 · Bankwesen | Kreditinstitute (Banken, Sparkassen, Raiffeisenbanken). Für Einrichtungen im Anwendungsbereich der EU-Verordnung DORA gehen deren Bestimmungen vor (§ 24 Abs. 7); gesonderte Prüfung hinsichtlich NISG 2026 notwendig | gesonderte PrüfungDORA vorrangig, § 24 Abs. 7 |
| 4 · Finanzmarkt-infrastrukturen | Betreiber von Handelsplätzen (Börsen), zentrale Gegenparteien. Auch hier geht DORA vor; gesonderte Prüfung hinsichtlich NISG 2026 notwendig | gesonderte PrüfungDORA vorrangig, § 24 Abs. 7 |
| 5 · Gesundheitswesen | Gesundheitsdienstleister wie Krankenanstalten, Rehabilitations- und Kurzentren, Primärversorgungseinheiten und Labore; EU-Referenzlaboratorien; Arzneimittelforschung und -entwicklung; Hersteller pharmazeutischer Erzeugnisse; Hersteller von Medizinprodukten, die für Gesundheitsnotlagen als kritisch gelten | größenabhängig |
| 6 · Trinkwasser | Wasserversorger und Wasserverbände. Nicht erfasst: Betriebe, bei denen Trinkwasser nur ein unwesentlicher Teil der Tätigkeit ist | größenabhängig |
| 7 · Abwasser | Betreiber von Kanalnetzen und Kläranlagen für kommunales, häusliches oder industrielles Abwasser, sofern das nicht nur ein unwesentlicher Teil der Tätigkeit ist | größenabhängig |
| 8 · Digitale Infrastruktur | Internet-Knoten, DNS-Diensteanbieter, TLD-Register, Cloud-Anbieter, Rechenzentrumsdienste für Dritte, Content Delivery Networks, Vertrauensdiensteanbieter, Anbieter öffentlicher Kommunikationsnetze und -dienste (Internet, Telefonie, Mobilfunk) | größenabhängig; Kommunikationsnetze, Vertrauensdienste, DNS und TLD unabhängig von der Größe |
| 9 · Verwaltung von IKT-Diensten | Managed Service Provider und Managed Security Service Provider: Systemhäuser und IT-Dienstleister, die Systeme für Kunden betreiben, überwachen oder absichern, auch als IT-Tochter innerhalb eines Konzerns. Nicht erfasst: reine Softwareentwicklung oder Beratung ohne Betriebsleistung | größenabhängig |
| 10 · Öffentliche Verwaltung | Einrichtungen der Bundesverwaltung (wesentlich) und der Landesverwaltung einschließlich Ämter der Landesregierungen und Bezirkshauptmannschaften (wichtig). Ausgenommen: Gemeinden, Schulen, Universitäten, Gerichte, Parlament, Nationalbank sowie Bereiche der nationalen Sicherheit | wesentlich Bund wichtig Landunabhängig von der Größe |
| 11 · Weltraum | Betreiber von Bodeninfrastrukturen für weltraumgestützte Dienste | größenabhängig |
Anlage 2: Sonstige kritische Sektoren
Für diese Sektoren gilt dieselbe Größenregel, die Einstufung ist aber immer wichtige Einrichtung, auch bei großen Unternehmen.
| Sektor (Anlage 2) | Wer darunter fällt | Einstufung |
|---|---|---|
| 1 · Post- und Kurierdienste | Postdiensteanbieter und Kurierdienste nach dem Postmarktgesetz. Nicht erfasst: Speditionen und Frachtlogistik ohne Postdienst | wichtig |
| 2 · Abfallbewirtschaftung | Sammler und Behandler von Abfällen nach dem Abfallwirtschaftsgesetz, wenn Abfallbewirtschaftung die Haupttätigkeit ist. Ein Produktionsbetrieb mit eigener Entsorgung fällt hier nicht darunter | wichtig |
| 3 · Chemie | Hersteller chemischer Stoffe und Gemische, Großhändler damit sowie Hersteller von Erzeugnissen aus diesen Stoffen in der chemischen Industrie (NACE 20), etwa Lacke, Kunststoffe in Primärform, Düngemittel | wichtig |
| 4 · Lebensmittel | Lebensmittelunternehmen im Großhandel und in der industriellen Produktion und Verarbeitung: Molkereien, Brauereien, Fleischverarbeiter, Großbäckereien, Getränkehersteller, Lebensmittelgroßhandel. Nicht erfasst: Einzelhandel, Gastronomie und landwirtschaftliche Urproduktion | wichtig |
| 5 · Verarbeitendes Gewerbea) Medizinprodukte und In-vitro-Diagnostika | Hersteller von Medizinprodukten und In-vitro-Diagnostika, soweit nicht schon als kritische Medizinprodukte in Anlage 1 | wichtig |
| 5 · Verarbeitendes Gewerbeb) Datenverarbeitungsgeräte, Elektronik, Optik (NACE 26) | Hersteller von elektronischen Bauelementen und Leiterplatten, Computern, Kommunikationsgeräten, Mess- und Steuerungstechnik, optischen und medizintechnischen Geräten | wichtig |
| 5 · Verarbeitendes Gewerbec) Elektrische Ausrüstungen (NACE 27) | Hersteller von Elektromotoren, Generatoren, Transformatoren, Schaltanlagen, Batterien, Kabeln, Leuchten und Haushaltsgeräten | wichtig |
| 5 · Verarbeitendes Gewerbed) Maschinenbau (NACE 28) | Hersteller von Maschinen und Anlagen aller Art: Antriebstechnik, Pumpen und Kompressoren, Werkzeugmaschinen, Land- und Forstmaschinen, Maschinen für Papier-, Lebensmittel- oder Kunststoffindustrie, Sondermaschinenbau | wichtig |
| 5 · Verarbeitendes Gewerbee) Kraftwagen und Kraftwagenteile (NACE 29) | Fahrzeughersteller, Karosserie- und Aufbautenhersteller, Automobilzulieferer für Teile und Zubehör | wichtig |
| 5 · Verarbeitendes Gewerbef) Sonstiger Fahrzeugbau (NACE 30) | Schiff- und Bootsbau, Schienenfahrzeuge, Luft- und Raumfahrzeuge, Motorräder und Fahrräder | wichtig |
| 6 · Anbieter digitaler Dienste | Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke. Nicht erfasst: der eigene Webshop eines Händlers | wichtig |
| 7 · Forschung | Forschungseinrichtungen, deren primäres Ziel angewandte Forschung oder experimentelle Entwicklung für kommerzielle Zwecke ist. Nicht erfasst: Universitäten, Fachhochschulen und Schulen | wichtig |
Zwei Hinweise zum Lesen: Erstens genügt für die meisten Zeilen eine Nebentätigkeit. Wenn Sie neben dem Hauptgeschäft etwa Maschinen herstellen, üben Sie eine Tätigkeit nach NACE 28 aus. Nur wo die Anlage ausdrücklich die Haupttätigkeit oder einen wesentlichen Teil verlangt, zum Beispiel bei Stromerzeugern, Abfall, Trinkwasser und Abwasser, zählt das Nebengeschäft nicht. Zweitens sind die Beispiele meine Einordnung der gesetzlichen Begriffe; im Zweifel entscheidet der Wortlaut der Anlagen, den ich unten verlinkt habe.
Der kostenlose NIS2 Schnellcheck ist eine Betroffenheitsprüfung für Österreich: In rund 5 Minuten führt er Sie durch Sektor, Größe und die wichtigsten Pflichten. Sie sehen sofort, ob Ihr Unternehmen wahrscheinlich erfasst ist und wo die größten Lücken liegen. Ohne Anmeldung.
Größe und Schwellenwerte: ab wann Sie erfasst sind
§ 25 NISG 2026 übernimmt die EU-Definition der Unternehmensgrößen. Für jede Stufe genügt einer von zwei Wegen:
Daraus ergibt sich die Einstufung: Anlage 1 und groß bedeutet wesentliche Einrichtung. Anlage 1 und mittel sowie Anlage 2 in jeder Größe ab mittel bedeutet wichtige Einrichtung. Für die Sicherheitsmaßnahmen und Meldepflichten macht das kaum einen Unterschied, für die Aufsicht und den Strafrahmen schon: Wesentliche Einrichtungen unterliegen der strengeren Aufsicht und riskieren bis zu 10 Mio. € oder 2 % des Umsatzes, wichtige bis zu 7 Mio. € oder 1,4 %.
Drei Dinge entscheiden in der Praxis oft über das Ergebnis:
- Verbundene Unternehmen zählen mit. Beteiligungen über 50 % werden voll, Partnerunternehmen ab 25 % anteilig hinzugerechnet. Ausnahme: Ihre Gesellschaft betreibt ihre Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig vom Rest der Gruppe (§ 25 Abs. 4). Diese Unabhängigkeit muss sich belegen lassen.
- Unabhängig von der Größe erfasst sind Anbieter öffentlicher Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Register, die Bundesverwaltung sowie Einrichtungen, die als kritisch nach dem RKE-Gesetz ermittelt wurden.
- Schwellen wirken mit Verzögerung. Mitarbeitende werden in Jahresarbeitseinheiten gezählt, Lehrlinge nicht. Ein Über- oder Unterschreiten gilt erst, wenn es zwei Geschäftsjahre in Folge anhält.
Eine Unternehmensgruppe in Kärnten besteht aus einer Holding, drei Produktionsgesellschaften im Maschinenbau mit zusammen 600 Mitarbeitenden und einer IT-GmbH mit 20 Mitarbeitenden, die als interner Managed Service Provider Server, Netzwerke und Arbeitsplätze für alle Schwestergesellschaften betreibt. Für sich betrachtet ist die IT-GmbH ein kleines Unternehmen. Weil die Mitarbeitenden und Umsätze der verbundenen Unternehmen hinzugerechnet werden, gilt sie als großes Unternehmen. Ihre Tätigkeit steht in Anlage 1 (Verwaltung von IKT-Diensten), die Ausnahme für Dienste, die ausschließlich für die eigene Einrichtung erbracht werden, greift nicht, denn sie arbeitet für andere Gesellschaften. Ergebnis: Die IT-GmbH ist wesentliche Einrichtung mit dem höchsten Strafrahmen, muss sich selbst registrieren und ihre Geschäftsführung trägt die Pflichten nach § 31. Die drei Produktionsgesellschaften sind als große Unternehmen aus Anlage 2 jeweils wichtige Einrichtungen. Die Holding selbst ist nicht erfasst.
Der einzige Ausweg wäre der Nachweis, dass die IT-GmbH ihre Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig vom Konzern betreibt (§ 25 Abs. 4). Bei einem internen MSP ist das praktisch nie der Fall.
Wie Sie die Größe für die Registrierung konkret berechnen und was im Konzern zu beachten ist, beschreibt der Beitrag Registrierung nach NISG 2026.
Die häufigsten Grenzfälle
Diese Fragen höre ich in Gesprächen mit betroffenen Unternehmen am häufigsten. Die Antworten ergeben sich aus § 24 und den Anlagen, sind aber nicht immer auf den ersten Blick zu sehen.
Sind Gemeinden betroffen?
Gemeinden und Gemeindeverbände sind in § 24 Abs. 3 ausdrücklich von der öffentlichen Verwaltung ausgenommen. Das Rathaus fällt also nicht unter das Gesetz. Anders die ausgegliederten oder eigenständigen Betriebe: Stadtwerke in der Strom-, Wärme-, Wasser- oder Abwasserversorgung üben Tätigkeiten aus Anlage 1 aus und sind erfasst, sobald sie mindestens mittlere Unternehmen sind.
Fällt ein IT-Dienstleister oder Systemhaus darunter?
Ja, sobald er Systeme für Kunden betreibt, überwacht oder absichert. Managed Service Provider und Managed Security Service Provider stehen in Anlage 1 unter Verwaltung von IKT-Diensten. Reine Softwareentwicklung oder Beratung ohne Betriebsleistung ist nicht erfasst, bekommt die Anforderungen aber meist über die Kunden.
Wie prüfen Holdings und Konzerntöchter?
Eine reine Holding ohne eigene Tätigkeit aus den Anlagen ist nicht erfasst, ihre operativen Töchter prüfen sich einzeln. Jede Tochter zählt dabei die Größe des Verbunds mit. Eine IT-Tochter, die den Konzern mit IT-Betrieb versorgt, ist Managed Service Provider und damit fast immer erfasst, auch wenn sie allein klein wäre.
Was gilt bei einer ausländischen Konzernmutter?
Entscheidend ist die österreichische Gesellschaft: ihre Tätigkeit und ihre Größe einschließlich der verbundenen Unternehmen, auch außerhalb der EU. Dass die Mutter in Deutschland bereits nach dem dortigen Gesetz registriert ist, ersetzt die Prüfung und Registrierung in Österreich nicht.
Gilt das NISG 2026 auch für Banken und Versicherungen?
Kreditinstitute, Wertpapierfirmen, Handelsplätze, zentrale Gegenparteien und Versicherungen unterliegen der EU-Verordnung DORA unter Aufsicht der Finanzmarktaufsicht. Für Einrichtungen in deren Anwendungsbereich gehen die DORA-Bestimmungen vor (§ 24 Abs. 7). Ob und in welchen Punkten daneben Pflichten aus dem NISG 2026 bleiben, ist für jedes Institut gesondert zu prüfen. IKT-Dienstleister, die für solche Finanzunternehmen arbeiten, unterliegen zusätzlich dem NISG 2026 (§ 24 Abs. 8).
Sind Universitäten, Schulen und Gerichte erfasst?
Einrichtungen des Universitäts-, Hochschul- und Schulwesens, der Gerichtsbarkeit, der Gesetzgebung sowie Bereiche der nationalen Sicherheit und die Nationalbank gelten nicht als wesentliche oder wichtige Einrichtungen (§ 24 Abs. 6). Forschungseinrichtungen mit kommerziellem Ziel schon.
Was gilt für kleine Unternehmen und Lieferanten?
Bleiben Sie unter den Schwellen, sind Sie nur erfasst, wenn das Bundesamt für Cybersicherheit Sie per Bescheid einstuft (§ 26). Das kommt in Frage, wenn ein Unternehmen der einzige Anbieter eines kritischen Dienstes in Österreich ist, eine Störung die öffentliche Sicherheit oder Gesundheit beeinträchtigen könnte, ein Systemrisiko entstehen könnte oder das Unternehmen regional oder für andere Sektoren besondere Bedeutung hat. Häufiger kommen die Anforderungen auf anderem Weg: Erfasste Kunden müssen ihre Lieferkette absichern und verlangen Nachweise. Was dabei erwartet wird, zeigt der Beitrag NISV 2026: 13 Themen, 13 Prüffragen unter Thema 5.
Wenn Sie unsicher sind: Selbsteinstufung und Bescheid
Das NISG 2026 ist als Selbsteinstufung gebaut. Weder das Bundesamt für Cybersicherheit noch die Wirtschaftskammer verständigt Unternehmen, dass sie erfasst sind; ein Register, aus dem die Behörde Sie anschreibt, gibt es nicht. Einen Bescheid erhalten nur Einrichtungen, die die Behörde ausnahmsweise über die Größenregel hinaus einstuft (§ 26). Wer darauf wartet, dass jemand auf ihn zukommt, hat die Frist am 4. Jänner 2027 mit hoher Wahrscheinlichkeit versäumt und steht ab dann ohne Nachweis da. Deshalb empfehle ich, das Ergebnis in einem kurzen Prüfprotokoll festzuhalten: welche Tätigkeiten Sie geprüft haben, welcher Anlage und welchem Sektor Sie diese zuordnen, mit welchen Zahlen Sie die Größe berechnet haben und wie Sie verbundene Unternehmen berücksichtigt haben. Datum und Unterschrift der Geschäftsführung dazu. Kommen Sie zum Ergebnis „nicht erfasst“, ist dieses Protokoll Ihr Nachweis, dass Sie die Frage sorgfältig geprüft haben, falls die Behörde oder ein Kunde später nachfragt.
Bleibt die Zuordnung offen, etwa weil Ihre Tätigkeit zwischen zwei Sektoren liegt oder die Unabhängigkeit im Konzern strittig ist, haben Sie drei Möglichkeiten: den Online-Ratgeber der Wirtschaftskammer, eine Anfrage beim Bundesamt für Cybersicherheit oder eine rechtliche Einschätzung. Im Zweifel ist es günstiger, sich zu registrieren und die Maßnahmen anzugehen, als die Frist verstreichen zu lassen.
Im kostenlosen Orientierungsgespräch gehe ich Ihre Tätigkeiten, Beteiligungen und Zahlen mit Ihnen durch und sage Ihnen, wie ich die Einstufung sehe. 30 Minuten, online oder vor Ort in Kärnten.
Häufige Fragen zur Betroffenheit
Ist mein Unternehmen von NIS2 betroffen?+
Welche Branchen fallen unter das NISG 2026?+
Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung?+
Fazit
Die Frage „Sind wir betroffen?“ lässt sich für die meisten Unternehmen in einer halben Stunde beantworten: Tätigkeit in den Anlagen suchen, Größe mit den verbundenen Unternehmen berechnen, Ergebnis festhalten. Schwierig wird es nur in den Grenzfällen, und dort lohnt sich eine zweite Meinung mehr als eine Frist, die unbemerkt abläuft.
Wenn Sie erfasst sind, kommt als Nächstes die Registrierung bis 4. Jänner 2027, und parallel die Frage, wie weit Ihre Sicherheitsmaßnahmen schon reichen. Den Stand erhebe ich mit einer Reifegrad-Analyse, die Umsetzung begleite ich als externer CISO im Abo. Beide Wege beschreibt die Seite NIS2-Beratung und Umsetzung. Welcher passt, klären wir im Orientierungsgespräch, 30 Minuten, kostenlos.
Quellen (8)Rechtsinformationssystem des Bundes, Bundesamt für Cybersicherheit, Wirtschaftskammer Österreich, EUR-Lex
- NISG 2026, BGBl. I Nr. 94/2025 — Rechtsinformationssystem des Bundes
- Anlage 1 NISG 2026: Sektoren mit hoher Kritikalität (PDF) — RIS
- Anlage 2 NISG 2026: Sonstige kritische Sektoren (PDF) — RIS
- § 24 NISG 2026 (Wesentliche und wichtige Einrichtungen) — RIS
- § 25 NISG 2026 (Ermittlung der Unternehmensgröße) — RIS
- § 26 NISG 2026 (Größenunabhängige Einstufung per Bescheid) — RIS
- FAQ Anwendungsbereich, Größenberechnung, Konzern — Bundesamt für Cybersicherheit
- Online-Ratgeber NIS2 — Wirtschaftskammer Österreich
Gründer von NextSecure. Seit über zehn Jahren in der Informationssicherheit, unter anderem als CISO, Auditor und Notfallmanager; CISSP, CISM und ISO/IEC 27001 Manager & Auditor. Begleitet Unternehmen in Österreich und im DACH-Raum bei NIS2, ISO 27001 und als externer CISO. Mehr über Lukas Kulmitzer