Registrierung nach NISG 2026: Frist, Ablauf und Pflichtangaben

Grundlagen: Was das NISG 2026 insgesamt verlangt, mit allen Fristen und Fundstellen, steht auf der laufend gepflegten Seite NISG 2026 im Überblick →

Wer sich registrieren muss

Die Registrierungspflicht trifft alle Unternehmen, die nach dem NISG 2026 als wesentliche oder wichtige Einrichtung gelten. Ob das zutrifft, ergibt sich aus zwei Fragen: In welchem Sektor ist das Unternehmen tätig, und wie groß ist es?

Sektor. Das Gesetz listet die betroffenen Sektoren in zwei Anlagen. In Anlage 1 stehen unter anderem Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur und die Verwaltung von IKT-Diensten für andere Unternehmen. Anlage 2 umfasst etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, das verarbeitende Gewerbe, digitale Dienste und Forschung. Auch eine Nebentätigkeit in einem dieser Sektoren kann ausreichen.

Größe. Erfasst sind in der Regel mittlere und große Unternehmen (§ 25 NISG 2026). Es genügt, wenn eine der beiden Bedingungen erfüllt ist.

Einige Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz, zum Beispiel Vertrauensdiensteanbieter, DNS-Anbieter, Anbieter öffentlicher Kommunikationsnetze und kritische Einrichtungen nach dem RKE-Gesetz.

Sich selbst einstufen. Sie prüfen Ihre Betroffenheit selbst; das Bundesamt stuft nur in Ausnahmefällen per Bescheid ein (§ 26). Nutzen Sie für eine unverbindliche Ersteinschätzung am besten den Online-Ratgeber der Wirtschaftskammer oder den kompakten und kostenlosen NIS2 Schnellcheck.

Bis wann müssen wir uns registrieren?

Spätestens am Montag, 4. Jänner 2027. § 29 Abs. 3 NISG 2026 verlangt die Registrierung innerhalb von drei Monaten ab Inkrafttreten. Das Gesetz ist am 1. Oktober 2026 in Kraft getreten, die drei Monate enden damit am 1. Jänner 2027. Weil dieser Tag ein Feiertag ist und ein Wochenende folgt, verschiebt sich das Fristende nach § 33 Abs. 2 AVG auf Montag, 4. Jänner 2027. So nennt es auch das Bundesamt für Cybersicherheit auf seiner Seite zur Registrierung.

Planen Sie unbedingt die Feiertage ein: Wer am 23. Dezember feststellt, dass der USP-Zugang fehlt oder die ID Austria der zuständigen Person nicht eingerichtet ist, dem wird die Zeit knapp.

Unternehmen, die erst später unter das Gesetz fallen, etwa weil sie wachsen, müssen sich ohne Aufforderung registrieren, so bald wie möglich und spätestens drei Monate, nachdem sie die Voraussetzungen erfüllen.

So läuft die Registrierung ab

Registriert wird über die Anwendung „NIS2-Services“ im Unternehmensserviceportal (USP). Über dasselbe Portal laufen später auch die Meldungen von Sicherheitsvorfällen. Das USP empfiehlt diese Vorbereitung:

1. USP-Zugang einrichten. Hat Ihr Unternehmen noch keinen, legen Sie bei der Erstregistrierung den Administrator an.
2. ID Austria für die zuständigen Personen. Wer im Portal das Unternehmen registriert oder Vorfälle meldet, braucht eine entsprechende ID Austria.
3. Rollen vergeben. Im USP gibt es die Rollen „NIS Gesamt“, „NIS Registrierung“ und „NIS Meldung“. Denken Sie dabei schon an Vertretungen für Urlaub und Krankheit. Meldungen haben kurze Fristen.
4. Vollmachten für Externe. Auch ein externer Berater darf Ihr Unternehmen registrieren bzw. Meldungen absetzen. Hierfür braucht er von Ihnen jedoch eine Vollmacht im USP.
5. Daten erfassen und übermitteln. Die Pflichtangaben vorbereiten (siehe unten) und in „NIS2-Services“ eintragen. Halten Sie die Übermittlung mit Datum fest, etwa als PDF oder Bildschirmfoto, und legen Sie den Nachweis zu Ihren NISG-Unterlagen.

Diese Angaben brauchen Sie

§ 29 Abs. 2 NISG 2026 legt fest, was zu übermitteln ist. Änderungen müssen Sie innerhalb der genannten Fristen nachtragen (§ 29 Abs. 4):

Dazu kommt eine Kontaktstelle mit mindestens einer Telefonnummer und einer E-Mail-Adresse (§ 29 Abs. 6). Nehmen Sie dafür ein Funktionspostfach und keine persönliche Adresse, damit die Erreichbarkeit nicht an einer Person hängt.

Tipp für die IT-Leitung: Beginnen Sie bereits frühzeitig mit der Evaluierung der IP-Adressbereiche und Domains. Diese Angaben kosten in der Regel die meiste Sucharbeit, vor allem wenn mehrere Provider oder Standorte im Spiel sind.

Was bei versäumter Registrierung droht

Wer sich nicht rechtzeitig registriert, wissentlich falsche oder unvollständige Angaben macht oder Änderungen nicht fristgerecht meldet, begeht eine Verwaltungsübertretung (§ 45 Abs. 4 NISG 2026). Die Strafe beträgt bis zu 50.000 €, im Wiederholungsfall bis zu 100.000 €. Zuständig ist die Bezirksverwaltungsbehörde, in der Regel auf Anzeige des Bundesamts (§ 44).

Zum Start hat der Innenminister angekündigt, vorrangig zu beraten statt sofort zu strafen. Verlassen Sie sich nicht darauf. Die Registrierung ist mit wenig Aufwand erledigt, ein Versäumnis dagegen leicht festzustellen.

Was nach der Registrierung kommt

Die Registrierung ist ein Verwaltungsschritt, kein Sicherheitsnachweis. Die inhaltlichen Pflichten gelten bereits seit 1. Oktober 2026, unabhängig davon, wann Sie sich registrieren:

• Risikomanagementmaßnahmen nach § 32 NISG 2026 umsetzen, angemessen zu Größe und Risiko. Was das konkret heißt, zeigt der Beitrag NISV 2026: Was Sie konkret umsetzen müssen.
• Erhebliche Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats, ebenfalls über das USP. Die Fristen laufen auch am Wochenende.
• Pflichten der Geschäftsführung erfüllen: Maßnahmen sicherstellen, ihre Umsetzung beaufsichtigen und an Schulungen teilnehmen (§ 31). Was das für die persönliche Haftung bedeutet, lesen Sie im Beitrag „Die Arbeit lässt sich delegieren, die Verantwortung nicht“ im Blog „Chefsache“.
• Selbstdeklaration zu den umgesetzten Maßnahmen innerhalb von zwölf Monaten nach Beginn der Registrierungspflicht (§ 33 Abs. 1). Die Wirtschaftskammer nennt dafür den 30. September 2027.

Eine eigene Vollzeitstelle schreibt das Gesetz für die Koordination dieser Pflichten nicht vor. Die Aufgabe kann auch ein externer CISO übernehmen. Wenn Sie dieses Thema interessiert, werfen Sie doch einen Blick auf CISO Flex, meinen externen CISO im Abo.

Fazit

Die Registrierung ist schnell erledigt, wenn die Vorbereitung stimmt: Betroffenheit klären, USP-Zugang und ID Austria einrichten, Rollen vergeben, Daten sammeln. Wenn Sie jetzt beginnen, sind Sie vor der Weihnachtszeit fertig und gewinnen Zeit für den Aufbau eines wirksamen Sicherheitsmanagements.

Wenn Sie sich dabei begleiten lassen wollen:

Den Stand erheben. Eine Reifegrad-Analyse bewertet alle Themenfelder des NISG 2026 und liefert in zwei bis drei Wochen eine priorisierte Roadmap für die Geschäftsführung, zugleich die Grundlage der Selbstdeklaration. Mehr zur Reifegrad-Analyse

Die Umsetzung begleiten lassen. Ein externer CISO im Abo steuert die Maßnahmen, hält die Meldebereitschaft aufrecht und berichtet monatlich an die Geschäftsführung. Umfang und Preis von CISO Flex sind veröffentlicht, die Bindung ist kurz. Mehr zum externen CISO im Abo

Beide Wege im Detail beschreibt die Seite NIS2-Beratung und Umsetzung. Welcher Weg passt, kläre ich mit Ihnen im Orientierungsgespräch, 30 Minuten, kostenlos.

Autor

Lukas Kulmitzer, MSc

Gründer von NextSecure. Seit über zehn Jahren in der Informationssicherheit, unter anderem als CISO, Auditor und Notfallmanager; CISSP, CISM und ISO/IEC 27001 Manager & Auditor. Begleitet Unternehmen in Österreich und im DACH-Raum bei NIS2, ISO 27001 und als externer CISO. Mehr über Lukas Kulmitzer