← StartseiteNIS-2 / NISG 2026

NIS-2 trifft Österreich ab 1. Oktober 2026. Wir bringen Sie rechtzeitig in Form.

Rund 4.000 Einrichtungen sind direkt betroffen, zehntausende mittelbar über die Lieferkette. Ich kläre Ihre Betroffenheit, baue das geforderte Risikomanagement auf und richte Ihr Meldewesen ein — ohne Aktionismus, mit auditfesten Dokumenten.

Gespräch vereinbarenBetroffenheit prüfen
Fristen bis zur NISG-2026-Pflicht01.10.2026In Kraft31.12.2026BACS-Registrierung30.09.2027Selbstdeklaration01.10.2028Erster Nachweis

Vier Stichtage trennen Sie von der Konformität. Der erste ist der 1. Oktober 2026.

Standort auch in Deutschland? Dort gilt bereits das NIS2UmsuCG (BSIG-neu), in Kraft seit 6.12.2025. Zur NIS-2-Deutschland-Seite →

Fallen Sie überhaupt unter NIS-2?

Das hängt von Sektor (Anlage 1 oder 2), Größe und Sonderfällen ab. Den ersten Hinweis bekommen Sie in einer Minute mit dem Betroffenheits-Checker auf der Startseite — die belastbare Einstufung machen wir gemeinsam.

  • Wesentliche Einrichtung: hohe Kritikalität plus Größe, proaktive Aufsicht.
  • Wichtige Einrichtung: voll pflichtig, reaktive Aufsicht.
  • Sonderfälle (DNS, TLD, Vertrauensdienste) sind größenunabhängig erfasst.
  • Lieferkette: auch nicht direkt Betroffene werden vertraglich in die Pflicht genommen.

Was das NISG 2026 konkret verlangt

Die Pflichten sind für wesentliche und wichtige Einrichtungen dieselben — der Unterschied liegt in der Aufsicht.

  • § 29 Registrierung bei der Behörde, in der Regel binnen drei Monaten.
  • § 31 Verantwortung und Schulung der Leitungsorgane — persönliche Haftung inklusive.
  • § 32 Risikomanagement über zehn verpflichtende Maßnahmenbereiche.
  • § 34 Meldepflicht: Frühwarnung in 24 Stunden, Vollmeldung in 72 Stunden.
  • Sanktionen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes.

Wie ich Sie begleite

Von der Ersteinschätzung bis zum eingespielten Betrieb — in nachvollziehbaren Etappen, die Ihre Leute mittragen können.

  • Betroffenheits- und Gap-Analyse gegen die § 32-Bereiche.
  • Aufbau eines schlanken ISMS (ISO 27001 mappt fast 1:1 auf § 32).
  • Melde- und Eskalationsprozess für die 24/72-Stunden-Fristen.
  • Schulung der Leitungsorgane und Absicherung der Lieferkette.

Größenkriterien: EU-Bezug und NISG 2026 im Vergleich

Betroffenheit hängt an Sektor und Größe. Bei den Finanzkennzahlen verknüpft die EU-Empfehlung mit oder, das NISG 2026 mit und — ein kleiner Unterschied mit Folgen.

EU-Bezug

KMU-Empfehlung 2003/361/EG

Mitarbeiter: unter 250 → höchstens mittleres Unternehmen
Finanzen: Jahresumsatz ≤ 50 Mio. € oder Bilanzsumme ≤ 43 Mio. € (Wahlrecht)
Ein Finanzwert genügt für die Einstufung.
Nationales Recht (RIS)

NISG 2026 · BGBl. I Nr. 94/2025

Mittel: ab 50 Mitarbeitern oder Umsatz und Bilanzsumme jeweils über 10 Mio. €
Groß: ab 250 Mitarbeitern oder Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. €
Auf dem Finanzweg müssen beide Werte überschritten sein.
Warum das zählt: Wer die 50-Mitarbeiter-Schwelle nicht erreicht, ist nach NISG 2026 nur erfasst, wenn Umsatz und Bilanzsumme zugleich über der Grenze liegen — ein Wert allein genügt hier nicht, anders als in der EU-Empfehlung. Ab 50 Mitarbeitenden sind Sie unabhängig von den Finanzen erfasst. Konzern- und Partnerzahlen sind zuzurechnen; Sondertatbestände nach § 4 (Vertrauensdienste, DNS/TLD, öffentliche TK, öffentliche Verwaltung Bund) gelten größenunabhängig. Maßgeblich ist der Gesetzestext: NISG 2026 im RIS. Im Einzelfall mit aktuellem Rechnungsabschluss prüfen — keine Rechtsberatung.

Häufige Irrtümer

Irrtum„Wir sind zu klein, uns betrifft das nicht.“
RichtigBetroffenheit hängt von Sektor und Schwellenwerten ab — und über die Lieferkette trifft es auch kleinere Betriebe.
Irrtum„Größe ist gleich Mitarbeiterzahl.“
RichtigEs zählen Schwellenwerte aus Mitarbeiterzahl UND Umsatz bzw. Bilanzsumme; Sonderfälle (z. B. DNS, Vertrauensdienste) gelten größenunabhängig. Die Zuordnung im NISG kann von der reinen Lesart der Richtlinie abweichen.
Irrtum„Wir warten, bis sich die Behörde meldet.“
RichtigRegistrierung und Pflichten greifen aus eigener Verantwortung, nicht erst auf Aufforderung.
Irrtum„NIS-2 ist reine IT-Sache.“
Richtig§ 31 macht die Leitungsorgane persönlich verantwortlich — Governance und Schulung sind Chefsache.

Drei Tipps aus der Praxis

  1. Betroffenheit sauber klären: Sektor, Größe, Sonderfälle und Lieferkette getrennt prüfen.
  2. Registrierungsfrist (§ 29) früh einplanen — sie läuft aus eigener Verantwortung, nicht erst auf Aufforderung.
  3. Schulung der Leitungsorgane dokumentieren — § 31 macht sie persönlich verantwortlich.

Verwandte Themen

Offizielle Quellen & Normen

Kontakt