Legal Insights

NISG 2026 – Betroffenheitsanalyse und Registrierungspflicht

21. September 2026

Das Netz- und Informationssystemsicherheitsgesetz 2026 („NISG“) tritt am 1. Oktober 2026 in Kraft. Damit wird die RL (EU) 2022/2555 („NIS-2-Richtlinie“) in nationales Recht umgesetzt. Unternehmen, die unter das NISG fallen, müssen die verschiedenen NIS-2-Pflichten umsetzen und bis zum Jahresende eine Registrierung bei der Cybersicherheitsbehörde vornehmen. Bei der „Betroffenheitsanalyse“ nach dem NISG ist allerdings Folgendes zu berücksichtigen: Nicht nur die jeweiligen Haupttätigkeiten einer juristischen Person, sondern auch Nebentätigkeiten oder rein konzerninterne (IT-)Dienstleistungen können zur Anwendbarkeit des NISG führen.

Das NISG gilt für Unternehmen, die in Österreich niedergelassen sind, wenn zwei Voraussetzungen erfüllt sind. Die erste Voraussetzung betrifft die Unternehmensgröße, die zweite Voraussetzung betrifft die konkrete Tätigkeit der juristischen Person. Abweichend dazu gelten bestimmte IT- und Telekommunikationsdienstleister sowie auch Einrichtungen der Bundes- und Landesverwaltung unabhängig von der Unternehmensgröße als „wesentliche Einrichtung“ oder „wichtige Einrichtung“ (§ 24 Abs. 1, 2 NISG).

1. Unternehmensgröße

Das NISG gilt nur für Unternehmen, die zumindest als „mittleres Unternehmen“ i. S. d. KMU-Definition der Europäischen Kommission (Empfehlung 2003/361/EG) zu qualifizieren sind. Ein Unternehmen gilt als mittleres Unternehmen, wenn es (i) mindestens 50 Beschäftigte (vollzeitäquivalent) hat oder (ii) sowohl der Jahresumsatz EUR 10 Mio. als auch die Jahresbilanzsumme EUR 10 Mio. übersteigen. Ein Unternehmen gilt als großes Unternehmen, wenn es (i) mindestens 250 Beschäftigte (vollzeitäquivalent) hat oder (ii) sowohl der Jahresumsatz EUR 50 Mio. als auch die Jahresbilanzsumme EUR 43 Mio. übersteigen.

Bei der Berechnung der Mitarbeiterzahl, des Jahresumsatzes und der Bilanzsumme ist nicht nur auf die einzelne juristische Person abzustellen. Vielmehr sind auch die Kennzahlen der „verbundenen Unternehmen“ voll und jene der „Partnerunternehmen“ anteilig hinzuzurechnen. Dies führt dazu, dass in vielen Fällen zumindest ein „mittleres Unternehmen“ vorliegt. Jedenfalls ist darauf zu achten, dass die detaillierten Vorgaben zur Feststellung der betreffenden Kennzahlen korrekt angewendet werden.

2. Tätigkeit in einem relevanten Sektor

Das NISG gilt – abgesehen von einigen Sonderfällen – nur für Unternehmen, die in einem der 18 Sektoren tätig sind, die in den Anlagen 1 und 2 genannt werden. Diese Sektoren sind zum Teil in „Teilsektoren“ und näher in „Einrichtungen“ gegliedert. Für die Betroffenheitsanalyse nach dem NISG ist maßgeblich, ob eine juristische Person eine Tätigkeit ausübt, die sich unter der Definition einer dieser Einrichtungen einordnen lässt. Dies ist in manchen Fällen eindeutig feststellbar, in einigen Fällen ist jedoch eine sorgfältige rechtliche Prüfung erforderlich (auch Mehrfachqualifikationen sind möglich).

Bei der Betroffenheitsanalyse sind zwei wesentliche Punkte zu beachten:

Erstens ist nicht nur die jeweilige Haupttätigkeit einer juristischen Person zu prüfen, sondern auch jede Nebentätigkeit. Dies ergibt sich daraus, dass die Definitionen einzelner Einrichtungen durch einen entsprechenden Vorbehalt die Maßgeblichkeit von Nebentätigkeiten ausschließen: Ein „Erzeuger im Sinne des § 7 Abs. 1 Z 17 ElWOG“ gilt etwa ausdrücklich nur dann als Einrichtung im Sektor „Energie“, wenn es sich dabei „um die gewerbliche oder berufliche Haupttätigkeit handelt“. Im Umkehrschluss muss gelten, dass Einrichtungen ohne einen solchen Vorbehalt auch bloße Nebentätigkeiten erfassen.
Zweitens sind nicht nur die marktgerichteten Tätigkeiten zu prüfen, sondern auch Tätigkeiten, die ausschließlich konzernintern erbracht werden. Dies ergibt sich daraus, dass die NIS-2-Richtlinie und das NISG für die Qualifikation als Einrichtung rein auf die Art der Tätigkeit abstellen und kein „Konzernprivileg“ vorsehen. Dies wird auch ausdrücklich von der aktuellen NIS-Behörde in FAQs vertreten, die gemeinsam mit der WKÖ erarbeitet und publiziert wurden.

Der Umstand, dass Unternehmen allein durch Nebentätigkeiten oder durch rein konzerninterne Leistungen in den Anwendungsbereich des NISG fallen können, ist besonders relevant für konzerninterne IT-Dienstleistungen. Hierbei ist insbesondere zu prüfen, ob diese Leistungen zur Qualifikation als „Anbieter verwalteter Dienste (Managed Service Provider)“, als „Anbieter von Cloud-Computing-Diensten“ oder als „Anbieter von Rechenzentrumsdiensten“ führen. All diese Einrichtungen sind in Anlage 1 des NISG genannt.

3. Registrierungspflicht

Juristische Personen, die als wesentliche oder wichtige Einrichtung unter den Anwendungsbereich des NISG fallen, müssen zwischen 1. Oktober 2026 und 31. Dezember 2026 eine Registrierung bei der Cybersicherheitsbehörde vornehmen (Bundesamt für Cybersicherheit, BMI). Dabei sind die in § 29 Abs. 2 NISG aufgelisteten Angaben zu erstatten. Die Registrierung erfolgt im Unternehmensserviceportal (USP) mittels der Anwendung „NIS2 Services“, die ab 1. Oktober 2026 verfügbar sein soll. Wird die Registrierung nicht fristgerecht vorgenommen, drohen Geldbußen von bis zu EUR 50.000 pro juristischer Person.

4. Fazit

Da das NISG bereits am 1. Oktober 2026 in Kraft tritt, sollten Unternehmen – sofern dies noch nicht erfolgt ist – unverzüglich eine Betroffenheitsanalyse durchführen.

Unternehmen, die unter das NISG fallen, sollten sich auf die Umsetzung der NIS-2-Verpflichtungen vorbereiten. Diese umfassen insbesondere die fristgerechte Registrierung, angemessene Risikomanagementmaßnahmen im Bereich der Cybersicherheit, Schulungen für Leitungsorgane und die Meldung erheblicher Cybersicherheitsvorfälle.

Für sämtliche Fragen zum NISG stehen Ihnen unsere juristischen Expert:innen sowie die Cybersecurity-Expert:innen aus dem Bereich Technology Consulting gerne zur Verfügung.

ANSPRECHPARTNER