Registrierungsbeginn am 1. Oktober 2026
Ab diesem Datum können sich bestehende betroffene Einrichtungen registrieren, über das elektronische Formular des Bundesamts für Cybersicherheit.
NIS2 und NISG 2026
Das österreichische Netz- und Informationssicherheitsgesetz setzt die EU-Richtlinie NIS 2 um. Hier finden Sie die wichtigsten Punkte in Kürze.
Stand
Aktuelles
Registrierungsfrist
Bestehende wesentliche und wichtige Einrichtungen: bis spätestens 31. Dezember 2026. Später betroffene Einrichtungen: drei Monate nach Eintritt der Voraussetzungen.
Zuständige Behörde
Das Bundesamt für Cybersicherheit ist die zuständige Behörde (§ 3a Abs. 1).
Was ist NIS2?
NIS 2 ist die EU-Richtlinie zur Cybersicherheit (Richtlinie (EU) 2022/2555). Sie verpflichtet Einrichtungen in wichtigen Wirtschaftssektoren zu einem verpflichtenden Risikomanagement für Netz- und Informationssysteme und zur Meldung von Sicherheitsvorfällen.
In Österreich wird die Richtlinie durch das Netz- und Informationssicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) umgesetzt. Zuständige Behörde ist das Bundesamt für Cybersicherheit (§ 3a Abs. 1).
Wer ist betroffen?
Ob eine Einrichtung unter das Gesetz fällt, hängt von der Branche und von der Größe ab. Die Größenklassen richten sich nach der Empfehlung 2003/361/EG (§ 25). Ab einem mittleren Unternehmen gilt: mindestens 50 Mitarbeitende oder ein Jahresumsatz über 10 Mio. € und eine Bilanzsumme über 10 Mio. €. Ein großes Unternehmen hat mindestens 250 Mitarbeitende oder einen Jahresumsatz über 50 Mio. € und eine Bilanzsumme über 43 Mio. €.
Wesentliche Einrichtungen
Einrichtungen in den Sektoren von Anlage 1 mit großem Unternehmen, sowie bestimmte Anbieter unabhängig von der Größe, zum Beispiel qualifizierte Vertrauensdiensteanbieter oder Top-Level-Domain-Namenregister (§ 24 Abs. 1).
Wichtige Einrichtungen
Einrichtungen aus den Anlagen 1 und 2 mit mittlerem oder großem Unternehmen, sowie Telekommunikationsanbieter unabhängig von der Größe (§ 24 Abs. 2).
Betroffene Sektoren, u. a.
- Energie, Verkehr, Bankwesen und Finanzmarktinfrastruktur
- Gesundheit, Trinkwasser und Abwasser
- Digitale Infrastruktur und IT-Dienste für Unternehmen
- Öffentliche Verwaltung
Weitere Sektoren (Anlage 2), u. a.
- Post- und Kurierdienste, Abfallwirtschaft
- Chemie, Lebensmittel, Industrie
- Digitale Anbieter und Forschung
Die Behörde kann eine Einrichtung auch durch Bescheid als wesentlich oder wichtig einstufen (§ 26 Abs. 1). Gemeinden sind ausgenommen (§ 24 Abs. 3).
Zeitplan
1. Oktober 2026
Ab diesem Datum beginnt das Registrierungsfenster für bestehende betroffene Einrichtungen.
Registrierung
Bestehende wesentliche und wichtige Einrichtungen registrieren sich vom 1. Oktober bis spätestens 31. Dezember 2026. Wer später betroffen wird, hat drei Monate nach Eintritt der Voraussetzungen Zeit.
Selbstdeklaration
Die Selbstdeklaration ist innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht zu übermitteln (§ 33 Abs. 1).
Pflichten
Risikomanagement
Die Einrichtung setzt Risikomanagementmaßnahmen um, die mindestens bestimmte Punkte abdecken, zum Beispiel Multi-Faktor-Authentifizierung (§ 32 Abs. 4).
Verantwortung der Leitung
Die Leitung hat die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen. Dazu gehört eine Schulungspflicht (§ 31).
Meldepflichten
Erhebliche Sicherheitsvorfälle werden an das zuständige CSIRT gemeldet: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats (§ 34).
Wie wir unterstützen können
Wir helfen dabei, die eigene Lage einzuordnen, die wichtigsten Lücken zu priorisieren und daraus nächste Schritte abzuleiten. Den Bezug zur Rechtslage klären bei Bedarf Ihre Rechtsberatung oder die zuständige Behörde.
Diese Seite gibt allgemeine Informationen auf Basis des Gesetzestextes wieder und ersetzt keine Rechtsberatung. Maßgeblich ist der veröffentlichte Gesetzestext (RIS, BGBl. I Nr. 94/2025). Stand: Oktober 2026.