Die NIS2-Richtlinie betrifft in Österreich Unternehmen aus 18 klar definierten Sektoren, wobei mittlere und große Betriebe ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz/Bilanzsumme erfasst werden. Entscheidend sind sowohl die Branche als auch die Unternehmensgröße – spezielle Einrichtungsarten fallen manchmal unabhängig von der Größenklasse unter NIS2.
Die NIS2-Richtlinie legt europaweit neue Standards für Cybersicherheit fest und betrifft in Österreich Unternehmen aus insgesamt 18 deutlich abgegrenzten Sektoren. Für die Mehrheit der Betriebe ist entscheidend: Ob Ihr Unternehmen unter NIS2 fällt, hängt von Branche und Unternehmensgröße ab. Neben bereits bekannten „kritischen Infrastrukturen“ werden nun zahlreiche Branchen reguliert. Wer im Sektor tätig ist und die Schwellenwerte für Mitarbeiterzahl oder Umsatz erreicht, muss mit Melde- und Sicherheitspflichten rechnen. Das macht eine regelmäßige Betroffenheitsprüfung unerlässlich.
- 18 explizit genannte Sektoren – von Energie bis Forschung – fallen unter NIS2.
- Mittlere und große Unternehmen (ab 50 Mitarbeitenden oder 10 Mio. € Umsatz/Bilanzsumme) sind grundsätzlich erfasst.
- Spezielle Einrichtungen unterliegen der NIS2-Richtlinie unabhängig von ihrer Größe.
Was bedeutet NIS2 für Unternehmen in Österreich?
NIS2 ist die europaweit gültige Richtlinie für ein hohes Cybersicherheitsniveau, mit dem Ziel, zentrale Wirtschafts- und Versorgungsbereiche widerstandsfähiger gegen digitale Risiken zu machen. Das österreichische NISG 2026 („Netz- und Informationssystemsicherheitsgesetz“) setzt die Vorgaben für alle Unternehmen um, die kritische Dienstleistungen in einem der 18 erfassten Sektoren erbringen. Das betrifft weit mehr als bislang und führt gerade für den Mittelstand zu neuen Pflichten: Betroffene Unternehmen müssen sich registrieren, Cybersicherheitsmaßnahmen implementieren und Meldeprozesse einrichten, um die Versorgungssicherheit zu gewährleisten. Mehr dazu: NISG 2026 – So prüfen Sie Ihren Betriebsstatus.
Welche 18 Sektoren sind betroffen?
Die NIS2-Richtlinie schließt insgesamt 18 Sektoren ein, die in zwei Gruppen unterteilt werden: Bereiche mit hoher Kritikalität und sonstige kritische Sektoren. Erstere werden als „wesentliche Einrichtungen“ bezeichnet, letztere als „wichtige Einrichtungen“. Zu den Sektoren mit hoher Kritikalität zählen Energie (inkl. Strom, Gas, Öl, Fernwärme/Kälte, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitssektor (einschl. pharmazeutischer Produktion), Trinkwasserversorgung, Abwasser, digitale Infrastrukturen, IKT-Dienstmanagement, öffentliche Verwaltung und Weltraum. Die übrigen erfassten Sektoren sind Post- und Kurierdienste, Abfallbewirtschaftung, Chemische Industrie, Lebensmittelwirtschaft und -handel, Verarbeitendes Gewerbe (wie Maschinenbau, Fahrzeugbau, Elektronik, Medizinprodukte), digitale Dienste (u.a. Online-Marktplätze, Suchmaschinen, soziale Plattformen) und Forschungseinrichtungen.[1] Mehr zur Zuordnung der Sektoren siehe weiter unten.
Welche Sektoren gelten als besonders kritisch?
Betriebe aus Sektoren mit hoher Kritikalität werden besonders streng reguliert. Dazu zählen die zehn Schlüsselbereiche: Energie (inkl. Strom, Fernwärme/-kälte, Öl, Gas, Wasserstoff), Verkehr (alle Verkehrsträger), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen und Pharma, Trinkwasserversorgung, Abwasserentsorgung, digitale Infrastrukturen und Dienste (darunter Internet-Knotenpunkte, Provider), die Verwaltung von IKT-Diensten, die öffentliche Verwaltung und der Weltraumsektor.[1] Unternehmen aus diesen Bereichen gelten oft als „wesentliche Einrichtungen“, sofern sie die Größenkriterien erfüllen.
Welche Unternehmensgröße ist entscheidend?
Ob ein Unternehmen unter den Anwendungsbereich fällt, ist nicht allein von seiner Branche abhängig, sondern auch von der Größe des Betriebs. Die gängigen Schwellenwerte lauten: Betriebe mit mindestens 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und mindestens 10 Millionen Euro Bilanzsumme sind grundsätzlich betroffen. Große Unternehmen überschreiten diese Werte deutlich. Einige Einrichtungen – etwa Betreiber kritischer Anlagen oder Anbieter von Vertrauensdiensten – zählen unabhängig von der Größe immer dazu.
Wesentliche oder wichtige Einrichtung: Was ist der Unterschied?
Die Einteilung in „wesentliche“ und „wichtige“ Einrichtungen orientiert sich an Sektor und Größe: Große Unternehmen aus Sektoren mit hoher Kritikalität sind wesentliche Einrichtungen; mittlere Unternehmen in denselben Sektoren sowie große und mittlere Unternehmen in sonstigen kritischen Sektoren gelten als wichtige Einrichtungen. Diese Differenzierung wirkt sich direkt auf das Maß staatlicher Kontrolle, die Art der Berichtspflichten und das mögliche Strafmaß im Fall von Verstößen aus. Für die korrekte Einordnung entscheidend ist der Tätigkeitsbereich, die Einrichtungsart laut den gesetzlichen Anlagen und – besonders wichtig – die exakte Betriebsgröße.
So prüfen Sie, ob Ihr Unternehmen betroffen ist
Jedes Unternehmen, das zu einem der 18 Sektoren gehört, sollte konkret die eigene Betriebsgröße ermitteln und in Bezug zu den genannten Schwellenwerten setzen. Die NISG-Anlagen (in Österreich) oder NACE-Klassifikationen geben Orientierung, welche Einrichtungsarten tatsächlich zulassungspflichtig sind und unter das Gesetz fallen. In Sonderfällen muss die Rechtslage (etwa bei Konzernen oder spezialisierten Betreibern) besonders geprüft werden. Gerade kleine Betriebe sind in der Regel nicht betroffen, es sei denn, sie gehören zu explizit genannten Einrichtungen wie Registerbetreibern oder Anbietern kritischer Infrastruktur. Sinnvoll ist der Abgleich mit offiziellen Checklisten und – wo nötig – die Rücksprache mit einem Fachberater.
Typische Probleme bei der Einordnung
Herausfordernd bleibt in der Praxis oft die genaue Zuordnung innerhalb der Sektoren: So ist nicht immer auf den ersten Blick klar, ob ein Unternehmen tatsächlich in einen kritischen Teilsektor fällt. Die nationale Umsetzung des EU-Rechts (z. B. im österreichischen NISG 2026) konkretisiert die Einrichtungsarten meist anhand internationaler Branchenklassifikationen. Unternehmen sollten daher nicht allein den eigenen Firmennamen oder Branchencode zurate ziehen, sondern prüfen, ob die angebotenen Leistungen in einer der Anlagen explizit genannt werden. Auch Verbände und Behörden bieten in der Umsetzungsphase Orientierung.
Aktuelle Entwicklungen und Registrierungspflichten
Unternehmen, die unter NIS2 fallen, sind verpflichtet, sich bei der zuständigen Cybersicherheitsbehörde zu registrieren. Die Erfahrungen aus Deutschland zeigen: Bis Ende Juni 2026 wurden bereits rund 17.729 Unternehmen registriert, mit weiter steigender Tendenz und großem Anteil aus dem Mittelstand. In Österreich werden ähnliche Meldeprozesse eingeführt. Für betroffene Betriebe empfiehlt sich eine frühzeitige Bestandsaufnahme – Cybersecurity- und Compliance-Aufgaben werden zum festen Bestandteil der Unternehmensführung.
Was bedeutet NIS2 für Karriere und berufliche Aufgaben?
Mit den neuen Pflichten durch NIS2 entstehen zahlreiche neue Aufgabenfelder rund um Cybersicherheit, Risikomanagement und Compliance. Informationssicherheitsbeauftragte, Fachkräfte für IT-Security und verantwortliche Personen für Notfallmanagement werden für viele Branchen zum Muss. Die Qualifikationen reichen von technischer IT-Kompetenz über Prozessmanagement bis hin zu juristischem Verständnis für die Einhaltung gesetzlicher Vorgaben. Das eröffnet für Fachkräfte wie für Unternehmen Karrierechancen – und markiert für Geschäftsführer und Führungspersonal einen zentralen Baustein künftiger Unternehmenssicherheit.
Fazit: Kritische Sektoren kennen, Betroffenheit klären
Die NIS2-Richtlinie erfasst in Österreich deutlich mehr Unternehmen als frühere Gesetze. Entscheidend sind Sektorzugehörigkeit und Unternehmensgröße, aber auch Sonderregeln für bestimmte Betriebsarten. Unternehmen sind gut beraten, die eigene Position kritisch zu prüfen, Personal zu qualifizieren und die Meldewege vorzubereiten. Cybersicherheit ist damit kein Nebenthema mehr, sondern rückt ins Zentrum der unternehmerischen Verantwortung und zur Schlüsselkompetenz für Führungskräfte im Mittelstand.
Quellen
[1] Richtlinie ... (NIS2‑Richtlinie) – häufig gestellte Fragen (European Commission)
