Ob Ihr Betrieb unter das österreichische NISG 2026 fällt, hängt von Branche und Unternehmensgröße ab. Entscheidend sind Tätigkeiten in regulierten Sektoren und das Erreichen der mittleren Unternehmensgröße ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme. Es gibt zudem Sonderfälle, bei denen auch kleinere Betriebe betroffen sein können.
Zum Stichtag 1. Oktober 2026 müssen viele österreichische Unternehmen erstmals individuell prüfen, ob sie unter das neue NISG 2026 fallen. Wer ist betroffen? Entscheidend ist, ob der Betrieb in einem gesetzlich erfassten Sektor tätig ist und bestimmte Größenmerkmale erfüllt. Ausnahmen, Sonderfälle und Lieferketten spielen dabei eine wichtige Rolle – und betreffen weit mehr als nur IT-Unternehmen. Hier lesen Sie, wie Sie Schritt für Schritt rechtskonform bestimmen, ob Ihr Unternehmen sich auf neue Pflichten und Meldungen einstellen muss.
- Die NISG-Pflicht beginnt, wenn Sektor und Größe passen – meist ab 50 Mitarbeitenden oder 10 Mio. Umsatz.
- Sonderfälle: Manche Anbieter sind unabhängig von der Unternehmensgröße erfasst.
- Kleine Unternehmen bleiben direkt oft ausgenommen, können aber über die Lieferkette betroffen sein.
NISG 2026: Was gilt ab wann?
Das österreichische Netz- und Informationssystemsicherheitsgesetz – kurz NISG 2026 – setzt die EU-Richtlinie NIS-2 in nationales Recht um. Das neue Gesetz gilt laut offiziellem Stand ab dem 1. Oktober 2026. Sein Ziel ist es, Unternehmen in besonders kritischen Sektoren zur Stärkung der Cybersicherheit zu verpflichten. Zu diesem Zweck werden neue Meldepflichten, Mindeststandards und Selbstdeklarationen eingeführt. Prüfen müssen Unternehmen ihre Betroffenheit eigenständig. Eine behördliche Einstufung oder Freistellung gibt es nicht – die Verantwortung liegt beim Betrieb selbst.[1]
Schritt 1: Ist Ihr Betrieb in einem erfassten Sektor tätig?
Die wichtigste erste Frage: Gehört Ihr Unternehmen zu einem in Anlage 1 oder Anlage 2 des NISG genannten Sektor? Dazu zählen Branchen mit hoher Kritikalität wie Energieversorgung, Wasserwirtschaft, Transport, Bankwesen, Finanzmarktinfrastruktur und Gesundheitswesen. Auch Sektoren wie Digitalinfrastruktur (z. B. Cloud-, Hosting- oder DNS-Anbieter), Öffentliche Verwaltung (sofern nicht ausdrücklich ausgenommen), Lebensmittelproduktion und Postdienste sind erfasst.[2],[3] Für Bankwesen und Finanzmarkt – relevant insbesondere für diesen Finanz-Schwerpunkt – gilt: Finanzunternehmen sind nicht pauschal ausgenommen, sondern müssen selbst nachprüfen, ob ihre konkrete Tätigkeit den gesetzlichen Vorgaben entspricht.[2]
Wichtig: Es zählt nicht nur die Haupttätigkeit. Bereits Nebentätigkeiten in relevanten Sektoren können zur Einstufung führen, mit wenigen Ausnahmen wie in den Sektoren Energie, Trinkwasser, Abwasser und Abfallwirtschaft, wo auf die Schwerpunkttätigkeit abgestellt wird.[2]
Welche Rolle spielen Bankwesen und Finanzmarkt?
Banken, Wertpapierdienstleister, Versicherungen und zentrale Einrichtungen der Finanzmarktinfrastruktur sind zentral im Anwendungsbereich des NISG 2026. Anders als manche vermuten, besteht keine generelle Ausnahme für Unternehmen im Bank- und Finanzsektor, auch wenn sie bereits durch spezielle Regulatorik (z. B. DORA – Digital Operational Resilience Act) beaufsichtigt werden.[2] Entscheidend ist die Sektorzurechnung nach Anlage 1 oder 2 und die jeweilige Tätigkeit, nicht der Branchenname allein. So sind beispielsweise konzerninterne IT-Dienstleister in Bankkonzernen NISG-pflichtig, sofern sie die weiteren Kritikalitätskriterien erfüllen.[4]
Schritt 2: Erreicht Ihr Unternehmen die relevante Größenklasse?
Erfüllen Sie die Voraussetzungen eines in NISG erfassten Sektors, zählt als nächstes die Unternehmensgröße. Als „wesentliche“ oder „wichtige Einrichtung“ gelten, wie im Gesetz definiert, mittlere Unternehmen ab 50 Mitarbeitenden oder bei mehr als 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme. Noch größere Unternehmen ab 250 Mitarbeitenden, 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme gelten als „große Unternehmen“. Für die genaue Berechnung sind verbundene oder Partnerunternehmen – auch außerhalb der EU – miteinzurechnen (Zurechnungsprinzip nach Empfehlung 2003/361/EG).[3],[4] Kleinunternehmen unterhalb der Schwellen fallen meist direkt aus dem Anwendungsbereich heraus.
Schritt 3: Greifen größenunabhängige Sonderfälle?
Es gibt wichtige Ausnahmen zur Größenregel. Digitale Dienste wie DNS-Anbieter, TLD-Register, Cloud- und Rechenzentrumsanbieter, Managed Services, Online-Marktplätze, Suchmaschinen oder soziale Netzwerke können unabhängig von Mitarbeiteranzahl oder Umsatz betroffen sein. Maßgeblich ist hier, ob sie ihre Hauptniederlassung in Österreich haben oder keinen Vertreter in der EU benannt haben.[1] Für diese Anbieter greift die Schwellenprüfung nicht, sie können auch als Kleinstunternehmen vom NISG umfasst werden.
Welche Ausnahmen gibt es?
Das NISG 2026 sieht einige sektorspezifische Ausnahmen vor. Diese betreffen etwa Unternehmen, die zwar eine NIS-Branche bedienen, aber explizit aufgrund ihrer Art oder Funktionsweise ausgenommen werden. Allerdings gibt es im Bereich Finanzen und Banken keine ausdrückliche generelle Ausnahme – hier empfiehlt sich eine Einzelfallprüfung. Für konzerninterne Managed-Service-Provider existieren keine Privilegien: Wer Dienstleistungen etwa für einen Bankkonzern erbringt und die Schwellenwerte erfüllt, wird als eigenes Unternehmen betrachtet.[4]
Kleine Unternehmen: Wann die Lieferkette trotzdem relevant wird
Auch wenn kleine Unternehmen mit weniger als 50 Mitarbeitenden oder weniger als 10 Millionen Euro Umsatz grundsätzlich direkt nicht unter das NISG 2026 fallen, können sie relevante Pflichten treffen. Dies geschieht mittelbar über die Lieferkette: Größere, gesetzlich verpflichtete Kunden können von ihren Dienstleistern und Zulieferern bestimmte Mindeststandards in der IT- und Informationssicherheit verlangen. Vertragliche Verpflichtungen zur Umsetzung von Maßnahmen, für Schulungen oder für Meldeprozesse werden möglich – kleine Betriebe sollten diese Anforderungen früh klären, um Risiken und Kosten realistisch einschätzen zu können.
Was tun, wenn Ihr Betrieb betroffen sein könnte?
Sind Sie nach diesen Schritten betroffen, erwartet Ihr Betrieb verschiedene organisatorische und technische Pflichten laut NISG. Dazu gehören ein systematisches Risikomanagement, Governance mit verpflichtenden Schulungen, umfangreiche Registrierung und Selbstdeklaration sowie Meldepflichten bei Sicherheitsvorfällen.[5] Beginnen Sie idealerweise schon jetzt damit, Geschäftsprozesse und Verträge zu überprüfen, um ausreichend Vorlauf bis zum Inkrafttreten des Gesetzes zu haben.
Das Wichtigste zum NISG 2026: Kernpunkte für Österreichs Unternehmen
Das österreichische NISG 2026 bringt für viele Betriebe erstmalig die Pflicht, sich eigenständig als „wesentliche“ oder „wichtige“ Einrichtung einzuordnen und aktiv Maßnahmen zur Cybersicherheit zu ergreifen. Entscheidend sind die Sektorzuordnung und Größenklassifizierung, mit Sonderregeln für digitale Diensteanbieter. Durch zunehmenden Druck aus Lieferketten werden auch kleine Unternehmen nicht ausgenommen, sondern indirekt eingebunden. Jeder Betrieb sollte sich spätestens jetzt einen strukturierten Überblick verschaffen und die nächsten Schritte zur Compliance einleiten.
Quellen
[1] Anwendungsbereich (Bundesamt für Cybersicherheit, keine Angabe)
[2] Sektoren (Bundesamt für Cybersicherheit, keine Angabe)
[3] NIS‑2 & NISG 2026 – das Wichtigste auf einen Blick (Austrian Standards, keine Angabe)
[4] Fragen und Antworten zu NISG 2026 – WKO (Wirtschaftskammer Österreich, keine Angabe)
[5] Maßnahmen – NISG 2026 Pflichten (Bundesamt für Cybersicherheit, keine Angabe)
