NISG 2026 · Schritt 1

NISG-2026-Schnellcheck: Bin ich betroffen?

Drei Klicks zur ersten Einschätzung – direkt im Browser, ohne dass Eingaben gespeichert oder übertragen werden. Darunter finden Sie alle Kriterien ausführlich.

Zuletzt aktualisiert:

Kurz beantwortet

Wer ist vom NISG 2026 betroffen?

Vom betroffen sind in der Regel mittlere und große Unternehmen (ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme), die in einem Sektor mit hoher Kritikalität (z. B. Energie, Verkehr, Gesundheit, digitale Infrastruktur) oder einem sonstigen kritischen Sektor (z. B. Herstellung von Waren, Lebensmittel, Abfallwirtschaft, digitale Dienste) tätig sind. Einige Einrichtungen – etwa DNS-Diensteanbieter oder Vertrauensdiensteanbieter – sind unabhängig von ihrer Größe erfasst.

Fünf Orientierungsfragen im Detail

Gehen Sie die Fragen der Reihe nach durch. Sobald eine Frage zu „Ja, betroffen“ oder „Unklar“ führt, empfehlen wir eine genaue Prüfung.

  1. Ist Ihr Unternehmen in einem der unten genannten Sektoren tätig?

    Nein: Eine direkte Betroffenheit ist unwahrscheinlich – prüfen Sie aber Frage 5 (Lieferkette). Ja: weiter mit Frage 2.

  2. Erreicht Ihr Unternehmen mindestens mittlere Größe?

    Mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Bei Konzernen sind verbundene Unternehmen und Partnerunternehmen zu berücksichtigen. Ja: Sie sind voraussichtlich betroffen. Nein: weiter mit Frage 3.

  3. Fallen Sie unter einen Sonderfall, der unabhängig von der Größe gilt?

    Zum Beispiel Vertrauensdienste, öffentliche elektronische Kommunikation, TLD-Namenregister oder DNS-Dienste. Ja: Sie sind voraussichtlich betroffen.

  4. Sind Sie der einzige Anbieter eines wesentlichen Dienstes?

    Etwa wenn ein Ausfall Ihres Dienstes erhebliche Auswirkungen auf die öffentliche Sicherheit, Gesundheit oder kritische Tätigkeiten hätte. Ja oder unklar: Einzelfallprüfung empfohlen.

  5. Beliefern Sie betroffene Einrichtungen mit IT, Software oder Dienstleistungen?

    Dann sind Sie zwar nicht zwingend selbst betroffen, werden aber häufig über Verträge zu Sicherheitsmaßnahmen verpflichtet. Ein strukturiertes Sicherheitsniveau – etwa nach ISO 27001 oder mit dem Cyber Trust Label – ist dann ein Wettbewerbsvorteil.

Hinweis: Das Unternehmensserviceportal rät zur Vorsicht bei Online-„Betroffenheitsanalysen“, die sensible Unternehmensdaten abfragen. Diese Orientierungsfragen erfassen und speichern keine Daten. Die verbindliche Einstufung ergibt sich aus dem NISG 2026.

Erfasste Sektoren im Überblick

Die Sektoren folgen den Anhängen der NIS-2-Richtlinie, die das NISG 2026 in Österreich umsetzt.

Sektoren mit hoher Kritikalität

  • Energie
  • Verkehr
  • Bankwesen
  • Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser
  • Abwasser
  • Digitale Infrastruktur
  • Verwaltung von IKT-Diensten (B2B)
  • Öffentliche Verwaltung
  • Weltraum

Sonstige kritische Sektoren

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Produktion, Herstellung und Handel mit chemischen Stoffen
  • Produktion, Verarbeitung und Vertrieb von Lebensmitteln
  • Verarbeitendes Gewerbe / Herstellung von Waren
  • Anbieter digitaler Dienste
  • Forschung

Im Finanzsektor hat der Digital Operational Resilience Act (DORA) teilweise Vorrang – die genaue Abgrenzung sollte im Einzelfall geprüft werden.

Betroffen – und jetzt?

Schritt 2

Maßnahmen umsetzen

Welche Risikomanagementmaßnahmen das NISG 2026 verlangt und wie wir sie bündeln.

Finanzierung

Förderungen

Förderprogramme für IT-Sicherheitsmaßnahmen in KMU.

Fragen zur Betroffenheit

Welche Unternehmensgröße ist für NIS2 relevant?
In der Regel fallen mittlere und große Unternehmen in den Anwendungsbereich. Als mittleres Unternehmen gilt nach EU-Definition, wer mindestens 50 Beschäftigte hat oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme erreicht. Für die Registrierung ist die Größenbestimmung nach § 25 NISG 2026 maßgeblich.
Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?
Wesentliche Einrichtungen sind vor allem große Unternehmen in Sektoren mit hoher Kritikalität. Wichtige Einrichtungen sind insbesondere mittlere Unternehmen dieser Sektoren sowie Unternehmen in sonstigen kritischen Sektoren. Die Einstufung beeinflusst die Art der Aufsicht und die Höhe möglicher Sanktionen.
Gibt es Einrichtungen, die unabhängig von der Größe betroffen sind?
Ja, zum Beispiel Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, TLD-Namenregister und DNS-Diensteanbieter sowie Einrichtungen, die als einzige einen für kritische gesellschaftliche oder wirtschaftliche Tätigkeiten wesentlichen Dienst erbringen.
Wie gehe ich bei Konzernstrukturen vor?
Bei Tochtergesellschaften und verbundenen Unternehmen ist eine Einzelfallprüfung nötig, weil Beteiligungsverhältnisse die Größenberechnung beeinflussen können.

Betroffenheit verbindlich klären

Wir prüfen Sektor, Größe und Sonderfälle gemeinsam mit Ihnen – im kostenfreien Ersttermin.

Ersttermin buchen Kontakt aufnehmen
NISG 2026 Netz- und Informationssystemsicherheitsgesetz 2026, die österreichische Umsetzung der EU-Richtlinie NIS2. In Kraft seit 01.10.2026; betroffene Einrichtungen müssen sich registrieren, Risikomanagement umsetzen und erhebliche Vorfälle melden. Mehr dazu