NISG 2026 · Schritt 3

Registrierung und Meldepflichten

Betroffene Einrichtungen müssen sich registrieren und erhebliche Cybersicherheitsvorfälle melden. Beides läuft über das Unternehmensserviceportal (USP).

Zuletzt aktualisiert:

Kurz beantwortet

Wie registriere ich mein Unternehmen nach dem NISG 2026?

Die Registrierung erfolgt über „NIS 2 Services“ im Unternehmensserviceportal (USP) und ist laut USP bis 01.01.2027 vorzunehmen. Voraussetzung sind ein Zugang zu Mein USP, Benutzerinnen und Benutzer mit ID Austria und ein Verfahrensrecht („NIS Gesamt“, „NIS Registrierung“ oder „NIS Meldung“). Die Angaben nach § 29 Abs. 2 – insbesondere zur Unternehmensgröße – sollten vorab bereitliegen.

Registrierung in fünf Schritten

  1. USP-Zugang prüfen: Ist Ihr Unternehmen noch nicht bei Mein USP registriert, wird dabei das erste Benutzerkonto mit Administrationsrechten angelegt.
  2. ID Austria sicherstellen: Alle Personen, die registrieren oder melden sollen, benötigen eine ID Austria.
  3. Rollen vergeben: Die USP-Administration weist die Verfahrensrechte zu – „NIS Gesamt“ (alle Berechtigungen), „NIS Registrierung“ oder „NIS Meldung“.
  4. Daten vorbereiten: Registrierungsangaben nach § 29 Abs. 2 NISG 2026 sammeln; besonders relevant ist die Unternehmensgröße nach § 25.
  5. Registrieren: In „NIS 2 Services“ die Registrierung bis 01.01.2027 abschließen und Änderungen künftig aktuell halten.

Unterstützt Sie ein externer Partner wie solbytech, kann er über eine Vollmacht im USP berechtigt werden.

Meldepflichten bei erheblichen Vorfällen

Die Meldepflichten gelten seit Inkrafttreten des NISG 2026. Gemeldet wird gestaffelt an das zuständige Computer-Notfallteam (CSIRT).

  • 24 StundenFrühwarnung nach Kenntnis – inklusive Angabe, ob ein rechtswidriger oder böswilliger Hintergrund vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind
  • 72 StundenVorfallmeldung mit erster Bewertung von Schweregrad und Auswirkungen sowie ggf. Kompromittierungsindikatoren
  • Auf AnfrageZwischenberichte über relevante Statusaktualisierungen
  • 1 MonatAbschlussbericht nach der Vorfallmeldung – oder ein Fortschrittsbericht, falls der Vorfall noch andauert

Fristen nach Art. 23 NIS-2-Richtlinie; die konkreten Vorgaben für Österreich regelt das NISG 2026.

Meldefähig werden – bevor etwas passiert

24 Stunden sind kurz. Wer erst im Vorfall klärt, wer meldet, verliert wertvolle Zeit. Wir empfehlen:

  • Rollen im USP vergeben und Vertretungen festlegen
  • Incident-Response-Plan mit Eskalationswegen und Kontaktliste
  • Kriterien für „erhebliche“ Vorfälle intern definieren
  • Protokollierung und Erkennung so aufsetzen, dass Fakten schnell vorliegen
  • Den Ablauf einmal jährlich üben

Fachartikel: Incident Response Plan

Freiwillige Meldungen

Auch Einrichtungen, die nicht unter das NISG 2026 fallen, können erhebliche Vorfälle, Cyberbedrohungen oder Beinahe-Vorfälle freiwillig melden.

Aufsicht

Wesentliche Einrichtungen unterliegen einer proaktiven Aufsicht – etwa durch Prüfungen, Vor-Ort-Kontrollen und Informationsanforderungen. Bei wichtigen Einrichtungen wird vor allem nachträglich bei Hinweisen auf Verstöße kontrolliert.

Fragen zu Registrierung und Meldung

Wo registriere ich mein Unternehmen nach dem NISG 2026?
Über die Anwendung „NIS 2 Services“ im Unternehmensserviceportal (USP). Sie steht seit 01.10.2026 zur Verfügung und ermöglicht die Registrierung sowie die Meldung erheblicher Cybersicherheitsvorfälle.
Bis wann muss die Registrierung erfolgen?
Laut USP bis zum 01.01.2027.
Darf ein externer Dienstleister für uns registrieren oder melden?
Ja, wenn Sie im USP eine entsprechende Vertretungsregelung (Vollmacht) einrichten und passende Verfahrensrechte vergeben.
Was ist ein erheblicher Sicherheitsvorfall?
Ein Vorfall gilt nach NIS2-Systematik als erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht oder verursachen kann oder andere Personen erheblich materiell oder immateriell schädigt.
Kann man Vorfälle auch freiwillig melden?
Ja. Auch nicht betroffene Einrichtungen können erhebliche Vorfälle, Cyberbedrohungen oder Beinahe-Vorfälle freiwillig melden.

Registrierung und Meldeprozess aufsetzen

Wir bereiten Rollen, Daten und Meldeabläufe mit Ihnen vor – damit im Ernstfall jeder Handgriff sitzt.

Ersttermin buchen Kontakt aufnehmen
NISG 2026 Netz- und Informationssystemsicherheitsgesetz 2026, die österreichische Umsetzung der EU-Richtlinie NIS2. In Kraft seit 01.10.2026; betroffene Einrichtungen müssen sich registrieren, Risikomanagement umsetzen und erhebliche Vorfälle melden. Mehr dazu