NIS2-Check für Österreich: Betrifft uns das NISG 2026?
Sektor, Mitarbeiter, Umsatz und Bilanzsumme eingeben: Der Check schätzt nach dem NISG 2026 ein, ob Ihr Unternehmen voraussichtlich wesentliche oder wichtige Einrichtung ist oder als Lieferant betroffen sein kann. Mit Paragraphen und Quellen.
- Ohne Anmeldung
- Keine Speicherung der Eingaben
- Ergebnis in Sekunden
Maßgeblich ist, was die Einrichtung tatsächlich tut, nicht die Branche im Firmenbuch. Wer mehreres macht, wählt den Bereich mit der strengsten Einstufung.
Jahresdurchschnitt, Teilzeit anteilig.
Optional, letzter Jahresabschluss.
Optional, letzter Jahresabschluss.
Wählen Sie einen Bereich und geben Sie die Mitarbeiterzahl ein, dann erscheint die Einschätzung.
So schätzt der NIS2-Check ein
Der Check wendet die Regeln des österreichischen NISG 2026 an. Maßgeblich sind zwei Fragen: Sind Sie in einem Sektor der Anlagen 1 oder 2 tätig, und gelten Sie nach § 25 NISG 2026 als mittleres oder großes Unternehmen? Daraus folgt nach § 24 die voraussichtliche Einstufung als wesentliche oder wichtige Einrichtung.
Das NISG 2026 wurde am 23. Dezember 2025 kundgemacht (BGBl. I Nr. 94/2025) und gilt seit 1. Oktober 2026. Betroffene Einrichtungen müssen sich bis 31. Dezember 2026 über das Unternehmensserviceportal registrieren. Der Check ist eine Orientierung und keine Rechtsberatung.
Ab welcher Größe gilt ein Unternehmen nach dem NISG 2026 als mittel oder groß?
Nach § 25 Abs. 3 NISG 2026 gilt ein Unternehmen als mittel, wenn es mindestens 50 Mitarbeiter beschäftigt oder wenn der Jahresumsatz über 10 Millionen Euro und die Jahresbilanzsumme über 10 Millionen Euro liegen. Als groß gilt es nach Abs. 2 ab 250 Mitarbeitern oder bei mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme. Werte von Partner- und verbundenen Unternehmen werden nach der KMU-Empfehlung 2003/361/EG grundsätzlich mitgerechnet.
Was müssen wesentliche und wichtige Einrichtungen tun?
Sie müssen sich registrieren (§ 29), Risikomanagementmaßnahmen einschließlich der Sicherheit der Lieferkette umsetzen (§ 32), erhebliche Cybersicherheitsvorfälle melden (§ 34) und innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht Informationen zu den umgesetzten Maßnahmen übermitteln (§ 33). Die Geschäftsleitung muss die Maßnahmen beaufsichtigen und an Schulungen teilnehmen (§ 31).
Was ist der Unterschied zwischen wesentlich und wichtig?
Die Sicherheitsmaßnahmen sind dieselben. Unterschiede gibt es bei Aufsicht und Strafrahmen: Wesentliche Einrichtungen können auch ohne Anlass geprüft werden, wichtige nur bei begründeten Hinweisen. Der Strafrahmen nach § 45 NISG 2026 liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche und bei bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist.
Wir sind ein kleiner Betrieb. Betrifft uns NIS2 trotzdem?
Direkt meist nicht, außer Sie sind etwa Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Namenregister oder Anbieter öffentlicher Kommunikationsnetze oder -dienste. Indirekt ist es möglich: Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette beachten und können Anforderungen vertraglich an Dienstleister und Zulieferer weitergeben.
Ändert sich die NIS2-Richtlinie noch?
Die Europäische Kommission hat am 20. Jänner 2026 Vorschläge zur Vereinfachung vorgelegt, unter anderem zu Schwellenwerten und zum Anwendungsbereich. Laut Bundesamt für Cybersicherheit gilt aber das NISG 2026, bis Änderungen auf EU-Ebene beschlossen und in Österreich umgesetzt sind. Wir aktualisieren den Check bei Gesetzesänderungen.
Quellen, Stand 20. Oktober 2026
- RIS: NISG 2026, BGBl. I Nr. 94/2025 vom 23. Dezember 2025 (Bundesgesetzblatt)
- RIS: NISG 2026, konsolidierte Fassung
- Bundesamt für Cybersicherheit: FAQ Gesetzgebung (Inkrafttreten, Stand 25. September 2026)
- Bundesamt für Cybersicherheit: FAQ Registrierung
- nis.gv.at: Bundesamt für Cybersicherheit
- WKO: NISG 2026, Pflichten und Fristen (6. Oktober 2026)
- EUR-Lex: Richtlinie (EU) 2022/2555 (NIS-2), Anhänge I und II
- EUR-Lex: Empfehlung 2003/361/EG zur KMU-Definition
Passende Ratgeber
NIS2 in Österreich: Ist mein Betrieb vom NISG 2026 betroffen?
Seit 1. Oktober 2026 gilt das NISG 2026. Wer betroffen ist, bis wann Sie sich registrieren müssen und welche Pflichten und Strafen gelten. Stand Oktober 2026.
Ransomware im Betrieb: Was gehört in den Notfallplan?
Was ein Büro bei Ransomware sofort tun muss, wen es anruft, welche Meldefristen gelten und wie ein Notfallplan auf zwei Seiten aussieht. Mit Vorlage.
IT-Dienstleister auswählen: Checkliste mit 15 Fragen
Woran Sie einen guten IT-Dienstleister für Software, Website oder Büro-IT erkennen: 15 Fragen, Warnsignale, nötige Verträge und Zugänge, mit Quellen zur DSGVO.
Weitere Tools
Schriftliche Ersteinschätzung, ohne Verkaufsanruf
Schreiben Sie uns, worum es geht.
Sie bekommen eine schriftliche Ersteinschätzung mit realistischem Rahmen und den nächsten Schritten. Ein Gespräch gibt es nur, wenn Sie eines möchten.
Antwort innerhalb von 24 Stunden an Werktagen · +43 699 1919 5789