NIS-2 Betroffenheitsprüfung Österreich: Selbsteinstufung nach NISG Schritt für Schritt

Ob dein Unternehmen von NIS-2 betroffen ist, entscheidet sich in Österreich nach dem NISG 2026, das die EU-Richtlinie (EU) 2022/2555 (NIS-2) in nationales Recht umsetzt. Die Grundregel: Erfasst sind grundsätzlich mittlere und große Unternehmen, also Organisationen ab 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme von jeweils mehr als 10 Mio. EUR, sofern sie in einem der 18 erfassten Sektoren tätig sind. Neu ist der Systemwechsel zur Selbsteinstufung: Du musst deine Betroffenheit selbst feststellen, nicht mehr eine Behörde per Bescheid.

Dieser Beitrag führt mit einer Prüf-Tabelle, drei Fallbeispielen und den wichtigsten Sonderfällen durch die Selbsteinstufung. Er ist eine fachliche Orientierung, ersetzt aber keine Rechtsberatung.

• Größe: Ab 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. EUR (EU-Definition mittlerer Unternehmen).
• Sektor: Tätigkeit in einem der 18 Sektoren nach Anhang I oder II der NIS-2-Richtlinie.
• Verfahren: Selbsteinstufung und Selbstdeklaration statt behördlichem Bescheid. Die Verantwortung liegt beim Unternehmen.

Rechtsrahmen: NISG 2026 und die Umsetzungsverzögerung

Die NIS-2-Richtlinie (EU) 2022/2555 hätte EU-weit bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden müssen. Österreich hat diese Frist deutlich überschritten. Der erste Anlauf, das NISG 2024, wurde am 3. Juli 2024 im Nationalrat abgelehnt, weil die für Teile des Gesetzes nötige Zweidrittelmehrheit verfehlt wurde.

Der überarbeitete Entwurf, das NISG 2026, wurde schließlich am 12. Dezember 2025 vom Nationalrat beschlossen und am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht. Nach § 51 NISG 2026 trat es mit dem ersten Monatsersten nach Ablauf von neun Monaten in Kraft, also am 1. Oktober 2026. Seitdem gelten die Pflichten unmittelbar. Wer die Selbsteinstufung noch nicht gemacht hat, sollte sie jetzt nachholen: Die Registrierung muss innerhalb von drei Monaten ab Inkrafttreten erfolgen (§ 29 Abs. 3 NISG 2026).

Das NISG 2026 bringt mehrere strukturelle Neuerungen gegenüber dem 2024er-Entwurf:

• Errichtung eines Bundesamts für Cybersicherheit im Bundesministerium für Inneres (BMI) als zuständige Cybersicherheitsbehörde.
• Systemwechsel zu Selbsteinstufung und Selbstdeklaration statt behördlichem Feststellungsbescheid.
• Überwachungsorgane (zum Beispiel Aufsichtsräte) sind ausdrücklich vom Begriff des "Leitungsorgans" ausgenommen.
• Ein halbjährlicher (statt jährlicher) Cybersicherheitsbericht.

Der Anwendungsbereich umfasst rund 4.000 Unternehmen in 18 Sektoren. Die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen an eigens für sie gestalteten Cybersicherheitsschulungen teilnehmen (§ 31 Abs. 2 NISG 2026); ein Incident-Response-Team ist einzurichten.

Die zwei Kategorien: wesentliche und wichtige Einrichtungen

Wie die EU-Richtlinie unterscheidet das NISG 2026 zwei Kategorien betroffener Organisationen. Die Einstufung folgt aus dem Zusammenspiel von Sektor (Anhang I oder Anhang II der Richtlinie), Unternehmensgröße und gesetzlich definierten Kritikalitätskriterien.

• Wesentliche Einrichtungen unterliegen der intensiveren, auch proaktiven Aufsicht. Typischerweise sind dies große Unternehmen in den besonders kritischen Sektoren des Anhang I (etwa Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur). Groß ist ein Unternehmen ab 250 Beschäftigten oder mit mehr als 50 Mio. EUR Jahresumsatz und zugleich mehr als 43 Mio. EUR Jahresbilanzsumme (§ 25 Abs. 2 NISG 2026).
• Wichtige Einrichtungen werden primär anlassbezogen beaufsichtigt: Die Behörde wird also vor allem nach einem Vorfall oder Hinweis tätig. Hierunter fallen unter anderem mittlere Unternehmen in Anhang-I-Sektoren sowie Einrichtungen aus den Anhang-II-Sektoren.

Wichtig für die Selbsteinstufung: Beide Kategorien haben Pflichten. Die Verantwortung der Geschäftsleitung greift nach der NIS-2-Logik nicht nur bei den wesentlichen Einrichtungen. Artikel 20 der NIS-2-Richtlinie verlangt, dass das Leitungsorgan die Risikomanagementmaßnahmen billigt, ihre Umsetzung überwacht und für Verstöße zur Verantwortung gezogen werden kann. Erwägungsgrund 137 stellt klar, dass diese Verantwortung greifen kann, wenn das Leitungsorgan seinen Governance-Pflichten nicht nachgekommen ist, selbst ohne erfolgreichen Angriff. Haftung knüpft also an die Pflichtverletzung, nicht an den Schaden.

Sanktionen verhängt in Österreich nicht die Cybersicherheitsbehörde selbst, sondern die Bezirksverwaltungsbehörden; der Strafrahmen ist analog zu den NIS-2-Vorgaben ausgestaltet.

Die Prüf-Tabelle: Selbsteinstufung Schritt für Schritt

Arbeite die folgenden Kriterien der Reihe nach ab. Erst wenn Größe und Sektor zutreffen (oder ein Sonderfall greift), ist eine Betroffenheit wahrscheinlich.

Die Größenschwellen folgen der KMU-Empfehlung 2003/361/EG, auf die § 25 NISG 2026 verweist. Die genaue Zuordnung der 18 Sektoren zu Anhang I und Anhang II sowie die Detailregeln zu verbundenen und Partnerunternehmen ergeben sich aus der Richtlinie und dem NISG 2026. Im Grenzfall lohnt die rechtliche Prüfung.

Konkretes Beispiel: drei Unternehmen im Vergleich

Fall A: Mittelständischer IT-Dienstleister (Managed Services), Wien. 70 Mitarbeitende, 14 Mio. EUR Umsatz. Größenkriterium erfüllt (70 ≥ 50 Beschäftigte, mittleres Unternehmen). Managed Services fallen unter den Sektor „Verwaltung von IKT-Diensten (B2B)“ in Anhang I. Als mittleres Unternehmen in einem Anhang-I-Sektor ist der Dienstleister voraussichtlich eine wichtige Einrichtung. Ergebnis: betroffen. Registrierung und Selbstdeklaration erforderlich.

Fall B: Regionaler Energieversorger. 40 Mitarbeitende, 9 Mio. EUR Umsatz. Die reine Größenbetrachtung läge unter beiden Schwellen. Unabhängig von der Größe kann der Versorger trotzdem erfasst sein. Wurde er als kritische Einrichtung nach der CER-Richtlinie (EU) 2022/2557 ermittelt, gilt er als wesentliche Einrichtung (§ 24 Abs. 1 NISG 2026). Zudem kann ihn die Cybersicherheitsbehörde per Bescheid einstufen, etwa weil er einziger Anbieter eines unverzichtbaren Dienstes in Österreich ist oder ein Ausfall die öffentliche Ordnung, Sicherheit oder Gesundheit erheblich beeinträchtigen könnte (§ 26 NISG 2026). Ergebnis: Betroffenheit trotz kleiner Größe möglich. Hier entscheidet die Einzelfallprüfung, eine pauschale Entwarnung wäre falsch.

Fall C: Werbe- und Marketingagentur, 30 Mitarbeitende, 6 Mio. EUR Umsatz. Weder Größenschwelle erreicht noch ein erfasster Kernsektor einschlägig. Ergebnis: nicht direkt betroffen. Aber Achtung beim Lieferketten-Effekt: Wenn die Agentur für eine wesentliche Einrichtung kritische Dienste erbringt, kann sie über vertragliche Anforderungen ihres Kunden faktisch zu NIS-2-konformen Sicherheitsmaßnahmen verpflichtet werden, ohne selbst registrierungspflichtig zu sein.

Die Fälle zeigen das Grundmuster: Größe und Sektor gemeinsam bilden die Regel, doch Sonderfälle und Lieferketten können das Ergebnis verschieben.

Registrierungspflicht und nächste Schritte

Führt deine Selbsteinstufung zu einer Betroffenheit, musst du dich beim Bundesamt für Cybersicherheit registrieren, und zwar innerhalb von drei Monaten ab Inkrafttreten am 1. Oktober 2026 (§ 29 Abs. 3 NISG 2026). Wer erst später in den Anwendungsbereich fällt, hat ab diesem Zeitpunkt drei Monate. Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht folgt die Selbstdeklaration: Du übermittelst der Behörde, welche Risikomanagementmaßnahmen umgesetzt sind (§ 33 Abs. 1 NISG 2026). Da im Regelfall kein behördlicher Bescheid mehr ergeht, der dich aktiv informiert, liegt die Bringschuld bei dir. Eine unterlassene oder fehlerhafte Einstufung kann sanktioniert werden.

Praktische Reihenfolge, falls du noch nicht eingestuft hast:

1. Größe und Sektor erheben: Mitarbeitende, Umsatz, Bilanzsumme und die konkrete Tätigkeit dokumentieren.
2. Kategorie bestimmen: wesentliche oder wichtige Einrichtung, anhand Anhang-Zuordnung, Größe und Kritikalität.
3. Sonderfälle und Konzernstruktur prüfen: verbundene Unternehmen voll und Partnerunternehmen anteilig bei der Größe mitrechnen, die Unabhängigkeitsausnahme prüfen, Lieferkettenanforderungen mitdenken.
4. Rechtliche Absicherung im Grenzfall: bei unklarer Sektorzuordnung oder Beteiligungsverhältnissen.
5. Registrieren: beim Bundesamt für Cybersicherheit, spätestens drei Monate nach Inkrafttreten.
6. Governance aufsetzen: Risikomanagementmaßnahmen, Incident-Response-Team, Schulung des Leitungsorgans, Meldeprozesse.

Hinweis: Dieser Beitrag stellt keine Rechtsberatung dar. Die verbindliche Beurteilung der NIS-2-Betroffenheit, insbesondere bei Grenzfällen, Sektorzuordnung und Lieferkettenfragen, erfordert eine anwaltliche Einzelfallprüfung.

Für B2B-Entscheider und Agenturen

Für B2B-Entscheider ist die Selbsteinstufung kein einmaliger Akt, sondern eine wiederkehrende Pflicht: Wächst dein Unternehmen über eine Schwelle oder ändert sich die Tätigkeit, kann sich die Einstufung ändern. Verankere die Prüfung als festen Bestandteil deiner Compliance-Routine und dokumentiere das Ergebnis revisionssicher. Die Verantwortung trägt das Leitungsorgan (§ 31 Abs. 1 NISG 2026).

Für Marketing- und Digitalagenturen lohnt der doppelte Blick: Die meisten Agenturen unterschreiten die direkte Betroffenheitsschwelle, geraten aber über Kunden in regulierten Sektoren in die Lieferkette. Wer für wesentliche oder wichtige Einrichtungen arbeitet, sollte Sicherheits- und Nachweisanforderungen frühzeitig in Angebote und Verträge einplanen. Das wird zunehmend zum Auswahlkriterium im Pitch. Als Agentur in Wien begleiten wir dich bei der strukturierten Aufbereitung deiner Cybersecurity- und Content-Kommunikation rund um NIS-2. Die juristische Einstufung selbst gehört in die Hände einer spezialisierten Rechtsberatung.