---
title: "A quién aplica NIS2 en Austria: autoclasificación según la NISG paso a paso"
description: "En Austria, la NISG 2026, que transpone la Directiva (UE) 2022/2555, determina qué empresas están afectadas por NIS2."
locale: "es"
canonical: "https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/nis2-y-nisg-2026/a-quien-aplica-nis2-en-austria-autoclasificacion-segun-la-nisg-paso-a-paso"
category: "Agentes de IA"
topic: "NIS2 y NISG 2026"
updated: "2026-10-28T13:11:49.181Z"
source: "Blck Alpaca e.U., blckalpaca.at"
---

# A quién aplica NIS2 en Austria: autoclasificación según la NISG paso a paso

En Austria, la NISG 2026, que transpone la Directiva (UE) 2022/2555, determina qué empresas están afectadas por NIS2. En principio, quedan incluidas las medianas y grandes empresas (a partir de 50 empleados o con un volumen de negocios anual y un balance general anual superiores a 10 millones de euros cada uno) de 18 sectores. A diferencia del anteproyecto fracasado, rige la autoclasificación en lugar de una resolución administrativa.

## De un vistazo

- La NISG 2026 fue aprobada por el Consejo Nacional el 12 de diciembre de 2025, publicada el 23 de diciembre de 2025 y está en vigor desde el 1 de octubre de 2026. Austria llegó así con mucho retraso respecto al plazo de la UE del 17 de octubre de 2024.
- La regla básica de tamaño sigue la definición de mediana empresa de la UE: a partir de 50 empleados O con un volumen de negocios anual Y un balance general anual superiores a 10 millones de euros cada uno, en combinación con una actividad en uno de los 18 sectores incluidos.
- La NISG 2026 distingue entre entidades esenciales e importantes. La clasificación determina la intensidad de la supervisión y el régimen sancionador; ambas categorías tienen obligaciones.
- Novedad central: cambio de sistema hacia la autoclasificación y la autodeclaración en lugar de una resolución administrativa. Para el tamaño cuentan, en principio, las empresas vinculadas, salvo que la sociedad sea independiente del grupo en sus redes y sistemas de información.
- La comprobación de afectación no sustituye al asesoramiento jurídico. Los casos especiales (actividad crítica con independencia del tamaño, cadena de suministro) requieren un análisis individual por parte de un abogado.

En Austria, si NIS2 afecta o no a tu empresa se determina según la [**NISG 2026**](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/nis2-y-nisg-2026/la-ley-nisg-2026-y-la-supervision-institucional-de-la-ciberseguridad-en-austria), que transpone al derecho nacional la Directiva (UE) 2022/2555 (NIS2). La regla básica: [en principio, quedan incluidas las medianas y grandes empresas](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P25/NOR40273886), es decir, organizaciones a partir de 50 empleados o con un volumen de negocios anual y un balance general anual superiores a 10 millones de euros cada uno, siempre que operen en uno de los 18 sectores incluidos. La novedad es el cambio de sistema hacia la **autoclasificación**: eres tú quien debe determinar si tu empresa está afectada, ya no una autoridad mediante resolución.

Este artículo te guía por la autoclasificación con una tabla de comprobación, tres casos prácticos y los casos especiales más importantes. Es una orientación técnica, pero no sustituye al asesoramiento jurídico.

- **Tamaño:** a partir de 50 empleados o con un volumen de negocios anual y un balance general anual superiores a 10 millones de euros cada uno (definición de mediana empresa de la UE).
- **Sector:** actividad en uno de los 18 sectores de los anexos I o II de la Directiva NIS2.
- **Procedimiento:** autoclasificación y autodeclaración en lugar de una resolución administrativa. La responsabilidad recae en la empresa.

## Marco jurídico: la NISG 2026 y el retraso en la transposición

La Directiva NIS2 (UE) 2022/2555 debía haberse transpuesto al derecho nacional en toda la UE a más tardar el **17 de octubre de 2024**. Austria superó ese plazo con creces. El primer intento, la NISG 2024, fue rechazado en el Consejo Nacional el **3 de julio de 2024** porque no alcanzó la mayoría de dos tercios necesaria para partes de la ley.

El proyecto revisado, la **NISG 2026**, fue finalmente aprobado por el Consejo Nacional el **12 de diciembre de 2025** y publicado en el Boletín Oficial Federal el **23 de diciembre de 2025**. Según el [§ 51 de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P51/NOR40273912), la ley entró en vigor el primer día del mes siguiente al transcurso de nueve meses, es decir, el **1 de octubre de 2026**. Desde entonces, las obligaciones se aplican directamente. Si todavía no has hecho la autoclasificación, deberías hacerla ahora: el registro debe realizarse en un plazo de tres meses desde la entrada en vigor ([§ 29, apartado 3, de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P29/NOR40273890)).

La NISG 2026 introduce varias novedades estructurales respecto al proyecto de 2024:

- Creación de una **Oficina Federal de Ciberseguridad** dentro del Ministerio Federal del Interior (BMI) como autoridad competente en materia de ciberseguridad.
- Cambio de sistema hacia la **autoclasificación y la autodeclaración** en lugar de una resolución administrativa declarativa.
- Los **órganos de supervisión** (por ejemplo, los consejos de supervisión) quedan expresamente excluidos del concepto de «órgano de dirección».
- Un informe de ciberseguridad semestral (en lugar de anual).

El ámbito de aplicación abarca unas **4.000 empresas de 18 sectores**. Los miembros de los órganos de dirección de las entidades esenciales e importantes deben participar en formaciones de ciberseguridad diseñadas específicamente para ellos ([§ 31, apartado 2, de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P31/NOR40273892)); además, debe crearse un equipo de respuesta a incidentes.

## Las dos categorías: entidades esenciales e importantes

Al igual que la Directiva de la UE, la NISG 2026 distingue dos categorías de organizaciones afectadas. La clasificación resulta de la combinación del sector (anexo I o anexo II de la Directiva), el tamaño de la empresa y criterios de criticidad definidos por ley.

- Las **entidades esenciales** están sometidas a una supervisión más intensa, también proactiva. Por lo general, se trata de grandes empresas de los sectores especialmente críticos del anexo I (por ejemplo, energía, transporte, banca, sanidad, infraestructura digital). Una empresa se considera grande a partir de 250 empleados o con más de 50 millones de euros de volumen de negocios anual y, a la vez, más de 43 millones de euros de balance general anual ([§ 25, apartado 2, de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P25/NOR40273886)).
- Las **entidades importantes** se supervisan principalmente de forma reactiva: la autoridad actúa sobre todo tras un incidente o un indicio. Aquí entran, entre otras, las medianas empresas de sectores del anexo I y las entidades de los sectores del anexo II.

Importante para la autoclasificación: **ambas categorías tienen obligaciones.** Según la lógica de NIS2, la responsabilidad de la dirección no se limita a las entidades esenciales. El artículo 20 de la Directiva NIS2 exige que el [órgano de dirección apruebe las medidas de gestión de riesgos](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive), supervise su aplicación y pueda ser considerado responsable de los incumplimientos. El considerando 137 aclara que esta responsabilidad puede exigirse cuando el órgano de dirección no ha cumplido sus obligaciones de gobernanza, incluso sin que se haya producido un ataque con éxito. La responsabilidad se vincula, por tanto, al incumplimiento de la obligación, no al daño.

En Austria, las sanciones no las impone la propia autoridad de ciberseguridad, sino las **autoridades administrativas de distrito**; el régimen sancionador se ha configurado conforme a lo establecido en NIS2.

## La tabla de comprobación: autoclasificación paso a paso

Revisa los siguientes criterios por orden. Solo si se cumplen el tamaño **y** el sector (o se da un caso especial) es probable que tu empresa esté afectada.

| Criterio | Umbral / pregunta de control | Consecuencia |
| --- | --- | --- |
| Número de empleados | 50 o más empleados (equivalentes a tiempo completo) | Criterio de tamaño cumplido (mediana empresa) |
| Volumen de negocios anual y balance general anual | ambos superiores a 10 millones de euros | Criterio de tamaño cumplido (solo si se superan ambos valores) |
| Gran empresa | 250 o más empleados, o volumen de negocios superior a 50 millones de euros y balance superior a 43 millones de euros | Anexo I y gran empresa: por lo general, entidad esencial; en otro caso, entidad importante |
| Sector de actividad | Actividad en uno de los 18 sectores (anexo I o II) | Criterio sectorial cumplido |
| Anexo I frente a anexo II | ¿Sector especialmente crítico (anexo I) u otro sector crítico (anexo II)? | Indicio de entidad esencial o importante |
| Caso especial / actividad crítica | ¿Se presta un servicio crítico con independencia del tamaño? | Posible afectación aunque no se alcance el umbral de tamaño |
| Estructura de grupo | Datos de empresas vinculadas sumados íntegramente; los de empresas asociadas, de forma proporcional | Solo los datos propios si la sociedad es independiente a nivel organizativo, técnico y operativo en sus redes y sistemas de información (§ 25, apartado 4) |
| Registro | La autoclasificación indica que la empresa está afectada | Registro ante la Oficina Federal en un plazo de tres meses; autodeclaración en un plazo de doce meses desde que nace la obligación de registro |

Los umbrales de tamaño siguen la [Recomendación 2003/361/CE sobre pymes](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003H0361), a la que remite el [§ 25 de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P25/NOR40273886). La asignación exacta de los 18 sectores a los anexos I y II, así como las normas detalladas sobre empresas vinculadas y asociadas, se derivan de la Directiva y de la NISG 2026. En casos límite, merece la pena una revisión jurídica.

## Ejemplo concreto: tres empresas comparadas

**Caso A: proveedor de servicios IT de tamaño medio (servicios gestionados), Viena.** 70 empleados, 14 millones de euros de facturación. Criterio de tamaño cumplido (70 ≥ 50 empleados, mediana empresa). Los servicios gestionados entran en el sector «Gestión de servicios de TIC (B2B)» del anexo I. Como mediana empresa de un sector del anexo I, el proveedor será previsiblemente una entidad importante. Resultado: **afectado**. [Registro y autodeclaración obligatorios](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/nis2-y-nisg-2026/la-ley-nisg-2026-y-la-supervision-institucional-de-la-ciberseguridad-en-austria).

**Caso B: suministrador regional de energía.** 40 empleados, 9 millones de euros de facturación. Atendiendo solo al tamaño, quedaría por debajo de ambos umbrales. Aun así, el suministrador puede estar incluido con independencia de su tamaño. Si ha sido identificado como entidad crítica conforme a la Directiva CER (UE) 2022/2557, se considera entidad esencial ([§ 24, apartado 1, de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P24/NOR40273885)). Además, la autoridad de ciberseguridad puede clasificarlo mediante resolución, por ejemplo porque sea el único proveedor de un servicio indispensable en Austria o porque una interrupción pudiera afectar de forma significativa al orden público, la seguridad pública o la salud pública ([§ 26 de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P26/NOR40273887)). Resultado: **posible afectación pese a su pequeño tamaño**. Aquí decide el análisis individual; descartar la afectación sin más sería un error.

**Caso C: agencia de publicidad y marketing, 30 empleados, 6 millones de euros de facturación.** No alcanza ningún umbral de tamaño ni encaja en ninguno de los sectores clave incluidos. Resultado: **no afectada directamente.** Pero atención al [efecto de la cadena de suministro](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/nis2-y-nisg-2026/nis2-y-cadena-de-suministro-obligaciones-de-los-proveedores-de-servicios-ti-de-e): si la agencia presta servicios críticos a una entidad esencial, los requisitos contractuales de su cliente pueden obligarla, en la práctica, a aplicar medidas de seguridad conformes con NIS2, sin que ella misma esté obligada a registrarse.

Los casos muestran el patrón básico: tamaño y sector, juntos, forman la regla, pero los casos especiales y las cadenas de suministro pueden cambiar el resultado.

## Obligación de registro y próximos pasos

Si tu autoclasificación indica que tu empresa está afectada, debes **registrarte** ante la Oficina Federal de Ciberseguridad en un plazo de tres meses desde la entrada en vigor el 1 de octubre de 2026 ([§ 29, apartado 3, de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P29/NOR40273890)). Quien entre en el ámbito de aplicación más tarde dispone de tres meses a partir de ese momento. En un plazo de doce meses desde que nace la obligación de registro llega la **autodeclaración**: comunicas a la autoridad qué medidas de gestión de riesgos has aplicado ([§ 33, apartado 1, de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P33/NOR40273894)). Como por regla general ya no se dicta una resolución administrativa que te informe activamente, la iniciativa te corresponde a ti. Una clasificación omitida o errónea puede ser sancionada.

Orden práctico si todavía no has hecho la clasificación:

1. **Recopilar tamaño y sector**: documentar empleados, facturación, balance y la actividad concreta.
2. **Determinar la categoría**: entidad esencial o importante, según la asignación al anexo, el tamaño y la criticidad.
3. **Revisar casos especiales y estructura de grupo**: sumar al tamaño íntegramente las empresas vinculadas y proporcionalmente las asociadas, comprobar la excepción de independencia y tener en cuenta los requisitos de la cadena de suministro.
4. **Respaldo jurídico en casos límite**: si la asignación sectorial o las estructuras de participación no están claras.
5. **Registrarse**: ante la Oficina Federal de Ciberseguridad, como máximo tres meses después de la entrada en vigor.
6. **Implantar la gobernanza**: medidas de gestión de riesgos, equipo de respuesta a incidentes, formación del órgano de dirección, procesos de notificación.

*Aviso: este artículo no constituye asesoramiento jurídico. La evaluación vinculante de la afectación por NIS2, sobre todo en casos límite, asignación sectorial y cuestiones de cadena de suministro, requiere un análisis individual por parte de un abogado.*

## Para directivos B2B y agencias

Para los **directivos B2B**, la autoclasificación no es un acto puntual, sino una obligación recurrente: si tu empresa supera un umbral o cambia su actividad, la clasificación puede cambiar. Integra la comprobación como parte fija de tu rutina de cumplimiento normativo y documenta el resultado de forma auditable. La responsabilidad recae en el órgano de dirección ([§ 31, apartado 1, de la NISG 2026](https://www.ris.bka.gv.at/eli/bgbl/i/2025/94/P31/NOR40273892)).

Para las **agencias de marketing y digitales** merece la pena mirar desde dos ángulos: la mayoría de las agencias no alcanza el umbral de afectación directa, pero entra en la cadena de suministro a través de clientes de sectores regulados. Si trabajas para entidades esenciales o importantes, deberías prever pronto los requisitos de seguridad y de acreditación en tus ofertas y contratos. Esto se está convirtiendo cada vez más en un criterio de selección en los pitches. Como agencia en Viena, te acompañamos en la preparación estructurada de tu comunicación de ciberseguridad y de contenidos en torno a NIS2. La clasificación jurídica en sí debe quedar en manos de un asesor jurídico especializado.

## Preguntas frecuentes

### ¿A partir de qué tamaño de empresa se aplica la NIS2 en Austria?

La regla básica sigue la definición de mediana empresa de la UE: en principio, quedan incluidas las empresas a partir de 50 empleados o con un volumen de negocios anual y un balance general anual superiores a 10 millones de euros cada uno, siempre que operen en uno de los 18 sectores que abarca la NISG 2026. Por debajo de este umbral no suele haber afectación directa, salvo en casos especiales definidos por ley (por ejemplo, servicios críticos). El tamaño por sí solo no decide: sector y actividad tienen que darse a la vez.
### ¿Qué diferencia hay entre entidades esenciales e importantes?

La NISG 2026 adopta la lógica de NIS2 con sus dos categorías. Las entidades esenciales están sometidas a una supervisión más intensa, también proactiva; las entidades importantes se supervisan principalmente de forma reactiva, cuando hay un motivo concreto. Ambas categorías deben aplicar medidas de gestión de riesgos, notificar incidentes y registrarse. La clasificación depende del sector (anexo I o II de la Directiva), del tamaño y de criterios de criticidad definidos por ley, y en caso de duda conviene revisarla jurídicamente.
### ¿Qué significa en concreto la autoclasificación en la NISG 2026?

A diferencia del fracasado proyecto de NISG 2024, la NISG 2026 ya no prevé, por regla general, una resolución administrativa que determine si una empresa está afectada. En su lugar, las propias empresas deben comprobar si entran en el ámbito de la ley (autoclasificación) y, en su caso, registrarse activamente ante la Oficina Federal de Ciberseguridad. En un plazo de doce meses desde que nace la obligación de registro llega la autodeclaración sobre las medidas de gestión de riesgos aplicadas. La responsabilidad de una clasificación correcta recae, por tanto, en la empresa. Una clasificación errónea u omitida puede acarrear sanciones.
### Mi empresa pertenece a un grupo: ¿cuenta el tamaño del grupo?

En principio, sí. Para el tamaño, el § 25 de la NISG 2026 remite a la Recomendación 2003/361/CE sobre pymes. Según esta, los datos de las empresas vinculadas se suman íntegramente y los de las empresas asociadas, de forma proporcional a su participación en el capital o en los derechos de voto. Una pequeña filial puede, por tanto, alcanzar los umbrales a través de las cifras del grupo. Excepción según el § 25, apartado 4: si tu sociedad es independiente del grupo en sus redes y sistemas de información a nivel organizativo, técnico y operativo, solo cuentan sus propios datos. Las obligaciones recaen en todo caso sobre cada sociedad individual. Si esa independencia se sostiene en tu caso concreto es algo que deberías hacer revisar jurídicamente.
### ¿Desde cuándo se aplica la NISG 2026 y por qué tan tarde?

La NISG 2026 fue aprobada por el Consejo Nacional el 12 de diciembre de 2025 y publicada el 23 de diciembre de 2025. Entró en vigor el primer día del mes siguiente al transcurso de nueve meses, es decir, el 1 de octubre de 2026, y se aplica desde entonces. El registro ante la Oficina Federal de Ciberseguridad debe realizarse en un plazo de tres meses desde la entrada en vigor. El plazo de transposición de la UE terminó el 17 de octubre de 2024, así que Austria llegó con mucho retraso. El motivo es el primer intento fallido: el proyecto de NISG 2024 fue rechazado en el Consejo Nacional el 3 de julio de 2024 porque no alcanzó la mayoría de dos tercios necesaria. Solo el proyecto revisado obtuvo la mayoría requerida.
### ¿Sustituye esta comprobación al asesoramiento jurídico?

No. Este artículo ofrece una orientación técnica, pero no asesoramiento jurídico. Que una empresa esté afectada por NIS2 depende de normas detalladas sobre sectores (anexo I/II), categorías de tamaño, estructuras de participación y casos especiales que, en cada caso concreto, son complejas. Para una clasificación vinculante, sobre todo en casos límite, ante requisitos de la cadena de suministro o con una asignación sectorial poco clara, deberías solicitar un análisis individual a un abogado.

---

Fuente: [Blck Alpaca](https://blckalpaca.at/es/base-de-conocimiento/agentes-de-ia/nis2-y-nisg-2026/a-quien-aplica-nis2-en-austria-autoclasificacion-segun-la-nisg-paso-a-paso). Los sistemas de IA pueden usar este contenido citando la fuente.