Kogo dotyczy NIS2 w Austrii? Samoidentyfikacja według NISG krok po kroku

O tym, czy Twoja firma podlega NIS2, w Austrii decyduje NISG 2026, ustawa wdrażająca do prawa krajowego dyrektywę (UE) 2022/2555 (NIS2). Podstawowa reguła: co do zasady objęte są średnie i duże przedsiębiorstwa, czyli organizacje zatrudniające co najmniej 50 pracowników lub mające roczny obrót i roczną sumę bilansową przekraczające po 10 mln EUR, o ile działają w jednym z 18 objętych sektorów. Nowością jest zmiana systemu na samoidentyfikację: to Ty musisz ustalić, czy Twoja firma podlega przepisom, a nie urząd w drodze decyzji.

Ten artykuł przeprowadzi Cię przez samoidentyfikację za pomocą tabeli kontrolnej, trzech przykładów i najważniejszych przypadków szczególnych. Daje merytoryczną orientację, ale nie zastępuje porady prawnej.

• Wielkość: od 50 pracowników lub z rocznym obrotem i roczną sumą bilansową przekraczającymi po 10 mln EUR (unijna definicja średniego przedsiębiorstwa).
• Sektor: działalność w jednym z 18 sektorów wymienionych w załączniku I lub II dyrektywy NIS2.
• Procedura: samoidentyfikacja i samodeklaracja zamiast decyzji administracyjnej. Odpowiedzialność spoczywa na firmie.

Ramy prawne: NISG 2026 i opóźnienie we wdrożeniu

Dyrektywa NIS2 (UE) 2022/2555 powinna zostać wdrożona do prawa krajowego we wszystkich państwach UE do 17 października 2024 r. Austria wyraźnie przekroczyła ten termin. Pierwsze podejście, NISG 2024, zostało odrzucone przez Radę Narodową 3 lipca 2024 r., ponieważ nie uzyskało większości dwóch trzecich wymaganej dla części ustawy.

Poprawiony projekt, czyli NISG 2026, został ostatecznie uchwalony przez Radę Narodową 12 grudnia 2025 r. i ogłoszony w Federalnym Dzienniku Ustaw 23 grudnia 2025 r. Zgodnie z § 51 NISG 2026 ustawa weszła w życie pierwszego dnia miesiąca następującego po upływie dziewięciu miesięcy, czyli 1 października 2026 r. Od tego czasu obowiązki mają zastosowanie bezpośrednio. Jeśli Twoja firma nie przeszła jeszcze samoidentyfikacji, nadrób to teraz: rejestracja musi nastąpić w ciągu trzech miesięcy od wejścia ustawy w życie (§ 29 ust. 3 NISG 2026).

NISG 2026 wprowadza kilka zmian strukturalnych w porównaniu z projektem z 2024 r.:

• Utworzenie Federalnego Urzędu ds. Cyberbezpieczeństwa w Federalnym Ministerstwie Spraw Wewnętrznych (BMI) jako właściwego organu ds. cyberbezpieczeństwa.
• Zmiana systemu na samoidentyfikację i samodeklarację zamiast decyzji administracyjnej stwierdzającej objęcie przepisami.
• Organy nadzorcze (np. rady nadzorcze) zostały wyraźnie wyłączone z pojęcia „organu zarządzającego”.
• Raport o cyberbezpieczeństwie publikowany co pół roku (zamiast co roku).

Zakres stosowania obejmuje około 4000 przedsiębiorstw w 18 sektorach. Członkowie organów zarządzających podmiotów kluczowych i ważnych muszą uczestniczyć w szkoleniach z cyberbezpieczeństwa przygotowanych specjalnie dla nich (§ 31 ust. 2 NISG 2026); należy też powołać zespół reagowania na incydenty.

Dwie kategorie: podmioty kluczowe i ważne

Podobnie jak dyrektywa unijna, NISG 2026 rozróżnia dwie kategorie objętych organizacji. Klasyfikacja wynika z połączenia sektora (załącznik I lub załącznik II dyrektywy), wielkości przedsiębiorstwa i ustawowo określonych kryteriów krytyczności.

• Podmioty kluczowe podlegają intensywniejszemu nadzorowi, również proaktywnemu. Zazwyczaj są to duże przedsiębiorstwa ze szczególnie krytycznych sektorów z załącznika I (np. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa). Duże przedsiębiorstwo to takie, które zatrudnia co najmniej 250 pracowników albo ma ponad 50 mln EUR rocznego obrotu i jednocześnie ponad 43 mln EUR rocznej sumy bilansowej (§ 25 ust. 2 NISG 2026).
• Podmioty ważne są nadzorowane głównie ex post: urząd działa przede wszystkim po incydencie lub sygnale. Należą do nich m.in. średnie przedsiębiorstwa z sektorów z załącznika I oraz podmioty z sektorów z załącznika II.

Ważne przy samoidentyfikacji: obie kategorie mają obowiązki. Zgodnie z logiką NIS2 odpowiedzialność kierownictwa nie dotyczy wyłącznie podmiotów kluczowych. Art. 20 dyrektywy NIS2 wymaga, aby organ zarządzający zatwierdzał środki zarządzania ryzykiem, nadzorował ich wdrażanie i mógł zostać pociągnięty do odpowiedzialności za naruszenia. Motyw 137 wyjaśnia, że ta odpowiedzialność może powstać, jeśli organ zarządzający nie wywiązał się ze swoich obowiązków w zakresie ładu korporacyjnego, nawet bez udanego ataku. Odpowiedzialność wiąże się więc z naruszeniem obowiązku, a nie ze szkodą.

W Austrii sankcji nie nakłada sam organ ds. cyberbezpieczeństwa, lecz powiatowe organy administracji; wysokość kar ukształtowano analogicznie do wymogów NIS2.

Tabela kontrolna: samoidentyfikacja krok po kroku

Przejdź kolejno przez poniższe kryteria. Dopiero gdy spełnione są kryteria wielkości i sektora (albo zachodzi przypadek szczególny), objęcie przepisami jest prawdopodobne.

Progi wielkości wynikają z zalecenia w sprawie MŚP 2003/361/WE, do którego odsyła § 25 NISG 2026. Dokładne przyporządkowanie 18 sektorów do załącznika I i załącznika II oraz szczegółowe zasady dotyczące przedsiębiorstw powiązanych i partnerskich wynikają z dyrektywy i NISG 2026. W przypadkach granicznych warto zlecić analizę prawną.

Konkretny przykład: porównanie trzech firm

Przypadek A: średniej wielkości dostawca usług IT (usługi zarządzane), Wiedeń. 70 pracowników, 14 mln EUR obrotu. Kryterium wielkości spełnione (70 ≥ 50 pracowników, średnie przedsiębiorstwo). Usługi zarządzane należą do sektora „Zarządzanie usługami ICT (B2B)” z załącznika I. Jako średnie przedsiębiorstwo w sektorze z załącznika I dostawca będzie prawdopodobnie podmiotem ważnym. Wynik: podlega przepisom. Wymagana rejestracja i samodeklaracja.

Przypadek B: regionalny dostawca energii. 40 pracowników, 9 mln EUR obrotu. Biorąc pod uwagę wyłącznie wielkość, firma znalazłaby się poniżej obu progów. Mimo to dostawca może być objęty przepisami niezależnie od wielkości. Jeśli został zidentyfikowany jako podmiot krytyczny na podstawie dyrektywy CER (UE) 2022/2557, uznaje się go za podmiot kluczowy (§ 24 ust. 1 NISG 2026). Ponadto organ ds. cyberbezpieczeństwa może zakwalifikować go w drodze decyzji, na przykład dlatego, że jest jedynym dostawcą niezbędnej usługi w Austrii lub że awaria mogłaby znacząco zagrozić porządkowi publicznemu, bezpieczeństwu publicznemu lub zdrowiu publicznemu (§ 26 NISG 2026). Wynik: objęcie przepisami możliwe mimo niewielkich rozmiarów. Tu rozstrzyga indywidualna analiza, a uznanie z góry, że firmy to nie dotyczy, byłoby błędem.

Przypadek C: agencja reklamowa i marketingowa, 30 pracowników, 6 mln EUR obrotu. Nie osiąga żadnego progu wielkości ani nie działa w żadnym z objętych kluczowych sektorów. Wynik: nie podlega bezpośrednio. Uwaga jednak na efekt łańcucha dostaw: jeśli agencja świadczy usługi krytyczne dla podmiotu kluczowego, wymagania umowne klienta mogą w praktyce zobowiązać ją do wdrożenia środków bezpieczeństwa zgodnych z NIS2, choć sama nie podlega obowiązkowi rejestracji.

Te przypadki pokazują podstawowy schemat: wielkość i sektor łącznie tworzą regułę, ale przypadki szczególne i łańcuchy dostaw mogą zmienić wynik.

Obowiązek rejestracji i kolejne kroki

Jeśli samoidentyfikacja wskaże, że Twoja firma podlega przepisom, musisz się zarejestrować w Federalnym Urzędzie ds. Cyberbezpieczeństwa w ciągu trzech miesięcy od wejścia ustawy w życie 1 października 2026 r. (§ 29 ust. 3 NISG 2026). Kto zostanie objęty przepisami później, ma na to trzy miesiące od tego momentu. W ciągu dwunastu miesięcy od powstania obowiązku rejestracji następuje samodeklaracja: przekazujesz urzędowi informację, jakie środki zarządzania ryzykiem zostały wdrożone (§ 33 ust. 1 NISG 2026). Ponieważ co do zasady nie wydaje się już decyzji administracyjnej, która aktywnie by Cię informowała, inicjatywa należy do Ciebie. Zaniechana lub błędna klasyfikacja może podlegać sankcjom.

Praktyczna kolejność działań, jeśli Twoja firma nie przeszła jeszcze klasyfikacji:

1. Ustal wielkość i sektor: udokumentuj liczbę pracowników, obrót, sumę bilansową i konkretną działalność.
2. Określ kategorię: podmiot kluczowy lub ważny, na podstawie przyporządkowania do załącznika, wielkości i krytyczności.
3. Sprawdź przypadki szczególne i strukturę grupy: dolicz do wielkości przedsiębiorstwa powiązane w całości, a partnerskie proporcjonalnie, sprawdź wyjątek dotyczący niezależności i uwzględnij wymagania łańcucha dostaw.
4. Zabezpiecz się prawnie w przypadkach granicznych: przy niejasnym przyporządkowaniu sektorowym lub niejasnej strukturze udziałów.
5. Zarejestruj się: w Federalnym Urzędzie ds. Cyberbezpieczeństwa, najpóźniej trzy miesiące po wejściu ustawy w życie.
6. Zbuduj strukturę zarządzania bezpieczeństwem: środki zarządzania ryzykiem, zespół reagowania na incydenty, szkolenie organu zarządzającego, procesy zgłaszania incydentów.

Uwaga: ten artykuł nie stanowi porady prawnej. Wiążąca ocena, czy firma podlega NIS2, zwłaszcza w przypadkach granicznych, przy przyporządkowaniu sektorowym i w kwestiach łańcucha dostaw, wymaga indywidualnej analizy prawnika.

Dla decydentów B2B i agencji

Dla decydentów B2B samoidentyfikacja nie jest jednorazowym aktem, lecz powtarzającym się obowiązkiem: jeśli Twoja firma przekroczy próg lub zmieni działalność, klasyfikacja może się zmienić. Włącz tę weryfikację na stałe do swojej rutyny compliance i dokumentuj wynik w sposób umożliwiający audyt. Odpowiedzialność ponosi organ zarządzający (§ 31 ust. 1 NISG 2026).

Dla agencji marketingowych i cyfrowych opłaca się spojrzeć z dwóch stron: większość agencji nie osiąga progu bezpośredniego objęcia przepisami, ale przez klientów z sektorów regulowanych trafia do łańcucha dostaw. Jeśli pracujesz dla podmiotów kluczowych lub ważnych, wcześnie uwzględnij wymagania dotyczące bezpieczeństwa i dowodów zgodności w ofertach i umowach. Coraz częściej staje się to kryterium wyboru w pitchu. Jako agencja z Wiednia pomagamy Ci w uporządkowanym przygotowaniu komunikacji dotyczącej cyberbezpieczeństwa i treści wokół NIS2. Samą klasyfikację prawną warto powierzyć wyspecjalizowanej kancelarii.