Wer ist vom NISG 2026 betroffen?

Betroffenheit nach dem NISG 2026 hängt an drei Fragen: Übt Ihre Organisation eine Tätigkeit aus, die die Anlagen 1 oder 2 nennen? Erreicht sie die Größenschwellen des § 25? Und welche der beiden Klassen ergibt sich daraus? Diese Seite geht die drei Schritte durch und danach die Sonderfälle, in denen es auf die Größe gar nicht ankommt — der Check macht dasselbe interaktiv und nennt Ihnen am Ende die Paragraphen, auf denen das Ergebnis beruht.

Betroffenheitscheck

Schritt 1: Fällt Ihre Tätigkeit unter die Anlagen 1 oder 2?

Die beiden Anlagen des Gesetzes sind Tabellen aus Sektor, Teilsektor und Art der Einrichtung. Maßgeblich ist immer die dritte Spalte: Sie beschreibt die konkrete Tätigkeit, meist über einen Verweis auf ein Fachgesetz oder auf eine EU-Verordnung. Der Sektorname allein entscheidet nichts.

Anlage 1 – Sektoren mit hoher Kritikalität

  1. Energie
  2. Verkehr
  3. Bankwesen
  4. Finanzmarktinfrastrukturen
  5. Gesundheitswesen
  6. Trinkwasser
  7. Abwasser
  8. Digitale Infrastruktur
  9. Verwaltung von IKT-Diensten (B2B)
  10. Öffentliche Verwaltung
  11. Weltraum

Anlage 2 – Sonstige kritische Sektoren

  1. Post- und Kurierdienste
  2. Abfallbewirtschaftung
  3. Produktion, Herstellung und Handel mit chemischen Stoffen
  4. Produktion, Verarbeitung und Vertrieb von Lebensmittel
  5. Verarbeitendes Gewerbe/Herstellung von Waren
  6. Anbieter digitaler Dienste
  7. Forschung

Der Unterschied zwischen den Anlagen wirkt sich auf die Einstufung aus: Wer eine Tätigkeit der Anlage 1 ausübt, kann als wesentliche Einrichtung gelten. Die Anlage 2 führt für sich genommen nur zur Einstufung als wichtige Einrichtung.

Schritt 2: Erreichen Sie die Größenschwellen des § 25?

§ 25 Abs. 1 stellt die Einstufung auf drei Kennzahlen ab — Anzahl der Mitarbeiter, Jahresumsatz und Jahresbilanzsumme — und verweist dafür auf die Art. 1 bis 6 des Anhangs der KMU-Empfehlung 2003/361/EG, mit Ausnahme von deren Art. 3 Abs. 4.

Die Mitarbeiterzahl steht für sich: Wer sie erreicht, ist in der Klasse, ganz gleich wie Umsatz und Bilanzsumme aussehen. Umsatz und Bilanzsumme wirken dagegen nur gemeinsam — eine der beiden Zahlen allein genügt nie. Wer weder die Mitarbeiterschwelle noch beide Finanzschwellen des § 25 Abs. 3 erreicht, gilt weder als mittleres noch als großes Unternehmen und fällt allein über die Größe nicht unter das Gesetz.

Zur Größe gehören grundsätzlich auch Partner- und verbundene Unternehmen. § 25 Abs. 4 lässt eine Ausnahme zu: Deren Daten sind nicht hinzuzurechnen, wenn die Einrichtung in Bezug auf ihre Netz- und Informationssysteme organisatorisch, technisch und operativ von ihnen unabhängig ist. Alle drei Merkmale müssen zutreffen — der Check fragt sie deshalb einzeln ab.

Schritt 3: Wesentliche oder wichtige Einrichtung?

Aus Tätigkeit und Größe ergibt sich die Klasse. Wesentliche Einrichtungen definiert § 24 Abs. 1:

§ 24 Abs. 1 Z 3:

„Als wesentliche Einrichtungen gelten […] Einrichtungen der in Anlage 1 dieses Gesetzes genannten Art, die ein großes Unternehmen gemäß § 25 Abs. 2 betreiben.“

Wichtige Einrichtungen definiert § 24 Abs. 2 — hier genügt ein mittleres Unternehmen, und es zählen beide Anlagen:

§ 24 Abs. 2 Z 1:

„Als wichtige Einrichtung gelten […] Einrichtungen der in den Anlagen 1 und 2 dieses Gesetzes genannten Art, die ein großes oder mittleres Unternehmen betreiben […]“

Wer beide Voraussetzungen erfüllt, ist wesentliche Einrichtung: der Schlussteil des § 24 Abs. 2 nimmt Einrichtungen aus, die bereits nach Abs. 1 wesentlich sind. Auf die Pflichten der §§ 29 bis 35 wirkt sich die Klasse kaum aus — auf Aufsicht (§§ 38 und 39) und Strafrahmen (§ 45) sehr wohl.

Wenn die Größe keine Rolle spielt

Mehrere Ziffern des § 24 greifen unabhängig von der Unternehmensgröße. Nach Abs. 1 Z 1 sind das qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene, von der Cybersicherheitsbehörde eingestufte Einrichtungen sowie kritische Einrichtungen nach der EU-Richtlinie 2022/2557. Nach Abs. 2 Z 3 kommen Anbieter öffentlicher elektronischer Kommunikationsnetze und öffentlich zugänglicher Kommunikationsdienste sowie Vertrauensdiensteanbieter dazu. Dazwischen liegt § 24 Abs. 1 Z 2: Ein mittleres Unternehmen nach § 25 Abs. 3, das öffentliche elektronische Kommunikationsnetze oder öffentlich zugängliche elektronische Kommunikationsdienste anbietet, ist bereits wesentlich — nicht erst als großes Unternehmen.

Zusätzlich hat die Cybersicherheitsbehörde nach § 26 mit Bescheid einzustufen: eine Einrichtung der in den Anlagen 1 oder 2 genannten Art, die wegen ihrer Größe nicht erfasst wäre, als wesentliche oder wichtige Einrichtung (Abs. 1), und eine wichtige Einrichtung als wesentliche, sofern dies geboten ist (Abs. 2) — jeweils aus den Gründen, die § 26 Abs. 3 aufzählt.

Öffentliche Verwaltung

Für den Sektor öffentliche Verwaltung gilt eine eigene Definition: § 24 Abs. 3 nennt drei Merkmale, die gemeinsam vorliegen müssen, Abs. 4 und Abs. 5 grenzen Bundes- und Landesebene ab. Gemeinden und Gemeindeverbände sind ausgenommen. Abs. 6 nimmt weitere Bereiche aus — Einrichtungen, deren Wirkungsbereiche überwiegend die nationale Sicherheit, die öffentliche Sicherheit oder die Strafverfolgung umfassen, Universitäten, Hochschulen und Schulen, die Gerichtsbarkeit, die Gesetzgebung sowie die Österreichische Nationalbank. Für Vertrauensdiensteanbieter gilt diese Ausnahme nicht.

Wo das NISG 2026 zurücktritt

Die Pflichten, die an ein positives Ergebnis anschließen, stehen auf Welche Pflichten das NISG 2026 bringt. Den Zeitplan finden Sie unter Fristen im NISG 2026. Zurück zum Überblick über das NISG 2026.

Betroffenheitscheck