NISG 2026: Ist Ihr Unternehmen betroffen?

Entscheidend sind zwei Dinge: Ihre Tätigkeit und Ihre Größe. Die Tätigkeit muss in einen der 18 Sektoren der Anlagen 1 und 2 des NISG 2026 fallen, die Größenschwelle beginnt bei 50 Beschäftigten oder bei Umsatz und Bilanzsumme von jeweils über 10 Mio. €. Einige Anbieter sind unabhängig von der Größe erfasst — unter anderem DNS-Diensteanbieter, TLD-Namenregister, qualifizierte Vertrauensdiensteanbieter und Anbieter öffentlicher Kommunikationsdienste. Maßgeblich ist, was Sie tatsächlich tun, nicht der Firmenwortlaut.

Nein, und das überrascht die meisten. Sie müssen selbst prüfen, ob Sie betroffen sind, und sich bis 31.12.2026 selbst registrieren. Das Bundesamt für Cybersicherheit kann Einrichtungen in bestimmten Fällen zusätzlich per Bescheid einstufen, das ist aber die Ausnahme — die Regel ist die Selbsteinschätzung, und eine versäumte Registrierung ist für sich genommen bereits ein Verstoß.

Nicht die Pflichten — die sind dieselben. Der Unterschied liegt in der Aufsicht und im Strafrahmen. Wesentliche Einrichtungen können auch ohne besonderen Anlass geprüft werden; bei wichtigen Einrichtungen erfolgt die Aufsicht vor allem anlassbezogen, etwa wenn die Selbstdeklaration Lücken zeigt. Auch die Obergrenze unterscheidet sich: 10 Mio. € oder 2 % des weltweiten Jahresumsatzes gegenüber 7 Mio. € oder 1,4 %.

In vielen Fällen ja, und das ist der häufigste Grund, warum ein Unternehmen überraschend betroffen ist. Die Größe wird nach der EU-KMU-Definition ermittelt: verbundene Unternehmen über 50 % werden voll eingerechnet, Partnerunternehmen zwischen 25 % und 50 % anteilig. Eine Tochtergesellschaft mit 30 Beschäftigten in einem großen Konzern ist im Sinne des Gesetzes häufig kein kleines Unternehmen.

Das ist möglich. Anlage 1 Z 9 kennt zwar eine Ausnahme, aber eine enge: Managed Services, die „ausschließlich von der betroffenen Einrichtung betrieben und genutzt werden“. Sie stellt auf die einzelne Einrichtung ab, nicht auf den Konzern — eine zentrale Konzern-IT, die auch die Schwestergesellschaften beliefert, fällt nach dem Wortlaut nicht darunter und kann selbst als Anbieter verwalteter Dienste gelten. Das sollten Sie prüfen lassen statt es anzunehmen — die Annahme geht erfahrungsgemäß in die falsche Richtung.

§ 32 Abs. 4 nennt zehn Bereiche, von der Risikoanalyse über die Bewältigung von Vorfällen, die Lieferkette, die Kryptografie und die Zugriffskontrolle bis zur Mehr-Faktor-Authentifizierung. Die Details regelt eine Verordnung. Für digitale Anbieter gilt die EU-Durchführungsverordnung 2024/2690 bereits unmittelbar und verbindlich. Für alle übrigen Sektoren ist die nationale Verordnung noch nicht erlassen; bis dahin empfiehlt die WKO, sich an der EU-Verordnung zu orientieren. Genau so arbeiten wir, und weisen in jedem Bericht aus, was davon verbindlich ist und was Orientierung.

Ja. § 31 verlangt, dass die Mitglieder der Leitungsorgane an speziell für sie gestalteten Cybersicherheitsschulungen teilnehmen; eine allgemeine Mitarbeiterschulung genügt dafür in der Regel nicht. Eine eigene Frist nennt das Gesetz dafür nicht, die Pflicht gilt also ab 01.10.2026 wie der übrige § 31 — gemeinsam mit der Pflicht, die Einhaltung der Maßnahmen sicherzustellen und zu beaufsichtigen, die derselbe Paragraf denselben Personen auferlegt. Und die versäumte Schulung ist kein Formalverstoss: § 45 Abs. 1 Z 1 führt sie im höchsten Strafrahmen.

Sie ist eine sehr gute Grundlage und deckt weite Teile des § 32 Abs. 4 ab, aber nicht alles, was das NISG 2026 verlangt. Registrierung, Meldefristen, Selbstdeklaration und die Schulung der Geschäftsleitung sind gesetzliche Pflichten, die kein Zertifikat erledigt. Sinnvoll ist, die vorhandene Zertifizierung den Anforderungen gegenüberzustellen und die Lücke zu benennen, statt eines der beiden Extreme anzunehmen.

Nein. Wir liefern eine begründete Einschätzung samt den Paragrafen, auf die sie sich stützt — das, was Sie für eine Entscheidung und deren Dokumentation brauchen. Sie ist keine Rechtsberatung und bindet die Behörde nicht. Bei echten Grenzfällen empfehlen wir eine rechtliche Prüfung, und wir sagen Ihnen deutlich, wenn wir Ihren Fall dafür halten.