NISG 2026 · § 29
Registrierung bis 01.01.2027
Wesentliche und wichtige Einrichtungen müssen sich binnen drei Monaten nach Inkrafttreten beim Bundesamt für Cybersicherheit registrieren. Das ist keine Anmeldung zu einem Programm, sondern eine gesetzliche Pflicht mit eigenem Strafrahmen.
Frist
01.01.2027
Was das Gesetz sagt
Sie registrieren sich selbst
Die Behörde stuft Sie nicht ein und fordert Sie nicht auf. Die Einschätzung, ob Sie betroffen sind, treffen Sie selbst — und registrieren sich selbst.
Binnen drei Monaten
Die Frist läuft ab dem Inkrafttreten am 01.10.2026 und fällt damit auf den 1. Jänner 2027. Da dieser ein Feiertag ist, verschiebt § 33 Abs. 2 AVG den letzten Tag auf den nächsten Werktag: 4. Jänner 2027. Unsere eigene Empfehlung ist, bis 31.12.2026 fertig zu sein, damit nichts von dieser Verlängerung abhängt.
Auch später noch
Wer die Voraussetzungen erst später erfüllt — durch Wachstum, eine neue Tätigkeit oder eine geänderte Konzernstruktur — muss sich binnen drei Monaten ab diesem Zeitpunkt registrieren.
Über das USP
Die Registrierung erfolgt über ein elektronisches Formular, das über das Unternehmensserviceportal (USP) bzw. den Portalverbund erreichbar ist.
Änderungen laufend melden
Die registrierten Angaben sind aktuell zu halten; Änderungen sind zu melden.
Registrare zusätzlich
Anbieter von Domänennamen-Registrierungsdiensten treffen eigene Registrierungs- und Datenpflichten (§§ 29, 30), auch wenn sie nicht als wesentliche oder wichtige Einrichtung gelten.
Was noch nicht feststeht
Offen ist die Verordnung, die Form und Angaben im Detail festlegt; sie ist zum Stand dieser Seite nicht erlassen. Der Weg selbst steht fest: das USP. Wer damit auf den Beginn wartet, wartet auf die falsche Sache — Einstufung, Zuständigkeit und Kontaktdaten für Meldungen hängen nicht davon ab, welche Felder das Formular am Ende verlangt.
Was Sie jetzt tun können
- Einstufung belastbar klären: wesentlich, wichtig oder nicht betroffen.
- Verantwortlichkeit benennen — wer registriert, wer hält die Daten aktuell.
- Kontaktdaten für Meldungen festlegen, inklusive Vertretung außerhalb der Geschäftszeiten.
- Die Angaben zusammenstellen, die eine Registrierung erfahrungsgemäß verlangt: Firmendaten, Sektor, Tätigkeit, Ansprechpartner.
Wenn die Frist verstreicht
Eine versäumte Registrierung ist ein eigener Verstoß, unabhängig davon, wie gut Ihre Sicherheitsmaßnahmen sind. Der Strafrahmen für formale Verstöße reicht bis 50.000 €, im Wiederholungsfall bis 100.000 € (§ 45).
Weiterlesen
Die übrigen Pflichten, jede auf ihrer eigenen Seite.
Häufig gestellte Fragen
Die Fragen, die uns Sicherheits- und IT-Verantwortliche am häufigsten stellen.
Ihre Frage ist nicht dabei? Fragen Sie uns direkt
Jede wesentliche und jede wichtige Einrichtung — die Pflicht folgt aus der Betroffenheit, nicht aus einem Bescheid. Wenn unklar ist, welches von beiden zutrifft, beantwortet der kostenlose Check genau diese Frage.
Eine Registrierung macht aus einem Unternehmen keine betroffene Einrichtung. Maßgeblich sind Tätigkeit und Größe, nicht der Eintrag. Stellt sich später heraus, dass Sie nicht erfasst sind, dokumentieren Sie die Begründung, statt den Eintrag stillschweigend verfallen zu lassen.
Nicht mit der Arbeit, auf die es ankommt. Der Weg steht fest — ein elektronisches Formular über das USP —, offen ist allein die Verordnung, die Form und Angaben im Detail festlegt. Einstufung, benannte Verantwortlichkeit und Kontaktdaten für Meldungen sind davon unabhängig; genau diese Punkte haben Vorlaufzeit.
Dann laufen die drei Monate ab diesem Zeitpunkt, nicht ab 01.10.2026. Wachstum, eine neue Tätigkeit oder eine geänderte Konzernstruktur können das auslösen — deshalb lohnt es sich, die Größenfrage jährlich erneut zu stellen.
Unklar, was davon auf Sie zutrifft?
Der kostenlose Check beantwortet den Regelfall in fünf Minuten. Für alles andere ist ein Gespräch der schnellere Weg.