NISG 2026 · Österreich Betroffenheits-Check

NIS2 in Österreich: Sind Sie betroffen?

Das NIS-Gesetz 2026 (Netz- und Informationssystemsicherheitsgesetz, NISG 2026) setzt die NIS2-Richtlinie in Österreich um und erfasst 18 Sektoren. Es entscheidet zuerst Ihr Sektor, dann Ihre Größe. Vier Fragen, Ergebnis sofort, mit Begründung und Fundstelle.

Betroffenheit prüfen Demo vereinbaren

Keine Registrierung · Antworten bleiben im Browser · unverbindliche Ersteinschätzung

Schritt für Schritt

Betroffenheits-Check

Reihenfolge: Sektor, größenunabhängige Sonderfälle, Unternehmensgröße, Lieferkette.

1 In welchem Sektor ist Ihre Organisation tätig?

Auch eine Nebentätigkeit in einem dieser Sektoren kann die gesamte juristische Person erfassen. Wählen Sie den Sektor, der Ihre Tätigkeit am ehesten beschreibt. Gemeinden und Gemeindeverbände wählen den eigenen Eintrag unter „Sonstige" — sie sind vom Sektor „Öffentliche Verwaltung" ausgenommen (§ 24 Abs. 3); ein eigener Betrieb (Wasser, Abfall, Energie) zählt als dessen Sektor.

Sektor*

2 Erbringen Sie einen dieser Dienste?

DNS-Diensteanbieter, TLD-Namenregister, Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste. Diese Dienste sind unabhängig von der Unternehmensgröße erfasst (§ 24 Abs. 1 Z 1 und Abs. 2 Z 3 NISG 2026). Domänennamen-Registrierungsdienste bilden eine eigene Kategorie mit eingeschränkten Pflichten — wählen Sie hier „Nein“ und sprechen Sie uns darauf an.

Ja Nein

3 Wie groß ist Ihre Organisation?

Die Schwellen sind oder-verknüpft: Es genügt, wenn eine der beiden Bedingungen zutrifft (§ 25 Abs. 2 und 3 NISG 2026). Verbundene und Partnerunternehmen werden grundsätzlich mitgezählt — nicht jedoch, wenn Ihre Netz- und Informationssysteme organisatorisch, technisch und betrieblich unabhängig sind (§ 25 Abs. 4). Die Größe allein entscheidet nicht über wesentlich oder wichtig; maßgeblich ist die Kombination aus Sektor und Größe nach § 24.

Ab 250 Mitarbeitende oder Jahresumsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € Ab 50 Mitarbeitende oder Jahresumsatz über 10 Mio. € und Bilanzsumme über 10 Mio. € Darunter

4 Beliefern Sie Unternehmen aus diesen Sektoren?

Zulieferung allein macht Sie nicht unmittelbar zur erfassten Einrichtung, wohl aber zum Adressaten vertraglicher Anforderungen Ihrer Kunden.

Ja Nein

Ohne Gewähr. Diese Ersteinschätzung gibt unsere Lesart der NIS2-Richtlinie und ihrer österreichischen Umsetzung wieder und ersetzt keine Rechtsberatung. Maßgeblich ist ausschließlich der Gesetzestext in der geltenden Fassung. Ihre Antworten werden nicht übertragen und nicht gespeichert — außer Sie lassen sich das Ergebnis zusenden.

Offizielle Informationsquelle
Die Wirtschaftskammer Österreich führt einen laufend aktualisierten Überblick zum NISG 2026 — Betroffenheit, Pflichten, Fristen und Behördenkontakte: wko.at/nis. Verbindlich ist ausschließlich der Gesetzestext.

Zwei Wege hinein

Betroffen kraft Gesetz — oder kraft Vertrag.

NIS2 erreicht Unternehmen auf zwei Wegen. Er bestimmt, wem gegenüber Sie nachweispflichtig sind: der Behörde oder Ihrem Kunden.

Unmittelbar erfasst

Sie fallen als wesentliche oder wichtige Einrichtung selbst unter das Gesetz. Ihr Gegenüber ist die Behörde: Registrierung, Risikomanagement-Maßnahmen, Meldepflichten bei erheblichen Sicherheitsvorfällen, Nachweisführung gegenüber der Aufsicht.

Als Zulieferer

Sie sind selbst nicht erfasst, beliefern aber erfasste Einrichtungen. Deren Pflicht zur Absicherung der Lieferkette wird vertraglich an Sie weitergereicht: als Sicherheitsfragebogen, Auditrecht oder Meldeverpflichtung. Ihr Gegenüber ist Ihr Kunde, die Frist dessen Beschaffungsprozess.

Zwei Fälle, in denen IT-Dienstleister doch unmittelbar erfasst sind.
„Verwaltung von IKT-Diensten (B2B)“ ist ein eigener Sektor der Anlage 1 — MSPs und MSSPs fallen damit häufig aus eigenem Recht unter das Gesetz. Nach § 24 Abs. 8 unterliegen auch IKT-Drittdienstleister im Sinne des Art. 3 Z 23 DORA dem NISG 2026. Wer beides ausschließt, sollte das belegen können.

Sie haben einen Sicherheitsfragebogen erhalten?
Das ist der häufigste erste Kontakt mit NIS2 und meist ein Nachweisproblem: Dieselbe Evidenz wird für jeden Kunden neu zusammengesucht. Sprechen Sie mit uns darüber.

Nach der Einschätzung

Betroffenheit klären ist der leichte Teil. Nachweisen ist der schwere.

Die meisten Organisationen scheitern nicht an der Frage, ob sie betroffen sind, sondern daran, im Prüfungsmoment zu belegen, was wann galt. Jeder Nachweis wird kryptografisch versiegelt und mit einem unabhängigen Zeitstempel versehen. Inhalt und Zeitpunkt sind überprüfbar, auch von Ihrem Prüfer, auch ohne Zugang zu unserem System.

Alle Regime laufen auf derselben Engine: Ein einmal geführter Nachweis zählt für NIS2, ISO 27001 und die Sicherheitsfragebögen Ihrer Kunden. Das Ende der Mehrfach-Nachweisführung.

NIS2-Pack statt leerer Plattform

Pflichten, Kontroll-Gerüste, Nachweisanforderungen und Meldefristen werden beim Aktivieren des Packs angelegt. Jeder KI-Vorschlag ist ein Vorschlag, den Sie bestätigen; die Verantwortung bleibt bei Ihnen.

Meldefristen als laufende Uhr

Die Meldekaskade bei erheblichen Sicherheitsvorfällen wird als Frist geführt, mit den Nachweisen am selben Vorgang.

Unabhängig prüfbar

Jeder versiegelte Nachweis lässt sich über eine öffentliche Verifikations-URL prüfen, ohne Konto, ohne uns.

In Österreich gebaut und betrieben

ReportAct wird in Österreich entwickelt und betrieben. EU-Datenhaltung ist verfügbar; für standortspezifische Anforderungen sprechen Sie uns an.

Lieferketten-Compliance

Lieferkettensicherheit, die sich beweisen lässt.

In Österreich regelt § 32 Abs. 4 lit. d NISG 2026 dieselbe Pflicht zur Sicherheit der Lieferkette. Das NISG 2026 wurde am 23. Dezember 2025 im BGBl I Nr. 94/2025 veröffentlicht und tritt am 1. Oktober 2026 in Kraft. Das Lieferantenregister von ReportAct führt Kritikalität, Verträge, Herkunftsland und Konzentrationsflag je Anbieter; Sicherheits-Fragebögen werden je Lieferant versendet und beantwortet; die Kontrolle „Lieferkettensicherheit“ bewertet sich laufend aus der Vollständigkeit der Lieferanten-Due-Diligence, jeder Stand wird kryptografisch versiegelt.

Nächster Schritt

Sehen Sie ReportAct an einem echten Nachweis.

30 Minuten, Ihr Sektor, Ihre Pflichten. Wir richten einen Piloten auf Ihrem Regime ein — üblicherweise innerhalb einer Woche.

NIS2-Pack statt leerer Plattform.
Meldefristen als laufende Uhr.
Unabhängig prüfbar.

Jetzt kostenlos starten Demo buchen