Register der Einrichtungen · § 29 NISG 2026
Registrierung bis 4. Jänner 2027
Die Cybersicherheitsbehörde führt ein Register der wesentlichen und wichtigen Einrichtungen (§ 29 Abs. 1). Wer dazugehört, registriert sich selbst: innerhalb von drei Monaten ab Inkrafttreten, mit sieben Angaben, elektronisch und strukturiert (§ 29 Abs. 2 und 3), über die Anwendung „NIS2-Services“ im Unternehmensserviceportal. Den letzten Tag der ersten Frist nennt die Behörde: grundsätzlich den 1. Jänner 2027, auf Grund des § 33 Abs. 2 AVG spätestens den 4. Jänner 2027.
Die sieben Angaben des § 29 Abs. 2
- Z 1den Namen der Einrichtung
- Z 2die Anschrift und aktuelle Kontaktdaten sowie gegebenenfalls den gemäß § 28 Abs. 4 benannten Vertreter
- Z 3den Sektor oder die Sektoren, den Teilsektor oder die Teilsektoren und die Art oder Arten der Einrichtung gemäß Anlage 1 oder 2
- Z 4die Mitgliedstaaten der Europäischen Union, in denen sie Dienste erbringt
- Z 5gegebenenfalls die IP-Adressbereiche der Einrichtung
- Z 6die Anschrift der Hauptniederlassung der Einrichtung und ihrer sonstigen Niederlassungen in der Europäischen Union oder, falls sie nicht in der Europäischen Union niedergelassen ist, die Anschrift ihres gemäß § 28 Abs. 4 benannten Vertreters
- Z 7Informationen zu den in § 25 angeführten Schwellenwerten und darüber, ob es sich um eine wesentliche oder wichtige Einrichtung handelt
Dazu kommt eine Kontaktstelle aus zumindest einer Telefonnummer und einer E-Mail-Adresse für den Austausch von Cybersicherheitsinformationen mit der Behörde (§ 29 Abs. 6).
Fristen, auch nach der Registrierung
Drei Monate
Ab Inkrafttreten, laut Behörde bis spätestens 4. Jänner 2027. Wer später in den Anwendungsbereich fällt: drei Monate ab Erfüllung der Voraussetzungen (§ 29 Abs. 3).
Zwei Wochen
Für Änderungen bei Name, Anschrift und Kontaktdaten, Sektor, Mitgliedstaaten und IP-Bereichen (§ 29 Abs. 4 Z 1).
Drei Monate
Für Änderungen bei Niederlassungen, Schwellenwerten und der Einstufung als wesentlich oder wichtig (§ 29 Abs. 4 Z 2).
Verspätete Registrierung, wissentlich falsche Angaben und versäumte Änderungsmeldungen sind eigene Verwaltungsübertretungen: bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4 Z 1 und 2), verhängt von der Bezirksverwaltungsbehörde (§ 44 Abs. 1).
Die Selbstdeklaration (§ 33 Abs. 1)
Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln wesentliche und wichtige Einrichtungen der Cybersicherheitsbehörde Informationen zu den umgesetzten Maßnahmen nach § 32, insbesondere zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferketten und zu den Ergebnissen der Risikoanalyse, nach den Vorgaben der Behörde in strukturierter Form. Die Registrierungspflicht trat mit dem Gesetz am 1. Oktober 2026 ein; die Selbstdeklaration ist damit im Herbst 2027 fällig.
Die Selbstdeklaration ist kein Audit. Sie ist Ihre eigene, strukturierte Darstellung, und sie hat eine Schutzwirkung: Maßnahmen, deren Fehlen der Behörde nur aus der Selbstdeklaration bekannt wird, lösen keine Strafe nach § 45 Abs. 1 Z 3 aus. Wer sie versäumt oder wissentlich falsch abgibt, begeht dagegen eine eigene Übertretung (§ 45 Abs. 4 Z 7 und 8).
Was das Gesetz offen lässt, und was die Behörde festgelegt hat
Weder das Portal noch das Formular der Registrierung stehen im Gesetz; beides legt die Behörde fest, und seit Oktober 2026 hat sie es getan. Registriert wird über die Anwendung „NIS2-Services“ im Unternehmensserviceportal; Einrichtungen ohne Niederlassung in der EU übermitteln in den Fällen des § 28 Abs. 4 ein Formular an [email protected]. Für die öffentliche Verwaltung soll laut Behörde zeitnah nach dem 1. Oktober 2026 eine Anbindung über den Portalverbund zur Verfügung gestellt werden. Reglyze hält die sieben Angaben und die Kontaktstelle in der Struktur des § 29 Abs. 2 bereit, für die Eingabe in NIS2-Services und für jede Änderungsmeldung.