Register der Einrichtungen · § 29 NISG 2026
Registrierung bis 31. Dezember 2026
Die Cybersicherheitsbehörde führt ein Register der wesentlichen und wichtigen Einrichtungen (§ 29 Abs. 1). Wer dazugehört, registriert sich selbst: innerhalb von drei Monaten ab Inkrafttreten, mit sieben Angaben, elektronisch und strukturiert (§ 29 Abs. 2 und 3).
Die sieben Angaben des § 29 Abs. 2
- Z 1den Namen der Einrichtung
- Z 2die Anschrift und aktuelle Kontaktdaten sowie gegebenenfalls den gemäß § 28 Abs. 4 benannten Vertreter
- Z 3den Sektor oder die Sektoren, den Teilsektor oder die Teilsektoren und die Art oder Arten der Einrichtung gemäß Anlage 1 oder 2
- Z 4die Mitgliedstaaten der Europäischen Union, in denen sie Dienste erbringt
- Z 5gegebenenfalls die IP-Adressbereiche der Einrichtung
- Z 6die Anschrift der Hauptniederlassung der Einrichtung und ihrer sonstigen Niederlassungen in der Europäischen Union
- Z 7Informationen zu den in § 25 angeführten Schwellenwerten und darüber, ob es sich um eine wesentliche oder wichtige Einrichtung handelt
Dazu kommt eine Kontaktstelle aus zumindest einer Telefonnummer und einer E-Mail-Adresse für den Austausch von Cybersicherheitsinformationen mit der Behörde (§ 29 Abs. 6).
Fristen, auch nach der Registrierung
Drei Monate
Ab Inkrafttreten, also bis 31. Dezember 2026. Wer später in den Anwendungsbereich fällt: drei Monate ab Erfüllung der Voraussetzungen (§ 29 Abs. 3).
Zwei Wochen
Für Änderungen bei Name, Anschrift und Kontaktdaten, Sektor, Mitgliedstaaten und IP-Bereichen (§ 29 Abs. 4 Z 1).
Drei Monate
Für Änderungen bei Niederlassungen, Schwellenwerten und der Einstufung als wesentlich oder wichtig (§ 29 Abs. 4 Z 2).
Verspätete Registrierung, wissentlich falsche Angaben und versäumte Änderungsmeldungen sind eigene Verwaltungsübertretungen: bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro (§ 45 Abs. 4 Z 1 und 2), verhängt von der Bezirksverwaltungsbehörde (§ 44 Abs. 1).
Die Selbstdeklaration (§ 33 Abs. 1)
Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln wesentliche und wichtige Einrichtungen der Cybersicherheitsbehörde Informationen zu den umgesetzten Maßnahmen nach § 32, insbesondere zu den genutzten Netz- und Informationssystemen, zur Sicherheit der Lieferketten und zu den Ergebnissen der Risikoanalyse, nach den Vorgaben der Behörde in strukturierter Form. Die Registrierungspflicht tritt mit dem Gesetz am 1. Oktober 2026 ein; die Selbstdeklaration ist damit im Herbst 2027 fällig.
Die Selbstdeklaration ist kein Audit. Sie ist Ihre eigene, strukturierte Darstellung, und sie hat eine Schutzwirkung: Maßnahmen, deren Fehlen der Behörde nur aus der Selbstdeklaration bekannt wird, lösen keine Strafe nach § 45 Abs. 1 Z 3 aus. Wer sie versäumt oder wissentlich falsch abgibt, begeht dagegen eine eigene Übertretung (§ 45 Abs. 4 Z 7 und 8).
Was das Gesetz offen lässt
Weder das Portal noch das Formular der Registrierung stehen im Gesetz; beides legt die Behörde fest. Am 18. September 2026 hatte sie auf nis.gv.at noch kein Registrierungsformular für das NISG 2026 veröffentlicht. Reglyze hält die sieben Angaben und die Kontaktstelle bereits in der Struktur des § 29 Abs. 2 bereit, damit die Übermittlung am Tag der Veröffentlichung eine Frage von Minuten ist.