Anwendungsbereich · §§ 2, 24 bis 26 NISG 2026
Wer fällt unter das NISG 2026?
Drei Fragen entscheiden: Sind Sie in einem der achtzehn Sektoren tätig? Betreiben Sie ein mittleres oder großes Unternehmen? Und gehören Sie zu einer der Gruppen, die unabhängig von der Größe erfasst sind? Die Antwort bestimmt, ob Sie wesentliche oder wichtige Einrichtung sind, und damit die Aufsicht und den Strafrahmen.
Die achtzehn Sektoren des § 2
Das Gesetz zählt die Sektoren selbst auf; welche Arten von Einrichtungen je Sektor gemeint sind, steht in den Anlagen 1 und 2.
- 01Energie
- 02Verkehr
- 03Bankwesen
- 04Finanzmarktinfrastrukturen
- 05Gesundheitswesen
- 06Trinkwasser
- 07Abwasser
- 08Digitale Infrastruktur
- 09Verwaltung von IKT-Diensten (Business-to-Business)
- 10Öffentliche Verwaltung
- 11Weltraum
- 12Post- und Kurierdienste
- 13Abfallbewirtschaftung
- 14Produktion, Herstellung und Handel mit chemischen Stoffen
- 15Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- 16Verarbeitendes Gewerbe und Herstellung von Waren
- 17Anbieter digitaler Dienste
- 18Forschung
Der Größentest des § 25
Großes Unternehmen: zumindest 250 Mitarbeiter, oder ein Jahresumsatz über 50 Millionen Euro bei einer Bilanzsumme über 43 Millionen Euro (§ 25 Abs. 2). Mittleres Unternehmen: zumindest 50 Mitarbeiter, oder ein Jahresumsatz über zehn Millionen Euro bei einer Bilanzsumme über zehn Millionen Euro (§ 25 Abs. 3). Grundlage ist die Empfehlung 2003/361/EG, mit einer Ausnahme, die für Tochtergesellschaften den Unterschied macht.
Die Ausnahme für verbundene Unternehmen
Die Daten von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn die Einrichtung in Bezug auf die Netz- und Informationssysteme, die sie für ihre Dienste nutzt, organisatorisch, technisch und operativ unabhängig von ihnen ist (§ 25 Abs. 4). Eine kleine österreichische Tochter eines Konzerns mit eigener IT kann also unter der Schwelle bleiben; hängt sie an der Konzern-IT, zählt der Konzern mit.
Zwei Stufen nach § 24
Wesentliche Einrichtungen
Große Unternehmen der Anlage 1
Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen nach § 25 Abs. 2 betreiben (§ 24 Abs. 1 Z 3).
Unabhängig von der Größe
Qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, die Bundesverwaltung, von der Behörde eingestufte Einrichtungen und kritische Einrichtungen nach der Richtlinie (EU) 2022/2557 (§ 24 Abs. 1 Z 1).
Mittlere Telekom-Anbieter
Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, die ein mittleres Unternehmen betreiben (§ 24 Abs. 1 Z 2).
Wichtige Einrichtungen
Mittlere und große Unternehmen der Anlagen 1 und 2
Sofern sie nicht bereits wesentlich sind (§ 24 Abs. 2 Z 1). Das ist der Regelfall im Mittelstand.
Landesverwaltung
Einrichtungen im Sektor der öffentlichen Verwaltung auf Landesebene (§ 24 Abs. 2 Z 2). Gemeinden und Gemeindeverbände sind ausgenommen (§ 24 Abs. 3).
Unabhängig von der Größe
Anbieter öffentlicher Kommunikationsnetze oder -dienste, Vertrauensdiensteanbieter und von der Behörde als wichtig eingestufte Einrichtungen (§ 24 Abs. 2 Z 3).
Die Cybersicherheitsbehörde kann eine Einrichtung, die nach ihrer Größe nicht erfasst wäre, mit Bescheid als wesentlich oder wichtig einstufen, etwa als einziger Anbieter eines unerlässlichen Dienstes in Österreich oder wegen eines Systemrisikos (§ 26 Abs. 1 und 3). Wer einen solchen Bescheid erhält, unterliegt dem Gesetz unabhängig vom Größentest.
Wie viele Einrichtungen sind es?
Eine amtliche Zahl gibt es nicht. Die Wirtschaftskammer spricht von rund 4.000 betroffenen Unternehmen und Institutionen. Das ist eine Schätzung, keine Registerzahl: Das Register der Einrichtungen entsteht erst mit den Registrierungen ab 1. Oktober 2026 (§ 29 Abs. 1).