Wer unter das NISG 2026 fällt: Sektoren, Einrichtungskategorien und Größenschwellen in Österreich

Problem in der Praxis

Der häufigste Fehler ist die Übertragung einer deutschen BSIG-Betroffenheitsanalyse auf die österreichische Schwestergesellschaft. Sie scheitert an mehreren Stellen zugleich: Die Kategorienbegriffe weichen ab, die Telekom-Weiche ist genau umgekehrt gestellt, und die Anlagen 1 und 2 definieren die Einrichtungsarten über Verweise auf österreichisches Fachrecht, etwa auf Elektrizitätsunternehmen sowie Verteiler- und Übertragungsnetzbetreiber im Sinne des ElWOG 2010. Wer die Anlagen mit der deutschen oder der Richtlinien-Brille liest, ordnet Tätigkeiten falsch zu.

Zweites Problem: Die Größenschwellen wirken vertraut (Basis ist die Empfehlung 2003/361/EG), aber § 25 Abs. 4 NISG 2026 enthält eine eigene Entlastungsregel für Konzerne, die viele übersehen. Drittens kann die Behörde Einrichtungen der in den Anlagen genannten Art auch unterhalb der Größenschwellen per Bescheid als wesentlich oder wichtig einstufen und wichtige Einrichtungen zu wesentlichen hochstufen (§ 26); die eigene Betroffenheit ist damit nicht allein aus Sektor und Größe ablesbar.

CISO-Einordnung

Sektoren und Anlagen. § 2 zählt 18 Sektoren auf. Anlage 1 (hohe Kritikalität) umfasst Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten (Business-to-Business), Öffentliche Verwaltung und Weltraum; Anlage 2 (sonstige kritische Sektoren) Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe und Herstellung von Waren, Anbieter digitaler Dienste und Forschung. Die Anlagen konkretisieren je Sektor Teilsektoren und Einrichtungsarten unter Verweis auf österreichisches Fachrecht; für die Detailprüfung sind die Anlagen der Kundmachung selbst heranzuziehen.

Die Kategorien des § 24. Wesentliche Einrichtungen sind erstens, größenunabhängig: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene, per Bescheid eingestufte Einrichtungen sowie als kritische Einrichtungen im Sinne der Richtlinie (EU) 2022/2557 (CER) ermittelte Einrichtungen; zweitens Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher Kommunikationsdienste ab mittlerer Unternehmensgröße; drittens Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen betreiben (§ 24 Abs. 1). Wichtige Einrichtungen sind Einrichtungen der in den Anlagen 1 und 2 genannten Art als mittleres oder großes Unternehmen, Einrichtungen der öffentlichen Verwaltung auf Landesebene sowie, größenunabhängig, Anbieter öffentlicher Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter und per Bescheid eingestufte Einrichtungen, jeweils soweit sie nicht schon wesentlich sind (§ 24 Abs. 2).

Größenschwellen (§ 25). Maßgeblich ist die Empfehlung 2003/361/EG (Anhang Art. 1 bis 6, ohne Art. 3 Abs. 4). Ein großes Unternehmen beschäftigt zumindest 250 Mitarbeiter oder überschreitet 50 Mio. Euro Jahresumsatz und 43 Mio. Euro Bilanzsumme; ein mittleres beschäftigt zumindest 50 Mitarbeiter oder überschreitet 10 Mio. Euro Jahresumsatz und 10 Mio. Euro Bilanzsumme, sofern es nicht groß ist. Die österreichische Besonderheit steht in § 25 Abs. 4: Daten von Partner- oder verbundenen Unternehmen werden nicht zugerechnet, wenn die Einrichtung hinsichtlich ihrer Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig ist. Für Konzerntöchter mit eigenständiger IT kann das über die Betroffenheit entscheiden.

Öffentliche Verwaltung mit Gemeinde-Ausnahme. Erfasst ist die öffentliche Verwaltung auf Bundesebene (wesentlich) und auf Landesebene, darunter Ämter der Landesregierungen und Bezirkshauptmannschaften (wichtig). Gemeinden und Gemeindeverbände sind ausgenommen (§ 24 Abs. 3). § 24 Abs. 6 nimmt außerdem Bereiche aus: Einrichtungen mit Wirkungsbereich überwiegend in nationaler Sicherheit einschließlich militärischer Landesverteidigung, öffentlicher Sicherheit oder Strafverfolgung, das Universitäts-, Hochschul- und Schulwesen, die Gerichtsbarkeit einschließlich Justizverwaltung, die Gesetzgebung einschließlich Parlamentsdirektion und die Österreichische Nationalbank. Für Vertrauensdiensteanbieter gilt diese Ausnahme nicht; und § 24 Abs. 9 verpflichtet BMI, BMJ, BMLV und den Präsidenten des Nationalrats trotz Ausnahme zu strukturellen Cybersicherheitsvorkehrungen im eigenen Bereich.

DORA-Vorrang mit Doppelunterstellung. Gegenüber Einrichtungen im Anwendungsbereich der VO (EU) 2022/2554 (DORA) gehen deren einschlägige Bestimmungen vor, auch für national nach Art. 2 Abs. 4 DORA Ausgenommene (§ 24 Abs. 7). IKT-Drittdienstleister im Sinne von Art. 3 Z 23 DORA unterliegen dagegen auch dem NISG 2026 (§ 24 Abs. 8), müssen also beide Regime prüfen. Daneben erklärt § 27 die §§ 32 und 34 für unanwendbar, soweit sektorspezifisches Unionsrecht gleichwertige Risikomanagement- oder Meldepflichten enthält; die Behörde informiert darüber auf ihrer Website. Die DORA-Pflichten selbst stehen im dora-Track.

Der Telekom-Kontrast zu Deutschland. Österreich holt die Anbieter öffentlicher Kommunikationsnetze und -dienste in das NISG: ab mittlerer Größe als wesentliche, im Übrigen größenunabhängig als wichtige Einrichtungen (§ 24 Abs. 1 Z 2, Abs. 2 Z 3 lit. a); Artikel 2 der Kundmachung passt das österreichische TKG 2021 entsprechend an. In Deutschland nimmt § 28 Abs. 5 und 6 BSIG öffentliche Telekommunikationsnetze und -dienste von zentralen BSIG-Pflichten aus und überlässt sie dem TKG-Regime (Details und Rückausnahmen im nis2-Track). Ein TK-Anbieter mit Geschäft in beiden Ländern hat also zwei grundverschiedene Regelungsorte.

Territorialität (§ 28). Grundsatz ist die Niederlassung in Österreich; TK-Anbieter sind bei Diensterbringung in Österreich erfasst. Für DNS-Diensteanbieter, TLD-Namenregister, Cloud-, Rechenzentrums- und CDN-Anbieter, Managed (Security) Services sowie Online-Marktplätze, Online-Suchmaschinen und soziale Netzwerke gilt das Hauptniederlassungsprinzip mit der Kaskade des § 28 Abs. 3: Ort der Risikomanagement-Entscheidungen, ersatzweise Ort der Cybersicherheitsmaßnahmen, ersatzweise die EU-Niederlassung mit den meisten Beschäftigten. Einrichtungen der öffentlichen Verwaltung sind unabhängig vom Niederlassungsort innerhalb der EU erfasst.

Umsetzungsperspektive

1. Tätigkeiten erfassen: je Gesellschaft und Standort in Österreich, entlang der realen Dienste, nicht der Firmierung.
2. Sektor-Mapping gegen die Anlagen: jede Tätigkeit gegen Anlage 1 und 2 spiegeln und die dortigen Verweise auf österreichisches Fachrecht (etwa ElWOG 2010) juristisch prüfen lassen.
3. Größenprüfung nach § 25: Schwellen bestimmen und die Nichtzurechnung nach Abs. 4 dokumentiert prüfen, bevor Konzernzahlen addiert werden.
4. Sonderpfade prüfen: Telekom (eigene Erfassungslogik), öffentliche Verwaltung (Ebenen und Ausnahmen), DORA-Anwendungsbereich samt Doppelunterstellung, mögliche Bescheid-Einstufung.
5. Kategorie festhalten: je Einheit als wesentlich, wichtig oder nicht erfasst einordnen, mit Begründung, Datum und Freigabe; ab dem 01.10.2026 knüpfen Registrierungs- und Folgepflichten daran an.

Typische Fehler

1. Die deutschen Kategorienbegriffe werden übernommen; "besonders wichtige Einrichtung" existiert im NISG 2026 nicht.
2. TK-Anbieter werden nach deutscher Logik als "nicht im NIS-Regime" abgehakt, obwohl Österreich sie im NISG erfasst.
3. Konzernzahlen werden pauschal zugerechnet, ohne die Nichtzurechnung nach § 25 Abs. 4 zu prüfen.
4. Die Anlagen werden ohne das referenzierte österreichische Fachrecht gelesen und Tätigkeiten falsch zugeordnet.
5. Ein DORA-Haus hält sich für vollständig befreit und übersieht die Doppelunterstellung der IKT-Drittdienstleister (§ 24 Abs. 8).
6. Die Möglichkeit der Einstufung per Bescheid (§ 26) fehlt im Risikobild, obwohl sie Einrichtungen unterhalb der Schwellen erfassen kann.

Risiken und Trade-offs

Eine zu enge Selbsteinstufung ist das größere Risiko: Wer sich fälschlich für nicht erfasst hält, versäumt ab dem 01.10.2026 Registrierung und Pflichtenaufbau. Eine zu weite Einstufung kostet Aufwand, kann an Schwellen- und Zuordnungsgrenzen aber eine vertretbare, dokumentierte Vorsichtsentscheidung sein. Die Prüfung je Gesellschaft ist aufwendiger als eine Konzernpauschale, aber nur sie trägt: Kategorien, Größenzurechnung und Sonderpfade können je Einheit unterschiedlich ausgehen. Ein Einstufungsbescheid nach § 26 kann die eigene Analyse jederzeit überholen; das spricht für dokumentierte Annahmen, die sich schnell aktualisieren lassen.

Entscheidungspunkte

• Prüfen wir die Betroffenheit je österreichischer Gesellschaft und Tätigkeit oder pauschal auf Gruppenebene?
• Wer prüft die Fachrechts-Verweise der Anlagen 1 und 2, und ziehen wir dafür österreichische Rechtsberatung hinzu?
• Berufen wir uns für IT-seitig eigenständige Töchter auf die Nichtzurechnung nach § 25 Abs. 4, und wie dokumentieren wir die Unabhängigkeit?
• Wie behandeln wir Einheiten im DORA-Anwendungsbereich und IKT-Drittdienstleister mit ihrer Doppelunterstellung?
• Wie reagieren wir organisatorisch, falls ein Einstufungsbescheid nach § 26 ergeht?

Praktische Empfehlungen

1. Erstellen Sie vor dem 01.10.2026 eine dokumentierte Betroffenheitsanalyse je österreichischer Einheit mit Begründung, Datum und Freigabe.
2. Prüfen Sie die Anlagen 1 und 2 gegen das referenzierte österreichische Fachrecht, nicht gegen deutsche Entsprechungen oder die Richtlinien-Anhänge.
3. Dokumentieren Sie die Größenprüfung nach § 25 einschließlich einer begründeten Entscheidung zur Nichtzurechnung nach Abs. 4.
4. Führen Sie Telekom, öffentliche Verwaltung und DORA als eigene Prüfpfade mit den jeweiligen Sonderregeln.
5. Halten Sie die Kategorienbegriffe je Land auseinander: wesentlich und wichtig in Österreich, besonders wichtig und wichtig im deutschen BSIG (Details im nis2-Track).

Relevante Normreferenzen

• NISG 2026 (Art. 1 BGBl. I Nr. 94/2025, anzuwenden ab dem 01.10.2026): § 2 (Sektoren), § 24 (Einrichtungskategorien, Ausnahmen, DORA-Vorrang), § 25 (Unternehmensgröße, Nichtzurechnung), § 26 (Einstufung per Bescheid), § 27 (sektorale EU-Rechtsakte), § 28 (Territorialität), Anlagen 1 und 2 (Einrichtungsarten mit Verweis auf österreichisches Fachrecht).
• Empfehlung 2003/361/EG: Basis der Größenschwellen.
• VO (EU) 2022/2554 (DORA): Vorrang und Doppelunterstellung nach § 24 Abs. 7 und 8; die DORA-Pflichten stehen im dora-Track.
• Richtlinie (EU) 2022/2557 (CER): als kritisch ermittelte Einrichtungen gelten als wesentlich (§ 24 Abs. 1); die deutsche Umsetzung (KRITIS-Dachgesetz) steht im kritis-Track, die österreichische CER-Umsetzung ist nicht Gegenstand dieses Tracks.
• BSIG (Deutschland): Kategorien und die TK-Bereichsausnahme des § 28 Abs. 5 und 6 BSIG im nis2-Track.