Bin ich von NIS2 betroffen? In 2 Minuten kostenlos prüfen
In Kürze: Vom österreichischen NISG 2026 (Umsetzung der EU-NIS2-Richtlinie) sind in der Regel Unternehmen ab mittlerer Größe betroffen, die in einem der 18 Sektoren der Anlagen 1 und 2 tätig sind. Mit dem kostenlosen Sofort-Check sehen Sie in zwei Minuten Ihre voraussichtliche Einstufung — wesentlich, wichtig oder außerhalb — samt nachvollziehbarer Regel-Spur zu § 24 / § 25. Wer betroffen ist, muss sich bis 31.12.2026 registrieren.
Sind Sie im Geltungsbereich des NISG 2026? Wählen Sie Ihren Sektor und Ihre Unternehmensgröße — und sehen Sie sofort Ihre voraussichtliche Einstufung als wesentliche, wichtige oder nicht betroffene Einrichtung. Ohne Anmeldung, kostenlos.
Was der Check liefert
- Voraussichtliche Einstufung — wesentlich / wichtig / außerhalb / manuelle Prüfung
- Regel-Spur — welche Regel (§ 24 Abs. 1/2, § 26 …) zur Einstufung geführt hat
- Nächster Schritt — direkter Weg zur genauen Einstufung im Scope-Wizard und zum § 29-Registrierungspaket
Ab wann sind Sie betroffen?
Die Betroffenheit ergibt sich aus Sektor und Größe — plus einigen Sonderfällen. Zur ersten Orientierung:
| Größe | Schwelle (vereinfacht) | NIS2-Relevanz |
|---|---|---|
| Klein | < 50 Mitarbeiter und ≤ 10 Mio. € | grundsätzlich außerhalb |
| Mittel | ab 50 Mitarbeitern — oder > 10 Mio. € Umsatz und > 10 Mio. € Bilanzsumme | betroffen (meist „wichtig") |
| Groß | ab 250 Mitarbeitern — oder > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme | betroffen (in Anlage 1 meist „wesentlich") |
Das finanzielle Kriterium gilt kumulativ: Umsatz und Bilanzsumme müssen über der Schwelle liegen. Verbundene und Partnerunternehmen können die Schwelle früher auslösen, als die Einzelgesellschaft vermuten lässt — die genaue Größenberechnung und alle Sonderfälle prüft der Scope-Wizard. Liegt keine Ihrer Tätigkeiten in den 18 Sektoren, sind Sie grundsätzlich nicht direkt betroffen. Den ausführlichen Hintergrund finden Sie unter Wer ist von NIS2 betroffen?.
Nach dem Check
Der Sofort-Check ist illustrativ. Die genaue Einstufung — inklusive Größenmatrix, verbundener Unternehmen und Sonderfälle (z. B. größenunabhängige Einrichtungen, DORA-Vorrang nach § 24 Abs. 7) — erfolgt im Scope-Wizard. Von dort sind es nur wenige Schritte bis zur Registrierungsbereitschaft vor dem 31.12.2026: Aus Ihrer Einstufung entsteht das § 29-Registrierungspaket mit allen sieben Pflichtangaben als unveränderlicher Snapshot, abgesichert über ein manipulationssicheres Audit-Ledger.
In zwei Minuten zur Einstufung
→ Genaue Einstufung im Scope-Wizard starten · → Mehr erfahren: Wer ist von NIS2 betroffen? · → Registrierung in Österreich
Häufige Fragen (FAQ)
Bin ich von NIS2 betroffen? Sie sind voraussichtlich betroffen, wenn Sie in einem der 18 Sektoren der Anlagen 1 oder 2 tätig sind und mindestens mittlere Größe erreichen — also ab 50 Mitarbeitern oder, unabhängig davon, ab mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme. Einige Tätigkeiten (z. B. DNS-Diensteanbieter, qualifizierte Vertrauensdiensteanbieter) gelten größenunabhängig. Der kostenlose Sofort-Check zeigt Ihre voraussichtliche Einstufung; die genaue Einstufung erfolgt im Scope-Wizard.
Ab wie vielen Mitarbeitern gilt NIS2? Ab 50 Mitarbeitern (mittlere Einrichtung) bzw. ab 250 Mitarbeitern (große Einrichtung) — jeweils nur, wenn Sie in einem betroffenen Sektor tätig sind. Das finanzielle Kriterium gilt zusätzlich und kumulativ: mehr als 10 Mio. € Umsatz und mehr als 10 Mio. € Bilanzsumme (mittel) bzw. mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme (groß).
Ist der Check kostenlos? Ja. Der Sofort-Check ist kostenlos und ohne Anmeldung nutzbar. Er ist illustrativ und ersetzt keine rechtliche Einzelfallprüfung — die detaillierte Einstufung erfolgt anschließend im Scope-Wizard.
Bis wann muss ich mich registrieren? Das NISG 2026 tritt am 1. Oktober 2026 in Kraft; die Erstregistrierung bei der Cybersicherheitsbehörde muss bis 31. Dezember 2026 erfolgen (§ 29 Abs. 3).
An wen melde ich einen Sicherheitsvorfall? Erhebliche Sicherheitsvorfälle werden an das zuständige (sektorspezifische bzw. nationale) CSIRT gemeldet — nicht direkt an die Cybersicherheitsbehörde; das CSIRT leitet die Meldung unverzüglich an die Behörde weiter (§ 34). Es gelten gestufte Fristen: 24 h Frühwarnung, 72 h Meldung und spätestens 1 Monat Abschlussbericht.
Illustrativ und unverbindlich — diese Seite unterstützt Ihre Compliance-Vorbereitung und ersetzt keine Rechtsberatung. Eine verbindliche Einstufung trifft allein die zuständige Behörde mit Bescheid. Maßgeblich ist der Gesetzestext (BGBl. I Nr. 94/2025). Stand: Juni 2026. Quellen: RIS / BGBl. I Nr. 94/2025, nis.gv.at, WKO.