In Kürze: Post- und Kurierdienste sind ein Anlage-2-Sektor des NISG 2026. Erfasst sind Postdiensteanbieter (§ 3 Z 3 Postmarktgesetz) und Anbieter von Kurierdiensten (§ 3 Z 4a PMG). Mittlere und große Anbieter gelten als wichtige Einrichtung (§ 24 Abs. 2). Erstregistrierung bis 31.12.2026. → Betroffenheit prüfen.
Die KEP-Branche (Kurier-, Express- und Paketdienste) sowie klassische Postdienste sind für Handel und Versorgung systemrelevant und stark digitalisiert (Sendungsverfolgung, Sortier- und Routing-Systeme) — daher zählen sie zu den sonstigen kritischen Sektoren (Anlage 2).
Wer ist betroffen?
Das NISG 2026 verweist für den Sektor „Post- und Kurierdienste" auf das Postmarktgesetz (PMG):
- Postdiensteanbieter gemäß § 3 Z 3 PMG;
- Anbieter von Kurierdiensten gemäß § 3 Z 4a PMG.
Maßgeblich ist der Wortlaut der Anlage 2 und des PMG; die genaue Zuordnung nehmen Sie im Geltungsbereichs-Check vor.
Zur Tätigkeit muss die Größe kommen (Schwellenwerte). Für Anlage-2-Sektoren gilt:
- Mittlere und große Anbieter → voraussichtlich wichtige Einrichtung (§ 24 Abs. 2): ab 50 Mitarbeitern — oder, davon unabhängig, ab > 10 Mio. € Jahresumsatz und > 10 Mio. € Bilanzsumme (kumulativ).
- Kleinstanbieter bleiben in der Regel außerhalb — sofern keine größenunabhängige Einstufung der Behörde (§ 26) greift.
Anlage-2-Einrichtungen sind — ob mittel oder groß — wichtige Einrichtungen; „wesentlich" kann nur über § 26 hinzutreten.
Abgrenzung zum Verkehr: Reine Transport-/Speditionsleistungen können dem Sektor Verkehr zuzuordnen sein. Die Einordnung als „Post-/Kurierdienst" richtet sich nach den Definitionen des PMG.
Welche Pflichten gelten?
Dieselben Pflichtblöcke wie für alle Einrichtungen (NIS2-Pflichten):
- Registrierung bei der Cybersicherheitsbehörde — bis 31.12.2026 (§ 29).
- Risikomanagement mit den Mindestinhalten a–j (§ 32), inkl. Sortier-, Routing- und Sendungsverfolgungssystemen.
- Vorfallmeldung an das zuständige CSIRT: 24 h / 72 h / 1 Monat (§ 34/§ 35).
- Governance & Schulung des Leitungsorgans (§ 31).
- Wirksamkeitsnachweis — Selbstdeklaration bis 30.09.2027 (§ 33).
Erste Schritte
- Tätigkeit (Post/Kurier nach PMG) + Größe klären → kostenloser Check.
- Registrierung vorbereiten → bis 31.12.2026.
- Risikomanagement aufsetzen (§ 32).
Die Plattform unterstützt Sie bei Einstufung, § 29-Paket und prüffesten Nachweisen — die rechtliche Bewertung und die Einreichung verbleiben bei Ihnen.
Ist Ihr Post-/Kurierdienst betroffen?
Wählen Sie „Post- und Kurierdienste" und Ihre Größe und sehen Sie Ihre voraussichtliche Einstufung. → Jetzt kostenlos prüfen
Häufige Fragen (FAQ)
Sind Paket- und Kurierdienste von NIS2 betroffen? Ja. „Post- und Kurierdienste" ist ein Anlage-2-Sektor (Bezug auf das PMG). Post- und Kurierdienstleister sind erfasst, sofern sie die Größenschwelle erreichen — als wichtige Einrichtung (§ 24 Abs. 2).
Ist meine Spedition betroffen? Reine Transport-/Speditionsleistungen sind ggf. dem Sektor Verkehr zuzuordnen. Die Einordnung als Post-/Kurierdienst richtet sich nach den Definitionen des Postmarktgesetzes.
Sind kleine Kurierdienste betroffen? In der Regel nicht: Kleinstanbieter (< 50 Mitarbeiter und ≤ 10 Mio. €) bleiben meist außerhalb, sofern keine Einstufung nach § 26 greift.
Welche Frist gilt? Die Erstregistrierung ist bis 31.12.2026 vorzunehmen (§ 29 Abs. 3); die Selbstdeklaration bis 30.09.2027 (§ 33 Abs. 1).
Stand: Juni 2026. Dieser Beitrag dient der Orientierung und ersetzt keine Rechtsberatung. Eine verbindliche Einstufung trifft allein die zuständige Behörde mit Bescheid. Maßgeblich ist der Gesetzestext (BGBl. I Nr. 94/2025). Quellen: RIS / BGBl. I Nr. 94/2025, nis.gv.at, WKO.