In Kürze: Trinkwasser und Abwasser sind zwei eigene Anlage-1-Sektoren (hohe Kritikalität) des NISG 2026. Erfasst sind Versorger mit „Wasser für den menschlichen Gebrauch" sowie Betriebe, die kommunales, häusliches oder industrielles Abwasser sammeln, entsorgen oder behandeln — sofern dies eine wesentliche Tätigkeit ist und die Größenschwelle erreicht wird. Wichtig für Kommunen: Auch ein kommunaler Wasser-/Abwasserbetrieb ist über den Sektor erfasst — obwohl Gemeinden als Verwaltung selbst ausgenommen sind. Erstregistrierung bis 31.12.2026. → Betroffenheit prüfen.
Wasser- und Abwasserinfrastruktur gehört zur lebenswichtigen Versorgung — und ist zunehmend digital gesteuert. Beide Bereiche zählen daher zu den Sektoren mit hoher Kritikalität.
Wer ist betroffen?
Das NISG 2026 führt in Anlage 1 zwei getrennte Sektoren:
| Sektor (Anlage 1) | Erfasste Einrichtungen |
|---|---|
| Trinkwasser (Nr. 6) | Lieferanten und Unternehmen der Versorgung mit „Wasser für den menschlichen Gebrauch" — ausgenommen, wenn die Wasserlieferung nur ein nicht wesentlicher Teil der Tätigkeit ist |
| Abwasser (Nr. 7) | Unternehmen, die kommunales, häusliches oder industrielles Abwasser sammeln, entsorgen oder behandeln — ausgenommen, wenn dies nur ein nicht wesentlicher Teil der Tätigkeit ist |
Zur Tätigkeit muss die Größe kommen (Schwellenwerte):
- Großes Unternehmen → voraussichtlich wesentliche Einrichtung (§ 24 Abs. 1): ab 250 Mitarbeitern oder (Umsatz > 50 Mio. € und Bilanz > 43 Mio. €).
- Mittleres Unternehmen → voraussichtlich wichtige Einrichtung (§ 24 Abs. 2): ab 50 Mitarbeitern oder (Umsatz > 10 Mio. € und Bilanz > 10 Mio. €).
- Kleinstbetriebe bleiben in der Regel außerhalb — sofern keine größenunabhängige Einstufung der Behörde (§ 26) greift.
Das finanzielle Kriterium gilt kumulativ (Umsatz und Bilanzsumme).
Sonderfallkommunale Wasser- und Abwasserbetriebe
Hier entsteht oft Verwirrung: Gemeinden sind als Stellen der öffentlichen Verwaltung vom Sektor „Öffentliche Verwaltung" ausgenommen (§ 24 Abs. 3 — siehe NIS2 in der öffentlichen Verwaltung). Betreibt eine Gemeinde aber die Trinkwasser- oder Abwasserversorgung, ist diese Tätigkeit über die eigenständigen Sektoren Trinkwasser/Abwasser erfasst — unabhängig von der Verwaltungs-Ausnahme.
Mit anderen Worten: Nicht „die Gemeinde als Behörde" ist betroffen, sondern der Versorgungsbetrieb (ob als Eigenbetrieb, Verband oder ausgegliederte Gesellschaft) — sofern er die Größenschwelle erreicht. Die genaue Konstellation klären Sie im Geltungsbereichs-Check.
BesonderheitOT und Versorgungssicherheit
Wasserwerke und Kläranlagen sind stark von Steuerungstechnik (OT/SCADA) abhängig. Die § 32-Maßnahmen verfolgen einen gefahrenübergreifenden Ansatz und erfassen diese Systeme mit. Schwerpunkte:
- Segmentierung und Absicherung der Leit-/Prozessleittechnik.
- Betriebskontinuität (§ 32 Abs. 4 lit. c): Versorgung und Entsorgung müssen auch bei einem Cybervorfall gesichert bleiben.
- Zugriffskontrolle auf Steuerungssysteme (lit. i) und sichere Authentifizierung (lit. j).
Welche Pflichten gelten?
Dieselben Pflichtblöcke wie für alle Einrichtungen (NIS2-Pflichten):
- Registrierung bei der Cybersicherheitsbehörde — bis 31.12.2026 (§ 29).
- Risikomanagement mit den Mindestinhalten a–j (§ 32), mit OT-Schwerpunkt.
- Vorfallmeldung an das zuständige CSIRT: 24 h / 72 h / 1 Monat (§ 34/§ 35).
- Governance & Schulung des Leitungsorgans (§ 31).
- Wirksamkeitsnachweis — Selbstdeklaration bis 30.09.2027 (§ 33).
Erste Schritte
- Tätigkeit + Größe + Betreiberkonstellation klären → kostenloser Check.
- IT/OT-Inventar der Versorgungs-/Behandlungsanlagen erstellen.
- Registrierung vorbereiten → bis 31.12.2026.
- Risikomanagement mit Betriebskontinuitäts- und OT-Schwerpunkt aufsetzen (§ 32).
Die Plattform unterstützt Sie bei Einstufung, § 29-Paket und prüffesten Nachweisen — die rechtliche Bewertung und die Einreichung verbleiben bei Ihnen.
Ist Ihr Wasser-/Abwasserbetrieb betroffen?
Wählen Sie „Trinkwasser" bzw. „Abwasser" und Ihre Größe und sehen Sie Ihre voraussichtliche Einstufung. → Jetzt kostenlos prüfen
Häufige Fragen (FAQ)
Sind Wasserversorger von NIS2 betroffen? Ja. Trinkwasser ist ein eigener Anlage-1-Sektor. Versorger mit „Wasser für den menschlichen Gebrauch" sind erfasst, sofern dies eine wesentliche Tätigkeit ist und die Größenschwelle erreicht wird (mittel → wichtig, groß → wesentlich).
Ist Abwasser ein eigener NIS2-Sektor? Ja. Abwasser ist als Sektor Nr. 7 der Anlage 1 eigenständig erfasst — für Betriebe, die kommunales, häusliches oder industrielles Abwasser sammeln, entsorgen oder behandeln (sofern wesentliche Tätigkeit).
Ist meine Gemeinde-Wasserversorgung betroffen, obwohl Gemeinden ausgenommen sind? Möglicherweise ja. Die Ausnahme betrifft die Gemeinde als Verwaltung (§ 24 Abs. 3). Der Wasser-/Abwasserbetrieb ist jedoch über die eigenständigen Sektoren Trinkwasser/Abwasser erfasst — unabhängig davon, ob er als Eigenbetrieb, Verband oder Gesellschaft geführt wird, sofern die Größenschwelle erreicht wird.
Welche Frist gilt? Die Erstregistrierung ist bis 31.12.2026 vorzunehmen (§ 29 Abs. 3); die Selbstdeklaration bis 30.09.2027 (§ 33 Abs. 1).
Stand: Juni 2026. Dieser Beitrag dient der Orientierung und ersetzt keine Rechtsberatung. Eine verbindliche Einstufung trifft allein die zuständige Behörde mit Bescheid. Maßgeblich ist der Gesetzestext (BGBl. I Nr. 94/2025). Quellen: RIS / BGBl. I Nr. 94/2025, nis.gv.at, WKO.