Betroffen vom NISG 2026? Prüfen Sie es in fünf Schritten.
Tätigkeit, Sonderregeln, Größe, Konzern, Niederlassung. Das Ergebnis erscheint sofort, mit den Pflichten und Fristen, die daraus folgen — ohne E-Mail-Adresse, ohne Anmeldung.
Ihre Eingaben verlassen Ihren Browser nicht. Es wird nichts gespeichert und nichts übertragen.
Ihre Eingaben verlassen Ihren Browser nicht. Keine Übertragung, keine Speicherung, kein Cookie.
Nach welchen Regeln eingestuft wird
Die Einstufung folgt § 24 NISG 2026 in Verbindung mit den Anlagen 1 und 2 (Anlage 1, Anlage 2) und den Größenschwellen aus § 25.
| Tätigkeit | großes Unternehmen | mittleres Unternehmen | kleineres Unternehmen |
|---|---|---|---|
| Anlage 1 | wesentlich | wichtig | nicht erfasst¹ |
| Anlage 2 | wichtig | wichtig | nicht erfasst¹ |
| keiner der Sektoren | nicht erfasst¹ | ||
¹ Außer eine größenunabhängige Sonderregel greift oder die Behörde stuft per Bescheid ein (§ 24, § 26).
- Großes Unternehmen: zumindest 250 Mitarbeiter, oder Jahresumsatz über 50 Millionen Euro und zugleich Jahresbilanzsumme über 43 Millionen Euro (§ 25 Abs. 2).
- Mittleres Unternehmen: zumindest 50 Mitarbeiter, oder Jahresumsatz über 10 Millionen Euro und zugleich Jahresbilanzsumme über 10 Millionen Euro (§ 25 Abs. 3).
- Unabhängig von der Größe wesentlich: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, öffentliche Verwaltung des Bundes, kritische Einrichtungen nach der Richtlinie (EU) 2022/2557, per Bescheid eingestufte Einrichtungen (§ 24 Abs. 1 Z 1). Mittlere Kommunikationsanbieter ebenfalls (§ 24 Abs. 1 Z 2).
- Unabhängig von der Größe wichtig: Anbieter öffentlicher Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, öffentliche Verwaltung der Länder, per Bescheid eingestufte Einrichtungen (§ 24 Abs. 2).
- Niederlassung: erfasst sind grundsätzlich Einrichtungen mit Niederlassung in Österreich; für Kommunikations-, Cloud-, Rechenzentrums- und verwaltete IT-Dienste sowie Online-Plattformen gelten eigene Regeln (§ 28).
Wo eine Antwort fehlt oder mehrere Einstufungen möglich sind, gibt der Selbstcheck keine Vermutung aus, sondern „Einzelfallprüfung“.
Was der Selbstcheck nicht leistet
Er ist eine Orientierungshilfe, keine Rechtsberatung. Die Anlagen bestimmen die Arten von Einrichtungen oft mit Verweis auf Fachgesetze und Wirtschaftszweige; ob Ihre Tätigkeit genau darunter fällt, zeigt erst der Blick in die Anlage. Die Einstufung nimmt Ihr Unternehmen selbst vor, und die Cybersicherheitsbehörde kann sie überprüfen.
Weiter mit den Fristen und der Registrierung oder zurück zur Übersicht NIS2 und NISG 2026.