Ratgeber NISG 2026
Registrierung nach dem NISG 2026
Wesentliche und wichtige Einrichtungen müssen sich selbst beim Bundesamt für Cybersicherheit registrieren. Eine Aufforderung kommt nicht. Die Frist läuft laut Behörde bis 31. Dezember 2026, und die Angaben sind schneller beisammen, wenn Sie früh anfangen.
Stand: Oktober 2026 · Rechtsgrundlage: NISG 2026 (BGBl. I Nr. 94/2025) und NISV 2026
Wer sich registrieren muss
§ 29 Abs. 2 NISG 2026 verpflichtet alle wesentlichen und wichtigen Einrichtungen sowie Anbieter von Domänennamen-Registrierungsdiensten, sich bei der Cybersicherheitsbehörde zu registrieren. Das Bundesamt führt daraus ein Register, das es mindestens alle zwei Jahre überprüft (§ 29 Abs. 1). Ob Sie dazugehören, klären Sie mit der Prüfung der Betroffenheit.
Laut FAQ des Bundesamts registriert sich jede Gesellschaft, die eine erfasste Tätigkeit ausübt, für sich. Eine gemeinsame Konzernregistrierung ist nicht vorgesehen. Berechtigte Personen können im Portal aber Registrierungen für mehrere Gesellschaften vornehmen. Auch kritische Einrichtungen mit Bescheid nach dem RKE-Gesetz müssen sich nach dem NISG 2026 registrieren.
Die Frist: 31. Dezember 2026 oder 1. Jänner 2027?
Das Gesetz sagt: Die Registrierung hat innerhalb von drei Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 3 NISG 2026). Das Bundesamt für Cybersicherheit nennt dafür den Zeitraum vom 1. Oktober bis spätestens 31. Dezember 2026. In einer Fristenübersicht der WKO findet sich abweichend der 1. Jänner 2027.
Wer erst später zur wesentlichen oder wichtigen Einrichtung wird, etwa durch Wachstum, eine Übernahme oder ein neues Geschäftsfeld, muss sich „ehestmöglich“ registrieren, spätestens drei Monate nachdem die Voraussetzungen erfüllt sind (§ 29 Abs. 3). Behalten Sie deshalb Mitarbeiterzahl, Umsatz und Bilanzsumme im Blick, sobald Sie sich einer Schwelle nähern.
So läuft die Registrierung ab
Zugang zum USP klären
Die Registrierung erfolgt elektronisch über das Unternehmensserviceportal (USP), Anwendung „NIS2“, oder über den Portalverbund. Klären Sie früh, wer in Ihrem Unternehmen im USP die nötige Berechtigung hat oder bekommt.
Angaben sammeln
Stellen Sie die Daten nach § 29 Abs. 2 zusammen (siehe unten). Am meisten Zeit kosten meist die Zuordnung zu Sektor und Teilsektor sowie die Größenwerte samt verbundener Unternehmen.
Kontaktstelle festlegen
Sie brauchen eine Kontaktstelle mit zumindest einer Telefonnummer und einer E-Mail-Adresse für den Austausch mit der Behörde (§ 29 Abs. 6). Nehmen Sie eine Funktionsadresse, die nicht von einer einzelnen Person abhängt.
Formular absenden und ablegen
Füllen Sie das elektronische Formular aus und bewahren Sie eine Kopie der übermittelten Angaben samt Datum auf. Fällt das Portal aus, stellt das Bundesamt PDF-Ersatzformulare bereit.
Welche Angaben verlangt werden
| § 29 Abs. 2 | Inhalt | Hinweis aus der Praxis |
|---|---|---|
| Z 1 und 2 | Name, Anschrift, aktuelle Kontaktdaten, gegebenenfalls Vertreter | Firmenwortlaut wie im Firmenbuch verwenden |
| Z 3 | Sektor, Teilsektor und Art der Einrichtung nach Anlage 1 oder 2 | Bei mehreren Tätigkeiten alle angeben |
| Z 4 | EU-Mitgliedstaaten, in denen Sie Dienste erbringen | Auch Kunden im Ausland mitdenken |
| Z 5 | gegebenenfalls IP-Adressbereiche | Laut Bundesamt nur statische öffentliche Bereiche, ergänzbar um Domains |
| Z 6 | Hauptniederlassung und weitere Niederlassungen in der EU | Ohne EU-Niederlassung: Anschrift des Vertreters |
| Z 7 | Angaben zu den Schwellenwerten nach § 25 und Einstufung | Rechenweg intern dokumentieren |
Einrichtungen ohne Niederlassung in der EU, die in Österreich Dienste anbieten, benennen einen Vertreter. Dafür hält das Bundesamt ein eigenes Formular bereit.
Änderungen melden
Die Registrierung ist kein einmaliger Vorgang. Ändern sich Name, Kontaktdaten, Sektor, Mitgliedstaaten oder IP-Adressbereiche (Z 1 bis 5), müssen Sie das binnen zwei Wochen mitteilen. Für Niederlassungen und Schwellenwerte (Z 6 und 7) haben Sie drei Monate Zeit (§ 29 Abs. 4 NISG 2026). Typische Anlässe sind ein Umzug, eine neue Telefonnummer der Kontaktstelle, ein neues Rechenzentrum oder ein Zukauf.
Legen Sie fest, wer im Unternehmen solche Änderungen bemerkt und weitergibt. Oft ist das die Stelle, die auch das Firmenbuch und die Gewerbeberechtigungen betreut.
Was bei Versäumnis droht
Wer sich nicht fristgerecht registriert, wissentlich falsche oder unvollständige Angaben macht oder Änderungen nicht rechtzeitig meldet, begeht eine Verwaltungsübertretung. Die Geldstrafe beträgt bis zu 50.000 €, im Wiederholungsfall bis zu 100.000 € (§ 45 Abs. 4 Z 1 und 2 NISG 2026). Mehr zu Strafen und Aufsicht lesen Sie unter Strafen nach dem NISG 2026.
Wichtiger als die Strafe: Mit der Registrierung beginnt die Uhr für die Selbstdeklaration. Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht übermitteln Sie dem Bundesamt Informationen über Ihre umgesetzten Maßnahmen (§ 33 Abs. 1). Für Einrichtungen, die seit 1. Oktober 2026 erfasst sind, ergibt das rechnerisch Ende September 2027. Ein eigenes Datum nennt die Behörde dafür bisher nicht.
Fragen und Antworten
Was tun, wenn das USP nicht erreichbar ist?
Das Bundesamt für Cybersicherheit stellt für diesen Fall PDF-Ersatzformulare auf seiner Website bereit. Halten Sie fest, wann und warum Sie den Ersatzweg genutzt haben.
Müssen wir uns registrieren, wenn wir schon nach dem NISG 2018 erfasst waren?
Ja. Bescheide nach dem NISG 2018 sind mit 1. Oktober 2026 grundsätzlich gegenstandslos geworden (§ 51 Abs. 5 NISG 2026). Die Registrierung nach § 29 ist neu vorzunehmen.
Reicht eine Registrierung für die ganze Unternehmensgruppe?
Nein. Laut Bundesamt registriert sich jede Gesellschaft, die eine erfasste Tätigkeit ausübt, selbst. Im USP kann eine berechtigte Person aber mehrere Registrierungen erledigen.
Was ist mit IP-Adressbereichen gemeint?
Laut Bundesamt nur statische öffentliche IP-Adressbereiche. Sie können bei der Registrierung um Domainnamen ergänzt werden.