Bin ich von NIS-2 betroffen? Selbstcheck für Unternehmen

Rechtsgrundlage: §§ 24–28 NISG 2026 und Anlagen 1–2.

Vier Prüfschritte für Unternehmen, Geschäftsführung und Compliance

„Sind wir überhaupt betroffen?" ist die erste Frage, die ich zu NIS-2 höre. Sie ist verständlich – und sie greift zu kurz. Das neue Cybersicherheitsrecht kennt zwei Wege, auf denen es Sie erreicht: den direkten über das Gesetz und den indirekten über Ihre Kunden. Wer nur den ersten prüft, übersieht regelmäßig den, der ihn zuerst trifft. Vier Schritte, danach wissen Sie, wo Sie stehen.

Schritt 1: Fällt Ihre Branche in den Anwendungsbereich?

Das Gesetz arbeitet mit zwei Sektorlisten. Die erste umfasst die Bereiche mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, die Verwaltung von IT-Diensten, öffentliche Verwaltung und Weltraum. Die zweite Liste ergänzt weitere kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, chemische Stoffe, Lebensmittel, das verarbeitende Gewerbe (unter anderem Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste und Forschung.

Prüfen Sie nüchtern: Erbringt die zu prüfende Einrichtung eine in Anlage 1 oder 2 konkret genannte Dienstleistung oder übt sie eine dort genannte Tätigkeit aus? Prüfen Sie die gesetzliche Beschreibung der Einrichtungsart, nicht nur eine allgemeine Branchenzuordnung. Wenn nein, spricht dies gegen eine Erfassung nach den sektoralen Grundtatbeständen. Größenunabhängige Tatbestände, eine Einstufung nach § 26, Territorialität und sektorspezifische Regeln sind dennoch gesondert zu prüfen.

Schritt 2: Wie groß ist Ihr Unternehmen?

Neben der Branche entscheidet die Größe. Die Schwellen sind präzise:

• Als mittleres Unternehmen gilt eine Einrichtung, wenn sie mindestens 50 Mitarbeiter beschäftigt oder wenn sowohl der Jahresumsatz als auch die Jahresbilanzsumme jeweils über 10 Mio. Euro liegen, sofern sie nicht bereits groß ist.
• Als groß gilt sie bei mindestens 250 Mitarbeitern oder wenn der Jahresumsatz über 50 Mio. Euro und die Jahresbilanzsumme über 43 Mio. Euro liegen.

Für die Schwellenberechnung verweist § 25 Abs. 1 auf Art. 1 bis 6 des Anhangs der Empfehlung 2003/361/EG. Nach § 25 Abs. 4 sind Daten von Partner- oder verbundenen Unternehmen nicht hinzuzurechnen, wenn die dort genannten organisatorischen, technischen und operativen Unabhängigkeitsvoraussetzungen erfüllt sind. Das ist anhand der konkreten Systeme und Dienste zu prüfen.

Schritt 3: Wesentlich, wichtig – oder per Bescheid erfasst?

• Als großes Unternehmen in der ersten Liste: in der Regel wesentliche Einrichtung.
• Als großes oder mittleres Unternehmen in einer der beiden Listen: zumindest wichtige Einrichtung.
• Größenunabhängig erfasst sind die in § 24 Abs. 1 Z 1 und Abs. 2 Z 3 ausdrücklich genannten Fälle, darunter qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, bestimmte öffentliche Kommunikationsanbieter sowie behördlich eingestufte Einrichtungen. Ob die Einstufung wesentlich oder wichtig ist, ergibt sich aus § 24.

Sonderfall: Die Cybersicherheitsbehörde kann Sie auch dann per Bescheid einstufen, wenn Sie nach Ihrer Größe herausfielen – etwa als einziger Anbieter eines kritischen Dienstes in Österreich. Größe schützt also nicht mit Sicherheit.

Schritt 4: Der Weg, den fast alle unterschätzen – die Lieferkette

Selbst wenn Sie durch alle drei vorigen Schritte gefallen sind, sind Sie nicht aus dem Thema. Regulierte Unternehmen müssen die Sicherheit ihrer Lieferkette und ihrer unmittelbaren Dienstleister mitdenken. Diese gesetzliche Pflicht trifft den regulierten Kunden. Er kann daraus risikobezogene Anforderungen in Ausschreibungen oder Verträgen ableiten. Der Zulieferer wird dadurch nicht automatisch selbst NISG-pflichtig; verbindlich sind für ihn die wirksam vereinbarten oder sonst rechtlich begründeten Anforderungen.

Ihr Ergebnis in einem Satz

Eine direkte Erfassung kommt erst in Betracht, wenn die einschlägigen Merkmale gemeinsam erfüllt sind oder ein größenunabhängiger Tatbestand beziehungsweise eine Bescheideinstufung greift. Prüfen Sie §§ 24 bis 28 einschließlich Anlagen, Territorialität und sektorspezifischer Regeln. Wer nicht direkt erfasst ist, kann dennoch vertragliche oder beschaffungsbezogene Sicherheitsanforderungen regulierter Kunden erfüllen müssen. Der sinnvolle nächste Schritt ist eine dokumentierte Einordnung, bevor Maßnahmen, Zusagen oder Budgets festgelegt werden.

Klarheit in 30 Minuten. Im kostenlosen Sparring ordnen wir Ihre konkrete Situation ein – Branche, Größe, Kundenstruktur. Kein Verkaufsgespräch.

30-Minuten-Sparring buchen

Häufige Fragen

Bin ich von NIS-2 betroffen, wenn ich weniger als 50 Mitarbeiter habe?

Weniger als 50 Mitarbeiter schließen eine direkte Erfassung nicht aus: Die Einrichtung ist bereits mittelgroß, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro liegen. Zusätzlich bestehen größenunabhängige Tatbestände und Einstufungen nach § 26. Kundenanforderungen sind davon getrennt vertraglich zu prüfen.

Ab welcher Größe gilt man als mittleres Unternehmen?

Ab 50 Mitarbeitern – oder wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro liegen. Eine mittlere Einrichtung einer in Anlage 1 oder 2 genannten Art gilt grundsätzlich als wichtige Einrichtung, sofern sie unter die Territorialitätsregeln fällt und keine vorrangige oder gleichwertige sektorspezifische Regelung eingreift.

Was ist der Unterschied zwischen einer wesentlichen und einer wichtigen Einrichtung?

Die Einstufung folgt aus Branche und Größe und wirkt sich auf Aufsicht und Strafrahmen aus: Wesentliche Einrichtungen unterliegen strengerer Aufsicht und einem höheren Bußgeldrahmen als wichtige Einrichtungen.

Kann mich die Behörde auch einstufen, obwohl ich zu klein bin?

Ja. Die Cybersicherheitsbehörde kann ein Unternehmen per Bescheid einstufen, etwa wenn es der einzige Anbieter eines für die Gesellschaft oder Wirtschaft kritischen Dienstes in Österreich ist.