NIS2-CHECKFÜR ÖSTERREICH.

Das regelt § 24 NISG 2026. Wesentlich sind Einrichtungen der Anlage 1, die ein großes Unternehmen betreiben, und unabhängig von der Größe unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, die öffentliche Verwaltung auf Bundesebene und kritische Einrichtungen nach der Richtlinie (EU) 2022/2557. Wichtig sind Einrichtungen der Anlagen 1 und 2, die ein mittleres oder großes Unternehmen betreiben und nicht schon wesentlich sind, sowie unter anderem die öffentliche Verwaltung auf Landesebene. Ein Sektor der Anlage 2 führt auch bei großen Unternehmen höchstens zu „wichtig“.

Nach § 25 NISG 2026 in Verbindung mit der Empfehlung 2003/361/EG: groß ab 250 Beschäftigten oder mit mehr als 50 Mio. EUR Jahresumsatz und mehr als 43 Mio. EUR Jahresbilanzsumme, mittel ab 50 Beschäftigten oder mit mehr als 10 Mio. EUR Jahresumsatz und mehr als 10 Mio. EUR Jahresbilanzsumme. Werte verbundener Unternehmen zählen voll, Werte von Partnerunternehmen anteilig mit; ohne sie gelten Ihre Zahlen nur als Untergrenze. Ein leeres Feld heißt „nicht angegeben“ und wird nie als 0 gerechnet. Nicht abgebildet ist die Ausnahme des § 25 Abs. 4 NISG 2026: Ist Ihre Einrichtung bei ihren Netz- und Informationssystemen organisatorisch, technisch und operativ unabhängig von Partner- oder verbundenen Unternehmen, werden deren Daten nicht hinzugerechnet.

Wenn aus Ihren Angaben weder eine Einstufung noch eine Entwarnung folgt: etwa weil die Größe nicht bestimmbar ist, weil eine Frage mit „weiß nicht“ beantwortet wurde, deren „ja“ eine Einstufung auslösen würde, weil bei der öffentlichen Verwaltung die Ebene offen ist oder weil für Ihre Einrichtungsart der Staat der Hauptniederlassung zuständig ist und dieser nicht Österreich ist. „Weiß nicht“ ist nie „nein“. Das Ergebnis nennt jeden offenen Punkt und was eine Antwort ändern würde.

Ja. Nach § 26 NISG 2026 hat die Cybersicherheitsbehörde Einrichtungen der Anlagen 1 oder 2, die aufgrund ihrer Größe nicht erfasst sind, mit Bescheid als wesentlich oder wichtig einzustufen, wenn ein Grund nach § 26 Abs. 3 vorliegt: einziger Anbieter eines unerlässlichen Dienstes in Österreich, wesentliche Auswirkungen einer Störung auf öffentliche Ordnung, Sicherheit oder Gesundheit, ein wesentliches Systemrisiko oder besondere Bedeutung auf nationaler oder regionaler Ebene. Der Check fragt diese Gründe ab, nimmt die Entscheidung der Behörde aber nicht vorweg.

Nein. Dieses Ergebnis ist eine Auswertung gegen ein Regelwerk und keine Rechtsberatung, keine Rechtsgarantie und keine Zertifizierung. Die rechtliche Bewertung der Betroffenheit und der Registrierungspflicht liegt beim Unternehmen bzw. dessen Rechtsberatung. Das Regelwerk nisg-2026 1.2.0-entwurf wurde am 21.10.2026 durch den Freigeber freigegeben, ohne gesonderte CISO- und Rechtsprüfung. Die Einstufung ist eine Rechtsfolge; die zuständige Behörde kann abweichend entscheiden.

Nein. Formular und Auswertung laufen vollständig in Ihrem Browser; Ihre Angaben werden weder an TOMORIS noch an Dritte übertragen und nicht gespeichert. Erst wenn Sie „Ergebnis besprechen“ wählen, übernimmt das Kontaktformular das Ergebnis als Thema.