NIS-2 ab 1. Oktober 2026: Was kleine Unternehmen jetzt wissen müssen

Vielleicht hast du in den letzten Wochen auch eine E-Mail bekommen:

„NIS-2 kommt. Prüfen Sie jetzt Ihre Betroffenheit!"

Dazu ein Link zu einer „kostenlosen Analyse" und ein Formular, in das du erst einmal deine Unternehmensdaten eintragen sollst.

Die wichtigste Nachricht vorweg: Die meisten Einzelunternehmer und kleinen Betriebe in Österreich sind vom NISG 2026 nicht direkt betroffen.

Trotzdem solltest du das Thema nicht komplett ignorieren. Denn es gibt Ausnahmen. Und selbst wenn du nicht direkt unter das Gesetz fällst, können größere Kunden künftig Cybersicherheitsanforderungen an dich weitergeben.

In diesem Artikel zeige ich dir ohne Panikmache, wer von NIS-2 ab 1. Oktober 2026 tatsächlich betroffen ist, welche Pflichten gelten und was du als kleines Unternehmen sinnvollerweise tun solltest.

Was ist NIS-2 überhaupt?

NIS-2 ist eine EU-Richtlinie zur Cybersicherheit. Sie soll dafür sorgen, dass Unternehmen und Organisationen in gesellschaftlich und wirtschaftlich wichtigen Bereichen ihre IT-Systeme besser gegen Cyberangriffe und Ausfälle absichern.

In Österreich wird die Richtlinie mit dem Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, umgesetzt.

Das Gesetz wurde bereits am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht und tritt mit 1. Oktober 2026 in Kraft.

Es handelt sich also nicht um irgendeinen geplanten Entwurf, sondern um eine gesetzliche Regelung, auf die sich betroffene Unternehmen vorbereiten müssen.

Bin ich als kleines Unternehmen von NIS-2 betroffen?

Für die meisten Unternehmen lässt sich die Frage zunächst mit zwei Punkten beantworten:

1. Bist du in einem der vom NISG 2026 erfassten Sektoren tätig?
2. Erreichst du zumindest die Größe eines mittleren Unternehmens?

Lautet eine Antwort klar „Nein", bist du in vielen Fällen nicht direkt betroffen.

Allerdings gibt es einige Sonderfälle, bei denen die Unternehmensgröße keine oder nur eine eingeschränkte Rolle spielt.

Schauen wir uns deshalb beide Voraussetzungen genauer an.

Welche Branchen sind von NIS-2 betroffen?

Das NISG 2026 unterscheidet zwischen verschiedenen besonders relevanten Sektoren.

Dazu gehören beispielsweise:

• Energie
• Verkehr
• Bankwesen
• Gesundheit
• Trinkwasser und Abwasser
• digitale Infrastruktur
• bestimmte IT- und Managed-Service-Dienstleister
• öffentliche Verwaltung
• Post- und Kurierdienste
• bestimmte Bereiche der Abfallwirtschaft
• Chemie
• bestimmte Lebensmittelunternehmen
• bestimmte Bereiche des verarbeitenden Gewerbes
• Online-Marktplätze
• Suchmaschinen
• soziale Netzwerke
• bestimmte Forschungseinrichtungen

Wenn du als Coach, Unternehmensberater, Grafiker, klassischer Handwerker, Physiotherapeut oder in einem anderen kleinen Dienstleistungsbetrieb tätig bist, wirst du dich in diesen Bereichen in vielen Fällen nicht wiederfinden.

Aber Achtung: Gerade bei Unternehmen mit mehreren Tätigkeitsbereichen kann eine genauere Prüfung notwendig sein. Entscheidend ist nicht einfach die Gewerbebezeichnung, sondern welche Tätigkeiten tatsächlich ausgeübt werden.

Ab welcher Unternehmensgröße gilt NIS-2?

Hier liegt für die meisten kleinen Unternehmen der entscheidende Punkt.

Als mittleres Unternehmen gilt nach § 25 NISG 2026 eine Einrichtung, wenn sie

Kriterium	Mittleres Unternehmen
Mitarbeiter	mindestens 50
oder Umsatz	über 10 Mio. €
und gleichzeitig Bilanzsumme	über 10 Mio. €

Als großes Unternehmen gilt eine Einrichtung ab 250 Mitarbeitern oder wenn sie mehr als 50 Millionen Euro Jahresumsatz und gleichzeitig mehr als 43 Millionen Euro Bilanzsumme erreicht.

Wenn du beispielsweise acht Mitarbeiter, zwei Millionen Euro Umsatz und eine Bilanzsumme von einer Million Euro hast, erreichst du diese Größengrenzen nicht.

Für den typischen Einzelunternehmer und viele kleine Unternehmen ist deshalb bereits an dieser Stelle klar: Die normale Größenregel des NISG 2026 wird nicht erreicht.

Achtung bei Unternehmensgruppen

Etwas genauer hinschauen solltest du, wenn dein Unternehmen Teil einer Unternehmensgruppe ist oder Beteiligungen an anderen Unternehmen bestehen.

Bei Partner- und verbundenen Unternehmen können deren Mitarbeiter- und Finanzdaten bei der Ermittlung der Unternehmensgröße mitberücksichtigt werden.

Das NISG 2026 sieht allerdings eine Ausnahme vor, wenn dein Unternehmen hinsichtlich der relevanten Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig von diesen Unternehmen ist.

Bei Unternehmensgruppen würde ich die Betroffenheit deshalb nicht nur anhand der eigenen Mitarbeiterzahl oder des eigenen Umsatzes beurteilen.

Gibt es Ausnahmen von der Größenregel?

Ja.

Bestimmte Einrichtungen fallen unabhängig von ihrer Unternehmensgröße unter das NISG 2026. Dazu zählen beispielsweise qualifizierte Vertrauensdiensteanbieter, Betreiber von Top-Level-Domain-Registern und DNS-Diensteanbieter.

Zusätzlich kann die Cybersicherheitsbehörde bestimmte kleinere Einrichtungen aus gesetzlich festgelegten Gründen ausdrücklich als wesentliche oder wichtige Einrichtung einstufen.

Für den typischen Coach, Berater, Handwerker oder kleinen Dienstleistungsbetrieb spielen diese Sonderfälle normalerweise keine Rolle.

Bist du allerdings in einem speziellen IT-, Kommunikations- oder Infrastrukturbereich tätig, solltest du deine Betroffenheit genauer prüfen.

Nicht direkt betroffen? NIS-2 kann dich trotzdem über deine Kunden erreichen

Das ist für kleine Unternehmen wahrscheinlich der wesentlich interessantere Punkt.

Du hast fünf Mitarbeiter und bist weit von zehn Millionen Euro Umsatz entfernt?

Dann bist du wahrscheinlich nicht direkt aufgrund deiner Unternehmensgröße vom NISG 2026 betroffen.

Trotzdem kann dir NIS-2 begegnen.

Denn betroffene Unternehmen müssen sich auch mit der Sicherheit ihrer Lieferkette beschäftigen.

Arbeitest du beispielsweise als IT-Dienstleister, Softwareentwickler, Webagentur oder anderer Dienstleister für ein größeres betroffenes Unternehmen, kann dein Kunde künftig bestimmte Sicherheitsstandards von dir verlangen.

Das kann beispielsweise über

• neue Vertragsklauseln,
• Einkaufsbedingungen,
• Sicherheitsfragebögen,
• Dokumentationspflichten oder
• geforderte Sicherheitsmaßnahmen

passieren.

Wichtig: Dadurch wirst du nicht automatisch selbst zu einem NISG-pflichtigen Unternehmen.

Du kannst aber vertragliche Verpflichtungen übernehmen.

Und genau deshalb solltest du nicht einfach unterschreiben, wenn dir ein großer Kunde plötzlich einen neuen „NIS-2-Anhang" zum Vertrag schickt.

Prüfe zuerst, was du darin tatsächlich zusagst und ob du diese Anforderungen auch erfüllen kannst.

Was müssen direkt betroffene Unternehmen tun?

Fällt dein Unternehmen tatsächlich unter das NISG 2026, kommen mehrere Pflichten auf dich zu.

Dazu gehören insbesondere:

Registrierung

Betroffene Unternehmen müssen sich ab 1. Oktober 2026 über die dafür vorgesehene USP-Anwendung registrieren. Für die Unternehmen, die bereits mit Inkrafttreten unter das Gesetz fallen, muss die Registrierung grundsätzlich bis Ende 2026 erfolgen.

Risikomanagement

Unternehmen müssen geeignete technische, operative und organisatorische Maßnahmen zur Beherrschung ihrer Cybersicherheitsrisiken setzen.

Dazu gehören unter anderem Themen wie Zugriffskontrollen, Datensicherung, Notfallmanagement, Lieferkettensicherheit und Schulungen.

Verantwortung der Geschäftsleitung

Cybersicherheit wird ausdrücklich zur Aufgabe der Geschäftsleitung. Die vorgesehenen Maßnahmen müssen überwacht werden und für Mitglieder der Geschäftsleitung bestehen entsprechende Schulungspflichten.

Meldung erheblicher Cybersicherheitsvorfälle

Für erhebliche Vorfälle sieht das Gesetz ein gestuftes Meldeverfahren vor. Eine erste Frühwarnung muss grundsätzlich unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis des erheblichen Cybersicherheitsvorfalls erfolgen.

Selbstdeklaration

Betroffene Unternehmen müssen außerdem dokumentieren, wie sie die vorgeschriebenen Risikomanagementmaßnahmen umgesetzt haben, und die gesetzlich vorgesehene Selbstdeklaration abgeben.

Die Verantwortung dafür, die eigene Betroffenheit zu prüfen und sich gegebenenfalls zu registrieren, liegt beim Unternehmen selbst.

Vorsicht vor „NISG-Betroffenheitsanalysen"

Gerade weil rund um NIS-2 viel Unsicherheit besteht, sind derzeit zahlreiche entsprechende Dienstleistungen am Markt.

Das Unternehmensserviceportal des Bundes hat am 8. September 2026 ausdrücklich zur Vorsicht bei größtenteils im Internet angebotenen „NISG-Betroffenheitsanalysen" und ähnlichen Angeboten aufgerufen, insbesondere wenn dafür sensible Unternehmensdaten bekanntgegeben werden sollen.

Das bedeutet nicht, dass jede externe Beratung unseriös ist.

Aber du solltest prüfen:

• Wer steckt hinter dem Angebot?
• Gibt es ein vollständiges Impressum?
• Welche Daten sollst du bekanntgeben?
• Was wird dir konkret versprochen?
• Brauchst du diese Leistung überhaupt?

Für eine erste Einschätzung kannst du auch den kostenlosen Online-Ratgeber NIS2 sowie die Informationen der Wirtschaftskammer verwenden.

Der 2-Minuten-NIS-2-Check für kleine Unternehmen

Wenn du gerade überlegst, ob du handeln musst, stell dir diese vier Fragen:

1. Bin ich in einem der betroffenen Sektoren tätig?

Wenn nein, bist du in der Regel nicht direkt betroffen.

2. Habe ich mindestens 50 Mitarbeiter oder überschreite ich die relevanten Umsatz- und Bilanzgrenzen?

Wenn nein, fällst du grundsätzlich nicht aufgrund der normalen Größenregel unter das NISG 2026.

3. Bin ich Teil einer Unternehmensgruppe?

Dann solltest du die Größenberechnung genauer prüfen.

4. Arbeite ich für größere Unternehmen, die selbst unter NIS-2 fallen könnten?

Dann kann NIS-2 über Verträge und Anforderungen an die Lieferkette trotzdem bei dir ankommen.

Was solltest du als kleines Unternehmen trotzdem tun?

Auch wenn NIS-2 für dich nicht direkt gilt, ist Cybersicherheit kein Thema, das nur große Konzerne betrifft.

Wenn dein Laptop ausfällt, dein E-Mail-Konto übernommen wird oder wichtige Unternehmensdaten verloren gehen, kann das deinen Betrieb mehrere Tage oder sogar Wochen lahmlegen.

Vier Dinge würde ich deshalb unabhängig von NIS-2 umsetzen:

1. Betroffenheit einmal klären

Prüfe Sektor, Unternehmensgröße und gegebenenfalls verbundene Unternehmen. Halte das Ergebnis kurz fest.

Dann musst du nicht bei jeder neuen NIS-2-Mail wieder von vorne anfangen.

2. Zwei-Faktor-Authentifizierung verwenden

Vor allem für E-Mail, Cloud-Dienste, Banking und andere wichtige Unternehmenszugänge.

3. Backups und Updates ernst nehmen

Sorge für regelmäßige Datensicherungen und halte Betriebssysteme, Programme und Geräte aktuell.

Ein Backup sollte außerdem nicht ausschließlich auf demselben Gerät liegen, dessen Daten du sichern möchtest.

4. Verträge mit großen Kunden genau lesen

Wenn neue Cybersicherheitsklauseln auftauchen, prüfe, was du tatsächlich zusagst.

Versprich keine Sicherheitsstandards oder Maßnahmen, die du in deinem Unternehmen gar nicht umgesetzt hast.

Cybersicherheit würde ich ähnlich behandeln wie deine Liquidität: nicht einmal im Jahr hektisch darüber nachdenken, sondern als laufende Aufgabe im Unternehmen einplanen.

Häufige Fragen

Bin ich als Einzelunternehmer von NIS-2 betroffen?

In vielen Fällen nein. Das NISG 2026 erfasst insbesondere Unternehmen bestimmter gesetzlich definierter Sektoren, die zumindest die relevante Unternehmensgröße erreichen. Daneben gibt es allerdings größenunabhängige Sonderfälle und die Möglichkeit einer behördlichen Einstufung.

Ab wann gilt das NISG 2026 in Österreich?

Das Netz- und Informationssystemsicherheitsgesetz 2026 wurde als BGBl. I Nr. 94/2025 kundgemacht. Die maßgeblichen Bestimmungen treten mit 1. Oktober 2026 in Kraft.

Welche Größengrenzen gelten?

Als mittleres Unternehmen gilt nach § 25 NISG 2026 grundsätzlich eine Einrichtung mit mindestens 50 Mitarbeitern oder mit einem Jahresumsatz von mehr als 10 Millionen Euro und gleichzeitig einer Jahresbilanzsumme von mehr als 10 Millionen Euro. Bei Partner- und verbundenen Unternehmen können zusätzliche Daten in die Größenberechnung einfließen.

Bis wann müssen sich betroffene Unternehmen registrieren?

Die Registrierung startet mit 1. Oktober 2026 über die NIS2 Services im Unternehmensserviceportal. Unternehmen, die bereits mit Inkrafttreten registrierungspflichtig sind, müssen die Registrierung grundsätzlich bis Ende 2026 erledigen.

Kann mich NIS-2 auch indirekt treffen?

Ja. Betroffene Unternehmen müssen auch Risiken in ihrer Lieferkette berücksichtigen. Dadurch können größere Kunden bestimmte Cybersicherheitsanforderungen vertraglich an ihre Dienstleister und Lieferanten weitergeben. Dadurch unterliegst du nicht automatisch selbst dem NISG 2026. Du solltest aber genau prüfen, welche vertraglichen Verpflichtungen du übernimmst.

Muss ich als kleines Unternehmen jetzt eine teure NIS-2-Beratung kaufen?

Nicht automatisch. Prüfe zuerst, ob dein Unternehmen überhaupt in den Anwendungsbereich fällt. Für eine erste Einschätzung stehen auch offizielle Informationen und der Online-Ratgeber NIS2 der WKO zur Verfügung. Das USP warnt außerdem ausdrücklich zur Vorsicht bei online angebotenen Betroffenheitsanalysen, insbesondere wenn sensible Unternehmensdaten abgefragt werden.

Fazit: NIS-2 ab 1. Oktober 2026 – nicht verrückt machen lassen

NIS-2 klingt zunächst nach einer riesigen neuen Verpflichtung für jedes Unternehmen.

Das ist es nicht.

Das österreichische NISG 2026 betrifft direkt vor allem mittlere und große Unternehmen aus bestimmten gesetzlich definierten Sektoren sowie einige besondere Einrichtungen unabhängig von ihrer Größe.

Der typische Einzelunternehmer oder kleine Betrieb fällt daher in vielen Fällen nicht direkt darunter.

Ganz ignorieren solltest du das Thema trotzdem nicht.

Wenn du für größere Unternehmen arbeitest, können dir künftig NIS-2-Anforderungen in Verträgen, Einkaufsbedingungen oder Sicherheitsfragebögen begegnen. Und unabhängig vom Gesetz sind sichere Passwörter, Zwei-Faktor-Authentifizierung, Updates und funktionierende Backups auch für ein kleines Unternehmen sinnvoll.

Deshalb mein Rat:

Prüfe einmal sauber, ob du betroffen bist. Dokumentiere das Ergebnis. Und lass dich danach nicht von jeder NIS-2-Werbemail verrückt machen.