NIS2 Registrierung in Österreich. Wie gehe ich richtig vor?

Seit dem 1. Oktober 2026 gelten für viele österreichische Unternehmen neue Vorgaben durch NIS2. Betroffene Unternehmen müssen dann technische und organisatorische Sicherheitsmaßnahmen umsetzen, die Verantwortung der Geschäftsführung beachten und sich beim Bundesamt für Cybersicherheit (BCS) registrieren. Dieser Leitfaden erklärt, wer sich registrieren muss, welche Informationen dafür nötig sind und wie Unternehmen dabei am besten vorgehen können, um sich schon jetzt auf den Tag vorzubereiten.

Was ist NIS2 und warum gibt es die Registrierung?

Die NIS2-Richtlinie (Richtlinie über Netz- und Informationssicherheit in der zweiten Ausführung) ist eine neue europäische Cybersicherheitsrichtlinie. Diese zielt darauf ab, die Widerstandsfähigkeit von Unternehmen gegenüber Cyberangriffen zu stärken. Sie löst die bisherige NIS-Richtlinie ab und erweitert den Kreis der betroffenen Organisationen auf insgesamt 18. Während sich die ursprüngliche Richtlinie auf Betreiber kritischer Infrastrukturen konzentrierte, umfasst NIS2 nun zahlreiche weitere Sektoren und Unternehmen.

Ziel der Regelung ist es, ein durchgehend hohes Niveau an Cybersicherheit in der gesamten EU zu gewährleisten. Unternehmen sind verpflichtet einen Risikobasierten Ansatz zu gehen, passende technische Schutzmaßnahmen zu ergreifen sowie Sicherheitsvorfälle schnell zu erkennen und entsprechend der Zeitwerte zu melden. Gleichzeitig wird die Verantwortung der Geschäftsführung in Hinblick auf Cybersicherheit erhöht. Diese Aufgabe kann künftig nicht mehr allein an die IT-Abteilung delegiert werden, wie das bis jetzt oftmals der Fall war.

Um die Aufsicht über die betroffenen Unternehmen zu erleichtern, schreibt das österreichische NIS2-Gesetz eine Registrierung beim Bundesamt für Cybersicherheit (BCS) vor. Dieses Verfahren dient dazu, alle „wesentlichen“ und „wichtigen“ Einrichtungen zu erfassen und ihnen eine zentrale Anlaufstelle für die behördliche Kommunikation sowie für Meldepflichten bereitzustellen.

Wer muss sich in Österreich beim BCS registrieren und ist jedes Unternehmen betroffen?

Es gibt keine automatischen Registrierungspflichten für alle Unternehmen in Österreich aufgrund der neuen Regelung. Die NIS2-Richtlinie unterscheidet im zwischen "wesentlichen" und "wichtigen" Einrichtungen. Ob ein Unternehmen diesen Anforderungen entsprechen muss, hängt hauptsächlich von der Branche, der Größe und der wirtschaftlichen und gesellschaftlichen Bedeutung des Unternehmens ab.

Folgende Branchen sind relevant:

• Energie

• Verkehr

• Bankwesen

• Finanzmarktinfrastrukturen

• Gesundheitswesen

• Trinkwasser

• Abwasser

• Digitale Infrastruktur

• Verwaltung von IKT-Diensten (B2B)

• Öffentliche Verwaltung

• Weltraum

• Post- und Kurierdienste

• Abfallbewirtschaftung

• Herstellung, Produktion und Vertrieb von Chemikalien

• Lebensmittelproduktion, Verarbeitung und Vertrieb

• Verarbeitendes Gewerbe (bestimmte Branchen)

• Digitale Anbieter

• Forschungseinrichtungen

Auch gibt es einige Größenkriterien die hier eine wichtige Rolle spielen und berücksichtigt werden müssen. Viele Unternehmen werden erst dann unter die NIS2-Anforderungen fallen wenn sie mindestens 50 Mitarbeiter haben und einen Jahresumsatz von 10 Millionen Euro haben. Aber es gibt Ausnahmen je nach Branche und der Relevanz des Unternehmens. Einen guten Erstcheck kann man auf der WKO Seite unter https://ratgeber.wko.at/NIS2/

durchführen.

Wenn man sich nicht sicher ist ob die neue Richtlinie für das eigene Unternehmen gilt sollte man auf jeden Fall eine Betroffenheitsfeststellung durchführen.

Welche Informationen sind für die NIS2 Registrierung in Österreich erforderlich?

Bis zum Zeitpunkt der Veröffentlichung dieses Beitrags ist die endgültige Form der Anmeldung beim Bundesamt für Cybersicherheit noch nicht öffentlich gemacht worden. Die Anmeldung erfolgt aber ab dem 01. Oktober 2026 über das Unternehmensservice Portal (USP). Es wird dabei ein eigener Punkt unter "Services" beim USP sein (https://www.usp.gv.at/services/mein-usp/NIMxP.html) Die genauen Angaben zu den Daten die übermittelt werden müssen sind erst bekannt wenn das Portal gestartet ist.

Dennoch können sich Unternehmen bereits heute vorbereiten. Ein Blick auf die Verfahren in anderen Ländern sowie auf die bisher veröffentlichten Informationen zeigt, welche Angaben typischerweise benötigt werden:

• Allgemeine Informationen zum Unternehmen wie:

  • UID

  • Firmenbuchnummer

  • Adresse des Unternehmens

  • Einstufung nach dem KMU Guide (Eigenständiges Unternehmen, Verbundenes Unternehmen Partner Unternehmen)

• Einstufung nach NIS2 wie:

  • Ist man eine wesentliche oder wichtige Einrichtung nach NIS2 Österreich

  • Welchem NIS2 Sektor ist man zugehörig

  • Den ÖNACE Code des Unternehmens

  • Welche Produkte oder Tätigkeiten liefert das Unternehmen

• Mindestens einen oder zwei Ansprechpartner:

  • Vertretungsberechtigte Personen (z. B. Geschäftsführung)

  • Primäre Kontaktpersonen für NIS2 Themen

• Informationen des Unternehmens zu IT Systemen:

  • Öffentliche IP Adressbereiche

  • Genutzte Domains

• Zugang zum USP

  • Holen Sie sich schon heute Ihren Zugang zum USP und testen Sie diesen vorher

Wie läuft die NIS2 Registrierung nun genau ab?

Seit dem 1. Oktober 2026 ist die NIS2-Registrierung offiziell gestartet. Betroffene Unternehmen können die Registrierung über das Unternehmensserviceportal (USP) durchführen. Hierfür wurde der neue Dienst „NIS2 Services“ bereitgestellt. Der Registrierungsprozess läuft derzeit wie folgt ab:

1. Anmeldung am Unternehmensserviceportal (USP)

Navigieren Sie nach der Anmeldung auf "Alle Services", sofern die NIS2 Services unter "Meine Services" nicht angezeigt werden.

Sollte auch dort der NIS2 Services Bereich nicht erscheinen, müssen sie diesen erst für den Benutzer freischalten. Klicken Sie dafür ober Rechts auf "Administration".

Es öffnet sich nun ein neuer Tab mit einer Administrationsoberfläche des Unternehmens. Diese sieht wie folgt aus. Klicken Sie darin auf "Verfahrensrechte verwalten -> zuordnen".

In dem neuen Fenster sehen Sie nun alle Verfahrensrechte und können dort "NIS2 Services" auswählen. Klicken sie dann unten auf zuordnen und warten Sie mindestens 60 Minuten.

Achtung! Melden Sie sich nach 60 Minuten einmal ab und dann wieder neu an das USP an. Dann sollte der neue Service zur Verfügung stehen.

Wenn Sie den entsprechenden Service gefunden haben, dann können Sie dort die NIS2 Registrierung für Österreich starten. Klicken Sie dafür auf "NIS2 Services".

Nun öffnet sich die Webseite des Bundesamtes für Cybersicherheit mit der Auswahlmöglichkeit "Registrierung".

Starten Sie durch einen Klick darauf die Registrierung und folgen Sie den Schritten:

Im nächsten Schritt erhalten Sie die Basis Informationen zur NIS2-Registrierung in Österreich

Drücken Sie auf "Weiter" und geben Sie dann die geforderten Informationen ein. Am besten entnehmen Sie diese Ihrer eigenen ÖNACE Zuordnung durch Statistik Austria oder auf der eigenen Betroffenheitsfeststellung.

Achtung! Der ÖNACE Code der Einrichtung muss der tatsächlichen Tätigkeit entsprechen. Sollten Sie von Statistik Austria falsch eingestuft sein, dann müssen Sie das entsprechend anpassen.

Nun geben Sie die Niederlassung ein.

Nun geben Sie die Unternehmensgröße an. Berücksichtigen Sie bitte hierfür die Empfehlung 003/361/EC der Europäischen Kommission.

Danach erfolgen die Kontaktdaten des Ansprechpartners für NIS2 Themen. Am Besten gibt man hier den Informationssicherheitsbeauftragten oder allgemeinen Leiter der Informationssicherheit ein.

Tipp: Geben Sie hierbei gleich 2 Personen ein, falls mal eine nicht erreichbar sein sollte.

Nun ergänzen Sie die öffentlichen IP Adressbereiche und Domains des Unternehmens.

Im letzten Schritt müssen Sie noch einmal eine Kontrolle durchführen und dann die Registrierung abschließen.

Herzlichen Glückwunsch! Sie haben sich nun Erfolgreich beim BCS registriert und sind damit Ihrer Pflicht nachgekommen. Im nächsten Schritt müssen Sie dann die Selbstdeklaration einreichen und die Risikomanagementmaßnahmen umsetzen. Bei Fragen unterstützen wir Sie gerne dabei.

Bis wann muss die Registrierung in Österreich erfolgen?

Mit Inkrafttreten des NIS2-Gesetzes am 1. Oktober 2026 beginnt auch die Frist für die Registrierung betroffener Einrichtungen. Unternehmen sollten die Registrierung möglichst frühzeitig durchführen und nicht bis zum Ende der Frist am 31.12.2026 warten. Gerade in den ersten Tagen nach der Freischaltung des Portals ist mit einem erhöhten Informationsbedarf zu rechnen. Zudem kann die Beschaffung fehlender Unternehmensdaten oder die Klärung von Zuständigkeiten mehr Zeit in Anspruch nehmen als ursprünglich angenommen.

Was passiert, wenn sich ein Unternehmen nicht registriert?

Die NIS2 Registrierung ist in allen EU Ländern verpflichtend und keine freiwillige Sache. Unternehmen, die ihre Betroffenheit ignorieren oder die Registrierung unterlassen, riskieren behördliche Maßnahmen und können bei späteren Prüfungen in Erklärungsnot geraten. Besonders kritisch wird es dann, wenn bereits ein Sicherheitsvorfall eingetreten ist und die Behörde feststellt, dass die Organisation ihren gesetzlichen Verpflichtungen nicht nachgekommen ist.

Mit der Registrierung beginnt die eigentliche NIS2-Umsetzung

Die Registrierung ist der erste Schritt auf dem Weg zur NIS2-Compliance. Danach müssen Unternehmen nachweisen können, dass sie angemessene technische, organisatorische und personelle Sicherheitsmaßnahmen implementiert haben.

Zu den wichtigsten Anforderungen zählen unter anderem:

• Risikomanagement für Informationssysteme

• Behandlung von Sicherheitsvorfällen

• Business Continuity Management

• Backup- und Wiederherstellungskonzepte

• Sicherheitsanforderungen für Lieferanten und Dienstleister

• Multi-Faktor-Authentifizierung

• Awareness- und Schulungsmaßnahmen

• Regelmäßige Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen

Details und einen Fahrplan um in wenigen Monaten NIS2 Konform zu werden haben wir in einem gesonderten Blogpost verfasst. Diesen finden Sie hier: NISG 2026: Der praktische 6-Monats-Fahrplan für österreichische Unternehmen

Fazit

Der 1. Oktober 2026 markiert für viele österreichische Unternehmen den Start in die NIS2. Die Registrierung über das Unternehmensserviceportal wird dabei für zahlreiche Organisationen der erste Schritt sein. Unternehmen sollten die verbleibende Zeit nutzen, um ihre Betroffenheit zu prüfen, Ansprechpartner festzulegen und die notwendigen Unternehmens- und Infrastrukturinformationen zusammenzustellen. Wer gut vorbereitet in den Registrierungsprozess startet, spart nicht nur Zeit, sondern schafft gleichzeitig die Grundlage für eine erfolgreiche NIS2-Umsetzung.

Sollte es weiterführende Fragen zur NIS2, der Bedarf einer rechtssicheren Betroffenheistfeststellung bestehen oder eine vollständige Umsetzung der Anforderungen inkl. Gap Analyse notwendig sein freuen wir uns über eine Kontaktaufnahme. Zettasecure hat nun mehr als 30 Umsetzungen durchgeführt und ist für das NIS2 Thema bestens gerüstet!