NIS2-Schnellcheck für Deutschland und Österreich — begrenzte Orientierung

NIS2 ist die Richtlinie (EU) 2022/2555. In Deutschland gelten seit dem 6. Dezember 2025 die nationalen Umsetzungsvorschriften. Das BSIG erfasst bestimmte Einrichtungsarten und regelt unter anderem Risikomanagement, Meldung und Registrierung. In Österreich gelten die wesentlichen Pflichten des NISG 2026 ab dem 1. Oktober 2026. Der konkrete Anwendungsbereich und sektorale Ausnahmen müssen gesondert geprüft werden.

§28 BSIG verbindet Einrichtungsarten aus den Anlagen 1 und 2 mit Größenkriterien und Sonderfällen. In der allgemeinen Größenregel genügen mindestens 50 Mitarbeitende oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. EUR. Für besonders wichtige Einrichtungen gelten andere Schwellen oder größenunabhängige Tatbestände. Unternehmensverbindungen und sektorale Ausnahmen sind mitzuberücksichtigen. In Österreich regeln §§ 24 bis 28 NISG 2026 die Einstufung: Einrichtungsarten der Anlagen 1 und 2, Größe nach § 25, größenunabhängige Fälle wie DNS-Diensteanbieter oder die öffentliche Verwaltung sowie Ausnahmen, etwa für Bildungseinrichtungen. Der Schnellcheck bildet bestätigte Voraussetzungen ab und hält ungeklärte Fälle ausdrücklich offen.

§65 BSIG nennt für bestimmte Maßnahmen-, Dokumentations- und Meldeverstöße Höchstrahmen bis 10 Mio. EUR (bwE) beziehungsweise 7 Mio. EUR (wE). Bei mehr als 500 Mio. EUR weltweitem Gesamtumsatz des zugehörigen Unternehmens können die Umsatzvarianten von 2 % beziehungsweise 1,4 % gelten. Maßgeblich sind Tatbestand, Zurechnung und Bemessung; persönliche Verantwortlichkeit ist nicht pauschal ausgeschlossen. §38 Abs. 2 regelt daneben die Haftung für durch Verletzung der Pflichten aus Absatz 1 schuldhaft verursachte Schäden der eigenen Einrichtung. Das optionale Rechenbeispiel illustriert ausschließlich einen passenden deutschen gesetzlichen Höchstrahmen aus gesondert bestätigten Angaben, keine Sanktion oder persönliche Haftung. Für Österreich berechnet der Schnellcheck keine Beträge; die Strafrahmen stehen in § 45 NISG 2026.

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Nach §33 Abs. 1 BSIG läuft die Registrierung grundsätzlich drei Monate ab erstmaliger oder erneuter Betroffenheit. Der 6. März 2026 betraf bereits am 6. Dezember 2025 erfasste Einrichtungen. Die Registrierungsfrist ist keine allgemeine Aufschubfrist für Risikomanagement oder Vorfallmeldungen; besondere Nachweis- und Sektorregeln sind gesondert zu beachten. In Österreich gelten die Pflichten des NISG 2026 ab dem 1. Oktober 2026. An diesem Tag bereits erfasste Einrichtungen registrieren sich innerhalb von drei Monaten ab Inkrafttreten; das BCS nennt grundsätzlich den 1. Januar 2027, wegen § 33 Abs. 2 AVG spätestens den 4. Januar 2027. Später erfasste Einrichtungen registrieren sich spätestens drei Monate nach Erfüllung der Voraussetzungen (§ 29 Abs. 3).

Artikel 21 der NIS2-Richtlinie definiert 10 Maßnahmen-Bereiche, in Deutschland umgesetzt in § 30 BSIG: Risikoanalyse, Incident Response, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Wirksamkeitsbewertung, Cyberhygiene-Schulungen, Kryptografie, Zugriffskontrolle sowie Authentifizierung und gesicherte Kommunikation. Die Geschäftsleitung muss diese Risikomanagement-Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Für durch eine Verletzung dieser Pflichten schuldhaft verursachte Schäden der eigenen Einrichtung gilt §38 Abs. 2 BSIG. Die Voraussetzungen und Ausnahmen des BSIG sind gesondert zu prüfen. Zusätzlich muss die Geschäftsleitung regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG). In Österreich regelt § 31 NISG 2026 die Pflichten der Leitungsorgane und § 32 die Risikomanagementmaßnahmen.

Nein. Der deutsche und der österreichische Regelweg prüfen ausgewählte, ausdrücklich bestätigte Voraussetzungen aus Selbstauskünften, einschließlich Bilanzsumme. Sie stellen weder Unternehmensverbindungen noch eine rechtliche Eigenschaft, Ausnahme oder Zuständigkeit individuell fest. Unbekannte Angaben bleiben offen. Für Österreich wird kein Geldbetrag berechnet; die Schweiz und andere EU-Staaten erhalten Quellenhinweise ohne Klasse oder Geldsumme. Die Seite ersetzt keinen Bescheid und keine rechtliche Betroffenheits-, Registrierungs-, Haftungs- oder Meldeentscheidung.

Der österreichische Regelweg wendet das NISG 2026 in der Fassung ab 1. Oktober 2026 an: Einrichtungsart nach den Anlagen 1 und 2, öffentliche Verwaltung und Ausnahmen nach § 24, Größe nach § 25 mit der KMU-Empfehlung, Einstufungsbescheide nach § 26 und § 11 RKEG sowie die Zuständigkeit nach § 28. Ergebnis ist eine Orientierung als wesentliche oder wichtige Einrichtung, ein begrenzter Nichttreffer oder ein benannter Klärungsfall. Vorgänge bis 30. September 2026 unterliegen grundsätzlich dem NISG 2018 und werden nicht bewertet.