Registrierungspflicht bis 31.12.2026 — das Portal gibt es noch nicht

Das NISG 2026 ist beschlossen. Kundgemacht als BGBl. I Nr. 94/2025 am 23. Dezember 2025, anzuwenden ab 1. Oktober 2026. Bis dahin gilt das NISG 2018. Die Registrierungspflicht greift binnen drei Monaten nach Inkrafttreten, der Stichtag ist der 31. Dezember 2026. Was es bis heute nicht gibt: das Portal, in dem diese Registrierung stattfinden soll.

Das ist der Inhalt dieses Beitrags. Eine Frist ohne Werkzeug ist keine Formularfrage, sie ist eine Zuständigkeitsfrage. Und Zuständigkeit lässt sich nicht auf die Verordnung verschieben.

Der Stand: Gesetz, kein Entwurf

Der Nationalrat hat am 12. Dezember 2025 mit Zwei-Drittel-Mehrheit beschlossen, der Bundesrat am 18. Dezember 2025 zugestimmt, kundgemacht wurde am 23. Dezember 2025. Die Fundstelle ist BGBl. I Nr. 94/2025 im RIS. Wer den Satz hört, das sei „noch ein Entwurf", korrigiert besser sofort: Es ist geltendes Recht mit einem Termin.

Zuständig ist die Cybersicherheitsbehörde im BMI. Die Ressortvertreterin hat im Parlament die Devise „Beraten statt Strafen" ausgegeben. An den Pflichten ab dem ersten Tag der Anwendbarkeit ändert das nichts.

Paragrafen zitiere ich hier nicht, die Nummern der Registrierungs- und Strafbestimmungen sind ungeprüft. Wer damit arbeiten muss, nimmt das RIS-Hauptdokument.

Symbol der Europäischen Union, Kranz aus zwölf Sternen — NIS2 ist EU-Recht, die Registrierungspflicht steht im nationalen Umsetzungsgesetz. Zu prüfen sind beide Ebenen, nicht eine davon. (Quelle: EU Digital Strategy)

91 Tage, vier Kennzahlen

Vom 1. Oktober bis zum 31. Dezember 2026 sind es 91 Tage. So lang bleibt einem Betrieb, um etwas anzumelden, für das es noch kein Formular gibt. Die NIS2-Übersicht der WKO, die gemeinsam mit dem Innenministerium entsteht, notiert für die Registrierung „bis 01.01.2027", derselbe Stichtag, drei Monate nach Inkrafttreten. Die Selbstklärung folgt rund ein Jahr später. Bei diesem Termin nennt die WKO-Seite einmal den 30. September und einmal den 1. Oktober 2027. Weicher wird der Stichtag dadurch nicht.

Der Kreis ist größer, als viele vermuten: rund 4.000 Einrichtungen in Österreich, verteilt auf 18 Sektoren. Verarbeitendes Gewerbe und Ernährung stehen in Anhang 2 und sind damit wichtige Einrichtungen, nicht bloß Energieversorger und Spitäler.

Die Rechnung, die kaum ein Betrieb aus dem Stand beantworten kann. Vier Kennzahlen müssen je Gesellschaft stimmen:

Mitarbeiterstand nach der EU-KMU-Empfehlung, mit Konzernanrechnung
Umsatz der Gesellschaft
Bilanzsumme der Gesellschaft
ÖNACE-Code mit Zuordnung zu Anhang 1 oder 2

Die Schwelle: 50 Beschäftigte, oder Umsatz über 10 Mio. Euro bei einer Bilanzsumme über 10 Mio. Euro. Bei einer GmbH mit 60 Mitarbeitern ist die Antwort einfach. In einer Gruppe mit neun Gesellschaften ist sie es nicht. Dort ist das der Normalfall, nicht der Sonderfall. Und eine Gesellschaft mit zwölf Mitarbeitern in einer Gruppe mit 200: Zieht die Gruppe sie in die Pflicht, oder zieht jede für sich? Diese Fragen beantwortet kein Portal, auch nicht das künftige. Sie werden im Gesellschafterkreis entschieden und dann dokumentiert.

Zwei Höhen bei den Strafen

Die Zahl, die auf jedem Vortrag fällt, sind 10 Mio. Euro. Sie gehört nicht zur Registrierung.

Pflichtverstoß	Bußgeld nach WKO- und BMI-Darstellung
Registrierung oder Selbstklärung versäumt	50.000 Euro
derselbe Verstoß erneut	100.000 Euro
Kernpflichten versäumt, wichtige Einrichtung	7 Mio. Euro oder 1,4 % des Gruppenumsatzes
Kernpflichten versäumt, wesentliche Einrichtung	10 Mio. Euro oder 2 % des Gruppenumsatzes

Der Größenunterschied zwischen den Ebenen ist die Aussage. Wer die Registrierung verschläft, zahlt einen Betrag, der für einen Tiroler Mittelständler schmerzhaft, aber planbar ist. Wer die Risikomaßnahmen nicht vorweisen kann, zahlt einen ein- bis zweistelligen Millionenbetrag, bemessen am Gruppenumsatz. Die Kernpflichten sind auch das, was Monate dauert: Patch-Management über alle Systeme, Nachweis über Wiederherstellungsversuche, Security Awareness bis in die Geschäftsführung. Eine Registrierung, die auf eine leere Maßnahmenliste folgt, ist die teure Variante.

Drei Schritte diese Woche

Erstens: Betroffenheit testen. Der WKO-Online-Ratgeber enthält den Betroffenheitstest. Er ersetzt keine Rechtsberatung, liefert aber eine sortierte Ersteinschätzung. Für jede Gesellschaft einzeln, nicht für die Gruppe.

Zweitens: eine Person und einen Vertreter benennen. Schriftlich, mit Datum. Die Meldeketten laufen über GovCERT unter nis2.cert.at in drei Stufen: 24 Stunden für die Frühwarnung, 72 Stunden für die Meldung, ein Monat für den Abschlussbericht. Eine Kette, die an genau einer Person hängt, steht still, wenn diese Person im Urlaub ist. Nur der Vertreter sorgt dafür, dass die 24-Stunden-Frist an einem 24. Dezember hält.

Drittens: die Leitungspflicht dokumentieren. Die Leitungsorgane sind selbst zu schulen, sie billigen die Risikomaßnahmen und überwachen ihre Umsetzung. Der Vergleich mit dem Nachweis nach Artikel 4 der KI-Verordnung passt: Am Ende ist ein Dokument gefragt, kein gutes Gefühl. Ein Vermerk im Protokoll der nächsten Leitungssitzung genügt für den Anfang: wer zuständig ist, wer vertritt, was billigt ist.

Was auf dieser Liste nicht steht: sich registrieren. Es gibt nichts, wo das ginge.

Warum 50.000 Euro nicht das Risiko sind

Die unangenehme Rechnung: Die 50.000 Euro sind der Preis fürs Warten beim Formular. Das eigentliche Risiko sitzt eine Stelle dahinter und wird durch die Fristen scharf.

Fristen nach Gesetzestext und Behörden-Darstellungen, Stand 17. September 2026 (Quelle: European Commission, CRA reporting)

Die zweite Uhr in der Grafik gehört zur Produktmeldung nach der CRA, das ist ein eigener Beitrag. Damit diese NISG-Uhr funktioniert, braucht es ein Verzeichnis: Wer meldet für welche Gesellschaft an wen, auf welchem Weg, mit welcher Unterlage, in welcher Stunde. Genau dieses Verzeichnis fehlt in den meisten Betrieben, unabhängig davon, ob der Gesetzgeber ein Portal liefert. Registriert am 31. Dezember 2026, Vorfall am 15. Jänner 2027, und niemand weiß, wer die Meldung macht: Dann gibt es einen Registereintrag und ein Problem. Auch wer seine Systeme selbst betreibt und die Logs hat, ist damit nicht fertig: Logs zu haben ist die halbe Miete, sie binnen 24 Stunden zu einer Meldung zu verdichten die andere.

Die zweite Rechnung ist eine Warnung. In den kommenden Monaten wird jemand anbieten, Sie „jetzt bei Portal X zu registrieren". Es existiert kein staatliches Registrierungsportal, das Verfahren ist einer Verordnung vorbehalten. Alles, was heute eine NISG-Registrierung verspricht, ist Selbstbedienung ohne Rechtsgrundlage oder ein Verkaufsgespräch.

Die dritte Rechnung ist eine ehrliche. Eine öffentlich bestätigte NIS2-Geldstrafe in Österreich oder Deutschland war zum Zeitpunkt unserer Recherche nicht zu finden. Das heißt nicht, dass es keine geben wird. Es heißt, dass die Abschreckung derzeit aus der Androhung kommt und nicht aus dem Vollzug.

Dass ein Portal am Auftrag hängt, zeigt der Blick nach Deutschland. Das NIS2UmsuCG wurde am 5. Dezember 2025 verkündet und ist am 6. Dezember 2025 in Kraft getreten, mit rund 29.500 betroffenen Einrichtungen statt vorher 4.500. Die Registrierung läuft dort zweistufig über „Mein Unternehmenskonto" mit ELSTER und über das BSI-Portal, das seit 6. Jänner 2026 live ist. Einen Monat nach Inkrafttreten.

Unsere Empfehlung an Geschäftsführer in unserer Größe: Nehmen Sie den 31. Dezember 2026 als Stichtag für die geklärte Betroffenheit, nicht für die Registrierung. Solange die Verordnung fehlt, ist die falsche Einschätzung der eigenen Lage das Einzige, was Sie hier falsch machen können. Keine Rechtsberatung, aber Arbeit, die Sie diese Woche erledigen können, ohne auf jemanden zu warten.

Weiterführende Quellen

Fragen?

Können wir uns heute schon registrieren?+

Nein, und das gilt für jeden Betroffenen gleichermaßen. Das NISG 2026 ist mit BGBl. I Nr. 94/2025 kundgemacht und ab 1. Oktober 2026 anzuwenden, Formular und Verfahren sind aber einer noch ausstehenden Verordnung vorbehalten. Es gibt derzeit kein staatliches Register-Portal. Was zwischen dem 1. Oktober und dem 31. Dezember 2026 zu tun ist, lässt sich ohne jedes Formular erledigen: Betroffenheit klären, eine Person benennen, die Leitungspflicht dokumentieren.

Drohen 10 Mio. Euro Bußgeld, wenn die Registrierung zu spät kommt?+

Nein. Für Verstöße gegen die Registrierungs- und die Selbstklärungspflicht stehen in der WKO- und BMI-Darstellung 50.000 Euro, bei Wiederholung 100.000 Euro. Die Millionensummen von 7 Mio. Euro bzw. 1,4 Prozent oder 10 Mio. Euro bzw. 2 Prozent des Gruppenumsatzes gehören zu den Kernpflichten, also zu fehlenden Risikomaßnahmen. Wer die beiden Ebenen vermischt, bewertet das falsche Risiko.

Ab wann ist ein Produktionsbetrieb in Tirol betroffen?+

Die Schwellen liegen bei 50 Beschäftigten oder bei einem Umsatz über 10 Mio. Euro in Verbindung mit einer Bilanzsumme über 10 Mio. Euro, angewandt nach der EU-KMU-Empfehlung inklusive Konzernanrechnung. Verarbeitendes Gewerbe und Ernährung fallen unter Anhang 2 und damit in die Kategorie der wichtigen Einrichtungen. Nach der Einschätzung der WKO betrifft das in Österreich rund 4.000 Einrichtungen in 18 Sektoren. Ob eine einzelne Gesellschaft einer Gruppe darunterfällt, hängt an ihren eigenen Kennzahlen, nicht am Markenauftritt.