Bis vor wenigen Tagen war die Antwort in vielen Kärntner Betrieben schnell gegeben: „NIS2 betrifft Kraftwerke, Spitäler und Telekomkonzerne – nicht uns als Metallverarbeiter mit 70 Leuten.“ Genau diese Annahme ist seit dem 1. Oktober 2026 nicht mehr haltbar. Das NISG 2026 tritt an diesem Stichtag vollständig in Kraft, und der Kreis der betroffenen Unternehmen hat sich massiv erweitert.
Früher galt das alte NIS-Gesetz nur für eine Handvoll Betreiber wesentlicher Dienste – Strom, Wasser, ein paar Spitäler. Das neue Gesetz zieht den Kreis über 18 Sektoren, erfasst erstmals auch Lebensmittelbetriebe, verarbeitendes Gewerbe, Chemie, Post- und Kurierdienste oder digitale Dienstleister. Und: Niemand prüft das mehr für dich. Du musst deine NIS2 Betroffenheit als KMU selbst feststellen, dokumentieren und bei Zutreffen registrieren.
Dieser Artikel liefert dir genau das: einen konkreten Self-Check, mit dem du in wenigen Minuten einschätzt, ob dein Betrieb unter das NISG 2026 fällt, plus ein Praxisbeispiel, wie ein automatisierter Workflow die strikte 24/72-Stunden-Meldefrist bei einem Sicherheitsvorfall realistisch einhaltbar macht. Wenn du einen tieferen Überblick über die rechtlichen Rahmenbedingungen suchst, findest du ergänzend unseren Guide zu rechtskonformer KI in Österreich.
Was bedeutet NIS2 Betroffenheit für KMU in Österreich genau?
Die NIS2 Betroffenheit beschreibt, ob dein Unternehmen nach dem NISG 2026 als „wesentliche“ oder „wichtige“ Einrichtung gilt und damit zu Risikomanagement, Meldepflichten und Registrierung verpflichtet ist. Entscheidend sind zwei Kriterien gleichzeitig: dein Sektor und deine Unternehmensgröße.
Die NIS-2-Betroffenheit in Österreich richtet sich nach dem NISG 2026, das die EU-Richtlinie (EU) 2022/2555 umsetzt. Betroffen sind grundsätzlich mittlere und größere Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. EUR Umsatz) in 18 Sektoren. Wichtig dabei: Es reicht, wenn eines der beiden Größenkriterien erfüllt ist – Mitarbeiterzahl oder Umsatz beziehungsweise Bilanzsumme.
Anders als beim alten NIS-Gesetz 2018 stellt keine Behörde deine Betroffenheit mehr von sich aus fest. Anders als früher stellt keine Behörde die Betroffenheit von sich aus fest: Jede Einrichtung ermittelt sie selbst. Nur die größenunabhängige Einstufung nach § 26 ergeht mit Bescheid der Cybersicherheitsbehörde. Für fast alle Kärntner KMU heißt das: Selbstprüfung, Selbstdeklaration, volle Eigenverantwortung.
Diese 18 Sektoren erfasst das NISG 2026 jetzt
Der Anwendungsbereich wurde gegenüber dem alten Gesetz deutlich ausgeweitet. Der Anwendungsbereich des NISG 2026 wird gegenüber dem bisherigen Regime erheblich ausgeweitet. Er umfasst 18 Sektoren sowie zusätzliche Teilsektoren mit hoher oder mittlerer Kritikalität – weit über den klassischen IKT-Bereich hinaus und im Wesentlichen deckungsgleich mit der kritischen Infrastruktur Österreichs. Die Sektoren teilen sich in zwei Anlagen mit unterschiedlicher Kritikalitätsstufe:
| Anlage | Sektoren | Anzahl |
|---|---|---|
| Anlage 1 (hohe Kritikalität) | Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste (B2B), öffentliche Verwaltung, Weltraum | 11 |
| Anlage 2 (sonstige kritische Sektoren) | Post und Kurier, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung | 7 |
Erfasste Sektoren: 18 (Anlage 1 und Anlage 2), Kategorien: Wesentliche und wichtige Einrichtungen. Für Kärnten heißt das konkret: Lebensmittelverarbeiter, Maschinenbauer, Logistikdienstleister, Abfallentsorger oder auch Forschungseinrichtungen, die bisher nie mit Cybersicherheitsgesetzen in Berührung kamen, prüfen jetzt erstmals ihre NIS2 Betroffenheit.
Der Self-Check: Bist du als Kärntner Betrieb betroffen?
Du musst kein Jurist sein, um eine erste, belastbare Einschätzung zu bekommen. Geh die folgenden vier Fragen der Reihe nach durch – sobald eine Frage mit „Nein“ beantwortet wird, kannst du bei den meisten Konstellationen aufhören.
Schritt 1 – Sektor-Check: Ist dein Unternehmen in einem der 18 Sektoren aus Anlage 1 oder 2 tätig? Dazu zählen unter anderem Energie, Gesundheit, Lebensmittel, Chemie, verarbeitendes Gewerbe, digitale Dienste, Abfallwirtschaft, Post und Kurier sowie Forschung.
Schritt 2 – Größen-Check: Beschäftigst du mindestens 50 Mitarbeitende (Vollzeitäquivalente) ODER liegt dein Jahresumsatz beziehungsweise deine Jahresbilanzsumme über 10 Millionen Euro? Größe: Ab 50 Mitarbeitenden oder über 10 Mio. EUR Umsatz/Bilanzsumme (EU-Definition mittlerer Unternehmen). Sektor: Tätigkeit in einem der 18 Sektoren nach Anhang I oder II der NIS-2-Richtlinie. Verfahren: Selbsteinstufung und Selbstdeklaration statt behördlichem Bescheid – die Verantwortung liegt beim Unternehmen.
Schritt 3 – Sonderfall-Check: Bist du unabhängig von deiner Größe erfasst? Das betrifft etwa qualifizierte Vertrauensdiensteanbieter, Domänennamenregister, DNS-Diensteanbieter, Anbieter öffentlicher Kommunikationsnetze oder Einrichtungen der öffentlichen Verwaltung. Unabhängig von der Größe gelten unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter und Einrichtungen der Bundesverwaltung als wesentliche Einrichtungen; Anbieter öffentlicher Kommunikationsnetze und -dienste sowie Vertrauensdiensteanbieter zumindest als wichtige.
Schritt 4 – Lieferketten-Check: Beliefert dein Betrieb als Zulieferer oder Dienstleister ein Unternehmen, das selbst wesentliche oder wichtige Einrichtung ist? Dann landen Sicherheitsanforderungen über Verträge indirekt bei dir, auch wenn du formal nicht registrierungspflichtig bist.
Wenn du bei Schritt 1 und 2 zweimal „Ja“ ankreuzt, bist du mit hoher Wahrscheinlichkeit registrierungspflichtig. Dokumentiere deine Einschätzung in jedem Fall schriftlich – auch eine begründete Nicht-Betroffenheit solltest du festhalten, falls das Bundesamt für Cybersicherheit später nachfragt.
Wesentliche oder wichtige Einrichtung – der Unterschied zählt
Das NISG 2026 unterscheidet zwei Kategorien, die sich vor allem bei Aufsicht und Strafrahmen unterscheiden – nicht bei den inhaltlichen Pflichten. Wesentliche Einrichtungen sind große Unternehmen der Anlage-1-Sektoren, mittlere Telekommunikationsunternehmen und die größenunabhängig erfassten Einrichtungen. Wichtige Einrichtungen sind die übrigen mittleren und großen Unternehmen aus Anlage 1 und 2 sowie die Landesverwaltung. Bei den inhaltlichen Sicherheitsanforderungen unterscheiden sich die Kategorien kaum. Der Unterschied liegt in der Aufsicht und im Strafrahmen.
| Kriterium | Wesentliche Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Typische Zuordnung | Große Unternehmen aus Anlage 1 (Energie, Verkehr, Bankwesen, Gesundheit u.a.) | Übrige mittlere/große Unternehmen aus Anlage 1 und 2 |
| Prüfung durch unabhängige Stelle | Auf Aufforderung, auch ohne konkreten Anlass | Nur bei begründeten Hinweisen auf Pflichtverletzung |
| Höchststrafe | 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes | 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
€ oder 2 % des gesamten weltweiten Umsatzes des vorangegangenen Geschäftsjahres für wesentliche, bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Maßgeblich ist der höhere Betrag, und maßgeblich ist der Umsatz des Konzerns, nicht nur der einzelnen Gesellschaft. Für ein Kärntner KMU mit 15 Millionen Euro Umsatz klingt das zunächst theoretisch – bis die erste Prüfung ansteht.
Diese Fristen laufen ab sofort
Mit dem Inkrafttreten beginnt die Uhr zu ticken, auch wenn einzelne Nachweispflichten erst später greifen. Die wichtigsten Termine im Überblick:
| Termin | Was zu tun ist | Rechtsgrundlage |
|---|---|---|
| 1. Oktober 2026 | Materielle Pflichten (Risikomanagement, Schulungen) gelten ohne Übergangsfrist | § 51 NISG 2026 |
| Bis 1. Jänner 2027 | Registrierung beim Bundesamt für Cybersicherheit | § 29 Abs. 3 NISG 2026 |
| Binnen 12 Monaten nach Registrierungspflicht | Einmalige Selbstdeklaration | § 33 Abs. 1 NISG 2026 |
| Laufend, bei jedem erheblichen Vorfall | Meldung in drei Stufen: 24 Std. / 72 Std. / 1 Monat | § 34 NISG 2026 |
Für wesentliche und wichtige Einrichtungen gilt eine Registrierungspflicht drei Monate ab Inkrafttreten NISG 2026, dh bis 1.1.2027 oder, sobald die jeweiligen Voraussetzungen erfüllt sind. Wer die NIS2 Betroffenheit als KMU erst später feststellt – etwa durch Wachstum über die 50-Mitarbeitenden-Grenze –, hat ab diesem Zeitpunkt drei Monate Zeit, die Registrierung nachzuholen.
Die Meldefristen bei Sicherheitsvorfällen sind die mit Abstand unangenehmste Pflicht im Alltag: Frühwarnung nach einem erheblichen Vorfall: unverzüglich, jedenfalls binnen 24 Stunden nach Kenntnisnahme. Meldung mit erster Bewertung: binnen 72 Stunden. Darauf folgt binnen eines Monats ein Abschlussbericht. Wer das bisher nur aus der Theorie kennt, merkt spätestens beim ersten echten Vorfall, wie knapp 24 Stunden tatsächlich sind.
Praxisbeispiel: Wie ein automatisierter Workflow die 24/72-Stunden-Frist einhaltbar macht
Stell dir einen Kärntner Lebensmittelproduzenten vor, der als wichtige Einrichtung eingestuft ist. Freitagabend, 22 Uhr: Die IT-Überwachung meldet verdächtigen Datenverkehr auf einem Produktionsserver. Ohne klaren Prozess passiert jetzt das, was in den meisten KMU passiert – es wird am Montag draufgeschaut. Bis dahin ist die 24-Stunden-Frist für die Frühwarnung längst verstrichen.
Mit einem automatisierten Workflow sieht derselbe Abend anders aus. Ein KI-Agent überwacht die sicherheitsrelevanten Systeme durchgehend, erkennt die Anomalie, erstellt automatisch einen strukturierten Vorfallsbericht mit Zeitstempel, betroffenen Systemen und ersten Einschätzungen – und schickt diesen Entwurf sofort an die zuständige Person im Betrieb, egal ob Freitagabend oder Feiertag. Die Mitarbeitenden bestätigen oder korrigieren den Entwurf, bevor er fristgerecht an das Bundesamt für Cybersicherheit geht.
Genau solche Abläufe lassen sich mit Tools wie Claude oder einem eigens eingerichteten OpenClaw-Workflow im Unternehmen umsetzen – ohne dass du dafür eine eigene IT-Sicherheitsabteilung aufbauen musst. Der Agent übernimmt die Zeitkomponente, Menschen behalten die Entscheidungshoheit. Wie sich solche Abläufe generell in bestehende Betriebsprozesse integrieren lassen, zeigen wir im Artikel zum Automatisieren interner Prozesse mit KI.
Der Effekt ist nicht nur rechtlicher Natur. Ein Betrieb, der seine Meldewege einmal sauber automatisiert hat, spart sich auch bei kleineren IT-Störungen den manuellen Dokumentationsaufwand. Wer mehr zu den aktuellen Bedrohungslagen für Kärntner Unternehmen wissen will, findet ergänzend unsere Einordnung zu KI-Cyberangriffen und den Trends 2026.
Was passiert, wenn du die Registrierung versäumst?
Die Sanktionen sind kein Papiertiger. Höchststrafe: 10 Mio. Euro oder 2 Prozent des Weltjahresumsatzes. Zuständig für Aufsicht, Register und Vorfallsmeldungen ist eine neu geschaffene Behörde: Zuständig ist das Bundesamt für Cybersicherheit, das dem Bundesminister für Inneres nachgeordnet ist und seinen Sitz in Wien hat. Es führt das Register, nimmt Meldungen entgegen, fordert Nachweise ein und erlässt Bescheide.
Praktisch bedeutet das: Wer sich nicht registriert, obwohl die NIS2 Betroffenheit als KMU klar gegeben wäre, riskiert nicht nur ein Bußgeld, sondern auch persönliche Konsequenzen für die Geschäftsführung, da die Leitungsorgane nach dem NISG 2026 explizit in die Verantwortung genommen werden. Aus der Praxis: Gerade bei mittelständischen Betrieben wird das Thema oft erst dann ernst genommen, wenn ein Kunde oder Auftraggeber im Rahmen seiner eigenen NIS2-Pflichten plötzlich einen Sicherheitsnachweis einfordert.
Wie FloKI Consult dir bei deiner NIS2 Betroffenheit als KMU hilft
Als Kärntner Betrieb musst du dieses Thema nicht allein durchkämpfen. FloKI Consult unterstützt dich bei zwei Dingen, die in der Praxis am meisten Zeit kosten: der ersten, sauber dokumentierten Einschätzung deiner NIS2 Betroffenheit und dem Aufbau automatisierter Meldeprozesse, die die 24/72-Stunden-Frist tatsächlich einhaltbar machen.
Konkret heißt das: gemeinsam gehen wir deinen Sektor, deine Unternehmenskennzahlen und deine Lieferkette durch, bauen bei Bedarf einen KI-gestützten Workflow für Vorfallserkennung und -meldung auf und sorgen dafür, dass die Dokumentation auch einer behördlichen Prüfung standhält. Die technische Basis dafür – von individuellen KI-Agenten bis zu sicheren internen Systemen – entwickeln wir im Rahmen unserer KI-Entwicklung und IT-Security-Beratung passgenau für deinen Betrieb, nicht als Standardpaket von der Stange.
Du sprichst dabei direkt mit dem Entwickler, nicht mit einem Callcenter. Das verkürzt die Abstimmung gerade bei einem Thema, bei dem Fristen zählen, enorm.
NIS2 Betroffenheit KMU: Dein Fazit für die kommenden Wochen
Unterm Strich: Das NISG 2026 ist seit dem 1. Oktober 2026 geltendes Recht, und die Ausweitung auf 18 Sektoren trifft deutlich mehr Kärntner Betriebe als das alte NIS-Gesetz. Die Selbsteinstufung liegt vollständig bei dir, Registrierung und Meldefristen laufen unabhängig davon, ob du dich bereits damit beschäftigt hast.
Deine nächsten Schritte:
- Führe den Self-Check aus diesem Artikel durch und dokumentiere das Ergebnis schriftlich – unabhängig davon, ob er auf „betroffen“ oder „nicht betroffen“ hinausläuft.
- Falls du betroffen bist: Registriere dich rechtzeitig vor dem 1. Jänner 2027 beim Bundesamt für Cybersicherheit und richte intern einen klaren Verantwortlichen für Meldepflichten ein.
- Prüfe, ob ein automatisierter Workflow für Erkennung, Dokumentation und Meldung von Sicherheitsvorfällen die 24/72-Stunden-Frist in deinem Betrieb realistisch einhaltbar macht – und hol dir dafür bei Bedarf Unterstützung über unsere Kontaktseite.
Bereit für den nächsten Schritt?
Häufige Fragen zum Thema
Ab wann gilt das NISG 2026 für Kärntner Betriebe?
Das NISG 2026 ist am 1. Oktober 2026 vollständig in Kraft getreten. Die materiellen Pflichten wie Risikomanagement und Meldepflichten gelten ab diesem Zeitpunkt ohne Übergangsfrist, die Registrierung beim Bundesamt für Cybersicherheit musst du bis 1. Jänner 2027 erledigen.
Woran erkenne ich meine NIS2 Betroffenheit als KMU?
Du prüfst zwei Dinge gleichzeitig: Bist du in einem der 18 erfassten Sektoren tätig, und erfüllst du mindestens eines der Größenkriterien ab 50 Mitarbeitenden oder über 10 Millionen Euro Umsatz beziehungsweise Bilanzsumme? Treffen beide Punkte zu, bist du mit hoher Wahrscheinlichkeit registrierungspflichtig.
Muss ich mich selbst beim Bundesamt für Cybersicherheit registrieren?
Ja. Anders als früher stellt keine Behörde deine Betroffenheit von sich aus fest. Du musst sie selbst ermitteln, dokumentieren und dich innerhalb von drei Monaten nach Inkrafttreten beziehungsweise nach Eintritt der Voraussetzungen registrieren.
Wie viel Zeit habe ich, einen Sicherheitsvorfall zu melden?
Du musst eine Frühwarnung unverzüglich, spätestens aber binnen 24 Stunden abgeben. Binnen 72 Stunden folgt eine Meldung mit erster Bewertung, und innerhalb eines Monats reichst du einen Abschlussbericht nach.
Was kostet es, wenn ich die NIS2-Pflichten ignoriere?
Wesentliche Einrichtungen riskieren Strafen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Maßgeblich ist jeweils der höhere Betrag.
Betrifft NIS2 auch kleine Zulieferbetriebe, die selbst nicht registrierungspflichtig sind?
Direkt registrierungspflichtig bist du nur, wenn Sektor- und Größenkriterium erfüllt sind. Als Zulieferer einer wesentlichen oder wichtigen Einrichtung bekommst du aber oft indirekt Sicherheitsanforderungen über Verträge weitergereicht.