NIS2 in der Steiermark: Betroffen? Was bis 31.12. passieren muss

Adam Khalil04.11.2026

Betroffen sind Sie grundsätzlich, wenn Ihr Betrieb in einem NIS-Sektor tätig ist und mindestens 50 Mitarbeitende oder über 10 Mio. € Umsatz und Bilanzsumme hat. Dann müssen Sie sich laut WKO und BMI bis 31.12.2026 im USP registrieren. Einstufen müssen Sie sich selbst.

Kurz gesagt: Betroffen sind Sie grundsätzlich, wenn Ihr Betrieb in einem der NIS-Sektoren tätig ist und mindestens 50 Mitarbeitende oder über 10 Mio. € Umsatz und Bilanzsumme hat. Dann müssen Sie sich bis 31.12.2026 im Unternehmensserviceportal (USP) registrieren. Einstufen müssen Sie sich selbst.

Viele steirische Betriebe wissen derzeit nicht, ob sie unter das Gesetz fallen, und die Frist läuft. Wir von EA Digital Solutions in Graz klären das mit Ihnen, begleiten die Registrierung und setzen die technischen Maßnahmen um. Rechtsberatung machen wir nicht, die rechtliche Einstufung bestätigt im Zweifel eine Anwältin oder ein Anwalt.

Schritt 1: Sind Sie betroffen?

Sie müssen zwei Fragen beantworten: Sektor und Größe. Laut WKO und BMI prüft das jede Einrichtung selbst, eine Einstufung durch die Behörde ist nicht vorgesehen.

Gruppe	Sektoren laut [WKO](https://www.wko.at/it-sicherheit/nis2-uebersicht)
Anlage 1, hohe Kritikalität	Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für Unternehmen, öffentliche Verwaltung, Weltraum
Anlage 2, sonstige kritische Sektoren	Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe und Herstellung von Waren, Anbieter digitaler Dienste, Forschung

Zum verarbeitenden Gewerbe nennt die WKO etwa Medizinprodukte, Datenverarbeitungsgeräte, Maschinenbau und Kfz. Der Bau steht in der WKO-Übersicht nicht. Genau hier braucht es oft einen zweiten Blick, weil Nebentätigkeiten mitzählen können.

Größe nach [§ 25 NISG 2026](https://ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.pdf)	Mitarbeitende	Oder Umsatz und Bilanzsumme
Mittleres Unternehmen	ab 50	über 10 Mio. € und über 10 Mio. €
Großes Unternehmen	ab 250	über 50 Mio. € und über 43 Mio. €

Kleinere Betriebe fallen laut WKO grundsätzlich nicht darunter. Ausnahmen gelten für bestimmte Anbieter, die unabhängig von der Größe erfasst sind, etwa DNS-Dienste oder öffentliche Kommunikationsnetze (§ 24 NISG 2026). Verbundene und Partnerunternehmen können zur Größe zählen, außer die IT-Systeme sind nachweislich unabhängig. Lehrlinge zählen laut WKO und BMI nicht mit.

Ihre Entscheidung: Gehen Sie den Online-Ratgeber der WKO durch und halten Sie das Ergebnis schriftlich fest. Bleibt der Sektor unklar, sprechen Sie uns an oder lassen Sie es rechtlich prüfen. Warten Sie damit nicht bis Dezember.

45 Minuten, kostenlos

Klären, ob NIS2 Sie trifft

Wir gehen mit Ihnen Sektor und Größe durch, begleiten die Registrierung und setzen die technischen Maßnahmen um. Die rechtliche Einstufung bestätigt im Zweifel Ihre Anwältin oder Ihr Anwalt.

NIS2-Begleitung bei uns

Schritt 2: Registrieren, Frist 31.12.2026

Das NISG 2026 gilt seit 1. Oktober 2026. § 29 Abs. 3 verlangt die Registrierung innerhalb von drei Monaten ab Inkrafttreten. Die FAQ von WKO und BMI nennt dafür spätestens den 31.12.2026. Andere WKO-Seiten nennen Anfang Jänner 2027. Verlassen Sie sich nicht auf diese Tage und planen Sie mit dem 31.12.2026.

Registriert wird über das USP, und zwar jede juristische Person einzeln. Eine Gesamtregistrierung für den Konzern gibt es laut WKO und BMI nicht. Gefragt sind unter anderem Name, Anschrift, Sektor, Mitgliedstaaten, IP-Bereiche und Schwellenwerte. Ein Verstoß gegen die Registrierungspflicht kann bis zu 50.000 € kosten, im Wiederholungsfall bis zu 100.000 €.

Ihre Entscheidung: Wenn Sie betroffen sind, legen Sie jetzt fest, wer die Daten sammelt. Die IP-Bereiche kommen meist von Ihrer IT, das braucht Vorlauf. Bei der Registrierung begleiten wir Sie, siehe NIS2.

Schritt 3: Was jetzt schon gilt

Die Registrierung ist nicht die einzige Pflicht. Risikomanagement und Meldepflichten gelten laut WKO bereits seit 1. Oktober 2026.

Pflicht	Inhalt laut WKO und BMI	Was jetzt zu tun ist
Meldung erheblicher Vorfälle	Frühwarnung binnen 24 Stunden, auch am Wochenende, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat	Meldeablauf festlegen, Zuständige und Vertretung benennen
Verantwortung der Geschäftsleitung	Muss Maßnahmen sicherstellen und überwachen, Schulung ist Pflicht und zu dokumentieren	Schulung einplanen
Risikomanagement	Unter anderem Risikoanalyse, Vorfallbewältigung, Backup, Lieferkette, Verschlüsselung, Zugriffskontrolle, Mehr-Faktor-Anmeldung	Bestandsaufnahme machen
Lieferkette	Sicherheitsanforderungen vertraglich regeln. Ein Verweis auf das Gesetz in den AGB genügt nicht	Wichtige Lieferanten auflisten

Ihre Entscheidung: Sie müssen bis Jahresende nicht alles fertig haben. Aber der Meldeablauf ist schnell festgelegt und sollte vor dem ersten Vorfall stehen. Die technischen Maßnahmen wie Mehr-Faktor-Anmeldung und Backups setzen wir für Sie um.

Schritt 4: Die nächsten Termine

Termin	Was ansteht
31.12.2026	Registrierung im USP
30.09.2027	Selbstdeklaration über den Stand der Maßnahmen
Frühestens 01.10.2028	Erste mögliche Prüfaufforderung der Behörde

Die Selbstdeklaration ist laut WKO und BMI ein Indikator und ersetzt keine Prüfung. Die Bußgelder reichen laut WKO bis 10 Mio. € oder 2 % des weltweiten Konzernumsatzes bei wesentlichen Einrichtungen und bis 7 Mio. € oder 1,4 % bei wichtigen.

Ihre Entscheidung: Nehmen Sie den 30.09.2027 als Arbeitsziel. Wer im Frühjahr startet, kann die Maßnahmen in Ruhe umsetzen und hat im September etwas Belastbares zu melden.

Nicht betroffen, aber Zulieferer

Fällt Ihr Betrieb selbst nicht unter das Gesetz, können Anforderungen trotzdem bei Ihnen ankommen. Betroffene Kunden müssen laut WKO und BMI vertraglich regeln, was ihre Lieferanten tun, etwa bei Vorfällen, Prüfrechten und Schwachstellen.

Ihre Entscheidung: Warten Sie nicht auf den ersten Fragebogen. Fragen Sie Ihre großen Kunden, was sie erwarten. So können Sie gezielt nachrüsten und das auch als Verkaufsargument nutzen.

Förderung in der Steiermark

Die SFG fördert IT-Sicherheit in Kleinst-, kleinen und mittleren Unternehmen: bis zu 30 % der anrechenbaren Projektkosten, höchstens 15.000 €, Mindestprojekt 5.000 €. Laut SFG sollen damit auch Maßnahmen zur NIS-2-Umsetzung unterstützt werden. Ausgenommen sind reine Hard- und Softwarekäufe und der Austausch bestehender Systeme. Jedes Projekt braucht eine Schulung aller Mitarbeitenden mit Computerzugang. Den Antrag stellen Sie vor Projektbeginn. Ob die Förderung für Ihr Projekt noch offen ist, klären Sie direkt bei der SFG.

Ihre Entscheidung: Stellen Sie den Antrag, bevor Sie etwas beauftragen, und klären Sie vorab, ob Ihr Vorhaben hineinpasst.

So unterstützen wir Sie

Wir klären mit Ihnen, ob Sie betroffen sind, auch als Zulieferer. Wir begleiten die Registrierung, setzen technische Maßnahmen um und erstellen Unterlagen wie Richtlinien und einen Meldeablauf. Für ISO 27001 oder ein vollständiges Managementsystem verweisen wir auf Partner. Alles dazu steht auf der Seite NIS2. Für einen ersten Selbsttest gibt es unsere kostenlosen Tools Security-Header-Check und E-Mail-Check.

Ihre Entscheidung: Wenn nach dem WKO-Ratgeber Fragen bleiben, buchen Sie vor Mitte Dezember ein Erstgespräch. Dann bleibt genug Zeit für die Registrierung.

Quellen (abgerufen am 04.11.2026)

Häufige Fragen

Bis wann muss ich mich registrieren?▾

Die FAQ von WKO und BMI nennt den 31.12.2026. Das Gesetz spricht von drei Monaten ab Inkrafttreten am 1. Oktober 2026, und andere WKO-Seiten nennen Anfang Jänner 2027. Planen Sie mit dem 31.12.2026, dann sind Sie auf der sicheren Seite.

Mein Betrieb hat unter 50 Mitarbeitende. Bin ich raus?▾

Grundsätzlich ja, wenn auch Umsatz und Bilanzsumme nicht beide über 10 Mio. € liegen. Es gibt Ausnahmen für bestimmte Anbieter, etwa von DNS-Diensten oder öffentlichen Kommunikationsnetzen. Rechnen Sie verbundene Unternehmen und Partnerunternehmen mit ein.

Was droht, wenn ich mich nicht registriere?▾

Laut WKO und BMI bis zu 50.000 €, im Wiederholungsfall bis zu 100.000 €.

Ich bin nicht betroffen, aber mein Kunde schon. Was heißt das?▾

Betroffene Betriebe müssen ihre Lieferkette absichern und das vertraglich regeln. Ihr Kunde kann also Anforderungen an Sie weitergeben, auch wenn Sie selbst nicht unter das Gesetz fallen.

Gibt es eine Förderung in der Steiermark?▾

Die SFG fördert IT-Sicherheit in KMU mit bis zu 30 % der anrechenbaren Kosten, höchstens 15.000 €, Mindestprojekt 5.000 €. Der Antrag muss vor Projektbeginn gestellt werden. Reine Hard- und Softwarekäufe sind ausgenommen.