Bin ich von NIS2 betroffen? Das Prüfschema in sechs Schritten
Ob Ihr Unternehmen unter NIS2 fällt, entscheiden zwei Kriterien: der Sektor der Haupttätigkeit und die Größe. Direkt erfasst sind mittlere und große Unternehmen – ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme – in den Sektoren der Anlagen 1 und 2 des NISG 2026, einige Dienste auch unabhängig von der Größe. Wer nicht direkt erfasst ist, kann über seine Kunden trotzdem betroffen sein.
Schritt 1: Die Haupttätigkeit zuordnen
Maßgeblich ist, womit Ihr Unternehmen hauptsächlich sein Geld verdient – idealerweise nach dem ÖNACE-Code. Prüfen Sie, ob diese Tätigkeit in Anlage 1 oder Anlage 2 des NISG 2026 steht. Beim verarbeitenden Gewerbe lohnt ein genauer Blick: Erfasst sind bestimmte Bereiche wie Maschinenbau, Fahrzeugbau, Elektronik, elektrische Ausrüstung und Medizinprodukte, nicht aber jede Form von Produktion.
Schritt 2: Die Größe nach Beschäftigten
Gezählt werden Beschäftigte in Vollzeitäquivalenten, Teilzeitkräfte anteilig. Ab 50 gilt ein Unternehmen als mittleres, ab 250 als großes. Bereits dieses eine Kriterium genügt: Wer 60 Beschäftigte hat, ist mittel, unabhängig vom Umsatz.
Schritt 3: Die Größe nach Umsatz und Bilanzsumme
Auch mit weniger Beschäftigten kann ein Unternehmen über die Schwelle kommen: als mittleres, wenn Umsatz und Bilanzsumme jeweils 10 Mio. € übersteigen, als großes bei mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme. Entscheidend ist das Wort und – beide Werte müssen darüber liegen.
Spricht dafür
- Haupttätigkeit in einem Sektor der Anlage 1 oder 2
- 50 oder mehr Beschäftigte
- Umsatz und Bilanzsumme jeweils über 10 Mio. €
- Beteiligungen über 25 %, die die Schwellen überschreiten
- Telekom, DNS, Vertrauensdienste – unabhängig von der Größe
Spricht dagegen
- Tätigkeit außerhalb der Anlagen, etwa Handel, Handwerk, allgemeine Metallverarbeitung
- Unter 50 Beschäftigte und höchstens 10 Mio. € Umsatz oder Bilanzsumme
- Eigenständig, ohne Konzernverflechtung
Unabhängig davon kann ein Unternehmen indirekt betroffen sein – dann nämlich, wenn Kunden aus den erfassten Sektoren Nachweise verlangen.
Schritt 4: Konzern und Partnerunternehmen
Hier passieren die meisten Fehleinschätzungen. Bei Beteiligungen von über 25 % werden die Zahlen verbundener und Partnerunternehmen anteilig oder vollständig zusammengerechnet – in beide Richtungen. Eine Tochter mit 30 Beschäftigten kann dadurch als mittleres oder großes Unternehmen gelten. Bei komplexeren Strukturen ist eine Einzelfallprüfung nötig.
Schritt 5: Die größenunabhängigen Fälle
Für einige Dienste gelten die Schwellen nicht: Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, qualifizierte Vertrauensdiensteanbieter, TLD-Namensregister und DNS-Diensteanbieter sowie Einrichtungen, die als einzige einen für Gesellschaft oder Wirtschaft wesentlichen Dienst erbringen. Wer dazu gehört, ist erfasst, auch mit wenigen Beschäftigten.
Schritt 6: Die Lieferkette
Wer nach den Schritten 1 bis 5 nicht erfasst ist, sollte eine letzte Frage stellen: Beliefere oder betreue ich Unternehmen, die erfasst sind? Diese müssen die Sicherheit ihrer Lieferkette nachweisen und geben Anforderungen weiter. Das Ergebnis ist dann eine von vier Einstufungen: wesentlich, wichtig, indirekt über Kunden betroffen oder nicht betroffen.
Häufige Fragen
Was ist, wenn meine Tätigkeit in mehrere Sektoren passt?
Maßgeblich ist die Haupttätigkeit. Bei echten Mischformen gehört die Zuordnung in die Einzelfallprüfung – dort entscheidet sich häufig, ob ein Unternehmen erfasst ist oder nicht.
Zählt ein einzelner Kunde aus einem erfassten Sektor schon?
Rechtlich macht ein Kunde Sie nicht betroffen. Praktisch reicht ein wichtiger Kunde, der einen Fragebogen schickt – dann müssen Sie ihn beantworten können.
Gibt es dafür ein Online-Werkzeug?
Ja, unseren kostenlosen Betroffenheitscheck. Er fragt genau diese sechs Punkte ab und liefert eine Ersteinschätzung, ohne dass Daten Ihren Browser verlassen.
Die sechs Schritte in drei Minuten
Der Betroffenheitscheck fragt genau diese Punkte ab und liefert eine Ersteinschätzung mit Empfehlung. Anonym, nichts wird gespeichert.
Check startenWeiterlesen
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.
NIS2-Fragebogen vom Kunden erhalten: So antworten Zulieferer richtig
Warum ein „Ja“ ohne Beleg mehr schadet als ein ehrliches „teilweise“ – und wie man in acht Wochen prüfbar antwortet.
Was kostet eine Website? Ein ehrlicher Überblick für Österreich
Von 0 € im Baukasten bis fünfstellig – warum die Spanne so groß ist und woran Sie erkennen, was Sie brauchen.