NIS2-Registrierung bis 31. Dezember 2026: Welche Angaben Sie brauchen
Wesentliche und wichtige Einrichtungen müssen sich innerhalb von drei Monaten ab Inkrafttreten des NISG 2026 registrieren, also bis 31. Dezember 2026 – beim Bundesamt für Cybersicherheit. Verlangt werden unter anderem Name und Kontaktdaten, Sektor und Teilsektor nach Anlage 1 oder 2, die Angaben zu den Größenschwellen samt Einstufung und eine Kontaktstelle mit Telefonnummer und E-Mail-Adresse. Laut CERT.at und WKO läuft die Registrierung über das Unternehmensserviceportal (USP).
Wer sich registrieren muss
Die Registrierungspflicht trifft alle Einrichtungen, die unter das NISG 2026 fallen – wesentliche wie wichtige. Wer als Zulieferer nur indirekt über seine Kunden betroffen ist, registriert sich nicht. Weil die Registrierung auch die Angabe verlangt, welche Schwellenwerte Sie erreichen und ob Sie wesentlich oder wichtig sind, steht am Anfang die Einstufung: Sektor der Haupttätigkeit, Größe, gegebenenfalls Konzernzurechnung. Wer das sauber dokumentiert, hat die schwierigste Angabe bereits erledigt.
Welche Angaben verlangt werden
§ 29 Abs. 2 zählt sieben Punkte auf: den Namen, Anschrift und Kontaktdaten, Sektor und Teilsektor nach Anlage 1 oder 2, die Mitgliedstaaten, in denen Sie Dienste erbringen, gegebenenfalls Ihre IP-Adressbereiche, Ihre Niederlassungen in der EU sowie die Angaben zu den Schwellenwerten samt Einstufung. Dazu kommt nach Abs. 6 eine Kontaktstelle, die mindestens über Telefon und E-Mail erreichbar ist. Das klingt nach wenig – die Arbeit steckt in der Genauigkeit. Welcher Teilsektor genau? Welche IP-Bereiche gehören Ihnen, welche Ihrem Provider? Wer ist die Kontaktstelle, auch im Urlaub?
Verlangt bei der Registrierung (§ 29)
- Name der Einrichtung
- Anschrift und aktuelle Kontaktdaten, gegebenenfalls des Vertreters
- Sektor, Teilsektor und Art der Einrichtung nach Anlage 1 oder 2
- Mitgliedstaaten, in denen Sie Dienste erbringen
- Gegebenenfalls Ihre öffentlichen IP-Adressbereiche
- Haupt- und sonstige Niederlassungen in der EU
- Angaben zu den Schwellenwerten und ob wesentlich oder wichtig
- Eine Kontaktstelle, mindestens mit Telefon und E-Mail
Kommt erst später
- Nachweise zu den Maßnahmen nach § 32 – Teil der Selbstdeklaration bis 30.09.2027
- Ergebnisse der Risikoanalyse – ebenfalls Selbstdeklaration
- Zertifikate oder Auditberichte – erst, wenn die Behörde sie verlangt (§ 33 Abs. 2)
Stand: September 2026. Die Eingabemasken im USP legt die Behörde fest; die Angaben selbst stehen im Gesetz.
Wo und wie registriert wird
Zuständig ist das Bundesamt für Cybersicherheit, die neue Cybersicherheitsbehörde, die direkt dem Innenministerium untersteht. Laut CERT.at und WKO läuft die Registrierung über das Unternehmensserviceportal (USP), das dafür mit 1. Oktober 2026 in Betrieb geht. Wer das USP bereits nutzt, sollte früh klären, wer im Unternehmen die nötigen Berechtigungen hat. Die genauen Eingabemasken kennt vor dem Start niemand – die Angaben selbst stehen im Gesetz und lassen sich heute vorbereiten.
Was nach der Registrierung kommt
Die Registrierung ist ein Anfang, kein Abschluss. Ändern sich Name, Kontaktdaten, Sektor, Mitgliedstaaten oder IP-Bereiche, melden Sie das nach § 29 Abs. 4 binnen zwei Wochen, bei Niederlassungen und Schwellenwerten binnen drei Monaten. Ab 1. Oktober 2026 gelten außerdem die Maßnahmen nach § 32 und die Meldepflichten, bis 30. September 2027 folgt die Selbstdeklaration. Wer die Registrierung nutzt, um Einstufung, Systemübersicht und Kontaktstelle ordentlich zu dokumentieren, hat die Grundlage für beides.
Häufige Fragen
Müssen sich auch Zulieferer registrieren, die nur Fragebögen bekommen?
Nein. Registrieren müssen sich nur Einrichtungen, die selbst unter das NISG 2026 fallen. Wer nur indirekt über Kunden betroffen ist, beantwortet deren Anforderungen, registriert sich aber nicht.
Was, wenn wir unsere Einstufung nicht sicher wissen?
Dann zuerst klären. Die Registrierung verlangt die Angabe, ob Sie wesentlich oder wichtig sind und welche Schwellenwerte Sie erreichen. Bei Grenzfällen – Mischtätigkeit, Konzernverflechtung – lohnt eine dokumentierte Begründung, auf die Sie später verweisen können.
Was passiert, wenn wir die Frist versäumen?
Die Verletzung der Registrierungspflicht ist nach § 45 Abs. 4 mit Geldstrafe bis 50.000 € bedroht, im Wiederholungsfall bis 100.000 €. Wer knapp dran ist, registriert mit dem, was feststeht, und meldet Änderungen fristgerecht nach.
Können Sie die Registrierung für uns übernehmen?
Die Angaben stammen aus Ihrem Unternehmen, die Eingabe erfolgt mit Ihren Berechtigungen. Wir dokumentieren die Einstufung, sammeln die Angaben und begleiten die Eingabe – das ist unser Registrierungs-Service ab 490 € netto.
Quellen
- NISG 2026, BGBl. I Nr. 94/2025 – Rechtsinformationssystem des Bundes (RIS) (öffnet in neuem Tab)
- CERT.at: Informationen zu NIS2 und NISG 2026 (öffnet in neuem Tab)
- WKO: FAQ zum NISG 2026 (öffnet in neuem Tab)
Stand: . Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.
Geschrieben von
Ing. Özgür Deli, MSc CMSE
Geschäftsführer & Gründer, WeDev-IT GmbH
Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.
Mehr über unsRegistrierung vorbereiten lassen
Einstufung dokumentieren, Angaben sammeln, Eingabe begleiten – der Registrierungs-Service ab 490 € netto.
Registrierung anfragenWeiterlesen
Bin ich von NIS2 betroffen? Das Prüfschema in sechs Schritten
Sektor, Größe, Konzern, Sonderfälle, Lieferkette – in dieser Reihenfolge prüfen und am Ende eine von vier Einstufungen haben.
NIS2-Selbstdeklaration bis 30. September 2027: Inhalt, Form, Vorbereitung
Was in die Selbstdeklaration nach § 33 gehört, warum sie mehr ist als ein Formular – und wie Sie das Jahr bis dahin nutzen.
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.