Das NISG verweist bei der Größenberechnung (Anzahl der Mitarbeiter, des Jahresumsatzes und der Jahresbilanzsumme) auf die Empfehlung 2003/361/EG der Kommission betreffend die Definition der KMU  , wonach die Daten von Partner- oder verbundenen Unternehmen entsprechend zu berücksichtigen sind (in Sonderfällen Abweichungen).

• Eigenständiges Unternehmen (< 25% Beteiligung): Eigene Anzahl der Mitarbeiter, Jahresumsatzes und Jahresbilanzsumme werden voll gezählt, nichts hinzugerechnet
• Partnerunternehmen (25-50% Beteiligung): Anzahl der Mitarbeiter, Jahresumsatz und Jahresbilanzsumme der Partnerunternehmen werden anteilsmäßig (grundsätzlich gemäß Höhe % Beteiligung) hinzugerechnet
• verbundenes Unternehmen (> 50% Beteiligung oder sonstige Konstellationen, die beherrschenden Einfluss bewirken (z. B. Syndikatsverträge, …) Anzahl der Mitarbeiter, Jahresumsatz und Jahresbilanzsumme verbundener Unternehmen werden voll hinzugerechnet

Beteiligungen gelten jeweils in beide Richtungen unabhängig davon ob das jeweilige Unternehmen Anteile an anderem Unternehmen hält oder ob das andere Unternehmen Anteile an jeweiligem Unternehmen hält.

Einziges „Konzernprivileg“:

Die Daten verbundener und Partnerunternehmen sind dann nicht hinzuzurechnen, wenn die Einrichtung in Bezug auf die Netz- und Informationssysteme, die sie bei der Erbringung ihrer Dienste nutzt, sowie unter Berücksichtigung der Beschaffenheit, des Betriebs und der Sicherheit ihrer Netz- und Informationssysteme organisatorisch, technisch und operativ unabhängig von ihren Partner- oder verbundenen Unternehmen ist (§ 24 Abs. 4 NISG 2026).

Erklärungen und detaillierte Fallbeispiele finden Sie im Benutzerleitfaden zur Definition von KMU - Publications Office of the EU  .

Ja, auch verbundene und Partnerunternehmen, die nicht in Österreich oder der EU tätig sind, werden bei der Berechnung der Size-Cap-Kennzahlen einbezogen, vgl. die in § 25 NISG 2026 referenzierte Empfehlung der Kommission 2003/361/EG vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (Abl. L 124 vom 20. Mai 2003, S 36).

Ein Konzernprivileg ist im NISG 2026 nicht vorgesehen, weder im Zusammenhang mit „Anbieter verwalteter Dienste“ (Managed Service Provider; siehe auch Frage zu Managed Service Provider bei „Sektoren“) oder anderen Arten der Einrichtungen.

Einrichtungen, die die Voraussetzungen erfüllen, unterliegen dem NISG 2026. Dies gilt auch, wenn z. B. ein Managed Service Provider seine Dienste ausschließlich im Rahmen des Konzerns erbringt.

Ausnahmen bestehen nur dort, wo dies ausdrücklich in der Anlage 1 NISG 2026 vorsehen ist:

• „Rechenzentrumsdienste“, mit Ausnahme von Rechenzentrumsdiensten, die ausschließlich von der betroffenen Einrichtung betrieben und genutzt werden.
• Anbieter verwalteter Dienste bzw. Anbieter verwalteter Sicherheitsdienste: ausgenommen jener Fälle, in denen diese Dienste ausschließlich von der betroffenen Einrichtung betrieben und genutzt werden.

Unter Einrichtung ist die jeweilige juristische Person zu verstehen. Die Ausnahme gilt daher nicht, wenn die Dienste im Konzern bei einer oder mehreren anderen juristischen Personen erbracht werden.

Ein konzerninterner Managed Service Provider fällt demnach (ab mittlerer Unternehmensgröße, die bei Zurechnung durch verbundene und Partnerunternehmen oft erreicht wird) unter das NISG 2026.

Bei verbundenen Unternehmen (Beteiligung von mehr als 50 %) sind die relevanten Kennzahlen (z. B. Mitarbeiterzahl, Umsatz, Bilanzsumme) im Regelfall gegenseitig zu 100 % zuzurechnen (siehe dazu auch Frage „bzw. Beteiligungen aus?"" href="/faq/konzern.aspx#faq1">Wie sieht die Zurechnung im Konzern bzw. Beteiligungen aus?“).

Für die Tochtergesellschaft:

• Ist die Tochter in einem relevanten Sektor (Anlage I oder II NISG 2026) tätig, sind bei der Größenberechnung

die Kennzahlen der Mutter und anderer verbundener Unternehmen vollständig (100 %) hinzuzurechnen.

Für die Muttergesellschaft:

• Gleiches Prinzip umgekehrt: Besteht eine Verbindung zur Tochter (> 50 % Beteiligung) sind die Kennzahlen der Tochter ebenfalls zu 100 % zu berücksichtigen.

Wenn eine Einrichtung (juristische Person) in keinen Sektor fällt, ist sie unabhängig von der Größe nicht im Anwendungsbereich des NISG 2026 (vorbehaltlich den geltenden Ausnahmen aufgrund größenunabhängiger Einstufung).

Es ist daher möglich, dass nur einzelne Gesellschaften eines Konzerns unter das NISG 2026 fallen. Die Verpflichtungen des NISG 2026 gelten demnach auch nur für diese betroffenen Gesellschaften. Denkbar ist, dass andere Gesellschaften im Konzern entsprechend der Lieferkettensicherheit als Diensteanbieter der betroffenen Unternehmen entsprechend berücksichtigt und vertraglich zu Mindeststandards zu verpflichten sind.

Bei der Größenberechnung für die Einrichtung in Österreich sind die Daten (Mitarbeiterzahl, Jahresumsatz, Jahresbilanz) verbundener und Partnerunternehmen unabhängig von deren Standort zu berücksichtigen.