Wesentliche und wichtige Einrichtungen müssen sich beginnend mit 1. Oktober 2026 bis spätestens 31. Dezember 2026 über das USP (Unternehmensserviceportal) registrieren. Einrichtungen, die erst nach dem 1. Oktober 2026 als wesentliche oder wichtige Einrichtungen gelten müssen sich ehestmöglich, jedenfalls innerhalb von drei Monaten ab Erfüllung der jeweiligen Voraussetzungen, registrieren. Spätere Änderungen der Angaben müssen der Behörde mitgeteilt werden.

Weitere Informationen zur Registrierung sollen von der Cybersicherheitsbehörde bereitgestellt werden.

Die Registrierung wird über ein bereitgestelltes elektronisches Formular, das über das USP (Unternehmensserviceportal) bzw. über den Portalverbund erreichbar ist, ermöglicht.

Anzugeben sind folgende Angaben nach § 29 Abs. 2 NISG 2026:

1. Namen der Einrichtung;
2. die Anschrift und aktuelle Kontaktdaten sowie gegebenenfalls den gemäß § 28 Abs. 4 benannten Vertreter;
3. den Sektor oder die Sektoren, den Teilsektor oder die Teilsektoren und die Art oder Arten der Einrichtung gemäß Anlage 1 oder 2;
4. die Mitgliedstaaten der Europäischen Union, in denen sie Dienste erbringt;
5. gegebenenfalls die IP-Adressbereiche der Einrichtung;
6. die Anschrift der Hauptniederlassung der Einrichtung und ihrer sonstigen Niederlassungen in der Europäischen Union oder, falls sie nicht in der Europäischen Union niedergelassen ist, die Anschrift ihres gemäß § 28 Abs 4 benannten Vertreters;
7. Informationen zu den in § 25 angeführten Schwellenwerten und darüber, ob es sich um eine wesentliche oder wichtige Einrichtung handelt.

Mit IP-Adressbereichen sind lediglich statische öffentliche IP-Adressbereiche gemeint, die bei der Registrierung um Domainnamen/URLs ergänzt werden können.

Es muss sich jeweils die Einrichtung, die die Art(en) der Einrichtung / Tätigkeit(en) im Konzern betreibt, registrieren. Eine Gesamtregistrierung als Konzern ist nicht vorgesehen – es können jedoch im USP jeweils dazu berechtigte Personen Registrierungen für mehrere Einrichtungen vornehmen.

Ja. Einrichtungen, die einen Bescheid nach dem RKE-Gesetz erhalten und somit als kritische Einrichtungen ermittelt wurden, gelten damit auch als wesentliche Einrichtungen nach dem NISG 2026 und müssen sich registrieren, falls eine Registrierung nach dem NISG 2026 nicht ohnehin bereits durchgeführt wurde.

Ja, wenn sie die Kriterien als wesentliche oder wichtige Einrichtungen nach dem NISG 2026 erfüllen (z. B. als Managed Service Provider ab mittlerer Größe).

Wesentliche und wichtige Einrichtungen müssen sich eigenständig ohne Aufforderung durch die Behörde beginnend mit 1. Oktober 2026 bis 31. Dezember 2026 sowie darüber hinaus fortlaufend registrieren. Die Nichteinhaltung der Registrierungspflicht kann Strafen bis zu EUR 50.000, im Wiederholungsfall bis zu EUR100.000 nach sich ziehen (vgl. § 45 Abs 4 NISG 2026).