Grundsätzlich macht es keinen Unterschied, ob die Tätigkeit als Haupt- oder Nebentätigkeit ausgeübt wird. Es gibt jedoch im Anwendungsbereich in den Anlagen 1 und 2 einzelne ausdrücklich genannte Sektoren, bei denen auf eine Schwerpunkt- oder Haupttätigkeit abgestellt wird (Sektor Energie, Trinkwasser, Abwasser, Abfallwirtschaft). Bei Sektoren, bei denen dies nicht ausdrücklich genannt ist, sind somit auch untergeordnete Tätigkeiten als Nebentätigkeiten erfasst und können dazu führen, dass die gesamte Einrichtung (juristische Person) unter das NISG 2026 fällt.

Nein, eine derartige Ausnahme kennt das österreichische NISG 2026 entsprechend der NIS-2-Richtlinie nicht. Auch „vernachlässigbare“ Tätigkeiten können zur Einstufung der Einrichtung als wesentliche oder wichtige Einrichtung führen.

Mit einer Photovoltaikanlage ausgestattete Unternehmen, die überschüssige elektrische Energie in das öffentliche Netz gegen Entgelt einspeisen (sogenannte „Überschusseinspeiser“), fallen grundsätzlich nicht unter das NISG 2026, sofern diese elektrische Energie primär für den Eigenbedarf und somit ohne Gewinnerzielungsabsicht erzeugen. Der spätere Verkauf der überschüssigen Energie gegen Entgelt ändert daran nichts (Siehe ErlRV NISG 2026  , 51f).

„Betreiber eines Ladepunkts“ bezeichnet die für die Verwaltung und den Betrieb eines Ladepunkts zuständige Stelle, die Endnutzern einen Aufladedienst erbringt, auch im Namen und Auftrag eines Mobilitätsdienstleisters; (Art. 2 Z 39 der VO EU 2023/1804 über den Aufbau der Infrastruktur für alternative Kraftstoffe und zur Aufhebung der Richtlinie 2014/94/EU, auf die Anlage 1 Z. 1 lit a NISG 2026 verweist).

„Aufladedienst“ bezeichnet den Verkauf oder die Bereitstellung von Strom, einschließlich damit zusammenhängender Dienstleistungen, über einen öffentlich zugänglichen Ladepunkt (Art. 2 Z 53 VO EU 2023/1804).

„öffentlich zugängliche Infrastruktur für alternative Kraftstoffe“ bezeichnet eine Infrastruktur für alternative Kraftstoffe, die sich an einem Standort oder in Räumlichkeiten befindet, die der Allgemeinheit zugänglich sind, unabhängig davon, ob sich die Infrastruktur für alternative Kraftstoffe auf öffentlichem oder privatem Grund befindet, ob der Zugang zu dem Standort oder den Räumlichkeiten Beschränkungen oder Bedingungen unterliegt und ungeachtet der für die Nutzung der Infrastruktur für alternative Kraftstoffe geltenden Bedingungen (Art. 2 Z 45 VO EU 2023/1804).

Ladepunkte oder Zapfstellen auf privatem Grund, zu denen nur ein begrenzter, bestimmter Personenkreis Zugang hat, beispielsweise Parkplätze von Bürogebäuden, zu denen nur Beschäftigte oder befugte Personen Zugang haben, sollten nicht als öffentlich zugängliche Ladepunkte oder Zapfstellen betrachtet werden.
(Erwägungsgrund 11 VO EU 2023/1804).

Das NISG 2026 definiert im Sektor Verwaltung von IKT-Diensten (Business-to-Business) den „Anbieter verwalteter Dienste“ (Managed Service Provider) als eine Einrichtung, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder jeglicher anderer Netz- und Informationssysteme durch Unterstützung oder aktive Verwaltung erbringt, dies entweder in den Räumlichkeiten der Kunden oder aus der Ferne; (Anlage 1 Z 9 iZm § 3 Z. 23 NISG 2026).

Der Begriff ist daher sehr weit gefasst, impliziert aber insbesondere aktive, dauerhaft vereinbarte Tätigkeiten bei der Erbringung des Dienstes als Managed Service Provider.

Bei der Definition von Managed Service Providern bietet das deutsche BSI einen Anhaltspunkt: Ein Anbieter hat tatsächlich Leistungen im Zusammenhang mit Installation, Verwaltung, Betrieb oder Wartung von IKT-Systemen zu erbringen und dafür einen entsprechenden tatsächlichen Zugriff bzw. eine aktive technische Rolle innezuhaben. Die rein geschäftliche Verantwortung ohne operative Leistung ist dafür nicht ausreichend (vgl. dazu die Ausführungen des deutschen BSI  ).

Auf Grundlage des NISG ist für Fragestellungen maßgeblich, ob die betreffende Gesellschaft die tatbestandlichen Voraussetzungen eines Managed Service Providers (MSP) erfüllt.

„Anbieter verwalteter Dienste“ (Managed Service Provider) ist eine Einrichtung, die Dienste im Zusammenhang mit der Installation, der Verwaltung, dem Betrieb oder der Wartung von IKT-Produkten, Netzen, Infrastruktur, Anwendungen oder jeglicher anderer Netz- und Informationssysteme durch Unterstützung oder aktive Verwaltung erbringt, dies entweder in den Räumlichkeiten der Kunden oder aus der Ferne; Dies setzt einen gewissen Grad an tatsächlichem Zugriff auf die betreffenden IKT-Produkte, -Netzwerke oder -Infrastrukturen voraus.

Auch Unternehmen, die ausschließlich den zentralen IT-Betrieb eines Unternehmensverbundes übernehmen, fallen in der Regel unter den Begriff des MSP.

Insofern erfüllt eine Gesellschaft, die ein Kundenportal gegenüber Kundinnen und Kunden zwar geschäftlich anbietet, den technischen Betrieb jedoch vollständig durch ein anderes Konzernunternehmen oder einen sonstigen Dritten erbringen lässt, selbst keine MSP-Eigenschaft. Entscheidend ist, dass sie weder Installations-, Verwaltungs-, Betriebs- noch Wartungsleistungen an den zugrunde liegenden IKT-Systemen erbringt und keinen tatsächlichen Zugriff auf diese Systeme hat. Die geschäftliche Verantwortung für den Dienst allein genügt damit nicht für eine Einstufung als MSP. Die MSP-Relevanz kann sich in dieser Konstellation vielmehr für das Unternehmen ergeben, das den technischen Betrieb tatsächlich durchführt, da zu vermuten ist, dass dieses die im Gesetz angeführten Merkmale eines MSP erfüllt. (Anmerkung: Die Ausführungen orientieren sich an den Ausführungen des deutschen BSI  , Frage 17).

Eine Gesellschaft, die gegenüber Mitarbeitenden von Konzernunternehmen oder Kundinnen und Kunden lediglich IT-Anwendersupport erbringt, ohne über Problemlösungskompetenz oder technischen Zugriff auf Anwendungs- oder Systemebene zu verfügen, ist nicht als MSP einzuordnen ist. Ein solcher Support, im Sinne der Fragestellung, umfasst vermutlich weder technische Verwaltungs- noch Wartungs- oder Betriebsleistungen an IKT-Systemen im Sinne der gesetzlichen Definition. An dieser Stelle besteht ebenfalls die Vermutung, dass es an dem erforderlichen tatsächlichen Zugriff auf relevante technische Systeme fehlen dürfte. (Anmerkung: Die Ausführungen orientieren sich an den Ausführungen des deutschen BSI  , Frage 17).

Ein konzerninterner IT-Dienstleister ist immer dann als MSP einzuordnen, wenn er mit administrativem Zugriff operative Leistungen an Netz- und Informationssystemen anderer Konzerngesellschaften erbringt. Weder die Beschränkung auf konzerninterne Leistungen noch die Frage, ob konkret kritische Anwendungen betroffen sind, stehen der MSP-Eigenschaft entgegen. (Anmerkung: Die Ausführungen orientieren sich an den Ausführungen des deutschen BSI  , Frage 17).

Der reine Verkauf von Hardware sowie die einmalige Einrichtung eines Betriebssystems (z. B. Installation, Basiskonfiguration) gilt üblicherweise nicht als „Verwaltung von IKT-Diensten“ im Sinne des NISG 2026.

Sobald die Einrichtung über den Verkauf hinaus weitere IT-Dienstleistungen anbietet, kann eine Einstufung als Managed Service Provider im Sinne des NISG 2026 in Betracht kommen. Eine genaue Prüfung sollte dann anhand der konkreten Leistungsbeschreibung erfolgen.

Ja, soweit ein SaaS-Angebot funktional eigenständig bereitgestellt wird und auf Abruf einen skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen mit Fernzugang ermöglicht, fällt es grundsätzlich unter den Begriff des Cloud-Computing-Dienstes.

Dies gilt auch wenn der Anbieter die zugrunde liegenden Rechenressourcen nicht selbst physisch betreibt, sondern diese von einem externen Cloud-Provider bezieht, da das Gesetz keine Betreiberidentität voraussetzt (vgl. BSI - Allgemeine FAQ zu NIS-2  ).

Ein konzerninterner IT-Dienstleister ist als MSP einzuordnen, wenn er mit administrativem Zugriff operative Leistungen an Netz- und Informationssystemen anderer Konzerngesellschaften erbringt. Die Beschränkung auf konzerninterne Leistungen stehen der MSP-Eigenschaft nicht entgegen, es gibt hier kein „Konzernprivileg“.

Das NISG 2026 definiert „DNS-(Domainnamensystem-)Diensteanbieter“ als eine Einrichtung, die

1. für Internet-Endnutzer öffentlich verfügbare rekursive Dienste zur Auflösung von Domänennamen anbietet, oder
2. autoritative Dienste zur Auflösung von Domänennamen zur Nutzung durch Dritte, mit Ausnahme von Root-Namenservern, anbietet;

Der Begriff „DNS-Diensteanbieter“ bezeichnet Einrichtungen, die öffentlich zugängliche rekursive Dienste zur Auflösung von Domänennamen für Internet-Endnutzer oder autoritative Dienste zur Auflösung von Domänennamen erbringen. Unter Dritte gemäß lit b sind insbesondere Domaininhaber zu verstehen. „Domainnamensystem“ oder „DNS“ bezeichnet ein verteiltes hierarchisches Verzeichnissystem, das die Identifizierung von Diensten und Ressourcen im Internet ermöglicht und es Endnutzergeräten erlaubt, Internet-Routing- und Konnektivitätsdienste zu nutzen, um diese Dienste und Ressourcen zu erreichen (siehe ErlRV NISG 2026  , 6).

Ja, DNS-Diensteanbieter gelten größenunabhängig als wesentliche Einrichtungen (§ 24 Abs 1 lit c NISG 2026) und unterliegen daher der Registrierungspflicht.

Es gibt Vorschläge der Europäischen Kommission die NIS-2-Richtlinie dahingehend zu ändern, dass Klein- und Kleinst-DNS-Diensteanbieter in Zukunft nicht mehr in den Anwendungsbereich fallen sollen (Art 1 Abs 1 lit. c (i) Proposal for the Cybersecurity Act 2  ). Die Vorschläge müssen allerdings zuerst auf EU-Ebene beschlossen und danach im österreichischen NISG 2026 aufgenommen werden. Es kann daher derzeit nicht abgeschätzt werden, ob und wann diese Änderungen erfolgen.

Das NISG 2026 definiert Cloud-Computing-Dienste als Anbieten von Diensten, die auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind (Anlage 1 Z 8 NISG 2026).

Grundsätzlich ist die DORA-Verordnung als „lex specialis“ zur NIS-2-Richtlinie bzw. dem NISG 2026 hinsichtlich Risikomanagementmaßnahmen und Meldepflichten zu betrachten. Mangels einer weiteren Klarstellung zur Registrierung im NISG 2026 und da der Gesetzgeber keine explizite Ausnahme von der Pflicht zur Registrierung für Finanzunternehmen vorgesehen hat, haben sich sämtliche Einrichtungen, die die Kriterien des Anwendungsbereichs des NISG 2026 erfüllen (somit auch Finanzunternehmen und IKT-Drittdienstleister nach DORA) zu registrieren.

Lebensmittelunternehmen sind dann im Anwendungsbereich, wenn sie im Großhandel UND in der industriellen Produktion und Verarbeitung tätig sind (und mindestens mittlere Unternehmensgröße haben).

Nur wenn eine Einrichtung im Großhandel und in der industriellen Produktion und Verarbeitung tätig ist (kumulativ), erfüllt sie die Voraussetzung. Der Großhandel ist in Abgrenzung zum Einzelhandel zu verstehen. Die industrielle Produktion und Verarbeitung ist in Abgrenzung zur gewerblichen Produktion vom Grad der Automatisierung und der maschinellen Durchdringung abhängig.

Je nachdem, ob der Abnehmer der Waren an gewerbliche oder nicht gewerbliche Kunden verkauft, wird zwischen Groß- und Einzelhandel unterschieden: Großhandel liegt vor, wenn Marktteilnehmer Waren von Herstellern oder anderen Lieferanten beschaffen und an Wiederverkäufer, Weiterverarbeiter, gewerbliche Verwender oder sonstige Institutionen absetzen. Hingegen liegt Einzelhandel dann vor, wenn Handelsunternehmen die Waren verschiedener Hersteller beschaffen, diese zu einem Sortiment zusammenfügen und an nicht gewerbliche Kunden (Verbraucher bzw. Letztverwender) verkaufen (siehe ErläutRV zu Anlage 2 NISG 2026  , S 53).

Dienstleistungen der Langzeitpflege und damit einhergehend Einrichtungen der Pflege und Pflegeanstalten sind nicht vom Anwendungsbereich umfasst.

Für die Abgrenzung zwischen Pflege in einem Pflegeheim und Pflege in einer Krankenanstalt ist darauf abzustellen, ob die Betroffenen eine ständige Pflege, oder aber bloß fallweise einer ärztlichen Betreuung bedürfen. Überwiegt der Pflegeaspekt, liegt ein Pflegeheim vor, überwiegt der Bedarf an ärztlicher Betreuung, eine Krankenanstalt. Je nach Ausgestaltung der erbrachten Dienstleistungen in einer stationären Einrichtung können diese Einrichtungen in den Anwendungsbereich fallen (siehe ErlRV NISG 2026  , 52).

Bei einzelnen Einrichtungsarten beispielsweise in den Sektoren verarbeitendes Gewerbe und Herstellung und Handel mit chemischen Stoffen werden die NACE-Codes verwendet, um die Einrichtungsarten zu konkretisieren, bei denen Betroffenheit besteht.

Unter das NISG 2026 fallen Einrichtungen in diesen Fällen dann, wenn sie die Größenschwelle (ab mittleres Unternehmen) erreichen und eine Tätigkeit im Sinne des jeweils genannten NACE-Codes ausüben.

Infos zum NACE-Code und wie Sie Ihre Klassifikationsmitteilung einsehen können finden Sie unter ÖNACE - Klassifikation der Wirtschaftstätigkeiten  .

Gemeinden (somit auch Städte) und Gemeindeverbände sind im Sektor öffentliche Verwaltung ausdrücklich ausgenommen (§ 24 Abs 3 NISG 2026) aber nicht pauschal vom Anwendungsbereich ausgeschlossen. Sie sind betroffen, wenn sie in einem der anderen Sektoren der Anlage 1 bzw. 2 tätig sind (z. B. Trinkwasser, Abwasser, Abfallwirtschaft, Energie, Verkehr, digitale Infrastruktur) und die Größenkriterien für mittlere oder große Unternehmen erfüllt sind.