Lektion 1.2 · 7 Min.

Die 18 Sektoren

Im Kurs öffnenmit vorgelesenen Folien, Checkliste zum Abhaken und Quiz

Auf einen Blick

Elf Sektoren mit hoher Kritikalität. Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienste für Unternehmen, öffentliche Verwaltung und Weltraum.
Sieben sonstige kritische Sektoren. Post und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste und Forschung.
Das verarbeitende Gewerbe. Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und sonstiger Fahrzeugbau, bestimmt über die NACE-Abteilungen 26 bis 30.
IT-Dienstleister sind selbst ein Sektor. Wer für andere IT installiert, verwaltet, betreibt oder wartet, ist Managed Service Provider. Auch die IT-Gesellschaft im eigenen Konzern.
Auch eine Nebentätigkeit zählt. Nur bei Energie, Trinkwasser, Abwasser und Abfall kommt es auf die Haupttätigkeit an. Sonst kann auch ein kleiner Geschäftszweig das ganze Unternehmen erfassen.

Im Detail

Zwei Anlagen, 18 Sektoren

Ob ein Unternehmen erfasst sein kann, hängt zuerst davon ab, ob es eine Einrichtung der in den Anlagen 1 oder 2 genannten Art ist § 24 Abs. 1 und 2 NISG 2026. Die Anlagen nennen je Sektor die Arten von Einrichtungen, meist mit Verweis auf ein anderes Gesetz.

Anlage 1: hohe Kritikalität	Beispiele für Arten von Einrichtungen
1. Energie	Strom (Versorger, Netzbetreiber, Erzeuger mit Haupttätigkeit, Betreiber von Ladepunkten), Fernwärme und -kälte, Erdöl, Erdgas, Wasserstoff
2. Verkehr	Luftfahrt, Schiene, Schifffahrt, Straße (Verkehrssteuerung, intelligente Verkehrssysteme)
3. Bankwesen	Kreditinstitute
4. Finanzmarktinfrastrukturen	Handelsplätze, zentrale Gegenparteien
5. Gesundheitswesen	Gesundheitsdienstleister, EU-Referenzlabors, Arzneimittelforschung, Pharmaherstellung (NACE 21), kritische Medizinprodukte
6. Trinkwasser	Versorger mit Wasser für den menschlichen Gebrauch
7. Abwasser	Sammeln, Entsorgen, Behandeln als wesentlicher Teil der Tätigkeit
8. Digitale Infrastruktur	Internetknoten, DNS, TLD-Register, Cloud, Rechenzentren, Content Delivery, Vertrauensdienste, öffentliche Kommunikationsnetze und -dienste
9. Verwaltung von IKT-Diensten (B2B)	Managed Service Provider, Managed Security Service Provider
10. Öffentliche Verwaltung	Einrichtungen auf Bundes- und Landesebene
11. Weltraum	Betreiber von Bodeninfrastruktur

Anlage 2: sonstige kritische Sektoren	Beispiele für Arten von Einrichtungen
1. Post und Kurierdienste	Postdiensteanbieter, Kurierdienste
2. Abfallbewirtschaftung	mit Abfallbewirtschaftung als Haupttätigkeit
3. Chemie	Herstellung und Großhandel von Stoffen nach REACH, Erzeugnisse daraus, NACE 20
4. Lebensmittel	Lebensmittelunternehmen im Großhandel und in der industriellen Produktion und Verarbeitung
5. Verarbeitendes Gewerbe	Medizinprodukte und In-vitro-Diagnostika; NACE 26 Elektronik und Optik, 27 elektrische Ausrüstungen, 28 Maschinenbau, 29 Kraftwagen und Teile, 30 sonstiger Fahrzeugbau
6. Digitale Dienste	Online-Marktplätze, Suchmaschinen, soziale Netzwerke
7. Forschung	angewandte Forschung oder experimentelle Entwicklung für kommerzielle Zwecke, ohne Bildungseinrichtungen

Die Tabellen fassen zusammen; maßgeblich ist der Wortlaut der Anlagen (Anlagen 1 und 2 NISG 2026). Beim Chemie- und beim verarbeitenden Sektor entscheidet der NACE-Code der Tätigkeit; Ihre ÖNACE-Einstufung finden Sie in der Klassifikationsmitteilung der Statistik Austria (Bundesamt für Cybersicherheit, FAQ).

Haupt- oder Nebentätigkeit

Grundsätzlich macht es keinen Unterschied, ob die Tätigkeit Haupt- oder Nebentätigkeit ist. Nur in einzelnen Sektoren stellen die Anlagen auf die Haupttätigkeit ab: Energie, Trinkwasser, Abwasser und Abfallbewirtschaftung. Anders als in Deutschland gibt es keine Ausnahme für „vernachlässigbare“ Tätigkeiten; auch ein kleiner Geschäftszweig kann die ganze juristische Person erfassen (Bundesamt für Cybersicherheit, FAQ).

Fragen, die oft kommen

IT-Dienstleister: „Anbieter verwalteter Dienste“ ist, wer Dienste rund um Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastruktur oder Anwendungen erbringt, beim Kunden oder aus der Ferne § 3 Z 23 NISG 2026. Ausgenommen sind nur Dienste, die die Einrichtung ausschließlich selbst betreibt und nutzt (Anlage 1 Nr. 9). Ein Konzernprivileg gibt es nicht: Eine IT-Gesellschaft, die mit administrativem Zugriff für andere Konzerngesellschaften arbeitet, ist Managed Service Provider. Wer nur Hardware verkauft und das Betriebssystem einmal aufspielt, ist es üblicherweise nicht (FAQ).
Lebensmittel: erfasst ist nur, wer im Großhandel und in der industriellen Produktion und Verarbeitung tätig ist; das Bundesamt liest das kumulativ (FAQ).
Photovoltaik und Ladestationen: Wer Strom vor allem für sich selbst erzeugt und den Überschuss einspeist, ist kein Erzeuger im Sinne der Anlage. Ladepunkte auf dem Firmenparkplatz nur für Beschäftigte sind nicht öffentlich zugänglich (FAQ).
Gesundheit: Gesundheitsdienstleister sind erfasst, Pflegeheime nicht; bei stationären Einrichtungen kommt es darauf an, ob Pflege oder ärztliche Betreuung überwiegt (FAQ).
Software als Dienst: Ein eigenständig angebotenes SaaS-Produkt kann ein Cloud-Computing-Dienst sein, auch wenn es auf der Infrastruktur eines anderen Anbieters läuft (FAQ).

Liegt Ihr Unternehmen in einem dieser Sektoren, ist der nächste Schritt die Größe: Lektion 1.3.

Checkliste

Wir haben alle Tätigkeiten unserer juristischen Person aufgelistet, auch die Nebengeschäfte.
Wir haben jede Tätigkeit mit den Anlagen 1 und 2 verglichen.
Wir kennen unseren ÖNACE-Code und haben ihn mit den Abteilungen 20 und 26 bis 30 verglichen.
Wir haben geprüft, ob wir für andere, auch im Konzern, IT verwalten oder betreiben.
Wir haben festgehalten, welche Art von Einrichtung wir wären, oder warum keine.

Quiz

Ein Maschinenbauer betreibt nebenbei für zwei Schwesterfirmen im Konzern deren Server, mit Administratorzugriff. Was gilt?

Nur die Schwesterfirmen müssen sich registrieren
Nichts: konzernintern ist ausgenommen
Nur der Maschinenbau zählt, weil er die Haupttätigkeit ist
Er kann zusätzlich als Managed Service Provider (Anlage 1) erfasst sein

Auflösung anzeigen

Richtig ist D: Er kann zusätzlich als Managed Service Provider (Anlage 1) erfasst sein. Ein Konzernprivileg gibt es nicht, und außer bei Energie, Wasser, Abwasser und Abfall zählt auch eine Nebentätigkeit (Bundesamt für Cybersicherheit, FAQ; Anlage 1 Nr. 9 NISG 2026).

Quellen

Die Aussagen dieser Lektion stützen sich auf:

Keine Rechtsberatung. Maßgeblich sind das NISG 2026 und die NISV 2026 im Rechtsinformationssystem des Bundes und die Durchführungsverordnung (EU) 2024/2690 (gelesen am 6. Oktober 2026). Nicht behandelt sind die besonderen Regeln für Banken und Finanzunternehmen (DORA), für kritische Einrichtungen nach dem RKE-Gesetz, für Domänennamen-Registrierungsdienste und für die öffentliche Verwaltung. Kein Angebot des Bundesamts für Cybersicherheit, eines CERT oder der Wirtschaftskammer.