Bundesrecht konsolidiert

Kurztitel
Netz- und Informationssystemsicherheitsgesetz 2026
Kundmachungsorgan
BGBl. I Nr. 94/2025
Typ
BG
§/Artikel/Anlage
§ 29
Inkrafttretensdatum
01.10.2026
Abkürzung
NISG 2026
Index
41/01 Sicherheitsrecht
Text
2. Abschnitt
Pflichten
Register der Einrichtungen
§ 29. (1) Die Cybersicherheitsbehörde hat ein Register der wesentlichen und wichtigen Einrichtungen einschließlich der Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, zu führen, dieses in regelmäßigen Abständen, längstens jedoch alle zwei Jahre zu überprüfen und gegebenenfalls anzupassen.
(2) Die in Abs. 1 genannten Einrichtungen haben sich bei der Cybersicherheitsbehörde zu registrieren und dieser im elektronischen Weg folgende Angaben über einen sicheren Kommunikationskanal strukturiert zu übermitteln:
	1.	den Namen der Einrichtung;
	2.	die Anschrift und aktuelle Kontaktdaten sowie gegebenenfalls den gemäß § 28 Abs. 4 benannten Vertreter;
	3.	den Sektor oder die Sektoren, den Teilsektor oder die Teilsektoren und die Art oder Arten der Einrichtung gemäß Anlage 1 oder 2;
	4.	die Mitgliedstaaten der Europäischen Union, in denen sie Dienste erbringt;
	5.	gegebenenfalls die IP‑Adressbereiche der Einrichtung;
	6.	die Anschrift der Hauptniederlassung der Einrichtung und ihrer sonstigen Niederlassungen in der Europäischen Union oder, falls sie nicht in der Europäischen Union niedergelassen ist, die Anschrift ihres gemäß § 28 Abs. 4 benannten Vertreters;
	7.	Informationen zu den in § 25 angeführten Schwellenwerten und darüber, ob es sich um eine wesentliche oder wichtige Einrichtung handelt.
(3) Die Registrierung gemäß Abs. 2 hat innerhalb von drei Monaten ab Inkrafttreten dieses Bundesgesetzes zu erfolgen. Einrichtungen, die erst nach diesem Zeitpunkt als wesentliche oder wichtige Einrichtungen gelten oder erst nach diesem Zeitpunkt Domänennamen-Registrierungsdienste erbringen, haben sich ehestmöglich, in jedem Fall aber innerhalb von drei Monaten ab Erfüllung der jeweiligen Voraussetzungen, zu registrieren.
(4) Die in Abs. 1 genannten Einrichtungen haben der Cybersicherheitsbehörde Änderungen der Angaben
	1.	gemäß Abs. 2 Z 1 bis 5 ehestmöglich, in jedem Fall aber innerhalb von zwei Wochen ab dem Tag der Änderung, und
	2.	gemäß Abs. 2 Z 6 und 7 ehestmöglich, in jedem Fall aber innerhalb von drei Monaten ab dem Tag der Änderung,
mitzuteilen.
(5) Die zentrale Anlaufstelle hat die in Abs. 2 Z 1 bis 4 und 6 genannten Angaben von DNS‑Diensteanbietern, TLD‑Namenregistern, Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, Anbietern von Cloud-Computing-Diensten, Anbietern von Rechenzentrumsdiensten, Betreibern von Inhaltszustellnetzen, Anbietern von verwalteten Diensten, Anbietern von verwalteten Sicherheitsdiensten sowie Anbietern digitaler Dienste unverzüglich nach deren Erhalt an die ENISA weiterzuleiten.
(6) Die in Abs. 1 genannten Einrichtungen haben für den Empfang und Austausch von Cybersicherheitsinformationen mit der Cybersicherheitsbehörde eine Kontaktstelle bestehend aus zumindest einer Telefonnummer und E‑Mailadresse der Kontaktdaten gemäß Abs. 2 Z 2 vorzusehen.
Zuletzt aktualisiert am
30.12.2025
Gesetzesnummer
20013065
Dokumentnummer
NOR40273890

www.ris.bka.gv.at		Seite  von