Häufige Fragen
NIS2 und IT-Sicherheit: Antworten auf die häufigsten Fragen.
NIS2 betrifft mehr Unternehmen, als viele erwarten, und Ransomware trifft vor allem den Mittelstand. Hier finden Sie kurze, klare Antworten zu Betroffenheit, Pflichten, Fristen, Backup und Notfall.
Security-Check startenSeit 2019 · Aus Klagenfurt, österreichweit tätig · Antwort in 1 Werktag
Stand und Grenzen
Die EU-Richtlinie (EU) 2022/2555 ist seit Januar 2023 in Kraft. Die nationale Umsetzung in Österreich bestimmt die konkreten Schwellenwerte, Zuständigkeiten und Fristen. Die Antworten hier geben eine Orientierung und ersetzen keine Rechtsberatung.
Ein schneller Einstieg ist der NIS2-Selbsttest in fünf Fragen. Vertiefen können Sie mit NIS2 einfach erklärt.
Häufige Fragen
Bin ich von NIS2 betroffen?
Das hängt von Größe und Sektor ab. Grundregel: ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme in einem Sektor nach Anhang I oder II. Kleine Unternehmen sind grundsätzlich ausgenommen, mit Ausnahmen für besonders kritische Anbieter. Mittelbar spüren viele NIS2 über ihre Kunden in der Lieferkette.
Was ist der Unterschied zwischen wesentlicher und wichtiger Einrichtung?
Wesentliche Einrichtungen sind in der Regel große Unternehmen (ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz) in Anhang-I-Sektoren, mit strengerer Aufsicht. Wichtige Einrichtungen sind mittlere Unternehmen in Anhang-I-Sektoren sowie mittlere und große in Anhang-II-Sektoren, mit vor allem anlassbezogener Aufsicht.
Welche Pflichten bringt NIS2?
Verantwortung der Geschäftsleitung, Risikomanagement-Maßnahmen in zehn Bereichen (unter anderem Risikoanalyse, Vorfallbewältigung, Backup und Notfallwiederherstellung, Lieferkette, Schulungen, Zugriffskontrolle und Mehrfaktor-Anmeldung) sowie Registrierungs- und Meldepflichten.
Welche Meldefristen gelten?
Für erhebliche Sicherheitsvorfälle: Frühwarnung innerhalb von 24 Stunden, Vorfallsmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Bei personenbezogenen Daten gilt zusätzlich die DSGVO-Frist von 72 Stunden.
Welche Strafen drohen bei Verstößen?
NIS2 sieht spürbare Bußgelder vor: für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Die Geschäftsleitung kann persönlich haftbar werden. Die konkrete Ausgestaltung regelt das nationale Gesetz.
Wie lange dauert die Umsetzung?
Je nach Ausgangslage drei bis neun Monate. Wer früh beginnt, nutzt den Vorlauf. Ein guter Start ist eine Gap-Analyse, siehe NIS2-Beratung.
Was tun bei Ransomware?
Erst eindämmen: Geräte vom Netz trennen, aber eingeschaltet lassen, Backups isolieren, Notfallteam aktivieren. Danach bewerten und melden, dann sauber wiederherstellen. Die Schritte mit Checkliste stehen im Ransomware-Notfallplan.
Reicht ein Backup?
Nur, wenn es getestet ist und eine Kopie offline oder unveränderbar existiert. Ein Backup, das noch nie zurückgespielt wurde, ist eine Annahme. Siehe Backup und Notfall-Wiederanlauf.
Sind kleine Betriebe überhaupt ein Ziel?
Ja. Die meisten Angriffe sind automatisiert und suchen das leichteste Ziel, nicht das größte. Firmengröße schützt nicht.
Reicht Microsoft 365 Business Premium für NIS2?
Premium liefert viele technische Bausteine, aber NIS2 verlangt zusätzlich Prozesse, Meldewege und Governance. Die Technik allein genügt nicht.
Wo fange ich an?
Mit einem Security-Check: Er zeigt in kurzer Zeit, wo Ihre größten Risiken liegen, und liefert einen klaren Plan, was zuerst zu tun ist.
Wo stehen Sie bei der Sicherheit?
Der Security-Check zeigt in kurzer Zeit, wo Ihre größten Risiken liegen, mit einem klaren Plan, was zuerst zu tun ist.
Security-Check startenSicherheit ist ein Zusammenspiel mehrerer Ebenen.