NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie weitet die Pflichten für Cybersicherheit auf deutlich mehr Unternehmen aus – auch auf viele mittelständische Betriebe, die bisher gar nichts mit „kritischer Infrastruktur“ zu tun hatten. Dieser Beitrag beantwortet die vier Fragen, die uns Kundinnen und Kunden am häufigsten stellen: Bin ich betroffen? Was muss ich tun? Bis wann? Und was passiert, wenn nicht?
Stand: August 2026. Die EU-Richtlinie (EU) 2022/2555 ist seit Januar 2023 in Kraft, die nationale Umsetzung in Österreich (Netz- und Informationssystemsicherheitsgesetz) durchläuft das Gesetzgebungsverfahren. Konkrete Schwellenwerte, Behördenzuständigkeiten und Fristen können sich mit dem finalen Gesetzestext ändern. Dieser Beitrag ist eine Orientierung, keine Rechtsberatung – die verbindliche Einstufung Ihres Unternehmens sollten Sie rechtlich prüfen lassen.
Bin ich von NIS2 betroffen?
Ob NIS2 für Ihr Unternehmen gilt, hängt von zwei Dingen ab: von Ihrer Branche und von Ihrer Unternehmensgröße.
1. Die Größe
Grundregel: NIS2 betrifft Unternehmen ab 50 Beschäftigten oder ab 10 Mio. Euro Jahresumsatz und Bilanzsumme. Kleinstunternehmen und kleine Unternehmen unterhalb dieser Schwellen sind grundsätzlich ausgenommen – mit Ausnahmen für besonders kritische Anbieter (z. B. DNS-Dienste, TLD-Registries, qualifizierte Vertrauensdiensteanbieter, Teile der öffentlichen Verwaltung), die unabhängig von der Größe erfasst sind.
2. Die Branche
NIS2 unterscheidet zwei Gruppen von Sektoren:
| Sektoren mit hoher Kritikalität (Anhang I) | Sonstige kritische Sektoren (Anhang II) |
|---|---|
| Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung, Weltraum | Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel (Produktion/Verarbeitung/Vertrieb), verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung |
Aus Größe und Sektor ergibt sich die Einstufung:
- Wesentliche Einrichtung – in der Regel große Unternehmen (ab 250 Beschäftigte oder ab 50 Mio. Euro Umsatz) in einem Anhang-I-Sektor. Strengere Aufsicht, auch proaktive Kontrollen.
- Wichtige Einrichtung – mittlere Unternehmen in Anhang-I-Sektoren sowie mittlere und große Unternehmen in Anhang-II-Sektoren. Aufsicht vor allem anlassbezogen (nach Vorfällen oder Hinweisen).
Der oft übersehene Punkt – die Lieferkette: Auch wenn Sie selbst nicht direkt unter NIS2 fallen, werden betroffene Kunden von Ihnen vertragliche Sicherheitsnachweise verlangen, weil sie ihre eigene Lieferkette absichern müssen. Viele mittelständische Zulieferer und IT-Dienstleister spüren NIS2 zuerst auf diesem Weg.
Welche Pflichten bringt NIS2?
Verantwortung der Geschäftsleitung
NIS2 macht Cybersicherheit ausdrücklich zur Chefsache. Die Leitungsorgane müssen die Risikomanagementmaßnahmen genehmigen und ihre Umsetzung überwachen, an Schulungen teilnehmen und können für Versäumnisse persönlich in die Haftung genommen werden. Das ist neu und der Grund, warum NIS2 nicht in der IT-Abteilung „geparkt“ werden kann.
Risikomanagement-Maßnahmen (Mindestumfang)
Gefordert ist ein Maßnahmenpaket nach dem Stand der Technik, das mindestens abdeckt:
- Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
- Bewältigung von Sicherheitsvorfällen (Erkennung, Reaktion, Wiederherstellung)
- Business Continuity: Backup-Management, Notfallwiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette – auch gegenüber Dienstleistern und Software-Anbietern
- Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen (inkl. Schwachstellenmanagement)
- Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
- Grundlegende Cyberhygiene und regelmäßige Schulungen
- Konzepte für Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung von Werten (Asset-Management)
- Multi-Faktor-Authentifizierung, gesicherte Sprach-/Video-/Textkommunikation, gesicherte Notfallkommunikation
Melde- und Registrierungspflichten
Betroffene Einrichtungen müssen sich bei der zuständigen Stelle registrieren und erhebliche Sicherheitsvorfälle in mehreren Stufen melden:
| Frist | Meldung |
|---|---|
| innerhalb 24 Stunden | Frühwarnung (erste Einordnung, mögliche Ursache) |
| innerhalb 72 Stunden | Vorfallsmeldung mit erster Bewertung und Indikatoren |
| auf Ersuchen / laufend | Zwischenbericht zum Status |
| innerhalb 1 Monat | Abschlussbericht (Ursache, Maßnahmen, Auswirkungen) |
Der Ablauf gilt für Vorfälle mit erheblichen Auswirkungen auf die Betriebsfähigkeit – also nicht für jede geblockte Phishing-Mail, aber für ernste Störungen, Datenabflüsse und Ransomware.
Bis wann muss NIS2 umgesetzt sein?
Die EU-weite Umsetzungsfrist für die Mitgliedstaaten war der 17. Oktober 2024. Österreich hat – wie mehrere andere Länder – das nationale Gesetz danach fertiggestellt. Für Unternehmen heißt das: Die Pflichten gelten, sobald das nationale Gesetz in Kraft ist; eine lange Übergangsfrist ist nicht vorgesehen. Wer jetzt beginnt, hat den nötigen Vorlauf – ein realistischer Umsetzungspfad dauert je nach Ausgangslage drei bis neun Monate.
Welche Strafen drohen?
NIS2 sieht spürbare Bußgelder vor:
- Wesentliche Einrichtungen: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
- Wichtige Einrichtungen: bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.
Hinzu kommen aufsichtsrechtliche Anordnungen bis hin zur vorübergehenden Untersagung von Tätigkeiten und die persönliche Verantwortlichkeit der Leitungsebene.
Die ersten fünf Schritte
- Betroffenheit klären. Sektor und Größe prüfen, Einstufung als wesentliche/wichtige Einrichtung dokumentieren – und prüfen, ob Kunden Sie über die Lieferkette in die Pflicht nehmen.
- Ist-Aufnahme. Bestehende Maßnahmen den zehn Anforderungsbereichen gegenüberstellen (Gap-Analyse).
- Governance aufsetzen. Verantwortliche benennen, Geschäftsleitung einbinden, Berichtsweg und Freigabeprozess festlegen.
- Maßnahmenplan priorisieren. Zuerst die großen Hebel: MFA überall, getestetes Backup, Vorfalls- und Notfallprozess, Awareness, Lieferantenprüfung.
- Meldeprozess und Nachweise. 24/72-Stunden-Ablauf definieren, Registrierung vorbereiten, Wirksamkeit regelmäßig prüfen und dokumentieren.
Häufige Fragen
Ist NIS2 dasselbe wie die DSGVO?
Nein. Die DSGVO schützt personenbezogene Daten, NIS2 die Verfügbarkeit und Sicherheit von Netz- und Informationssystemen. Die Maßnahmen überschneiden sich teilweise (Zugriffskontrolle, Verschlüsselung, Vorfallsmeldung), die Pflichten bestehen aber unabhängig nebeneinander.
Wir haben unter 50 Mitarbeiter – sind wir sicher raus?
Meist ja, was die direkte Betroffenheit angeht. Zwei Vorbehalte: einige besonders kritische Diensteanbieter fallen unabhängig von der Größe darunter, und betroffene Kunden können vertraglich Sicherheitsanforderungen an Sie weitergeben.
Reicht eine ISO-27001-Zertifizierung?
Sie ist eine sehr gute Grundlage und deckt viele NIS2-Anforderungen ab, ersetzt aber nicht die spezifischen Melde-, Registrierungs- und Governance-Pflichten. Ein Abgleich zwischen ISMS und NIS2 bleibt nötig.
Was kostet die Umsetzung?
Das hängt stark vom Reifegrad ab. Unternehmen mit gepflegter IT, MFA und funktionierendem Backup haben oft überschaubaren Aufwand im Prozess- und Dokumentationsbereich. Größere Lücken bei Backup, Monitoring oder Awareness bestimmen die Kosten.
Dieser Beitrag gibt den Kenntnisstand von ROUBE zum angegebenen Datum wieder und ersetzt keine individuelle Rechtsberatung. Maßgeblich ist der jeweils geltende Gesetzestext.
NIS2-Readiness-Check für Ihr Unternehmen
Wir klären Ihre Betroffenheit, machen die Gap-Analyse gegen die zehn Anforderungsbereiche und legen einen priorisierten Maßnahmenplan vor.
Readiness-Check anfragen