Was NIS2 bedeutet und wie Deutschland und Österreich es umsetzen
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) ist der europäische Rahmen für ein hohes gemeinsames Cybersicherheitsniveau. Sie hat die erste NIS-Richtlinie von 2016 abgelöst und den Kreis der Betroffenen erheblich erweitert: Statt einer engen Liste von Betreibern wesentlicher Dienste erfasst sie nun mittlere und große Unternehmen in 18 Sektoren sowie einzelne Einrichtungen unabhängig von ihrer Größe.
Eine EU-Richtlinie gilt nicht unmittelbar, sie muss von den Mitgliedstaaten in nationales Recht umgesetzt werden. Für Ihr Unternehmen zählt daher, in welchem Land Sie tätig sind. Beide Länder folgen der Struktur der Richtlinie, regeln aber Details wie Registrierung, Fristen und Bußgelder selbst. Diese Einzelheiten prüfen Sie immer im aktuell geltenden Gesetzestext.
Deutschland: NIS2UmsuCG und BSI
In Deutschland erfolgt die Umsetzung durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Es ändert vor allem das BSI-Gesetz (BSIG). Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI), bei dem Sie Hinweise zur Betroffenheit, zu Registrierung und Meldewegen finden. Das deutsche Recht spricht von besonders wichtigen Einrichtungen und wichtigen Einrichtungen.
Österreich: NISG 2026
In Österreich wird die Richtlinie durch das NISG 2026 umgesetzt, das an die Stelle des bisherigen Netz- und Informationssystemsicherheitsgesetzes tritt. Die zentrale Informationsplattform ist nis.gv.at. Hier lautet die Unterscheidung wesentliche Einrichtungen und wichtige Einrichtungen. Für Meldungen und Unterstützung bei Vorfällen sind die im Gesetz vorgesehene Behörde und das zuständige CSIRT maßgeblich.
Ob Sie betroffen sind, prüfen Sie schnell mit dem Tool auf dieser Seite. Im Folgenden erklären wir, wie die Einstufung funktioniert und was das Gesetz in der Praxis verlangt.
Wer betroffen ist: Sektor und Größe
Die Einstufung beruht auf zwei Kriterien: in welchem Sektor Sie tätig sind und wie groß Ihr Unternehmen ist. Die Sektoren sind in zwei Anhängen der Richtlinie festgelegt.
- Anhang I (Sektoren mit hoher Kritikalität): Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum.
- Anhang II (sonstige kritische Sektoren): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (unter anderem Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinen und Fahrzeuge), digitale Anbieter sowie Forschung.
Für die Größe gelten die Kriterien der Empfehlung 2003/361/EG der Kommission. Daten verbundener Unternehmen und Partnerunternehmen werden mitgerechnet, daher kann auch die Tochtergesellschaft eines großen Konzerns betroffen sein, obwohl sie selbst klein ist.
| Größe | Beschäftigte | Finanzielle Schwellen | Anhang I | Anhang II |
|---|---|---|---|---|
| Großunternehmen | 250 oder mehr | Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € | besonders wichtige bzw. wesentliche Einrichtung | wichtige Einrichtung |
| Mittleres Unternehmen | 50 bis 249 | Umsatz und Bilanzsumme über 10 Mio. € | wichtige Einrichtung | wichtige Einrichtung |
| Kleines oder Kleinstunternehmen | weniger als 50 | Umsatz oder Bilanzsumme bis 10 Mio. € | in der Regel nicht betroffen* | in der Regel nicht betroffen* |
* Ausnahmen gelten unabhängig von der Größe. Zu den besonders wichtigen bzw. wesentlichen Einrichtungen zählen in der Regel qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter sowie Einrichtungen der öffentlichen Verwaltung auf Bundesebene. Darüber hinaus kann ein Staat Einrichtungen einbeziehen, die einziger Anbieter eines für Gesellschaft oder Wirtschaft wichtigen Dienstes sind. Wie weit der öffentliche Sektor auf Landes- und Kommunalebene erfasst wird, bestimmt das nationale Recht.
Besonders wichtige/wesentliche und wichtige Einrichtungen: die Unterschiede
Die inhaltlichen Pflichten sind für beide Gruppen nahezu gleich. Unterschiede bestehen vor allem bei der Art der Aufsicht und der Höhe der Sanktionen.
| Bereich | Besonders wichtige (DE) bzw. wesentliche (AT) Einrichtung | Wichtige Einrichtung |
|---|---|---|
| Risikomanagementmaßnahmen (Artikel 21) | ja | ja |
| Meldung erheblicher Vorfälle | 24 Stunden / 72 Stunden / 1 Monat | 24 Stunden / 72 Stunden / 1 Monat |
| Aufsicht | proaktiv (Prüfungen und Audits auch ohne Anlass) | nachträglich (in der Regel nach Vorfall oder Hinweis) |
| Höchstbußgeld nach der Richtlinie | mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes | mindestens 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
| Verantwortung der Geschäftsleitung | ja | ja |
Die Richtlinie legt die Untergrenze für den Höchstbetrag fest, die Staaten dürfen strenger sein. Die konkreten Bußgeldrahmen entnehmen Sie dem NIS2UmsuCG bzw. dem NISG 2026.
Die wichtigsten Pflichten in der Praxis
Risikomanagementmaßnahmen. Die Maßnahmen müssen verhältnismäßig sein und einem gefahrenübergreifenden Ansatz folgen. Artikel 21 der Richtlinie verlangt mindestens:
- Konzepte für Risikoanalyse und Sicherheit von Informationssystemen,
- Bewältigung von Sicherheitsvorfällen,
- Betriebskontinuität, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement,
- Sicherheit der Lieferkette, einschließlich der Beziehungen zu Lieferanten und Dienstleistern,
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen sowie Umgang mit Schwachstellen und deren Offenlegung,
- Bewertung der Wirksamkeit der Maßnahmen,
- grundlegende Cyberhygiene und Schulungen,
- Kryptografie und Verschlüsselung,
- Personalsicherheit, Zugriffskontrolle und Asset-Management,
- Multi-Faktor-Authentifizierung und abgesicherte Kommunikation.
Meldung von Vorfällen. Bei einem erheblichen Vorfall senden Sie innerhalb von 24 Stunden nach Kenntnis eine Frühwarnung, innerhalb von 72 Stunden eine Meldung mit erster Bewertung und spätestens einen Monat danach den Abschlussbericht. In Deutschland ist das BSI die Meldestelle, in Österreich die nach NISG 2026 zuständige Stelle bzw. das CSIRT. Diese Fristen lassen sich nur mit einem vorbereiteten Prozess, klaren Rollen und gesammelten Protokollen einhalten. Mehr dazu im Leitfaden Cyberangriff: Wie gut ist Ihr Unternehmen vorbereitet?.
Verantwortung der Geschäftsleitung. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Cybersicherheit wird damit zur Aufgabe der Unternehmensführung und ist nicht allein Sache der IT-Abteilung.
Registrierung. Betroffene Einrichtungen müssen der zuständigen Stelle ihre Daten melden und aktuell halten. Verfahren und Fristen regeln das NIS2UmsuCG bzw. das NISG 2026, aktuelle Hinweise finden Sie beim BSI und auf nis.gv.at.
ISO 27001, DORA und Lieferkette
ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme. Organisationen, die ihn bereits umsetzen, decken einen großen Teil der Anforderungen aus Artikel 21 ab, denn beide beruhen auf Risikomanagement. Das Zertifikat allein bedeutet aber keine Konformität mit NIS2. Prüfen Sie gesondert Meldefristen für Vorfälle, Schulung der Geschäftsleitung, Anforderungen an Lieferanten und Registrierung.
DORA (Verordnung (EU) 2022/2554) gilt für Finanzunternehmen wie Banken, Versicherungen, Wertpapierfirmen, Zahlungsinstitute und weitere. Für IKT-Risikomanagement und Vorfallsmeldung ist sie die speziellere Regelung, daher erfüllen Finanzunternehmen diese Anforderungen überwiegend nach DORA. IKT-Dienstleister von Finanzinstituten begegnen beiden Regelwerken über vertragliche Anforderungen.
Lieferkette. Auch wenn Sie nicht direkt betroffen sind, werden Sie die Anforderungen voraussichtlich spüren. Betroffene Unternehmen müssen Risiken bei ihren Lieferanten steuern und nehmen daher Sicherheitsanforderungen, Fragebögen und Auditrechte in ihre Verträge auf. IT-, Software- und Wartungsdienstleister stehen dabei im Vordergrund.
So starten Sie: Plan in fünf Schritten
- Einstufung. Schätzen Sie mit dem Tool oben ein, ob Sie besonders wichtige bzw. wesentliche oder wichtige Einrichtung sind, und prüfen Sie das Ergebnis im NIS2UmsuCG bzw. NISG 2026.
- Lückenanalyse. Vergleichen Sie vorhandene Maßnahmen mit den Anforderungen aus Artikel 21. Wenn Sie ISO 27001 haben, beginnen Sie bei der Erklärung zur Anwendbarkeit (Statement of Applicability).
- Vorrangige Maßnahmen. Setzen Sie zuerst die wirksamsten Maßnahmen um: MFA, unveränderliche Backups, Schwachstellenmanagement und zentrale Protokollierung.
- Prozess für Vorfälle. Legen Sie fest, wer entscheidet, ob ein Vorfall erheblich ist, wer meldet und wie Sie die Fristen von 24 und 72 Stunden sicherstellen.
- Geschäftsleitung und Lieferanten. Organisieren Sie eine Schulung für die Geschäftsleitung und prüfen Sie die Verträge mit Ihren wichtigsten Lieferanten.
Humanfrog unterstützt Unternehmen bei der Lückenanalyse, der Umsetzung technischer Maßnahmen und mit Managed Security, einschließlich Backups in Rechenzentren der Kategorie TIER III. Dieser Leitfaden ersetzt keine Rechtsberatung. Wenn Sie Ihre Ausgangslage prüfen möchten, sprechen Sie mit uns.
