NIS2 in der Praxis: Wer betroffen ist und was jetzt zu tun ist

Worum es bei NIS2 geht

Die EU-Richtlinie 2022/2555 (NIS2) löst die erste NIS-Richtlinie ab und weitet den Kreis der verpflichteten Organisationen massiv aus. Statt weniger hundert Betreiber kritischer Infrastrukturen fallen nun Zehntausende Unternehmen in den Anwendungsbereich – über die nationale Umsetzung, in Österreich das Netz- und Informationssystemsicherheitsgesetz.

Wer betroffen ist

Grundregel: Unternehmen ab 50 Mitarbeitenden oder 10 Mio. EUR Umsatz in einem der gelisteten Sektoren. Unterschieden wird zwischen wesentlichen und wichtigen Einrichtungen – der Unterschied liegt vor allem in der Aufsichtsintensität, nicht in den inhaltlichen Pflichten.

Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum. Weitere kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung von Medizinprodukten, Maschinenbau, Fahrzeugbau, digitale Anbieter, Forschung.

Wichtig: Auch wer nicht direkt betroffen ist, spürt NIS2 als Zulieferer – die Pflichten werden über Verträge weitergegeben.

Die zentralen Pflichten

Risikomanagement (Art. 21): Konzepte für Risikoanalyse und Informationssicherheit, Incident Handling, Business Continuity und Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Bewertung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle, Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Meldepflichten (Art. 23): Bei erheblichen Sicherheitsvorfällen gilt ein dreistufiges Verfahren – Frühwarnung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen einem Monat.

Geschäftsleitungshaftung (Art. 20): Die Leitungsorgane müssen die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig geschult werden. Sie können für Verstöße persönlich verantwortlich gemacht werden.

Sanktionen: Bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen.

Der Knackpunkt: Lieferkette

Art. 21 Abs. 2 lit. d verpflichtet ausdrücklich zur Absicherung der Beziehungen zu direkten Anbietern und Dienstleistern. Das bedeutet in der Praxis: Lieferantenverzeichnis mit Kritikalitätsbewertung, Sicherheitsanforderungen in Verträgen inklusive Meldepflichten bei Vorfällen, und eine laufende Überwachung – nicht ein Fragebogen alle drei Jahre.

Genau hier scheitern die meisten Programme. Ein Lieferant, der heute sauber ist, kann in sechs Monaten auf einer Leaksite stehen. Ohne kontinuierliche Beobachtung erfahren Sie das aus der Presse.

Pragmatische Reihenfolge

1. Betroffenheit prüfen und dokumentieren – inklusive Konzerngesellschaften. 2. Registrierung bei der zuständigen nationalen Stelle. 3. Gap-Analyse gegen die zehn Maßnahmenbereiche aus Art. 21. 4. Incident-Response-Plan mit den 24/72-Stunden-Fristen einüben – ein Plan, der nicht getestet ist, existiert nicht. 5. Lieferantenverzeichnis aufbauen und kontinuierlich überwachen. 6. Schulung der Geschäftsleitung nachweisbar dokumentieren.

Nächster Schritt

Risikomonitor liefert die laufende Lieferantenüberwachung, die NIS2 verlangt: Leaksite-, Darknet- und Domain-Monitoring für Ihre Zulieferer, mit Alarm bei Vorfällen.

[Lieferantenmonitoring ansehen](/lieferantenmonitoring) · [Beratungsgespräch vereinbaren](/kontakt)