NIS2 in Österreich: Was das NISG 2026 für KMU bedeutet

Wer ist betroffen?

Das NISG 2026 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Entscheidend sind Branche und Größe. Erfasst sind 18 Sektoren: elf mit hoher Kritikalität, etwa Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser und digitale Infrastruktur, sowie sieben weitere, etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und Anbieter digitaler Dienste.

Bei der Größe gilt grob:

• Mittlere Unternehmen: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme.
• Große Unternehmen: mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme.

Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, etwa DNS-Anbieter oder qualifizierte Vertrauensdiensteanbieter. Ob dein Betrieb genau darunter fällt, lässt sich nur im Einzelfall beurteilen. Die Wirtschaftskammer bietet dazu Informationen und Beratung an.

Welche Pflichten gelten?

Betroffene Einrichtungen müssen geeignete technische und organisatorische Maßnahmen für ihre Cybersicherheit umsetzen und das nachweisen können. In der Praxis heißt das:

• Risikomanagement: Risiken für IT und Betrieb erkennen, bewerten und Maßnahmen festlegen.
• Grundschutz: aktuelle Systeme, Zugriffsschutz mit Zwei-Faktor-Anmeldung, geprüfte Backups, Netzwerktrennung, Virenschutz.
• Notfallplanung: Wer macht was bei einem Vorfall, wie läuft der Wiederanlauf?
• Lieferkette: Die Sicherheit wichtiger Lieferanten und Dienstleister bewerten und vertraglich absichern.
• Schulungen: Die Geschäftsleitung muss an Cybersicherheitsschulungen teilnehmen und den Beschäftigten regelmäßig Schulungen anbieten.
• Dokumentation: Maßnahmen nachvollziehbar festhalten, inklusive Selbstdeklaration gegenüber der Behörde.

Die Verantwortung liegt bei der Geschäftsleitung. Sie kann Aufgaben an die IT oder einen externen Dienstleister übertragen, bleibt aber für die Umsetzung und Überwachung verantwortlich.

Fristen und Meldungen

• Registrierung: innerhalb von drei Monaten nach Inkrafttreten beim Bundesamt für Cybersicherheit.
• Selbstdeklaration: innerhalb von zwölf Monaten.
• Frühwarnung bei einem erheblichen Vorfall: spätestens nach 24 Stunden.
• Meldung mit erster Bewertung: innerhalb von 72 Stunden.
• Abschlussbericht: innerhalb eines Monats.

Bei Verstößen drohen empfindliche Geldstrafen, bei wesentlichen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Warum auch kleine Betriebe betroffen sind

Die meisten Betriebe im Zillertal und in Tirol sind kleiner als 50 Mitarbeiter und fallen nicht direkt unter das Gesetz. Trotzdem kommt NIS2 bei vielen an, und zwar über ihre Kunden. Ein NIS2-pflichtiger Lebensmittelproduzent, Energieversorger oder Industriebetrieb muss seine Lieferkette absichern. Er fragt deshalb bei Zulieferern, Handwerkern und Dienstleistern nach: Wie schützt ihr eure Zugänge? Gibt es Backups? Was passiert bei einem Vorfall?

Wer diese Fragen sauber beantworten kann, bleibt ein verlässlicher Partner. Dazu kommt: Auch Cyberversicherungen stellen inzwischen ähnliche Fragen.

So startest du

1. Betroffenheit klären: Branche und Größe prüfen. Im Zweifel bei der Wirtschaftskammer oder einem Berater nachfragen.
2. Bestandsaufnahme: Welche Systeme, Daten und Zugänge gibt es? Wo sind die größten Risiken?
3. Grundschutz umsetzen: Updates, Zwei-Faktor-Anmeldung, getrennte Backups mit Wiederherstellungstest.
4. Notfallplan schreiben: kurz und praktisch, mit Kontakten und Meldeweg.
5. Laufend pflegen und dokumentieren: Sicherheit ist kein Projekt mit Enddatum.

Ich unterstütze Betriebe in Tirol bei der technischen Umsetzung und der laufenden Pflege. Für die rechtliche Einstufung empfehle ich zusätzlich die Beratung durch die Wirtschaftskammer oder einen spezialisierten Juristen.