NIS2 und die neuen EU-Pflichten: Was Betriebe in Österreich jetzt wissen müssen

In den letzten Monaten bekomme ich immer dieselbe Frage: „Betrifft mich dieses NIS2 eigentlich auch?" Die meisten Betriebe, die fragen, sind nicht direkt betroffen – und trotzdem landet die Anforderung bei ihnen auf dem Tisch. Der Grund ist die Lieferkette, und genau darum lohnt sich der Blick auch für kleine Unternehmen.

Was NIS2 überhaupt ist

NIS2 ist die EU-Richtlinie 2022/2555 zur Cybersicherheit. Sie ist seit Januar 2023 in Kraft, die Mitgliedstaaten hätten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen müssen. Sie löst die alte NIS-Richtlinie ab und erweitert deren Geltungsbereich massiv: Statt einiger weniger Betreiber kritischer Infrastruktur fallen jetzt ganze Wirtschaftszweige darunter.

Bin ich überhaupt betroffen?

Zwei Dinge müssen zusammenkommen: Ihr Sektor und Ihre Betriebsgröße. Als Faustregel gilt die Schwelle für mittlere Unternehmen – ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Darunter sind Sie in der Regel nicht direkt erfasst, mit Ausnahmen für besonders kritische Anbieter.

• Sektoren mit hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum.
• Weitere kritische Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -vertrieb, Herstellung (unter anderem Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Anbieter, Forschung.
• Unterschieden wird zwischen „wesentlichen" und „wichtigen" Einrichtungen – der Unterschied liegt vor allem in der Aufsicht und in der Höhe möglicher Strafen.

Für die meisten Betriebe in Vorarlberg lautet die Antwort damit: nicht direkt betroffen. Der wichtigere Punkt kommt aber jetzt.

Der eigentliche Hebel: die Lieferkette

NIS2 verpflichtet betroffene Unternehmen ausdrücklich dazu, die Sicherheit ihrer Lieferkette zu berücksichtigen. Auf Deutsch: Ihr großer Kunde muss nachweisen, dass auch seine Dienstleister sauber arbeiten. Genau deshalb bekommen kleine Zulieferer, Werkstätten, Planungsbüros und IT-Dienstleister derzeit Sicherheitsfragebögen und neue Vertragsklauseln zugeschickt.

Sie brauchen NIS2 nicht zu erfüllen, weil ein Gesetz Sie dazu zwingt – sondern weil Ihr wichtigster Kunde sonst irgendwann einen anderen Lieferanten nimmt.

Die zehn Mindestmaßnahmen aus Artikel 21

Die Richtlinie listet zehn Bereiche auf, die betroffene Unternehmen abdecken müssen. Diese Liste ist auch für nicht betroffene Betriebe eine brauchbare Checkliste – sie beschreibt schlicht solide IT-Hygiene:

• Konzepte für Risikoanalyse und Informationssicherheit
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen
• Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
• Grundlegende Cyberhygiene und Schulungen für Mitarbeitende
• Konzepte für Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Verwaltung der Anlagen
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Wenn Sie diese Liste durchgehen und bei mehr als der Hälfte ins Grübeln kommen, ist das kein NIS2-Problem, sondern schlicht ein IT-Sicherheitsproblem – unabhängig von jeder Regulierung.

Die Meldefristen sind kurz

Was viele unterschätzt: Bei einem erheblichen Sicherheitsvorfall läuft die Uhr sehr schnell. Betroffene Einrichtungen müssen in drei Stufen melden.

Vierundzwanzig Stunden klingen nach viel. Wenn der Vorfall an einem Freitagabend beginnt und erst am Montag jemand merkt, dass etwas nicht stimmt, sind sie längst verstrichen. Deshalb ist Monitoring kein Luxus, sondern die Voraussetzung dafür, eine Frist überhaupt einhalten zu können.

Die Geschäftsführung haftet persönlich

Das ist die vielleicht unangenehmste Neuerung: Die Leitungsebene muss die Risikomaßnahmen nicht nur billigen, sondern ihre Umsetzung auch überwachen – und sich selbst regelmäßig schulen lassen. Bei Verstößen drohen wesentlichen Einrichtungen Geldbußen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent. IT-Sicherheit ist damit endgültig kein reines Technikthema mehr, das man nach unten delegiert.

NIS2 ist nicht das einzige Regelwerk

Parallel läuft eine ganze Reihe weiterer EU-Vorgaben. Die wichtigsten mit ihren Stichtagen:

• DORA (Verordnung (EU) 2022/2554): digitale Betriebsstabilität im Finanzsektor, gilt seit 17. Januar 2025 – auch für IT-Dienstleister von Finanzunternehmen.
• Cyber Resilience Act (Verordnung (EU) 2024/2847): Sicherheitsanforderungen an Produkte mit digitalen Elementen. Meldepflichten ab 11. September 2026, vollständige Anwendung ab 11. Dezember 2027.
• KI-Verordnung (Verordnung (EU) 2024/1689): Verbote und die Pflicht zur KI-Kompetenz gelten seit 2. Februar 2025, weitere Stufen folgen gestaffelt.
• Data Act (Verordnung (EU) 2023/2854): Zugang zu und Weitergabe von Daten vernetzter Produkte, gilt seit 12. September 2025.

Wer vernetzte Geräte herstellt oder Software ausliefert, sollte sich vor allem den Cyber Resilience Act genauer ansehen – der trifft deutlich mehr Betriebe, als der sperrige Name vermuten lässt.

Was Sie jetzt konkret tun können

• Klären Sie zuerst, ob Sie direkt betroffen sind – Sektor und Größenschwelle prüfen, schriftlich festhalten.
• Fragen Sie bei Ihren größten Kunden nach, ob diese unter NIS2 fallen. Dann kommen die Anforderungen ohnehin auf Sie zu.
• Bringen Sie die Basis in Ordnung: getestete Backups, Multi-Faktor-Authentifizierung, aktuelle Systeme, dokumentierte Zugriffsrechte.
• Schreiben Sie auf, wer bei einem Vorfall was tut und wen anruft. Zwei Seiten reichen – wichtig ist, dass es sie überhaupt gibt.
• Schulen Sie Ihr Team einmal jährlich. Der häufigste Einstiegspunkt bleibt eine E-Mail, die jemand öffnet.

Das meiste davon ist keine Compliance-Übung, sondern schlicht sinnvoll. Ein sauberes Backup hilft Ihnen bei einem Verschlüsselungsangriff völlig unabhängig davon, ob eine Richtlinie es verlangt. Wenn Sie dabei Unterstützung brauchen: Genau das ist Teil meiner laufenden IT-Betreuung.

Ein ehrlicher Hinweis zum Schluss

Ich bin IT-Dienstleister, kein Jurist – dieser Artikel ist eine praxisnahe Einordnung und keine Rechtsberatung. Der österreichische Umsetzungsstand hat sich mehrfach verzögert, und die Details ändern sich. Prüfen Sie den aktuellen Stand bitte bei der Wirtschaftskammer oder Ihrem Rechtsbeistand, bevor Sie größere Entscheidungen treffen. Bei der technischen Umsetzung – Backup, Monitoring, Zugriffskontrolle, Schulung – bin ich Ihr Ansprechpartner.