Rund um NIS2 und das österreichische NISG 2026 entsteht schnell der Eindruck, jedes Unternehmen müsse ab Oktober dasselbe Maßnahmenpaket erfüllen. Das ist so nicht richtig.
Nicht jedes KMU fällt automatisch unter das NISG 2026. Die Einstufung hängt insbesondere von der Art der Einrichtung, dem Sektor, der Unternehmensgröße und gesetzlichen Sonderfällen ab.
§ 24 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. § 25 knüpft die Unternehmensgröße unter anderem an Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme. Gleichzeitig bestehen Fälle, in denen die Größe nicht allein ausschlaggebend ist. Eine saubere Prüfung des Anwendungsbereichs gehört deshalb immer an den Anfang.
Zuerst klären: Ist das Unternehmen überhaupt betroffen?
Bevor Geld in Maßnahmen, Audits oder Dokumentation fließt, sollte klar sein, ob das Unternehmen als wesentliche oder wichtige Einrichtung einzuordnen ist oder ob eine besondere Einstufung relevant sein könnte.
Das klingt banal, verhindert aber einen häufigen Fehler: Entweder wird NISG 2026 vorschnell als irrelevant abgetan oder es werden Anforderungen umgesetzt, ohne zuvor den tatsächlichen Anwendungsbereich sauber einzuordnen.
Auch Unternehmen außerhalb des unmittelbaren Anwendungsbereichs können von den Anforderungen indirekt betroffen sein – etwa als Lieferant oder IT-Dienstleister eines regulierten Unternehmens.
Verantwortung darf nicht nur bei der IT-Abteilung liegen
§ 31 macht deutlich, dass Cybersicherheit auch eine Governance-Aufgabe ist. Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen.
Zusätzlich sieht das Gesetz spezifische Cybersicherheitsschulungen für die Leitungsorgane und regelmäßige Schulungen für Mitarbeiter vor.
Ist heute eindeutig dokumentiert, wer im Unternehmen Cyberrisiken verantwortet, Entscheidungen trifft und im Ernstfall eskaliert?
Die tatsächlichen Cyberrisiken und kritischen Systeme kennen
§ 32 verlangt von wesentlichen und wichtigen Einrichtungen geeignete und verhältnismäßige Maßnahmen in technischer, operativer und organisatorischer Hinsicht.
Dafür muss zuerst bekannt sein, welche Systeme und Abhängigkeiten für den Betrieb tatsächlich kritisch sind. In der Praxis gehören dazu beispielsweise:
- Microsoft 365, Entra ID und Benutzeridentitäten
- Server, Endgeräte und Netzwerkkomponenten
- geschäftskritische Anwendungen und Daten
- Cloud- und Hostingdienste
- externe IT-Dienstleister und Lieferanten
- administrative und technische Abhängigkeiten
Eine Risikobewertung ist damit mehr als eine Produktliste. Entscheidend ist die Frage, welche Auswirkungen ein Ausfall, eine Manipulation oder ein unbefugter Zugriff tatsächlich auf den Geschäftsbetrieb hätte.
Ein Backup zählt erst, wenn die Wiederherstellung funktioniert
Business Continuity, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement gehören ausdrücklich zu den Themen des Risikomanagements nach § 32.
Die Aussage „Wir haben ein Backup“ beantwortet deshalb nur einen Teil der relevanten Fragen.
- Was wird tatsächlich gesichert?
- Wie aktuell sind die Sicherungen?
- Sind Sicherungen ausreichend vom Produktivsystem getrennt?
- Wurde ein Restore praktisch getestet?
- Wie lange dauert die Wiederherstellung kritischer Systeme?
- Welche Systeme müssen zuerst wieder verfügbar sein?
Nicht nur einen Angriff möglichst zu verhindern, sondern den Betrieb nach einem Vorfall kontrolliert wiederherstellen und fortsetzen zu können.
Identitäten, Zugänge und Lieferketten nicht vergessen
Cyberrisiken entstehen längst nicht nur innerhalb der eigenen Serverlandschaft. Benutzerkonten, Administratorrechte, Cloud-Dienste und externe Anbieter sind häufig genauso kritisch.
Unternehmen sollten deshalb unter anderem prüfen:
- Ist MFA für wichtige Konten konsequent umgesetzt?
- Sind administrative Rechte auf das Notwendige begrenzt?
- Gibt es getrennte und sichere Notfallzugänge?
- Sind Berechtigungen nachvollziehbar dokumentiert?
- Von welchen externen IT- und Cloud-Anbietern hängt der Geschäftsbetrieb ab?
- Welche Auswirkungen hätte der Ausfall eines dieser Anbieter?
§ 32 nennt ausdrücklich auch die Sicherheit der Lieferkette. Das macht Abhängigkeiten von Dienstleistern und Zulieferern zu einem Bestandteil des Cyber-Risikomanagements.
Melde- und Nachweispflichten praktisch vorbereiten
Ein Sicherheitsvorfall ist der falsche Zeitpunkt, um erstmals Zuständigkeiten, Kommunikationswege und technische Abläufe festzulegen.
Für erhebliche Cybersicherheitsvorfälle sieht § 34 für wesentliche und wichtige Einrichtungen konkrete Fristen vor:
Parallel dazu verlangt § 33 eine strukturierte Selbstdeklaration zu den umgesetzten Risikomanagementmaßnahmen und der Risikoanalyse. Das Gesetz sieht außerdem Nachweise der technischen, operativen und organisatorischen Umsetzung vor.
Aus technischer Sicht bedeutet das: Risiken, Maßnahmen, Verantwortlichkeiten und Wiederherstellungsprozesse sollten nicht nur existieren, sondern nachvollziehbar dokumentiert sein.
