NIS2 für KMU in Österreich: Was Geschäftsführer konkret tun müssen

Was ist NIS2 – in einem Satz für Geschäftsführer erklärt

NIS2 (Network and Information Security Directive 2) ist eine EU-Richtlinie, die Unternehmen in kritischen und wichtigen Sektoren dazu verpflichtet, ein nachweisbares Mindestmaß an Cybersicherheit umzusetzen – und bei Verstößen mit empfindlichen Strafen rechnen zu müssen.

Konkret: Wo bisher kaum gesetzliche Anforderungen an die IT-Sicherheit von Unternehmen galten, gibt es nun verbindliche Pflichten. Risikoanalysen müssen durchgeführt, Sicherheitsvorfälle gemeldet und Mitarbeiter geschult werden. Die Richtlinie wurde in Österreich mit dem NISG 2024 (Netz- und Informationssystemsicherheitsgesetz) in nationales Recht umgesetzt und gilt seit Oktober 2024.

Das Besondere an NIS2 gegenüber der Vorgängerrichtlinie NIS1: Der Anwendungsbereich wurde massiv erweitert. Während NIS1 nur die allerwichtigsten Infrastrukturbetreiber betraf, erfasst NIS2 nun auch mittelgroße Unternehmen in einer deutlich breiteren Liste von Sektoren.

Wer ist von NIS2 in Österreich betroffen?

NIS2 unterscheidet zwei Kategorien: wesentliche Einrichtungen (essential entities) und wichtige Einrichtungen (important entities). Die Schwellenwerte und Sektoren:

Wichtig: Die Schwellenwerte beziehen sich auf den jeweiligen Sektor. Ein Unternehmen mit 55 Mitarbeitern im Bereich Lebensmittelverarbeitung fällt damit unter NIS2 – auch wenn es kein IT-Unternehmen ist.

Was fordert NIS2 konkret?

NIS2 Artikel 21 definiert verbindliche Sicherheitsmaßnahmen. Die wichtigsten für KMU im Überblick:

Awareness als NIS2-Pflicht: Warum die Phishing-Simulation zählt

Viele Unternehmen konzentrieren sich bei NIS2 ausschließlich auf technische Maßnahmen – Firewalls, Endpoint-Protection, Backups. Das greift zu kurz. NIS2 Artikel 21 Abs. 2 (g) fordert explizit:

Eine Phishing-Simulation ist dabei mehr als eine Schulungsmaßnahme: Sie testet die reale Reaktion Ihrer Mitarbeiter auf echte Angriffsmuster und liefert messbare Ergebnisse – Klickraten, Meldequoten, Abteilungsvergleiche. Damit können Sie gegenüber der Aufsichtsbehörde nachweisen, dass Sie die Awareness-Anforderung ernst nehmen und systematisch adressieren.

In der Praxis bedeutet das für NIS2-konforme Dokumentation:

• Datum und Umfang der durchgeführten Simulation
• Klickrate vor und nach Training
• Dokumentiertes Ergebnis und eingeleitete Maßnahmen
• Wiederholungsintervall (mindestens jährlich empfohlen)

Der rechtliche Rahmen für Phishing-Simulationen in Österreich ist dabei klar geregelt: Mit korrekter Betriebsvereinbarung und DSGVO-konformem Ansatz sind sie vollständig rechtssicher durchführbar.

Bußgelder und persönliche Haftung: Was droht wirklich?

NIS2 sieht nicht nur Unternehmensstrafen vor – es gibt auch eine explizite persönliche Haftung der Geschäftsführung. Das ist ein fundamentaler Unterschied zur früheren Rechtslage.

Besonders kritisch: Die Richtlinie sieht vor, dass Leitungsorgane (Geschäftsführer, Vorstände) bei grober Fahrlässigkeit persönlich haftbar gemacht werden können – auch wenn der Schaden durch einen Cyberangriff entstand, der bei ausreichenden Schutzmaßnahmen hätte verhindert werden können. „Ich wusste nicht, dass wir betroffen sind" ist keine ausreichende Verteidigung.

NIS2-Checkliste für KMU: 8 Punkte zum Start

Diese Checkliste ist kein Ersatz für eine vollständige Compliance-Prüfung, aber ein guter Ausgangspunkt zur Selbsteinschätzung:

• ☐ Betroffenheitsprüfung: Haben Sie festgestellt, ob Ihr Unternehmen unter NIS2 fällt (Sektor, Mitarbeiteranzahl, Umsatz)?
• ☐ Verantwortlichkeit: Gibt es eine benannte Person (intern oder extern), die für NIS2-Compliance zuständig ist?
• ☐ Risikoanalyse: Wurde eine dokumentierte Analyse der IT-Risiken und kritischen Systeme durchgeführt?
• ☐ Vorfallmanagement: Haben Sie einen Prozess, um Sicherheitsvorfälle intern zu erkennen und innerhalb von 24h zu melden?
• ☐ Technische Maßnahmen: Sind MFA, Verschlüsselung und Zugriffskontrolle für kritische Systeme implementiert?
• ☐ E-Mail-Sicherheit: Sind DMARC, SPF und DKIM korrekt konfiguriert? (E-Mail Security Audit als schnelle Überprüfung)
• ☐ Awareness-Training: Findet regelmäßiges Sicherheitstraining für alle Mitarbeiter statt, dokumentiert und messbar?
• ☐ Phishing-Simulation: Wurde die reale Reaktion der Mitarbeiter auf Phishing-Angriffe getestet und dokumentiert?

Häufige Fragen zu NIS2 für österreichische KMU

Ab wann gilt NIS2 in Österreich?

Die EU-Richtlinie NIS2 wurde mit dem österreichischen NISG 2024 (Netz- und Informationssystemsicherheitsgesetz) seit Oktober 2024 in nationales Recht umgesetzt. Betroffene Unternehmen sind seit diesem Zeitpunkt zur Einhaltung verpflichtet – auch wenn die aktive Behördenprüfung noch anlaufen muss.

Welche KMU sind von NIS2 betroffen?

Grundsätzlich gilt NIS2 für Unternehmen in kritischen und wichtigen Sektoren. Als „wichtige Einrichtung" gilt ein Unternehmen mit 50+ Mitarbeitern oder 10+ Mio. € Umsatz in den genannten Sektoren. Auch Lieferanten von betroffenen Unternehmen werden zunehmend mit Compliance-Anforderungen konfrontiert.

Zählt eine Phishing-Simulation als NIS2-Maßnahme?

Ja. NIS2 Artikel 21 fordert explizit Schulungen im Bereich Cybersicherheit und grundlegende Verfahren für den Umgang mit Cybersicherheit. Eine Phishing-Simulation mit anschließendem Training erfüllt diese Anforderung direkt und ist als technisch-organisatorische Maßnahme (TOM) gegenüber der Aufsichtsbehörde dokumentierbar.

Was droht bei NIS2-Verstößen?

Für wesentliche Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 % des Jahresumsatzes. Zusätzlich können Geschäftsführer persönlich haftbar gemacht werden – das ist ein bewusstes Instrument der Richtlinie, um Sicherheit zur Chefsache zu machen.