Die EU-Richtlinie NIS2 soll die Cybersicherheit in Europa stärken und betrifft erstmals auch viele mittelständische Unternehmen. Die EU hat sie ins Leben gerufen, weil viele Betriebe erst auf rechtliche Vorgaben reagieren. Ohne Druck bleibt IT-Sicherheit für viele ein Schreckgespenst: teuer und scheinbar ohne direkten Nutzen. Doch wer genauer hinsieht, erkennt schnell die Vorteile.
Foto: Gerald Janisch, Linsentag Fotografie
Jürgen Ebner, Mitglied der Global Technology Industry Association (GTIA) und Geschäftsführer der ICTE - Managed IT Services
NIS2 erweitert den Geltungsbereich der Vorgängerrichtlinie NIS: Nicht nur kritische Infrastrukturen, sondern auch zahlreiche mittelständische Unternehmen – von Transportunternehmen bis zur Lebensmittelindustrie fallen darunter. Seit dem 18. Oktober 2024 gilt die Richtlinie EU-weit. Aber nur Belgien, Italien, Kroatien, Lettland, Litauen und Ungarn haben die nationale Umsetzung fristgerecht abgeschlossen.
Hierzulande hätte die Umsetzung beinahe fristgerecht erfolgen können. Doch eine Ablehnung durch die FPÖ - insbesondere wegen Unklarheiten zur Zuständigkeit der NIS2-Überwachung – stoppte den Gesetzgebungsprozess. Seither setzt die Verabschiedung des NIS-Umsetzungsgesetzes aus. Allerdings deuten Meldungen, auch in Zusammenhang mit einem Hackerangriff auf das Innenministerium darauf hin, dass der Gesetzgebungsprozess jetzt dann doch langsam Fahrt aufnehmen könnte. NIS2 wird kommen. Nicht zuletzt, weil die österreichische Bundesregierung bei eigener Untätigkeit ein Strafverfahren der EU-Kommission zu erwarten hat.
Österreich plant eine praxisnahe Umsetzung über das Bundeskanzleramt, das Cyber Security Center und das Innenministerium – unter Einbindung von IT-Dienstleistern und der Wirtschaftskammer.
Was bringt NIS2 konkret?
Die Richtlinie verpflichtet Unternehmen ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz zu umfassenden Maßnahmen, mit denen ein IT-Risikomanagement sowie Notfall- und -Schwachstellenmanagement eingeführt werden sollen, genauso wie Zugangskontrollen (physisch und digital) und regelmäßige Mitarbeiterschulungen. Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden. Geschäftsführer haften persönlich bei Verstößen. Strafen können bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes betragen.
Diese Vorgaben sind keine bürokratische Schikane, sondern sollen Schutz und Sicherheit wesentlicher und wichtiger IT-Infrastrukturen maßgeblich verbessern.
Was bedeutet das für Unternehmen?
Die Umsetzung bringt umfangreiche Dokumentationspflichten mit sich. So müssen Sicherheitsstandards geprüft und dokumentiert werden, schriftlich erstellte Notfallpläne müssen, digital und im Ausdruck, festgehalten werden. Regelmäßig müssen Mitarbeiter mit Schulungen und Sensibilisierungen auf den neuesten Stand gebracht werden. Hierfür muss es auch Nachweise geben. Außerdem ist jetzt eine fundierte Risikobewertung Pflicht, einschließlich der Identifikation besonders kritischer Systeme. Gerade hier zeigt sich ein häufiges Defizit: Viele Unternehmen setzen zwar Sicherheitsmaßnahmen um, bewerten aber nicht systematisch, welche Systeme im Ernstfall existenzbedrohend wären.
Lieferkette nicht vergessen
Auch KMUs, die unter NIS2 fallen, können durch ihre Rolle in der Lieferkette in die Pflicht genommen werden. NIS2-pflichtige Betriebe müssen sicherstellen, dass ihre Dienstleister Mindeststandards erfüllen – unabhängig von deren Größe oder Umsatz.
Ein zentraler Baustein der Umsetzung ist der Notfallplan. Im Ernstfall entscheidet er über die Zukunftsfähigkeit eines Unternehmens.
Was gehört in einen Notfallplan?
Ein wirksamer Notfallplan umfasst mehr als eine technische Checkliste. Er ist Teil eines umfassenden IT-Sicherheitskonzepts und sollte folgende Punkte enthalten:
NIS2 als Investition in die Zukunft
NIS2 mag zunächst wie eine bürokratische Pflicht wirken, bietet Unternehmen aber die Chance, ihre IT-Sicherheit nachhaltig zu verbessern. Ein gut umgesetzter Notfallplan schützt nicht nur vor Bußgeldern, sondern auch vor teuren Ausfällen, Datenverlusten und Reputationsschäden – etwa durch Ransomware-Angriffe.
Indirekt betroffen – und trotzdem verpflichtet
Besonders kritisch ist die Situation für Unternehmen, die nicht direkt unter NIS2 fallen, aber Teil der Lieferkette sind. Diese können von heute auf morgen mit Anforderungen konfrontiert werden, wenn ein Auftraggeber NIS2-konform werden muss. Dann heißt es: „Lieferst du nicht nach Standard, bist du raus.“
Selbst Kleinstunternehmen mit wenigen Mitarbeitenden können betroffen sein, etwa wenn sie spezialisierte Dienstleistungen für größere Betriebe erbringen. Die Größe schützt nicht vor der Pflicht zur Umsetzung. Der Notfallplan ist kein optionales Dokument, sondern ein zentrales Element der NIS2-Compliance. Unternehmen sollten ihn als strategisches Werkzeug begreifen
Jetzt handeln!
Die NIS2-Richtlinie ist bereits gültig und die nationale Umsetzung nimmt jetzt Fahrt auf. Österreich dürfte sich angesichts der drohenden Strafzahlungen jetzt mit dem Umsetzungsgesetz beeilen, dann tritt es rasch in Kraft. Unternehmen sollten jetzt handeln, um die Vorgaben rechtzeitig zu erfüllen und hohe Strafen zu vermeiden. Besonders mittelständische Betriebe müssen prüfen, ob sie betroffen sind und Maßnahmen einleiten. Denn wer jetzt handelt, sichert nicht nur die eigene IT-Infrastruktur, sondern auch die Wettbewerbsfähigkeit in einer digitalisierten Wirtschaft.
