NISG 2026: Was die NIS2 Umsetzung für Unternehmen jetzt konkret heißt Bei diesem Artikel handelt es sich um eine Überarbeitung des TechInfo-Artikels „EU-Cybersicherheits-Richtlinie NIS2 bringt Chancen für Unternehmen“ vom 25. September 2024. Jetzt Kontakt aufnehmen Zur Newsübersicht Home | TechInfo | Europäische NIS2 Richtlinie NIS2: Sicherheit neu gedacht Europäische NIS2 Richtlinie. Auf den zweiten Anlauf hat es geklappt: Die NIS2 Richtlinie wird mit dem Netz- und Informationssystemsicherheitsgesetz (NISG 2026) in Nationales Recht übergeführt und somit der Grundstein für ein EU-weit hohes Cybersicherheitsniveau gelegt. Mit dem Inkrafttreten am 1. Oktober 2026 gelten verpflichtende Sicherheitsmaßnahmen und Meldepflichten bei Sicherheitsvorfällen. Damit fällt auch der Startschuss für die Umsetzung der erforderlichen Maßnahmen für die betroffenen „Wichtigen Einrichtungen“ und „Wesentlichen Einrichtungen“, zu denen auch Betriebe der digitalen Infrastruktur zählen. Doch was verbirgt sich hinter der neuen EU-Richtlinie, welche To Dos ergeben sich für Unternehmen und vor allem: welche Vorteile bringt NIS2? NIS2 verstehen NIS2 schaffte einen neuen Rahmen für Cybersicherheit. Die NIS2 Richtlinie verfolgt das Ziel, ein gemeinsames hohes Niveau der Cybersicherheit von Netz- und Informationssystemen in der EU zu schaffen. Wie die Richtlinie national umgesetzt werden wird, regelt das nationale Recht, konkret das NISG 2026. Die neue Richtlinie ersetzt den Vorgänger NIS1 und sorgt für eine Modernisierung des Rechtsrahmens, die vor allem durch zunehmende Digitalisierung und eine veränderte Bedrohungslandschaft erforderlich ist. Sie zielt darauf ab, die Cybersicherheit zu stärken, legt Sicherheitsstandards für Netz- und Informationssysteme fest und regelt den Umgang im Falle von Sicherheitsvorfällen. Kurz gesagt: Es geht um Risikomanagementmaßnahmen, Meldepflichten und eine Verantwortlichkeit des Top-Managements. Veränderte Bedrohungslandschaft sorgt für Handlungsbedarf. Cyberkriminalität nimmt immer weiter zu und hat sich mittlerweile als eigenes „Geschäftsmodell“ etabliert. Jedes Unternehmen ist ein potenzielles Ziel. Umfassende IT-Sicherheit ist der Schlüssel zum Erfolg und gleichzeitig ein laufender Prozess, denn die Dimensionen und Facetten der Angriffe ändern sich laufend. Waren es in den letzten Jahren vorwiegend Phishing- und Ransomware-Attacken, nehmen aktuell komplexer werdende Angriffe zu – nicht zuletzt auch durch den verstärkten Einsatz von KI (Künstliche Intelligenz). Immer mehr in den Fokus rückt dabei das große Thema Identität. Gerade Deepfakes und Insider Threats sind laut einer aktuellen Studie von KPMG auf dem Vormarsch. Und auch Angriffe auf die Lieferkette – Supply Chain – sind weiter im Kommen. Dadurch wird das Unternehmen sozusagen über die Hintertüre angegriffen. Die Angriffe werden immer zielgerichteter, professioneller und authentischer gestaltet. Das führt auch zu einer Steigerung der Erfolgsquote von Cyberangriffen. Zentrale Ergebnisse der Cybersecurity-Studie (KMPG.com) Quelle: Cybersecurity in Österreich 2025 In den letzten zwölf Monaten war jeder sechste Angriff gegen ein Unternehmen erfolgreich. In der Vorjahresstudie war es „nur“ jeder Zehnte. Zudem sind mehr als die Hälfte aller Befragten der Meinung, dass Österreich auf schwerwiegende Cyberangriffe gegen die kritische Infrastruktur nicht gut vorbereitet ist. Es besteht also dringend Handlungsbedarf, um die Cybersicherheit in Österreich zu erhöhen. Und genau hier setzt auch NIS2 an. Von NIS2 betroffen Unterteilung in WESENTLICHE und WICHTIGE Einrichtungen. Jetzt Beratung anfordern Unternehmen werden nach der Größe (Beschäftigte, Jahresumsatz, Jahresbilanzsumme) und nach Sektor den Kategorien „Wesentliche Einrichtungen“ und „Wichtige Einrichtungen“ zugeordnet. In Österreich sind rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 festgelegten Sektoren betroffen. Ebenfalls zur Umsetzung verpflichtet werden deren Dienstleister und Lieferanten – somit die Lieferkette – und dadurch steigt die Zahl auf 15.000 Betriebe in Österreich. Ob man als Unternehmen betroffen ist, lässt sich einfach mit dem Ratgeber der WKO überprüfen. WESENTLICHE Einrichtungen sind Großunternehmen mit mindestens 50 Millionen Euro Umsatz aus den Bereichen: Trink- und Abwasser Gesundheitswesen Verkehr & Energie Öffentliche Verwaltung Banken Finanzdienstleister Weltraum Verwaltung von IKT Diensten (B2B) Betriebe der digitalen Infrastruktur (unter anderem Anbieter von Rechenzentrumsdiensten und Cloud Computing Diensten, Anbieter öffentlicher Kommunikationsnetze oder Kommunikationsdienste, TLD-Namenregister, Betreiber von Content Delivery Networks und Internetknoten, …) WICHTIGE Einrichtungen sind große und mittlere Unternehmen mit mehr als 10 Millionen Euro Umsatz aus der Sparte: Lebensmittelindustrie Chemie Produktion Post und Kurierdienst Abfallwirtschaft Anbieter digitaler Dienste Kleine Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz von höchstens 10 Millionen Euro oder einer Jahresbilanzsumme von höchstens 10 Millionen Euro fallen grundsätzlich nicht unter die NIS2 Richtlinie. Es gibt jedoch Ausnahmen. Vertrauensdienstanbieter oder Anbieter öffentlicher elektronischer Kommunikationsnetze fallen auch in diesem Fall in den Anwendungsbereich der Richtlinie. Was jetzt zu tun ist Pflichten für betroffene Unternehmen. Gleich vorweg: Die EU-Cybersicherheits-Richtlinie NIS2 ist ähnlich wie z. B. die Informationssicherheitsnorm ISO 27001 offen formuliert und somit fehlt eine klassische Checkliste bzw. To Do Liste seitens der Gesetzgeber. Das bringt jedoch auch den notwendigen Spielraum für das einzelne Unternehmen individuell zu gestalten. Mit einer einmaligen Aktion ist es jedoch nicht getan, denn ähnlich wie beim Datenschutz ist auch der Umgang mit Informationssicherheit ein Prozess, der laufend überprüft und angepasst werden muss. Betroffene Einrichtungen müssen sich nach dem Inkrafttreten des nationalen Gesetzes binnen drei Monaten registrieren, Risikomanagementmaßnahmen treffen und im Falle eines Vorfalls eine Meldepflicht erfüllen. Betroffene Einrichtungen müssen sich mit Inkrafttreten des nationalen Gesetztes (per 01.10.2026) binnen drei Monaten, d.h. bis spätestens 31.12.2026 registrieren, Risikomanagementmaßnahmen treffen und im Falle eines Vorfalls eine Meldepflicht erfüllen. 10 Risikomanagementmaßnahmen-Bereiche, die zu erfüllen sind: Konzepte in Bezug auf Risikoanalyse und Sicherheit für Informationssysteme Bewältigung von Sicherheitsvorfällen Business Continuity und Krisenmanagement: Aufrechterhaltung des Betriebs wie Backup-Management und Wiederherstellung nach einem Notfall Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementsystemen im Bereich der Cybersicherheit Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit Konzepte und Verfahren für den Einsatz von Kryptografie Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung 01.10.2026 Inkrafttreten NISG 2026 – NISG 2018 tritt zeitgleich außer Kraft; Bestimmungen zu den Risikomanagementmaßnahmen inklusive Sicherheit der Lieferkette und Meldepflichten gelten; Aufsichts- und Durchsetzungsmaßnahmen der Behörden sind möglich; 01.01.2027 Registrierung muss erfolgt sein 01.10.2027 Selbstdeklaration muss erfolgt sein 01.10.2028 Cybersicherheitsbehörde kann Einrichtungen zur Prüfung auffordern 30.11.2028 Frühester Zeitpunkt zu dem eine „wesentliche Einrichtung“ nach Aufforderung operative und organisatorische Umsetzung der Risikomanagementmaßnahmen nachzuweisen hat 30.09.2030 Frühester Zeitpunkt zu dem eine „WESENTLICHE oder WICHTIGE Einrichtung“ Prüfberichte durch unabhängige Stellen nachzuweisen hat; jeweils nur nach Aufforderung; „WICHTIGE Einrichtung“ nur bei begründeten Hinweisen Quelle: Cybersicherheits-Richtlinie NIS2 und NISG 2026 – WKO Schutz auf allen Ebenen IT-Sicherheit ganzheitlich gedacht. Um sich als Unternehmen gut in einer vernetzten und komplexen digitalen Welt schützen zu können, wird von NIS2 ein umfassendes Konzept gefordert, in dem der Faktor Mensch als auch technologische Standards gleichermaßen berücksichtigt werden. Cyberangriffe zielen darauf ab, technische oder menschliche Schwachstellen auszunutzen. Um die IT-Systeme zu schützen, ist der Einsatz von komplexen Firewall-Systemen, die das gesamte Netzwerk gegen unautorisierte Zugriffe absichern, bereits Usus. Gut beraten ist man darüber hinaus mit Intrusion Detection und Prevention Systemen, die Angriffe in Echtzeit erkennen und abwehren und die Bedrohungen somit schon abfangen, bevor sie die Infrastruktur treffen – beispielsweise ein umfassender DDoS-Schutz. Regelmäßige Schwachstellen-Scans (Vulnerability Scans) helfen dabei, potenziell ausnutzbare Schwachstellen innerhalb einer Anwendung zu identifizieren und vorab zu beheben. Mit einem umfassenden Patch-Management werden mithilfe von Updates direkt vom Hersteller Sicherheitslücken geschlossen. Sinnvoll sind ebenfalls eine verschlüsselte Datenübertragung sowie ein ausgefeiltes Backup-Konzept, welches Daten auch räumlich getrennt sichert. Last but not least der Einsatz von Mail Security Services, die Ransomware und weitere Cyberangriffe abwehren sollen sowie regelmäßige Security Awareness Trainings für Mitarbeiter. Jetzt beraten lassen