NIS2 - betrifft das mein KMU überhaupt?
Wie österreichische KMU in wenigen Schritten klären, ob sie unter NIS2 fallen - ohne Panik und ohne teures Gutachten.
Jürgen Praschl-Bichler
Inhaber, Praschl-Bichler IT Consulting
NIS2 hat viele Geschäftsführungen verunsichert. Die EU-Richtlinie ist deutlich breiter gefasst als ihre Vorgängerin, und plötzlich fühlen sich auch Unternehmen angesprochen, die mit kritischer Infrastruktur auf den ersten Blick nichts zu tun haben. Bevor man in Aktionismus verfällt oder ein teures Gutachten beauftragt, hilft eine nüchterne Reihenfolge. Dieser Beitrag zeigt sie - und sagt klar, was wirklich verlangt wird.
Die kurze Antwort vorweg: Ihr KMU ist von NIS2 wahrscheinlich betroffen, wenn es 50 oder mehr Mitarbeitende oder über 10 Mio. Euro Jahresumsatz hat und in einem der geregelten Sektoren tätig ist - oder wenn es solche Unternehmen als Zulieferer beliefert. Alles Weitere ist Detailprüfung.
Worum es bei NIS2 überhaupt geht
NIS2 ist die zweite Fassung der EU-Richtlinie zur Netzwerk- und Informationssicherheit (Richtlinie (EU) 2022/2555). Ihr Ziel ist, das Sicherheitsniveau in Unternehmen anzuheben, die für Wirtschaft und Gesellschaft eine Rolle spielen. Neu ist vor allem die Reichweite: Statt einer Handvoll klar benannter Betreiber sind nun ganze Sektoren erfasst, und über die Lieferkette werden auch deren Zulieferer in die Pflicht genommen.
Für Österreich wird das über das Netz- und Informationssystemsicherheitsgesetz (NISG) konkretisiert. Wichtig für KMU: Es geht nicht um Papier um des Papiers willen, sondern um nachweisbare technische und organisatorische Maßnahmen sowie um eine Meldepflicht bei Sicherheitsvorfällen.
Die Eckdaten, die Sie kennen sollten
- Rechtsgrundlage: Richtlinie (EU) 2022/2555, in Kraft seit Januar 2023.
- Nationale Umsetzung: in Österreich über das NISG; die EU-Frist dafür war der 17. Oktober 2024.
- Größenschwelle als Faustregel: 50 Mitarbeitende oder 10 Mio. Euro Jahresumsatz in einem geregelten Sektor.
- Zwei Kategorien: „wesentliche“ und „wichtige“ Einrichtungen, mit sehr ähnlichen Pflichten, aber unterschiedlicher Aufsicht und Bußgeldhöhe.
- Meldefristen bei erheblichen Vorfällen: Frühwarnung binnen 24 Stunden, ausführlichere Meldung binnen 72 Stunden, Abschlussbericht nach spätestens einem Monat.
- Bußgelder: bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche, bis zu 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen.
Schritt 1: Sind wir überhaupt betroffen?
Die Betroffenheit hängt an drei Fragen.
Branche. Erfasst sind unter anderem Energie, Verkehr, Banken, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, aber auch Bereiche wie Lebensmittelproduktion, Abfallwirtschaft, Maschinenbau und IT-Dienstleistung.
Größe. Grob gilt: ab rund 50 Mitarbeitenden oder zehn Millionen Euro Jahresumsatz wird es relevant. Es gibt Ausnahmen nach oben wie nach unten, deshalb ersetzt die Faustregel keine genaue Prüfung.
Rolle in der Lieferkette. Das ist der Punkt, den die meisten unterschätzen. Auch wenn Ihre eigene Branche nicht direkt gelistet ist, kann ein einziger größerer Kunde Sie über vertragliche Sicherheitsanforderungen faktisch in die Pflicht nehmen.
Ein Beispiel aus unserer Praxis: Ein Metallverarbeiter mit 30 Mitarbeitenden liegt unter der Größenschwelle und wäre für sich genommen nicht erfasst. Sein größter Kunde ist aber ein Energieversorger, also eine wesentliche Einrichtung. Mit der nächsten Rahmenvertragsverlängerung kam ein Sicherheitsfragebogen mit 40 Punkten, von MFA bis Vorfall-Meldeweg. Formal ist das keine NIS2-Pflicht des Zulieferers. Praktisch entscheidet der ausgefüllte Fragebogen darüber, ob der Auftrag bleibt.
Wer hier ehrlich hinsieht, spart sich später Überraschungen. Den schnellen Einstieg gibt unser NIS2-Schnellcheck in vier Fragen.
Schritt 2: Verantwortung benennen
NIS2 verlangt nicht nur Maßnahmen, sondern Verantwortlichkeit auf Leitungsebene. Die Geschäftsführung kann die Umsetzung delegieren, aber nicht die Verantwortung - sie muss die Maßnahmen freigeben, ihre Umsetzung überwachen und haftet bei Verstößen. Genau hier scheitern die meisten Projekte: Die Pflichten sind bekannt, aber niemand hat den Hut auf, und das Thema versandet zwischen Geschäftsführung und externer IT.
Klären Sie deshalb zuerst, wer zuständig ist, bevor Sie über einzelne Werkzeuge sprechen. Ohne diese Zuordnung bleibt jede Maßnahme Stückwerk.
Schritt 3: Die zentralen Maßnahmen
NIS2 nennt einen Katalog an Mindestmaßnahmen. Übersetzt in den Alltag eines KMU sind das im Kern:
- Risikomanagement und eine Sicherheitsleitlinie
- Multi-Faktor-Authentifizierung für alle Konten
- ein dokumentierter Prozess für Sicherheitsvorfälle
- regelmäßig getestete Backups und ein Wiederanlaufplan
- Zugriffs- und Berechtigungskonzept nach dem Prinzip der minimalen Rechte
- Protokollierung und Erkennung von Auffälligkeiten
- Verschlüsselung sensibler Daten
- Sicherheit in der Lieferkette und bei Dienstleistern
- Schulung der Mitarbeitenden
Das sind keine exotischen Anforderungen. Eine richtig konfigurierte Microsoft-365-Umgebung deckt die zentralen technischen Punkte ab: MFA und Conditional Access sind Bordmittel, Intune liefert die Geräteverwaltung, Defender die Erkennung, und die Protokollierung läuft mit. Wir bündeln das unter Information Protection: Sensitivity Labels, DLP und ein Berechtigungskonzept, das einer Prüfung standhält.
Was Microsoft 365 nicht abnimmt, sind die organisatorischen Pflichten: die Risikobewertung, die Zuständigkeiten, der geübte Meldeprozess. Wer behauptet, ein Produkt allein mache NIS2-konform, verkauft Ihnen etwas.
Schritt 4: Der Nachweis ist der eigentliche Kern
NIS2 wird im Zweifel geprüft, und im Schadensfall haftet die Leitung. Entscheidend ist deshalb nicht, dass etwas getan wurde, sondern dass es nachvollziehbar dokumentiert ist: Wer hat wann was umgesetzt, wie werden Vorfälle erkannt und gemeldet, wie oft werden Backups getestet, wer hat Zugriff worauf.
Was nicht belegt ist, gilt im Ernstfall als nicht vorhanden. Der häufigste Fehler ist deshalb nicht fehlende Technik, sondern fehlende Dokumentation. In einem unserer Projekte, einem Produktionsbetrieb mit 45 Mitarbeitenden, waren zwei Drittel der technischen Maßnahmen faktisch vorhanden - nachweisen konnte der Betrieb davon fast nichts. Die 90 Tage Projektlaufzeit gingen zur Hälfte in die Dokumentation, nicht in die Technik. Wie das Projekt ausging, lesen Sie in unseren Referenzen.
Die Meldepflicht im Blick behalten
Ein eigener Punkt, der oft übersehen wird: NIS2 sieht kurze Fristen für die Meldung erheblicher Sicherheitsvorfälle vor, gestaffelt von einer ersten Frühwarnung binnen 24 Stunden über die Meldung binnen 72 Stunden bis zum Abschlussbericht nach einem Monat. Wer im Ernstfall erst überlegt, wen er informieren muss, hat schon verloren. Der Meldeprozess gehört vorbereitet und einmal durchgespielt: Wer erkennt den Vorfall, wer entscheidet über die Meldung, wer spricht mit der Behörde, wer mit den Kunden.
Was NIS2 nicht ist
NIS2 ist kein einmaliges Projekt, das man abhakt. Die Sicherheitslage verändert sich, Mitarbeitende wechseln, neue Systeme kommen dazu. Der Nachweis muss laufend aktuell bleiben, sonst ist er beim nächsten Vorfall wertlos. Deshalb gehört zu einer ehrlichen Umsetzung immer auch der laufende Betrieb. Wer den Schutz als Gesamtpaket denkt, findet das in MS365 Fortress AI.
NIS2 ist auch kein Grund für Panikkäufe. Die Anforderungen sind über Monate planbar, und die meisten KMU haben mit ihrer Microsoft-Umgebung schon mehr in der Hand, als sie glauben. Teuer wird es vor allem für die, die bis zur ersten Kundenprüfung oder zum ersten Vorfall warten.
Kurz gefasst
- Klären Sie zuerst die Betroffenheit, auch über die Lieferkette.
- Benennen Sie eine verantwortliche Person, bevor Technik kommt.
- Setzen Sie die zentralen Maßnahmen um und dokumentieren Sie sie prüfungsfest.
- Bereiten Sie den Meldeprozess vor und halten Sie den Nachweis laufend aktuell.
Wir gehen das in einem geordneten Ablauf an - Betroffenheit, Gap-Analyse, Umsetzung, Nachweis - in der Regel in 90 Tagen und zum Festpreis. Wenn Sie nicht sicher sind, wo Sie stehen, machen Sie den NIS2-Schnellcheck oder wir klären es in einem Erstgespräch. 30 Minuten, unverbindlich, mit konkreten nächsten Schritten.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in vier Fragen. Keine Registrierung, kein Download, Sie bekommen eine konkrete Einschätzung im kurzen Gespräch.