Leitfaden zur NIS2 Umsetzung in Österreich

Ein täuschend echt wirkendes E-Mail, ein gesperrtes Microsoft-365-Konto oder ein Serverausfall kann den Betrieb eines kleineren Unternehmens rasch bremsen. Genau hier setzt NIS2 an: Sicherheit soll nicht erst dann Thema werden, wenn Produktion, Auftragsabwicklung oder Kommunikation bereits stillstehen. Wer nach einem Leitfaden NIS2 Umsetzung Österreich sucht, braucht deshalb keine Sammlung abstrakter IT-Begriffe, sondern eine klare Reihenfolge für Entscheidungen, Zuständigkeiten und umsetzbare Maßnahmen.

Was NIS2 für österreichische KMU tatsächlich bedeutet

NIS2 ist eine europäische Richtlinie für Cybersicherheit. In Österreich wird sie durch nationale Regelungen, insbesondere das NISG 2024 und ergänzende Vorgaben, konkretisiert. Welche Unternehmen unmittelbar verpflichtet sind, hängt nicht allein von der Mitarbeiterzahl ab. Branche, Größe, erbrachte Leistungen und die Bedeutung für Versorgung oder Wirtschaft spielen zusammen.

Typisch betroffen sind unter anderem Organisationen in Bereichen wie Energie, Verkehr, Gesundheit, digitaler Infrastruktur, Abfallwirtschaft, Produktion bestimmter kritischer Güter oder IT-Dienstleistungen. Doch auch Unternehmen, die nicht direkt in den Geltungsbereich fallen, sollten NIS2 nicht vorschnell abhaken. Auftraggeber können Sicherheitsnachweise verlangen, Versicherer stellen strengere Fragen und größere Kunden prüfen zunehmend ihre Lieferkette.

Für ein Unternehmen mit 20 oder 80 Mitarbeitenden ist die Kernfrage daher nicht: „Müssen wir jedes Detail wie ein Konzern umsetzen?“ Die bessere Frage lautet: „Können wir zeigen, dass wir unsere realen IT-Risiken kennen, Entscheidungen nachvollziehbar treffen und bei einem Vorfall handlungsfähig bleiben?“

Die verbindliche Einstufung ist eine rechtliche Frage. Sie sollte bei Unklarheit mit fachlicher und rechtlicher Unterstützung geprüft werden. IT-Beratung kann die technische Ausgangslage bewerten, ersetzt aber keine Rechtsberatung. Diese Trennung ist sinnvoll, weil sie Verantwortlichkeiten sauber hält.

Leitfaden zur NIS2 Umsetzung in Österreich: mit der Betroffenheit beginnen

Viele Projekte starten mit dem Kauf eines neuen Sicherheitstools. Das ist meist der falsche erste Schritt. Zuerst muss klar sein, welche Systeme, Daten und Abläufe für das Unternehmen kritisch sind. Ohne diese Grundlage wird Sicherheit teuer, lückenhaft oder beides.

Eine belastbare Erstprüfung beantwortet vier Punkte: Fällt das Unternehmen voraussichtlich direkt unter die Vorgaben? Welche gesetzlichen, vertraglichen oder versicherungsseitigen Anforderungen bestehen? Welche Geschäftsprozesse wären bei einem IT-Ausfall besonders betroffen? Und wer trägt intern die Verantwortung für Entscheidungen und Nachweise?

Gerade die Geschäftsführung sollte hier nicht nur eine Freigabe erteilen. NIS2 rückt die Leitungsorgane stärker in die Verantwortung. Das bedeutet nicht, dass Geschäftsführer selbst Firewalls konfigurieren müssen. Sie müssen aber angemessene Maßnahmen veranlassen, deren Umsetzung kontrollieren und sich verständlich berichten lassen. Ein Bericht, den niemand im Management einordnen kann, erfüllt seinen Zweck nicht.

Praktisch hilft ein kurzer Risikotermin mit Geschäftsführung, Fachbereichen und IT-Verantwortung. Dabei wird nicht über jedes technische Detail gesprochen. Es geht um Fragen wie: Was kostet uns ein Tag ohne E-Mail? Können wir Rechnungen oder Lieferscheine noch bearbeiten? Wo liegen personenbezogene Daten? Was passiert, wenn ein einzelnes Administratorkonto übernommen wird? Welche externen Dienstleister benötigen Zugang zu unseren Systemen?

Risiken priorisieren statt Maßnahmen sammeln

NIS2 verlangt ein systematisches Risikomanagement. Das klingt umfangreich, lässt sich für KMU aber pragmatisch aufbauen. Entscheidend ist, die größten Schäden zuerst zu vermeiden und die Ergebnisse nachvollziehbar festzuhalten.

Bei vielen Unternehmen liegen die dringendsten Risiken nicht in exotischen Angriffsszenarien, sondern in bekannten Lücken: gemeinsame Benutzerkonten, fehlende Mehrfaktor-Authentifizierung, unklare Administratorrechte, Geräte ohne zentrale Verwaltung, keine getesteten Backups oder E-Mails ohne ausreichenden Schutz vor Manipulation. Auch alte Zugänge ehemaliger Mitarbeitender und externe Partnerkonten werden häufig übersehen.

Eine sinnvolle Priorisierung bewertet zwei Dinge: Wie wahrscheinlich ist ein Vorfall und wie groß wäre sein Schaden? Ein Ausfall des ERP-Systems während der Hochsaison kann kritischer sein als die Störung eines einzelnen Archivordners. Ein kompromittiertes E-Mail-Postfach der Buchhaltung kann wiederum Zahlungsbetrug auslösen, obwohl der technische Schaden zunächst klein wirkt.

Dokumentieren Sie dabei nicht nur Risiken, sondern auch Entscheidungen. Wenn ein Risiko vorübergehend akzeptiert wird, sollte festgehalten werden, warum das geschieht, wer es entschieden hat und bis wann eine Verbesserung geplant ist. Das schafft Transparenz und verhindert, dass offene Punkte in der täglichen Hektik verschwinden.

Die technischen Grundlagen müssen im Alltag funktionieren

NIS2-Konformität entsteht nicht durch ein PDF im Ablageordner. Sicherheitsmaßnahmen müssen im laufenden Betrieb wirksam sein. Für viele KMU bilden Identitäten, Endgeräte, E-Mail und Datensicherung die entscheidenden Grundlagen.

Der Schutz von Benutzerkonten hat hohe Priorität. Mehrfaktor-Authentifizierung sollte besonders für E-Mail, Cloud-Dienste, Fernzugriffe und Administrationskonten verbindlich sein. Administratorrechte gehören nur dorthin, wo sie tatsächlich gebraucht werden. Ein separates Administratorkonto ist zwar etwas mehr Aufwand, begrenzt aber den Schaden erheblich, wenn ein normales Benutzerkonto übernommen wird.

Bei Endgeräten reicht es nicht, einen Virenschutz zu installieren. Notebooks und PCs sollten zentral verwaltet sein, aktuelle Sicherheitsupdates erhalten und bei Verlust sperrbar sein. Auch Verschlüsselung und klare Regeln für private Geräte gehören in die Betrachtung. Ob private Geräte überhaupt zulässig sind, hängt von Arbeitsweise, Datenarten und vorhandener Betreuung ab. Ein pauschales Ja oder Nein ist selten sinnvoll.

Microsoft 365 verdient besondere Aufmerksamkeit. Ein vorhandenes Lizenzpaket ist noch keine sichere Umgebung. Prüfen Sie Anmelderichtlinien, Administratorrollen, externe Freigaben, Protokollierung und die Absicherung von Exchange Online, Teams und SharePoint. Besonders bei E-Mail sollten SPF, DKIM und DMARC sauber eingerichtet sein. Diese Verfahren verhindern nicht jede Phishing-Nachricht, reduzieren aber Missbrauch der eigenen Domain und verbessern die Erkennbarkeit gefälschter Absender.

Backups sind ein weiterer Prüfpunkt. Die Annahme, dass Cloud-Daten automatisch vollständig und jederzeit wiederherstellbar sind, ist riskant. Ein Backup-Konzept sollte festlegen, welche Daten gesichert werden, wie lange sie aufbewahrt werden, wer Wiederherstellungen auslösen darf und wie oft diese Wiederherstellung getestet wird. Ein Backup ohne Test ist lediglich eine Hoffnung.

Vorfälle vorbereiten, bevor sie eskalieren

Ein Sicherheitsvorfall beginnt oft unspektakulär: Eine Mitarbeiterin meldet eine auffällige Anmeldung, ein Lieferant erhält falsche Zahlungsdaten oder mehrere Dateien lassen sich nicht mehr öffnen. In solchen Momenten braucht es keine lange Suche nach Zuständigkeiten.

Erstellen Sie einen kurzen, praxistauglichen Notfallablauf. Er sollte festhalten, wer zuerst informiert wird, wer technische Sofortmaßnahmen veranlasst, wer Entscheidungen für den Betrieb trifft und wer extern kommuniziert. Dazu gehören auch aktuelle Kontaktdaten für IT-Betreuung, Geschäftsführung, Datenschutzverantwortliche, Versicherer und gegebenenfalls Behörden.

Die NIS2-Regelungen sehen je nach Fall abgestufte Meldepflichten und enge Fristen vor. Deshalb muss ein Unternehmen früh erkennen können, ob ein Vorfall erheblich sein könnte. Die genaue Meldepflicht und Frist richtet sich nach der jeweils anwendbaren österreichischen Rechtslage und dem konkreten Ereignis. Im Zweifel sollte nicht erst am letzten Tag abgeklärt werden, ob eine Meldung notwendig ist.

Ein kurzer Notfalltest bringt mehr als eine umfangreiche Richtlinie, die niemand gelesen hat. Simulieren Sie etwa den Ausfall von E-Mail oder einen verdächtigen Zahlungsauftrag. So wird sichtbar, ob Ansprechpartner erreichbar sind, Zugänge vorhanden sind und wichtige Abläufe auch unter Druck funktionieren.

Nachweise: so viel wie nötig, nicht so viel wie möglich

Dokumentation ist kein Selbstzweck. Sie zeigt, dass Sicherheit geplant, umgesetzt und überprüft wird. Für KMU genügt meist eine schlanke, gepflegte Struktur besser als ein hundertseitiges Handbuch.

Dazu gehören eine Übersicht der wichtigsten Systeme und Dienstleister, eine Risikobewertung, Zuständigkeiten, Sicherheitsrichtlinien für Mitarbeitende, ein Berechtigungskonzept, Backup- und Notfallabläufe sowie Protokolle über Tests, Schulungen und Verbesserungen. Auch Entscheidungen der Geschäftsführung sollten auffindbar sein.

Wichtig ist der Bezug zur Realität. Wenn die Richtlinie jährliche Schulungen vorsieht, müssen diese auch stattfinden. Wenn ein Dienstleister laut Vertrag Sicherheitsvorgaben erfüllen soll, sollte das überprüfbar sein. Wenn ein Backup täglich läuft, muss die Wiederherstellung zumindest in angemessenen Abständen getestet werden.

Für kleinere Teams lohnt sich ein fester Jahresrhythmus: Risiken aktualisieren, Benutzerrechte prüfen, Notfallablauf testen, Schulungen durchführen und offene Maßnahmen bewerten. Nach größeren Änderungen - etwa bei einer Cloud-Migration, einem neuen ERP-System oder einer Übernahme - sollte die Bewertung früher erfolgen.

Die Lieferkette nicht vergessen

Kaum ein Unternehmen betreibt seine gesamte IT selbst. Managed Service Provider, Cloud-Anbieter, Softwarehäuser, Telefoniepartner oder externe Buchhaltung können Zugriff auf Daten und Systeme haben. Damit werden sie Teil des Sicherheitsbildes.

Prüfen Sie bei wichtigen Dienstleistern, welche Leistungen sie konkret absichern, wie Vorfälle gemeldet werden, wo Daten verarbeitet werden und was bei Vertragsende passiert. Entscheidend ist nicht, möglichst viele Fragebögen einzusammeln. Entscheidend ist, dass Zuständigkeiten verständlich geregelt sind.

Auch bei der eigenen IT-Betreuung sollte klar sein, wer Änderungen freigibt, wer Sicherheitsmeldungen überwacht und wie schnell bei kritischen Vorfällen reagiert wird. Ein persönlicher Ansprechpartner mit Kenntnis der Umgebung ist dabei oft wertvoller als ein anonymes Ticketsystem. Cloudschmiede setzt deshalb auf klar abgegrenzte Betreuung und nachvollziehbare Maßnahmen statt auf komplizierte Sicherheitsversprechen.

Der nächste sinnvolle Schritt

Beginnen Sie nicht mit Perfektion, sondern mit einem ehrlichen Lagebild. Prüfen Sie Betroffenheit, benennen Sie Verantwortliche und schließen Sie die größten Lücken bei Konten, Endgeräten, E-Mail, Backups und Notfallabläufen. Danach lässt sich ein realistischer Maßnahmenplan erstellen, der zum Unternehmen passt und im Alltag auch eingehalten wird.

NIS2 ist kein Projekt, das nach einer einmaligen Prüfung erledigt ist. Wer Sicherheit als festen Teil der Unternehmensführung behandelt, reduziert nicht nur rechtliche Risiken. Er sorgt vor allem dafür, dass der Betrieb auch dann weiterlaufen kann, wenn ein Angriff oder Fehler zur ungünstigsten Zeit kommt.