Welche NIS2-Pflichten gelten für KMU in Österreich?

Ein Anruf eines Kunden, ein Fragebogen eines Lieferanten oder eine Anfrage der Geschäftsführung reicht oft aus, um das Thema auf den Tisch zu bringen: Welche NIS2 Pflichten gelten KMU? Die ehrliche Antwort lautet: Nicht jedes kleine oder mittlere Unternehmen fällt direkt unter das Gesetz. Wer abwartet, bis eine formelle Aufforderung kommt, verliert aber wertvolle Zeit. Denn viele Anforderungen betreffen Abläufe, die im Ernstfall ohnehin funktionieren müssen.

NIS2 in Österreich: Zuerst den Geltungsbereich klären

NIS2 ist eine EU-Richtlinie für Cybersicherheit. In Österreich werden die Vorgaben durch das NISG 2024 umgesetzt. Im Mittelpunkt stehen Unternehmen und Einrichtungen, deren Ausfall erhebliche Folgen für Wirtschaft, Versorgung oder öffentliche Leistungen hätte.

Für KMU ist die Größe ein erster Hinweis, aber kein verlässlicher Freifahrtschein. Häufig relevant sind mittlere und größere Unternehmen mit mindestens 50 Beschäftigten sowie bestimmten Umsatz- oder Bilanzkennzahlen. Entscheidend sind zusätzlich Branche, Tätigkeit und Rolle in der Lieferkette. Auch kleinere Organisationen können erfasst sein, wenn sie eine besonders kritische Dienstleistung erbringen.

Typische betroffene Bereiche sind Energie, Verkehr, Gesundheit, Wasser und Abwasser, digitale Infrastruktur, IT-Dienstleistungen für andere Unternehmen, bestimmte produzierende Branchen sowie digitale Anbieter. Ein regionaler Betrieb mit 20 Mitarbeitenden ist daher nicht automatisch außerhalb des Themas. Ein IT-Dienstleister, der zentrale Systeme mehrerer Kunden betreibt, muss seine Einordnung besonders sorgfältig prüfen.

Die Einteilung in wesentliche und wichtige Einrichtungen beeinflusst vor allem die behördliche Aufsicht. Für die Praxis ist das weniger entscheidend als viele vermuten: Die Sicherheitsmaßnahmen müssen in beiden Fällen angemessen, dokumentiert und im Ernstfall nachweisbar sein.

Direkte Pflicht oder Anforderung eines Kunden?

Diese Unterscheidung spart unnötige Maßnahmen und verhindert gefährliche Lücken. Eine direkte NIS2-Pflicht entsteht durch den gesetzlichen Geltungsbereich. Ein Kunde kann hingegen vertraglich Sicherheitsnachweise, Meldewege oder Mindeststandards verlangen. Das ist keine gesetzliche Verpflichtung, kann wirtschaftlich aber genauso relevant sein.

Gerade Zulieferer und IT-Partner erhalten zunehmend Fragen zu Backup, Mehrfaktor-Authentifizierung, Notfallplänen und Unterauftragnehmern. Diese Anforderungen sollte man nicht mit allgemeinen Werbeaussagen beantworten. Gefragt sind konkrete Zuständigkeiten, nachvollziehbare Prozesse und belastbare Nachweise.

Welche NIS2 Pflichten gelten für KMU konkret?

Wer in den Geltungsbereich fällt, muss Cybersicherheit als Führungsaufgabe organisieren. NIS2 verlangt keinen identischen Maßnahmenkatalog für jeden Betrieb. Die Umsetzung muss zum Risiko, zur Unternehmensgröße, zu den genutzten Systemen und zu den möglichen Folgen eines Ausfalls passen. Ein Produktionsbetrieb mit vernetzten Anlagen braucht andere Schwerpunkte als ein Dienstleister, der fast ausschließlich mit Microsoft 365 arbeitet.

Im Kern geht es um ein funktionierendes Sicherheitsmanagement. Dazu gehören Risikoanalysen, technische und organisatorische Schutzmaßnahmen, ein Plan für Sicherheitsvorfälle sowie geregelte Wiederanlaufprozesse. Ebenso wichtig sind Lieferanten und externe IT-Partner. Wer den Betrieb seiner IT weitgehend auslagert, gibt Verantwortung für die Auswahl und Kontrolle nicht ab.

Diese Themen sollten in einem KMU klar geregelt sein:

• Zugriffe müssen geschützt und nachvollziehbar sein. Dazu zählen eindeutige Benutzerkonten, Mehrfaktor-Authentifizierung, passende Berechtigungen und ein sauberer Prozess für Ein- und Austritte.
• Systeme müssen gewartet werden. Sicherheitsupdates, Virenschutz, E-Mail-Schutz und die Überwachung auffälliger Aktivitäten dürfen nicht vom Zufall oder einzelnen Personen abhängen.
• Backups müssen gegen Manipulation geschützt sein und regelmäßig getestet werden. Ein vorhandenes Backup ist kein Beweis dafür, dass eine Wiederherstellung im Ernstfall gelingt.
• Sicherheitsvorfälle brauchen einen klaren Ablauf: Wer entscheidet, wer informiert den IT-Partner, welche Systeme werden gesichert und wie wird der Geschäftsbetrieb weitergeführt?
• Mitarbeiter benötigen praxisnahe Schulungen. Ein gefälschter Zahlungsauftrag oder eine Phishing-Mail wird nicht durch eine Richtlinie im Ordner abgewehrt.

Nicht jede Maßnahme muss intern umgesetzt werden. Für viele Betriebe ist es sinnvoll, Betrieb, Überwachung oder Backup an einen spezialisierten Partner zu übergeben. Die Geschäftsführung muss jedoch wissen, was vereinbart wurde, welche Kontrollen stattfinden und welche Risiken offenbleiben.

Meldepflichten: Die ersten Stunden entscheiden

NIS2 verlangt die Meldung erheblicher Sicherheitsvorfälle. Als Richtwert aus den europäischen Vorgaben gilt: Eine Frühwarnung erfolgt innerhalb von 24 Stunden, eine weiterführende Meldung innerhalb von 72 Stunden. Anschließend folgt ein Abschlussbericht, in der Regel innerhalb eines Monats. Welche Meldewege und Details im österreichischen Verfahren konkret gelten, sollten betroffene Unternehmen aktuell prüfen.

Relevant sind nicht nur erfolgreiche Angriffe. Auch ein Ausfall, der wesentliche Leistungen beeinträchtigt, kann meldepflichtig sein. Ransomware, ein kompromittiertes E-Mail-Konto mit Datenabfluss oder der Verlust wichtiger Betriebsdaten sind typische Szenarien.

Das Problem ist selten die Frist allein. In den ersten Stunden fehlen oft Fakten: Was ist passiert? Welche Daten oder Systeme sind betroffen? Läuft das Backup? Sind Kunden zu informieren? Deshalb braucht es vorab einen Notfallplan mit Ansprechpartnern, Entscheidungswegen und aktuellen Kontaktdaten. Ein Plan, den niemand kennt oder der nur auf einem nicht erreichbaren Server liegt, hilft nicht.

Die Geschäftsführung bleibt verantwortlich

NIS2 verlagert Cybersicherheit ausdrücklich in die Geschäftsleitung. Führungskräfte müssen Maßnahmen genehmigen, deren Umsetzung überwachen und sich regelmäßig schulen lassen. Das bedeutet nicht, dass Geschäftsführer jedes Sicherheitsprotokoll verstehen müssen. Sie müssen aber angemessene Fragen stellen und Entscheidungen nachvollziehbar treffen können.

Eine pauschale Aussage wie Unsere IT kümmert sich darum reicht nicht. Sinnvoller ist ein regelmäßiger, kurzer Sicherheitsbericht: Welche Risiken sind aktuell offen? Welche Systeme sind besonders kritisch? Wann wurde die Wiederherstellung zuletzt getestet? Welche Vorfälle gab es? Welche Maßnahmen stehen noch aus?

Damit entsteht auch eine brauchbare Entscheidungsgrundlage. Manche Risiken lassen sich technisch reduzieren, andere müssen organisatorisch abgesichert werden. Ein kleines Team wird keine eigene Sicherheitsabteilung aufbauen. Es kann aber klare Verantwortlichkeiten schaffen, externe Unterstützung verbindlich steuern und seine wichtigsten Systeme gezielt absichern.

Was bei Microsoft 365 und Cloud-Diensten oft übersehen wird

Viele KMU gehen davon aus, dass ein Cloud-Dienst automatisch alle Sicherheits- und Sicherungsaufgaben übernimmt. Das stimmt nur teilweise. Der Anbieter schützt die Plattform. Für Benutzerkonten, Berechtigungen, Datenfreigaben, Geräte, Einstellungen und die Wiederherstellbarkeit eigener Daten bleibt das Unternehmen zuständig.

Besonders kritisch sind globale Administratorkonten, fehlende Mehrfaktor-Authentifizierung, zu weit gefasste Freigaben und nicht verwaltete private Geräte. Auch E-Mail bleibt ein häufiger Angriffspunkt. SPF, DKIM und DMARC helfen dabei, gefälschte Absender besser zu erkennen und die eigene Domain gegen Missbrauch zu schützen. Sie ersetzen jedoch weder Schulungen noch klare Zahlungsfreigaben.

Bei Backups zählt die Wiederherstellung. Ein Betrieb sollte zumindest nachvollziehen können, wie schnell ein einzelnes Postfach, eine Dateiablage oder ein wichtiger Server wieder verfügbar ist. Die Antwort beeinflusst nicht nur die IT, sondern auch Lieferfähigkeit, Rechnungswesen und Kundenkommunikation.

Ein realistischer Weg zur NIS2-Readiness

Der erste Schritt ist keine Zertifizierung und keine lange Maßnahmenliste. Beginnen Sie mit einer strukturierten Bestandsaufnahme: Fällt das Unternehmen wahrscheinlich unter NISG 2024? Welche Dienstleistungen und Systeme sind geschäftskritisch? Wer hat administrative Zugriffe? Welche externen Anbieter haben Zugriff auf Daten oder Betriebssysteme?

Danach folgt eine Priorisierung. Offene Administratorzugänge, fehlende Mehrfaktor-Authentifizierung, ungetestete Backups und ungeklärte Notfallkontakte gehören in der Regel zuerst auf die Liste. Erst dann lohnt es sich, Richtlinien, Dokumentation und Verträge im Detail auszubauen. Dokumentation ist dabei kein Selbstzweck. Sie zeigt im Vorfall, wer handeln darf und warum eine Maßnahme getroffen wurde.

Für Vorarlberger KMU ist ein pragmatischer Sicherheitscheck oft der sinnvollere Start als ein großer Compliance-Workshop. Cloudschmiede klärt dabei gemeinsam mit dem Unternehmen, was bereits funktioniert, wo tatsächliche Risiken liegen und welche Schritte intern oder mit externer Betreuung sauber umgesetzt werden sollten.

NIS2 ist kein Projekt, das man einmal abhakt. Wer Zuständigkeiten, Schutzmaßnahmen und Notfallabläufe heute ordentlich aufsetzt, erfüllt nicht nur mögliche gesetzliche Pflichten. Das Unternehmen ist auch handlungsfähiger, wenn ein Angriff oder Ausfall tatsächlich passiert.