NIS2: Sind Sie betroffen — und was müssen Sie tun?

Was NIS2 ist

NIS2 ist die EU-Richtlinie zur Cybersicherheit kritischer und wichtiger Einrichtungen. Sie löst die NIS-Richtlinie von 2016 ab und erweitert den Kreis der Betroffenen erheblich — von Energie, Verkehr und Gesundheit über Abfall und Lebensmittel bis zu IT-Dienstleistern und Post. Umgesetzt wird sie in nationales Recht; für Österreich ist das NISG maßgeblich.

Die drei Pflichten, an denen sich alles aufhängt

Risikomanagement (Artikel 21)

Zehn Maßnahmenbereiche, von der Risikoanalyse über Backup und Krisenmanagement bis zu Mehrfaktor-Authentifizierung und Lieferkettensicherheit. Sie müssen nicht nur existieren, sondern nachweisbar sein.

Meldepflicht (Artikel 23)

Bei einem erheblichen Sicherheitsvorfall: 24 Stunden Frühwarnung, 72 Stunden Meldung, ein Monat Abschlussbericht. Die Uhr läuft ab Kenntnis, nicht ab Feierabend.

Verantwortung der Leitung (Artikel 20)

Das Leitungsorgan muss die Maßnahmen genehmigen, ihre Umsetzung überwachen und selbst geschult sein. Die Richtlinie adressiert die Leitung ausdrücklich — das ist der Unterschied zu jeder früheren Regelung.

Diese Seite ist eine Einordnung, keine Rechtsberatung. Was für Ihr Unternehmen gilt, entscheidet das nationale Umsetzungsgesetz.

Was das Produkt abdeckt

Zwölf Module entlang der Pflichten der Richtlinie. Was heute schon misst, ist als verfügbar gekennzeichnet; der Rest ist in Vorbereitung und steht hier mit dem, was er können wird. Wir zeigen den ganzen Umfang, damit Sie wissen, worauf Sie sich einlassen — und was noch nicht da ist.

Die zwölf Module

Katalogfassung 1.0.0 · 5 von 12 Modulen sind freigegeben. Die uebrigen stehen mit dem, was sie erheben werden, und dem Release, mit dem sie kommen.

1. Betroffenheit NIS2 Art. 2 und Art. 3 verfügbar Beantwortet, ob die Richtlinie für dieses Unternehmen überhaupt gilt — und als was. Anonymer Check ohne Anmeldung, Einstufung als wesentliche oder wichtige Einrichtung, Ergebnis als PDF, dauerhaft geführt statt einmalig. Dafür brauchen Sie: Nichts. Der Check läuft ohne Anmeldung; Sie beantworten Fragen zu Sektor, Größe und Standorten.
2. Geltungsbereich NIS2 Art. 2, Art. 3 und Anhänge I/II verfügbar Hält fest, worauf sich die Pflichten beziehen — Einrichtungsart, Sektor, Größenklasse, Standorte. Einrichtungsart, Sektor nach Anhang I/II, Größenklasse, betroffene Standorte, Meldepflicht ja/nein und zuständige Behörde. Fortgeschrieben statt einmalig erhoben: eine Bestätigung trägt zwölf Monate, danach fällt der Stand von selbst. Dafür brauchen Sie: Ein Zugang und die Eckdaten Ihres Unternehmens: Einrichtungsart, Sektor, Größenklasse, Standorte. Nach zwölf Monaten fragt das Modul von selbst nach.
3. Risikomanagement NIS2 Art. 21 Abs. 2 lit. a bis j verfügbar Die zehn Maßnahmenbereiche einzeln geführt — das Herz der Verordnung. Je Maßnahmenbereich Reifegrad, Nachweisdokument, Verantwortlicher und Frist. Zehn Bereiche, 27 Kontrollpunkte nach Katalogfassung 0.9.0-entwurf. Dafür brauchen Sie: Je Maßnahmenbereich eine verantwortliche Person und die Nachweise, die es bei Ihnen schon gibt.
4. Vorfallsmeldung NIS2 Art. 23 geplant · Release 5 Führt durch die drei Meldestufen und hält die Fristen nach. 24 h Frühwarnung, 72 h Meldung, 1 Monat Abschlussbericht als geführter Ablauf mit Countdown und vorbereiteten Meldetexten. Das einzige Modul mit echter Uhr. Dafür brauchen Sie: Einen eingetretenen Vorfall und die Kontaktdaten Ihrer zuständigen Behörde.
5. Lieferkette NIS2 Art. 21 Abs. 2 lit. d verfügbar Bewertet die Lieferanten und hält ihre Nachweise nach. Lieferantenregister, Fragebogen, technische Bewertung, Sanktionsabgleich, Zertifikatsfristen, Vorfälle je Lieferant, Nachweisexport. Dafür brauchen Sie: Ein Zugang und Ihre Lieferantenliste — einzeln erfasst oder als CSV-Datei. Für den Fragebogen zusätzlich je Lieferant eine Ansprechadresse.
6. Asset- und Dienstverzeichnis NIS2 Art. 21 Abs. 2 lit. i geplant · Release 7 Sagt, was überhaupt geschützt wird — die Bezugsgröße jeder Risikoaussage. Verzeichnis der Systeme, Dienste und Datenbestände mit Kritikalität, Verantwortlichem und Abhängigkeiten. Ohne dieses Modul hat keine Risikozahl einen Nenner. Dafür brauchen Sie: Eine Liste Ihrer Systeme, Dienste und Datenbestände mit je einem Verantwortlichen.
7. Geschäftsfortführung NIS2 Art. 21 Abs. 2 lit. c geplant · Release 8 Backup, Wiederanlauf und Krisenmanagement mit Testnachweis. Wiederanlaufpläne, Backup-Konzept, Krisenorganisation — je mit letztem Testdatum. Ein Plan ohne Test ist ein Dokument, kein Nachweis. Dafür brauchen Sie: Ihre Wiederanlaufziele, das Backup-Konzept und die Notfallkontakte — dazu, wann zuletzt getestet wurde.
8. Nachweise und Dokumente NIS2 Art. 21 Abs. 1 und Art. 32 geplant · Release 9 Die Ablage, aus der bei einer Prüfung die Mappe entsteht. Dokument je Kontrollpunkt mit Ablaufdatum und Erinnerung. Ein Nachweis, dessen Frist abgelaufen ist, fällt VON SELBST auf grau — er altert, ohne dass ihn jemand anfasst. Dafür brauchen Sie: Die Dokumente selbst, je Dokument mit Gültigkeit und verantwortlicher Person.
9. Schulung und Leitungspflicht NIS2 Art. 20 und Art. 21 Abs. 2 lit. g geplant · Release 10 Sensibilisierung der Belegschaft und die persönliche Pflicht der Leitung. Schulungsplan, Teilnahmenachweise, Auffrischungsfristen — und getrennt davon die Leitungspflicht nach Art. 20: Genehmigung der Maßnahmen und eigene Schulung des Leitungsorgans. Dafür brauchen Sie: Teilnahmenachweise Ihrer Schulungen und den Nachweis der Schulung des Leitungsorgans.
10. Audit-Vorbereitung NIS2 Art. 32 und Art. 33 geplant · Release 11 Bringt den Stand in die Form, die ein Prüfer verlangt. Selbstbewertung, Lückenbericht und Exportpaket für den Prüfer — aus demselben Bestand, den die anderen Module führen, ohne zweite Erfassung. Dafür brauchen Sie: Den Prüftermin und die Prüfstelle. Die Inhalte kommen aus den übrigen Modulen, ohne zweite Erfassung.
11. Technische Lage NIS2 Art. 21 Abs. 2 lit. e und lit. j verfügbar Hängt die eigenen Messungen als Beleg an die Selbstauskunft. Öffentlich feststellbare Lage der eigenen Domänen: DMARC, SPF, DKIM, TLS-Zertifikat, DNSSEC, HSTS und bekannte Datenlecks. Später zusätzlich DarkWatch, Surface, MailGuard und WebWatch als Belege je Kontrollpunkt. Dafür brauchen Sie: Ein Zugang und die Domänen Ihres Unternehmens. Gemessen wird von außen — kein Zugriff auf Ihre Systeme, keine Installation.
12. Berichte NIS2 Art. 20 Abs. 1 geplant · Release 13 Vorstandsbericht, Prüfbericht und der Verlauf über die Zeit. Bericht für das Leitungsorgan, Bericht für den Prüfer, Verlaufskurve. Die Aufzeichnungen dafür laufen AB DEM ERSTEN TAG mit, auch solange es die Ansicht nicht gibt — ein Verlauf lässt sich nicht rückwirkend erheben. Dafür brauchen Sie: Mindestens ein Modul, das bereits Daten führt. Der Verlauf entsteht ab dem ersten Tag, auch bevor es die Ansicht gibt.

Was ein Modul ohne Daten bei uns anzeigt

Nichts. Genauer: den Satz „noch nicht erhoben" und daneben, was es erheben wird. Sie werden in diesem Produkt nie ein leeres Diagramm oder ein graues 0 % sehen, wo nichts gemessen wurde. Eine Zahl, die aussieht wie eine Messung und keine ist, ist bei einem Compliance-Werkzeug das Schlimmste, was passieren kann — sie ist die Grundlage, auf der jemand eine Meldung unterlässt.

Was es kostet

Der NIS2 Check ist kostenlos. NIS2 Core kostet 690 €, NIS2 Pro 990 € und NIS2 Complete 1390 € je Monat; die Lieferkette allein ab 390 € je Monat. Alle Preise netto, zzgl. USt., Laufzeit 12 Monate.

Alle Pakete, Beratung und Konditionen

Häufige Fragen

Bin ich von NIS2 betroffen?

Das hängt von Sektor, Unternehmensgröße und Tätigkeit ab: maßgeblich sind der Sektor nach Anhang I oder II der Richtlinie, die Größenklasse und die Tätigkeit. Daraus ergibt sich, ob Sie als wesentliche oder als wichtige Einrichtung gelten oder ob sich nach den Angaben keine Einstufung als wesentliche oder wichtige Einrichtung ergibt.

Was muss ich konkret tun?

Die Richtlinie verlangt zehn Maßnahmenbereiche nach Artikel 21, ein Meldeverfahren mit Fristen von 24 Stunden, 72 Stunden und einem Monat nach Artikel 23, und sie nimmt die Geschäftsleitung nach Artikel 20 persönlich in die Pflicht.

Was passiert, wenn ich nichts tue?

Die Richtlinie sieht Aufsichtsmaßnahmen und Geldbußen vor und adressiert die Leitungsorgane ausdrücklich. Die genauen Beträge und Verfahren regelt das nationale Umsetzungsgesetz.

Wie fange ich an?

Mit der Einordnung, ob und als was Sie betroffen sind. Darauf bauen alle weiteren Pflichten auf — Umfang, Maßnahmen und Meldewege richten sich nach der Einstufung.