NIS2-Maßnahmen technisch umsetzen

Das hängt vor allem von Sektor und Größe ab. Die Richtlinie (EU) 2022/2555 erfasst Einrichtungen in 18 Sektoren nach den Anhängen I und II, in der Regel ab mittlerer Größe: ab 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Manche Einrichtungen sind unabhängig von der Größe erfasst. Maßgeblich ist das nationale Gesetz, in Österreich das NISG 2026. Die verbindliche Prüfung nehmen Sie mit Ihrer Rechtsberatung vor; wir unterstützen bei der technischen Umsetzung.

Das NISG 2026 ist die österreichische Umsetzung von NIS2. Es wurde als BGBl. I Nr. 94/2025 kundgemacht und ist seit 1. Oktober 2026 in Kraft. Betroffene Einrichtungen müssen Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle fristgerecht melden und die Verantwortung der Leitung wahrnehmen. Konkrete Pflichten wie Registrierung und Fristen ergeben sich aus dem Gesetzestext; lassen Sie diese rechtlich prüfen. Für Standorte in anderen EU-Staaten gilt in der Regel das dortige Umsetzungsgesetz.

Für erhebliche Sicherheitsvorfälle sieht Art. 23 NIS2 drei Stufen vor: eine Frühwarnung unverzüglich, spätestens 24 Stunden nach Kenntnis, eine Meldung spätestens 72 Stunden nach Kenntnis mit einer ersten Bewertung und einen Abschlussbericht spätestens einen Monat nach der Meldung. Empfänger ist das CSIRT oder die zuständige Behörde. Damit das gelingt, müssen Vorfälle schnell erkannt und belegt werden; dabei helfen ACDC mit 24/7-Überwachung und ein Managed SIEM mit zentralen Logs.

Art. 21 Abs. 2 nennt zehn Mindestbereiche: Risikoanalyse und Sicherheit der Informationssysteme, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs mit Backup- und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Die Maßnahmen müssen geeignet und verhältnismäßig sein.

snapSEC übernimmt zentrale technische Teile der Umsetzung. blacklens.io macht Angriffsfläche, Schwachstellen und Risiken in der Lieferkette laufend sichtbar. ACDC – Active Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr und unterstützt bei der Bewältigung von Vorfällen. Unser Consulting prüft die Wirksamkeit mit Penetrationstests, Red Teaming, Phishing-Simulationen und Cloud Security Assessments und betreibt auf Wunsch ein Managed SIEM. Organisatorische Aufgaben wie Richtlinien, Notfallpläne und Schulungskonzepte bleiben bei Ihnen.

Nein. Diese Seite und unsere Leistungen sind technische Orientierung, keine Rechtsberatung. snapSEC führt keine Audits durch und stellt keine Zertifikate oder Konformitätsbestätigungen aus. Welche Pflichten für Ihr Unternehmen gelten, ob es als wesentliche oder wichtige Einrichtung eingestuft ist und wie Sie sich registrieren und Vorfälle melden, klären Sie mit Ihrer Rechtsberatung, Ihrem Auditor oder der zuständigen Behörde. Wir setzen technische Maßnahmen um und liefern Ergebnisse, die Sie in Ihre Dokumentation übernehmen können.

Die Leitungsorgane tragen die Verantwortung selbst. Nach Art. 20 NIS2 billigen sie die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können für Verstöße verantwortlich gemacht werden. Ihre Mitglieder müssen außerdem an Schulungen teilnehmen, um Risiken und Praktiken des Cybersicherheits-Risikomanagements beurteilen zu können. Die operative Umsetzung lässt sich delegieren, die Verantwortung der Leitung bleibt. Wie das NISG 2026 die Haftung im Detail regelt, sollten Sie rechtlich prüfen lassen.

Unmittelbar nur, wenn der Zulieferer selbst in den Anwendungsbereich fällt. Mittelbar oft schon: Art. 21 verpflichtet betroffene Einrichtungen, die Sicherheit ihrer Lieferkette zu berücksichtigen, auch in den Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Deshalb geben viele Unternehmen Sicherheitsanforderungen vertraglich an ihre Lieferanten weiter. blacklens.io unterstützt auf beiden Seiten, etwa mit der Überwachung von Lieferanten auf Ransomware-Leaks und dem laufenden Blick auf die eigene Angriffsfläche.