NIS 2: Was die Richtlinie von Geschäftsführung und IT verlangt

Was ist NIS 2?

NIS 2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie ersetzt die frühere NIS-Richtlinie und erweitert den Kreis der betroffenen Unternehmen deutlich. Die Mitgliedstaaten mussten sie bis 17. Oktober 2024 umsetzen. In Österreich gilt seit 1. Oktober 2026 das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025). Maßgeblich für Unternehmen sind dessen Geltungsbereich, Fristen und Behörden in der geltenden Fassung im RIS.

Dieser Beitrag fasst die Vorgaben der Richtlinie zusammen. Die nationale Umsetzung kann Details anders oder strenger regeln.

Wer ist von NIS 2 betroffen?

Die Richtlinie unterscheidet wesentliche und wichtige Einrichtungen in den Sektoren ihrer Anhänge I und II, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Lebensmittel, Abfallwirtschaft oder Herstellung bestimmter Produkte. Grundsätzlich erfasst sie mittlere und große Unternehmen in diesen Sektoren; für einige Bereiche gilt sie unabhängig von der Größe (Art. 2). Auch nicht direkt erfasste Unternehmen spüren NIS 2: Betroffene Kunden müssen die Sicherheit ihrer Lieferkette berücksichtigen und fragen bei Lieferanten nach.

Welche Pflichten hat die Geschäftsführung?

Nach Art. 20 müssen die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie können für Verstöße verantwortlich gemacht werden. Mitglieder der Leitungsorgane müssen an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können (Art. 20 Abs. 2). Cybersicherheit ist damit ausdrücklich Aufgabe der Geschäftsführung.

Welche Risikomanagementmaßnahmen verlangt Art. 21?

Art. 21 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen. Sie umfassen mindestens:

• Konzepte für Risikoanalyse und Sicherheit von Informationssystemen,
• Bewältigung von Sicherheitsvorfällen,
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement,
• Sicherheit der Lieferkette,
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit Schwachstellen,
• Bewertung der Wirksamkeit der Maßnahmen,
• grundlegende Cyberhygiene und Schulungen,
• Kryptografie und, wo angebracht, Verschlüsselung,
• Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen,
• Multi-Faktor-Authentifizierung und gesicherte Kommunikation, wo angebracht.

Maßstab ist unter anderem der Stand der Technik. Für bestimmte digitale Dienste konkretisiert ein Durchführungsrechtsakt der Kommission die Anforderungen.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle sind der zuständigen Stelle in Stufen zu melden (Art. 23):

Daneben können Meldepflichten nach anderen Gesetzen bestehen, etwa nach Art. 33 DSGVO bei Verletzungen des Schutzes personenbezogener Daten.

Welche Geldbußen sieht NIS 2 vor?

Die Richtlinie gibt für Verstöße gegen Art. 21 oder 23 Mindesthöchstbeträge für Geldbußen vor (Art. 34 Abs. 4 und 5): für wesentliche Einrichtungen mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen mindestens 7 Millionen Euro oder 1,4 %, jeweils der höhere Betrag. Die konkrete Höhe regelt das nationale Recht.

Erste Schritte zur Umsetzung

• Klären Sie, ob und als welche Einrichtung Ihr Unternehmen nach dem nationalen Gesetz gilt.
• Legen Sie Zuständigkeiten fest und informieren Sie die Geschäftsführung über ihre Pflichten.
• Gleichen Sie Ihre Maßnahmen mit der Liste in Art. 21 ab, etwa anhand eines ISMS nach ISO/IEC 27001.
• Üben Sie den Meldeprozess mit den Fristen 24 Stunden, 72 Stunden und einem Monat.
• Verfolgen Sie Durchführungsrechtsakte, Leitlinien und Änderungen des nationalen Gesetzes.

Ob Ihr Unternehmen im Einzelfall erfasst ist, klären Sie mit Ihrer Rechtsberatung oder der zuständigen Behörde. Lexploris verfolgt NIS 2, die nationale Umsetzung und begleitende Rechtsakte und macht aus relevanten Änderungen Aufgaben mit Frist.