NIS2 (EU-Richtlinie 2022/2555) verpflichtet mittlere und große Unternehmen aus 18 Sektoren zu Cybersicherheits-Mindestmaßnahmen und Meldepflichten; in Österreich gilt dafür seit 1. Oktober 2026 das NISG 2026, zuständig ist das Bundesamt für Cybersicherheit. Kleinbetriebe sind meist nicht direkt betroffen – über Sicherheits-Fragebögen ihrer Industriekunden (Lieferkette) erreicht sie das Thema aber trotzdem. Die geforderten Basics – geprüftes Backup, Updates, 2FA, Phishing-Schulung – lohnen sich für jeden Betrieb.
- Direkt betroffen: i. d. R. ab 50 Mitarbeitern oder über 10 Mio. € Umsatz und Bilanzsumme in einem der 18 Sektoren (§ 25 NISG 2026).
- Kleinbetriebe: meist nur indirekt – über Lieferketten-Anforderungen ihrer Kunden.
- Fristen für Betroffene: Registrierung bis Ende 2026; Vorfälle: Frühwarnung binnen 24 h, Meldung binnen 72 h, Abschlussbericht binnen eines Monats.
- Strafen bis 10 Mio. € bzw. 2 % (wesentliche) oder 7 Mio. € bzw. 1,4 % des Umsatzes (wichtige Einrichtungen); Geschäftsleitung persönlich in der Pflicht.
Kaum ein IT-Thema verunsichert Betriebe derzeit so wie NIS2. Beraterpost, Webinar-Einladungen, teils dramatische Schlagzeilen – und dazwischen die Frage: „Betrifft mich das überhaupt?“ Die ehrliche Antwort für die meisten Klein- und Kleinstbetriebe: direkt eher nein – indirekt sehr oft ja. Und die geforderten Maßnahmen sind größtenteils genau das, was ohnehin jeder Betrieb haben sollte.
Was ist NIS2 überhaupt?
NIS2 ist die EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit – der Nachfolger der ersten NIS-Richtlinie. Sie verpflichtet deutlich mehr Unternehmen als bisher zu einem Mindestniveau an Cybersicherheit und zu Meldepflichten bei Sicherheitsvorfällen. In Österreich wird sie mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt, das am 1. Oktober 2026 in Kraft getreten ist und das NISG 2018 ablöst. Zuständig ist das neue Bundesamt für Cybersicherheit, eine dem Innenministerium nachgeordnete Behörde; Vorfälle werden an das zuständige CSIRT gemeldet.
Die wichtigsten Fristen für betroffene Einrichtungen: Registrierung beim Bundesamt binnen drei Monaten ab Inkrafttreten, also bis Ende 2026; Selbstdeklaration über die umgesetzten Maßnahmen binnen zwölf Monaten nach Eintritt der Registrierungspflicht.
Wer ist direkt betroffen?
Direkt erfasst sind „wesentliche“ und „wichtige“ Einrichtungen aus 18 Sektoren (Anhang I und II der Richtlinie) – darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Post, Abfall, Chemie, Lebensmittel und verarbeitendes Gewerbe (z. B. Maschinenbau, Elektronik, Fahrzeugbau). Als Faustregel gilt die Größenschwelle:
- Mittlere Unternehmen: ab 50 Mitarbeitern oder mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme (§ 25 NISG 2026) – in einem der Sektoren tätig → in der Regel betroffen.
- Kleinst- und Kleinunternehmen: grundsätzlich nicht direkt erfasst (Ausnahmen gibt es für besonders kritische Dienste wie DNS- oder qualifizierte Vertrauensdienste sowie bei Einstufung durch Bescheid, §§ 24 und 26 NISG 2026).
Warum NIS2 kleine Betriebe trotzdem erreicht: die Lieferkette
Der für KMU wichtigste Punkt steht etwas versteckt in den Pflichten der Großen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette managen – also prüfen, wie es um die IT-Sicherheit ihrer Zulieferer und Dienstleister steht. In der Praxis bedeutet das:
- Sie bekommen als Zulieferer Fragebögen zur IT-Sicherheit von Ihren Industriekunden.
- Sicherheitsanforderungen wandern in Verträge und Einkaufsbedingungen.
- Wer keine Antworten hat, riskiert mittelfristig Aufträge zu verlieren – nicht wegen einer Behörde, sondern wegen des Kunden.
Genau hier lohnt sich Vorbereitung: Wer die Basics nachweisen kann, hat einen echten Wettbewerbsvorteil gegenüber Mitbewerbern, die das Thema aussitzen.
Die Mindestmaßnahmen – und warum sie jedem Betrieb helfen
NIS2 verlangt von betroffenen Unternehmen ein Paket an Basismaßnahmen (Art. 21 der Richtlinie, in Österreich § 32 NISG 2026). Die Liste liest sich wie ein vernünftiger IT-Grundschutz für jeden Betrieb:
- Risiken kennen: Welche Systeme und Daten sind kritisch? Was passiert bei Ausfall?
- Backups & Notfallplan: geprüfte Sicherungen und ein Plan, wie der Betrieb weiterläuft (siehe unser Ratgeber Daten sichern – die 3-2-1-Regel).
- Vorfälle behandeln & melden: Wer macht was, wenn etwas passiert? (Nach NISG 2026: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach.)
- Zugriffe absichern: Zwei-Faktor-Authentifizierung, sauberes Rechtemanagement, sichere Passwörter.
- Updates & Schwachstellen: Systeme aktuell halten.
- Verschlüsselung sensibler Daten und Kommunikation.
- Schulungen: Mitarbeiter erkennen Phishing – laut EU-Cybersicherheitsagentur ENISA der häufigste Einstiegsweg für Angreifer.
- Lieferkette im Blick: Auch die eigenen Dienstleister (IT, Cloud, Software) einbeziehen.
Was Ihr Betrieb jetzt konkret tun sollte
- 1. Betroffenheit klären: Sektor + Größe prüfen (die WKO bietet dafür eine Übersicht, siehe Quellen). Im Zweifel kurz mit uns durchgehen – das dauert keine halbe Stunde.
- 2. Basics umsetzen, unabhängig von der Pflicht: geprüftes Backup, Updates, 2FA, Virenschutz, Phishing-Sensibilisierung. Einen schnellen Überblick liefert unser 5-Minuten-IT-Sicherheitscheck.
- 3. Nachweisbar machen: Maßnahmen kurz dokumentieren – dann sind Kundenfragebögen aus der Lieferkette kein Stress mehr.
- 4. Dranbleiben: Cybersicherheit ist keine Einmal-Aktion. Eine laufende IT-Betreuung hält Updates, Backups und Schutz dauerhaft auf Stand.
Quellen
- Republik Österreich, BGBl. I Nr. 94/2025 vom 23.12.2025: Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) – Bundesamt für Cybersicherheit als zuständige Behörde (§ 3a), größenunabhängig erfasste Einrichtungen (§ 24), Unternehmensgrößen (§ 25), Einstufung durch Bescheid (§ 26), Registrierung binnen drei Monaten ab Inkrafttreten (§ 29), Leitungsorgane und Schulungen (§ 31), Risikomanagementmaßnahmen (§ 32), Selbstdeklaration binnen zwölf Monaten (§ 33), Meldefristen 24 h / 72 h / ein Monat (§ 34), Strafrahmen 10 Mio. € bzw. 2 % und 7 Mio. € bzw. 1,4 % (§ 45); Inkrafttreten neun Monate nach Kundmachung mit dem folgenden Monatsersten, also am 01.10.2026. Abgerufen am 02.10.2026.
- Europäisches Parlament und Rat: Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) vom 14.12.2022 – Anwendungsbereich und Größenschwellen (Art. 2), Sektoren in Anhang I und II, Risikomanagement (Art. 21). Abgerufen am 02.10.2026 (EUR-Lex sperrt automatisierte Abrufe; Link im Browser geprüft).
- Wirtschaftskammer Österreich: NISG 2026 – Übersicht für Unternehmen. Abgerufen am 02.10.2026.
- ENISA: ENISA Threat Landscape 2025 (Oktober 2025) – Phishing als häufigster Einstiegsweg mit rund 60 % der ausgewerteten Fälle (Zeitraum Juli 2024 bis Juni 2025). Abgerufen am 02.10.2026.
Stand 2. Oktober 2026. Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung – maßgeblich sind Gesetzestext und die Auskünfte des Bundesamts für Cybersicherheit.
Häufige Fragen
Ist mein Kleinbetrieb von NIS2 betroffen?
Direkt in der Regel nicht: NIS2 erfasst grundsätzlich mittlere und große Unternehmen (ab 50 Mitarbeitern oder über 10 Mio. € Umsatz und Bilanzsumme) in 18 definierten Sektoren; in Österreich gilt dafür seit 1. Oktober 2026 das NISG 2026. Indirekt aber häufig ja – betroffene Kunden müssen ihre Lieferkette absichern und schicken ihren Zulieferern Sicherheits-Fragebögen oder nehmen Anforderungen in Verträge auf.
Was verlangt NIS2 konkret von betroffenen Unternehmen?
Ein Paket an Mindestmaßnahmen (Art. 21): Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backups und Notfallpläne, Lieferkettensicherheit, Updates- und Schwachstellenmanagement, Verschlüsselung, Zugriffskontrolle mit Mehr-Faktor-Authentifizierung sowie Schulungen – dazu die Registrierung beim Bundesamt für Cybersicherheit bis Ende 2026 und Meldepflichten bei erheblichen Vorfällen (Frühwarnung 24 h, Meldung 72 h, Abschlussbericht nach einem Monat).
Welche Strafen drohen bei Verstößen gegen NIS2?
Für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %, jeweils der höhere Betrag (§ 45 NISG 2026). Zusätzlich nimmt das Gesetz die Geschäftsleitung persönlich in die Pflicht: Sie muss die Maßnahmen sicherstellen, beaufsichtigen und selbst an Cybersicherheitsschulungen teilnehmen.
Was sollte ein nicht direkt betroffener Betrieb trotzdem tun?
Die Basismaßnahmen umsetzen, die ohnehin jeden Betrieb schützen: geprüftes Backup, aktuelle Updates, Zwei-Faktor-Authentifizierung, Virenschutz und Phishing-Sensibilisierung der Mitarbeiter – und diese kurz dokumentieren. Dann sind Lieferketten-Fragebögen von Kunden schnell beantwortet.
Fazit
NIS2 ist für die meisten Kleinbetriebe keine direkte gesetzliche Pflicht – aber ein Weckruf: Über die Lieferkette kommen die Anforderungen trotzdem an, und die geforderten Maßnahmen (Backup, Updates, 2FA, Schulung) schützen jeden Betrieb – mit oder ohne Richtlinie.
Unsicher, ob Sie betroffen sind, oder Fragebogen vom Kunden am Tisch? Wir klären das gemeinsam und setzen die Maßnahmen pragmatisch um – ohne Panik und ohne Überdimensionierung.
