NIS2 (EU-Richtlinie 2022/2555) verpflichtet mittlere und große Unternehmen aus 18 Sektoren zu Cybersicherheits-Mindestmaßnahmen und Meldepflichten; in Österreich wird sie über das NISG umgesetzt. Kleinbetriebe sind meist nicht direkt betroffen – über Sicherheits-Fragebögen ihrer Industriekunden (Lieferkette) erreicht sie das Thema aber trotzdem. Die geforderten Basics – geprüftes Backup, Updates, 2FA, Phishing-Schulung – lohnen sich für jeden Betrieb.
- Direkt betroffen: i. d. R. ab 50 Mitarbeitern oder 10 Mio. € Umsatz in einem der 18 Sektoren.
- Kleinbetriebe: meist nur indirekt – über Lieferketten-Anforderungen ihrer Kunden.
- Meldepflichten für Betroffene: Erstmeldung binnen 24 h, Folgemeldung binnen 72 h.
- Strafen bis 10 Mio. € bzw. 2 % des Umsatzes; Geschäftsleitung persönlich in der Pflicht.
Kaum ein IT-Thema verunsichert Betriebe derzeit so wie NIS2. Beraterpost, Webinar-Einladungen, teils dramatische Schlagzeilen – und dazwischen die Frage: „Betrifft mich das überhaupt?“ Die ehrliche Antwort für die meisten Klein- und Kleinstbetriebe: direkt eher nein – indirekt sehr oft ja. Und die geforderten Maßnahmen sind größtenteils genau das, was ohnehin jeder Betrieb haben sollte.
Was ist NIS2 überhaupt?
NIS2 ist die EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit – der Nachfolger der ersten NIS-Richtlinie. Sie verpflichtet deutlich mehr Unternehmen als bisher zu einem Mindestniveau an Cybersicherheit und zu Meldepflichten bei Sicherheitsvorfällen. In Österreich erfolgt die Umsetzung über das Netz- und Informationssystemsicherheitsgesetz (NISG); zuständige Behörde ist das Innenministerium, fachlich unterstützt vom nationalen CERT.
Wer ist direkt betroffen?
Direkt erfasst sind „wesentliche“ und „wichtige“ Einrichtungen aus 18 Sektoren – darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Post, Abfall, Chemie, Lebensmittel und verarbeitendes Gewerbe (z. B. Maschinenbau, Elektronik, Fahrzeugbau). Als Faustregel gilt die Größenschwelle:
- Mittlere Unternehmen: ab 50 Mitarbeitern oder mehr als 10 Mio. € Jahresumsatz – in einem der Sektoren tätig → in der Regel betroffen.
- Kleinst- und Kleinunternehmen: grundsätzlich nicht direkt erfasst (Ausnahmen gibt es nur für besonders kritische Dienste wie DNS-/Vertrauensdienste).
Warum NIS2 kleine Betriebe trotzdem erreicht: die Lieferkette
Der für KMU wichtigste Punkt steht etwas versteckt in den Pflichten der Großen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette managen – also prüfen, wie es um die IT-Sicherheit ihrer Zulieferer und Dienstleister steht. In der Praxis bedeutet das:
- Sie bekommen als Zulieferer Fragebögen zur IT-Sicherheit von Ihren Industriekunden.
- Sicherheitsanforderungen wandern in Verträge und Einkaufsbedingungen.
- Wer keine Antworten hat, riskiert mittelfristig Aufträge zu verlieren – nicht wegen einer Behörde, sondern wegen des Kunden.
Genau hier lohnt sich Vorbereitung: Wer die Basics nachweisen kann, hat einen echten Wettbewerbsvorteil gegenüber Mitbewerbern, die das Thema aussitzen.
Die Mindestmaßnahmen – und warum sie jedem Betrieb helfen
NIS2 verlangt von betroffenen Unternehmen ein Paket an Basismaßnahmen (Art. 21). Die Liste liest sich wie ein vernünftiger IT-Grundschutz für jeden Betrieb:
- Risiken kennen: Welche Systeme und Daten sind kritisch? Was passiert bei Ausfall?
- Backups & Notfallplan: geprüfte Sicherungen und ein Plan, wie der Betrieb weiterläuft (siehe unser Ratgeber Daten sichern – die 3-2-1-Regel).
- Vorfälle behandeln & melden: Wer macht was, wenn etwas passiert? (Bei NIS2: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden.)
- Zugriffe absichern: Zwei-Faktor-Authentifizierung, sauberes Rechtemanagement, sichere Passwörter.
- Updates & Schwachstellen: Systeme aktuell halten.
- Verschlüsselung sensibler Daten und Kommunikation.
- Schulungen: Mitarbeiter erkennen Phishing – die häufigste Angriffsart.
- Lieferkette im Blick: Auch die eigenen Dienstleister (IT, Cloud, Software) einbeziehen.
Was Ihr Betrieb jetzt konkret tun sollte
- 1. Betroffenheit klären: Sektor + Größe prüfen (WKO und BMI bieten dafür Ratgeber). Im Zweifel kurz mit uns durchgehen – das dauert keine halbe Stunde.
- 2. Basics umsetzen, unabhängig von der Pflicht: geprüftes Backup, Updates, 2FA, Virenschutz, Phishing-Sensibilisierung. Einen schnellen Überblick liefert unser 5-Minuten-IT-Sicherheitscheck.
- 3. Nachweisbar machen: Maßnahmen kurz dokumentieren – dann sind Kundenfragebögen aus der Lieferkette kein Stress mehr.
- 4. Dranbleiben: Cybersicherheit ist keine Einmal-Aktion. Eine laufende IT-Betreuung hält Updates, Backups und Schutz dauerhaft auf Stand.
Häufige Fragen
Ist mein Kleinbetrieb von NIS2 betroffen?
Direkt in der Regel nicht: NIS2 erfasst grundsätzlich mittlere und große Unternehmen (ab ca. 50 Mitarbeitern oder 10 Mio. € Umsatz) in 18 definierten Sektoren. Indirekt aber häufig ja – betroffene Kunden müssen ihre Lieferkette absichern und schicken ihren Zulieferern Sicherheits-Fragebögen oder nehmen Anforderungen in Verträge auf.
Was verlangt NIS2 konkret von betroffenen Unternehmen?
Ein Paket an Mindestmaßnahmen (Art. 21): Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backups und Notfallpläne, Lieferkettensicherheit, Updates- und Schwachstellenmanagement, Verschlüsselung, Zugriffskontrolle mit Mehr-Faktor-Authentifizierung sowie Schulungen – dazu Registrierungs- und Meldepflichten bei Vorfällen (24 h/72 h).
Welche Strafen drohen bei Verstößen gegen NIS2?
Für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Zusätzlich nimmt NIS2 die Geschäftsleitung persönlich in die Pflicht: Sie muss die Maßnahmen freigeben, überwachen und sich schulen lassen.
Was sollte ein nicht direkt betroffener Betrieb trotzdem tun?
Die Basismaßnahmen umsetzen, die ohnehin jeden Betrieb schützen: geprüftes Backup, aktuelle Updates, Zwei-Faktor-Authentifizierung, Virenschutz und Phishing-Sensibilisierung der Mitarbeiter – und diese kurz dokumentieren. Dann sind Lieferketten-Fragebögen von Kunden schnell beantwortet.
Fazit
NIS2 ist für die meisten Kleinbetriebe keine direkte gesetzliche Pflicht – aber ein Weckruf: Über die Lieferkette kommen die Anforderungen trotzdem an, und die geforderten Maßnahmen (Backup, Updates, 2FA, Schulung) schützen jeden Betrieb – mit oder ohne Richtlinie.
Unsicher, ob Sie betroffen sind, oder Fragebogen vom Kunden am Tisch? Wir klären das gemeinsam und setzen die Maßnahmen pragmatisch um – ohne Panik und ohne Überdimensionierung.
