NIS2 für KMU: Wer betroffen ist und was jetzt zu tun ist

Was NIS2 ist und warum es KMU betrifft

NIS2, offiziell Richtlinie (EU) 2022/2555, ist die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie gilt grundsätzlich für mittlere und große Unternehmen in 18 Sektoren und verlangt von ihnen Risikomanagement, rasche Meldungen bei erheblichen Vorfällen und eine aktive Rolle der Geschäftsleitung. Viele kleinere Betriebe sind nicht direkt erfasst, spüren NIS2 aber über ihre Kunden.

Die Richtlinie ersetzt die erste NIS-Richtlinie aus dem Jahr 2016 und erweitert den Kreis der betroffenen Unternehmen deutlich. Für KMU stellen sich drei Fragen: Fallen wir selbst darunter? Verlangen unsere Kunden Nachweise von uns? Und was müssen wir konkret tun? Dieser Beitrag beantwortet sie in einfacher Sprache, ersetzt aber keine Rechtsberatung.

Wer betroffen ist: Sektoren und Unternehmensgröße

Die Sektoren

Die Richtlinie unterscheidet zwei Gruppen. Zu den Sektoren mit hoher Kritikalität gehören Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste für Geschäftskunden, öffentliche Verwaltung und Weltraum.

Zu den sonstigen kritischen Sektoren zählen Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Teile der Herstellung wie Maschinenbau, Elektronik und Fahrzeugbau, digitale Anbieter wie Online-Marktplätze sowie Forschung. Ob Ihre Tätigkeit genau in eine dieser Kategorien fällt, prüfen Sie anhand der Anhänge der Richtlinie und des nationalen Gesetzes.

Die Größenschwelle

Grundsätzlich sind mittlere und große Unternehmen in diesen Sektoren erfasst. Vereinfacht gesagt beginnt das bei 50 Beschäftigten oder bei mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Jahresbilanzsumme. Partnerunternehmen und verbundene Unternehmen können bei der Berechnung mitzählen.

Einige Ausnahmen gelten unabhängig von der Größe. Dazu gehören etwa Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, DNS-Diensteanbieter und Einrichtungen, die in einem Mitgliedstaat der einzige Anbieter eines kritischen Dienstes sind. Prüfen Sie daher nicht nur die Zahl der Beschäftigten, sondern auch Ihre konkreten Tätigkeiten.

Indirekt betroffen: NIS2 in der Lieferkette

Viele KMU fallen nicht selbst unter NIS2, spüren die Richtlinie aber trotzdem. Betroffene Unternehmen müssen nämlich auch die Sicherheit ihrer Lieferkette berücksichtigen. Das betrifft IT-Dienstleister, Wartungsfirmen, Softwareanbieter, Logistikpartner und viele andere Zulieferer. Typische Anforderungen, die auf Zulieferer zukommen:

• Sicherheitsfragebögen zu Backups, Updates, Zugriffsrechten und Notfallplänen
• Vertragsklauseln mit Mindeststandards und Meldepflichten bei Vorfällen
• Belege wie Sicherheitsrichtlinien, Schulungsnachweise oder Prüfberichte
• Multi-Faktor-Authentifizierung für alle Zugänge zu Kundensystemen

Wer diese Fragen klar und mit Unterlagen beantworten kann, ist bei Ausschreibungen und Vertragsverlängerungen im Vorteil.

Was NIS2 verlangt: die Risikomanagement-Maßnahmen

Betroffene Einrichtungen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen treffen. Die Richtlinie nennt dafür eine Reihe von Mindestthemen. Verhältnismäßig heißt: Der Aufwand richtet sich nach der Risikolage und Größe des Unternehmens sowie nach Wahrscheinlichkeit und Schwere möglicher Vorfälle.

• Risikoanalyse und Sicherheitskonzepte für Ihre Informationssysteme
• Bewältigung von Sicherheitsvorfällen, also Vorfälle erkennen, analysieren, eindämmen und beheben
• Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement, zum Beispiel mit einem Backup nach der 3-2-1-Regel
• Sicherheit der Lieferkette gegenüber Dienstleistern und Lieferanten
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen, inklusive Umgang mit Schwachstellen
• Bewertung der Wirksamkeit der getroffenen Maßnahmen
• Grundlegende Cyberhygiene und Schulungen für Mitarbeitende
• Konzepte für Kryptografie und, wo angebracht, Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Asset-Management
• Multi-Faktor-Authentifizierung, wo angebracht, und gesicherte Kommunikation, mehr dazu im Beitrag zur Einführung von MFA

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle müssen gemeldet werden. Vereinfacht gilt ein Vorfall als erheblich, wenn er schwere Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder wenn er anderen erheblichen Schaden zufügen kann. Die Meldung geht an das zuständige CSIRT oder die zuständige Behörde, und zwar in drei Stufen:

1. Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis des Vorfalls, mit einer ersten Einschätzung, etwa ob ein rechtswidriger oder böswilliger Angriff vermutet wird oder grenzüberschreitende Auswirkungen möglich sind.
2. Meldung des Vorfalls innerhalb von 72 Stunden nach Kenntnis, mit einer ersten Bewertung von Schweregrad und Auswirkungen.
3. Abschlussbericht spätestens einen Monat nach der Meldung, mit Beschreibung des Vorfalls, Ursache und ergriffenen Maßnahmen. Dauert der Vorfall dann noch an, ist zunächst ein Fortschrittsbericht fällig.

Die Geschäftsleitung trägt die Verantwortung

NIS2 macht Cybersicherheit ausdrücklich zur Führungsaufgabe. Die Leitungsorgane müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und können bei Verstößen zur Verantwortung gezogen werden. Außerdem müssen Mitglieder der Geschäftsleitung an Schulungen teilnehmen.

Für die Praxis heißt das: IT-Sicherheit lässt sich nicht vollständig an die IT-Abteilung oder einen externen Dienstleister delegieren. Die Geschäftsführung sollte regelmäßig über den Sicherheitsstand informiert werden und ihre Entscheidungen nachvollziehbar dokumentieren.

Die Lage in Österreich: das NISG 2026

In Österreich wird NIS2 durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt. Es wurde im Dezember 2025 im Bundesgesetzblatt kundgemacht (BGBl. I Nr. 94/2025) und ist seit 1. Oktober 2026 in Kraft. Gleichzeitig ist das bisherige NISG 2018 außer Kraft getreten.

Nach den bisher veröffentlichten Informationen, etwa der Wirtschaftskammer Österreich, haben betroffene Einrichtungen ab dem Inkrafttreten drei Monate Zeit, sich bei der Cybersicherheitsbehörde zu registrieren. Innerhalb von zwölf Monaten ab Beginn der Registrierungspflicht folgt eine Selbstdeklaration zu den umgesetzten Risikomanagement-Maßnahmen. Details wie Form und genaue Termine regeln Verordnungen und behördliche Informationen.

Erste Schritte für KMU

1. Betroffenheit prüfen: Sektor, Tätigkeiten, Beschäftigte, Umsatz und Bilanzsumme inklusive verbundener Unternehmen erheben und, falls Sie betroffen sind, die Registrierungsfrist beachten.
2. Lieferkette betrachten: Welche Kunden fallen unter NIS2, und welche Anforderungen geben sie weiter?
3. Bestandsaufnahme machen: Systeme, Daten, Zugänge und Dienstleister erfassen und die größten Risiken benennen.
4. Schnelle Basismaßnahmen umsetzen: MFA für E-Mail und Fernzugriff, getestete Backups mit Offline-Kopie, aktuelle Updates.
5. Notfall- und Meldeprozess festlegen: Zuständigkeiten, Kontakte und Vorlagen für die Frühwarnung binnen 24 Stunden.
6. Geschäftsleitung einbinden: Maßnahmenplan freigeben lassen, Schulung einplanen und den Fortschritt regelmäßig berichten.

NIS2 ist kein einmaliges Projekt, sondern ein laufender Prozess. Wer strukturiert beginnt, schafft gleichzeitig die Nachweise, die Kunden und Behörden erwarten. Q-entra unterstützt Sie bei der Bestandsaufnahme und der Umsetzung technischer Maßnahmen im Bereich Cyber Security und übernimmt auf Wunsch den laufenden Betrieb mit Managed Security.