Cyberangriffe, Datenverluste, Produktionsausfälle und Störungen digitaler Lieferketten gehören mittlerweile zu den realen Geschäftsrisiken vieler Unternehmen.
Mit der europäischen NIS2-Richtlinie hat die Europäische Union die Anforderungen an die Cybersicherheit in zahlreichen Wirtschaftssektoren erweitert. In Österreich ist die Umsetzung mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) erfolgt.
Das Gesetz ist seit 1. Oktober 2026 vollständig in Kraft. Damit wird Cybersicherheit noch stärker zu einer Aufgabe der Unternehmensleitung.
Wen betrifft das NISG 2026?
Das NISG 2026 richtet sich insbesondere an Einrichtungen in bestimmten kritischen und wichtigen Sektoren.
Dazu zählen unter anderem:
- Energieversorgung
- Verkehr und Transport
- Gesundheitswesen
- Trinkwasser und Abwasser
- Digitale Infrastruktur
- IT- und Kommunikationsdienstleistungen
- Öffentliche Verwaltung
- bestimmte industrielle Produktionsbereiche
Ob ein Unternehmen tatsächlich betroffen ist, hängt unter anderem von seiner Branche, seiner Tätigkeit und seiner Unternehmensgröße ab. Es bestehen außerdem besondere Regelungen für bestimmte Einrichtungen unabhängig von den üblichen Größenkriterien.
Wichtig ist auch die Lieferkettenperspektive: Unternehmen, die selbst nicht unmittelbar unter das Gesetz fallen, können dennoch durch Anforderungen ihrer betroffenen Kunden und Auftraggeber mit erhöhten Sicherheitsanforderungen konfrontiert werden.
Eine pauschale Aussage, dass jedes KMU betroffen ist, wäre daher falsch. Eine strukturierte Betroffenheitsprüfung ist der erste Schritt.
Was verlangt das NISG 2026 organisatorisch?
Das Gesetz verlangt von den betroffenen Einrichtungen geeignete Maßnahmen zum Management von Cybersicherheitsrisiken.
Dabei geht es nicht ausschließlich um Firewalls, Virenschutz oder technische Sicherheitslösungen.
Zu den wesentlichen Handlungsfeldern gehören:
1. Risikomanagement
Unternehmen müssen Risiken für ihre Netz- und Informationssysteme identifizieren, bewerten und geeignete Maßnahmen festlegen.
2. Sicherheitskonzepte und Verantwortlichkeiten
Es braucht nachvollziehbare Regeln, Zuständigkeiten und Entscheidungsprozesse für die Informationssicherheit.
3. Umgang mit Sicherheitsvorfällen
Unternehmen müssen in der Lage sein, Sicherheitsvorfälle zu erkennen, zu bewerten, zu melden und angemessen darauf zu reagieren.
4. Business Continuity und Krisenmanagement
Die Aufrechterhaltung kritischer Geschäftsprozesse muss auch bei schwerwiegenden Störungen gewährleistet werden können.
5. Lieferkettensicherheit
Externe Dienstleister, IT-Anbieter und andere Geschäftspartner müssen hinsichtlich ihrer Sicherheitsrisiken berücksichtigt werden.
6. Schulung und Sensibilisierung
Mitarbeitende und Leitungsorgane müssen ihre jeweiligen Verantwortlichkeiten kennen und entsprechend geschult werden.
Die Geschäftsleitung trägt Verantwortung
Eine wesentliche Veränderung der NIS2-Anforderungen liegt in der stärkeren Einbindung der Unternehmensleitung.
Cybersicherheit kann nicht vollständig an die IT-Abteilung oder einen externen IT-Dienstleister delegiert werden.
Die Geschäftsführung muss sich mit den wesentlichen Risiken auseinandersetzen, die erforderlichen Maßnahmen unterstützen und deren Umsetzung überwachen.
Das erfordert eine Verbindung zwischen Unternehmensstrategie, Risikomanagement und operativer IT-Sicherheit.
Bestehende Managementsysteme sinnvoll nutzen
Viele Unternehmen verfügen bereits über Managementsysteme nach ISO 9001, ISO 14001 oder ISO 45001.
Diese Systeme bieten eine gute organisatorische Grundlage, weil sie bereits zentrale Managementelemente enthalten:
- Kontextanalyse
- Risikobewertung
- Verantwortlichkeiten
- Kompetenz und Schulung
- Dokumentierte Informationen
- Interne Audits
- Managementbewertung
- Kontinuierliche Verbesserung
Ergänzend können die ISO 27001 für Informationssicherheitsmanagement und ISO 22301 für Business Continuity Management eingesetzt werden.
Dabei ist wichtig: Eine ISO-Zertifizierung ersetzt nicht automatisch die gesetzlichen Anforderungen des NISG 2026. Sie kann jedoch eine strukturierte Grundlage für deren Umsetzung schaffen.
Fünf Schritte für einen pragmatischen Einstieg
Unternehmen sollten nicht sofort mit einer Vielzahl technischer Einzelmaßnahmen beginnen.
Sinnvoller ist ein strukturiertes Vorgehen:
- Betroffenheit prüfen: Fällt das Unternehmen unter das NISG 2026 oder bestehen mittelbare Anforderungen aus Kunden- und Lieferantenbeziehungen?
- Ist-Zustand ermitteln: Welche Sicherheitsmaßnahmen, Notfallpläne und Verantwortlichkeiten bestehen bereits?
- Risiken bewerten: Welche Systeme und Geschäftsprozesse sind besonders kritisch?
- Maßnahmenplan entwickeln: Welche organisatorischen und technischen Verbesserungen sind erforderlich?
- Wirksamkeit überprüfen: Werden Maßnahmen umgesetzt, getestet und regelmäßig bewertet?
Wie CoFe Unternehmen unterstützen kann
CoFe e.U. betrachtet Informationssicherheit nicht isoliert als IT-Projekt, sondern als Teil eines integrierten Management- und Risikomanagementsystems.
Mögliche Unterstützungsschwerpunkte:
- Analyse bestehender Managementsysteme
- Unterstützung bei Risiko- und Prozessanalysen
- Integration von Sicherheits- und Notfallmanagement
- Aufbau von Verantwortlichkeiten und Kennzahlensystemen
- Vorbereitung und Durchführung interner Systemaudits
- Verknüpfung mit ISO 9001, ISO 31000 und ISO 22301
Die technische Implementierung von Cybersecurity-Lösungen erfolgt dabei in Abstimmung mit den jeweils zuständigen IT-Sicherheitsspezialisten.
Sicherheit beginnt mit guter Unternehmensführung
Das NISG 2026 macht deutlich, dass Cybersicherheit ein wesentlicher Bestandteil verantwortungsvoller Unternehmensführung ist.
Unternehmen sollten die Anforderungen nicht als isolierte gesetzliche Verpflichtung betrachten, sondern als Chance, ihre organisatorische Widerstandsfähigkeit zu verbessern.
Denn ein funktionierendes Risikomanagement und ein durchdachtes Notfallkonzept helfen nicht nur bei Cyberangriffen, sondern auch bei technischen Ausfällen, Lieferunterbrechungen und anderen Krisensituationen.
Machen Sie Ihr Unternehmen widerstandsfähiger – mit strukturiertem Risikomanagement und integrierten Managementsystemen.