NIS2 und NISG 2026: Warum Cybersicherheit jetzt Chefsache ist

NIS2 verlangt ausdrücklich, dass das Leitungsorgan (Geschäftsführung/Vorstand) Cyber-Risikomaßnahmen

Österreich geht mit dem NISG 2026 noch einen Schritt in Richtung „Chefsache“: Governance-Pflichten und der Kompetenzaufbau (Training) werden als Teil der Gesamtverantwortung verankert.

Die praktische Konsequenz: Cybersecurity wird ein Fixpunkt im Risikomanagement, in Budgetentscheidungen, bei Lieferantenverträgen – und in der internen Organisation.

Was Unternehmen konkret umsetzen müssen

1) Risikomanagementmaßnahmen (nicht optional)

NIS2 verlangt ein systematisches Cyber-Risikomanagement – nicht nur Technik, sondern auch Prozesse, Verantwortlichkeiten und Kontrollen.

ENISA liefert dazu praxisnahe Umsetzungshilfen inklusive Beispielen, wie Nachweise (Evidence) aussehen können – ideal, um Anforderungen in konkrete Maßnahmen zu übersetzen.

Typische Bausteine, die in der Praxis fast immer dazugehören

2) Meldepflichten: 24h / 72h / 1 Monat – und das muss sitzen

Bei schwerwiegenden Vorfällen gelten abgestufte Meldefristen. Die NIS-Anlaufstelle beschreibt diese Logik klar

Das ist der Punkt, an dem viele Unternehmen scheitern – nicht weil sie „zu langsam“ sind, sondern weil Meldewege, Zuständigkeiten, Informationslage und Freigaben nicht vorab definiert wurden.

3) Lieferantenkontrollen: Ihre Partner werden Teil Ihres Risikos

NIS2 zielt auf Resilienz. Das schließt die Lieferkette und kritische Dienstleister ein – insbesondere dort, wo Services oder Daten für Ihren Betrieb wesentlich sind.

In der Praxis bedeutet das

4) Nachweisfähigkeit: nicht nur „machen“, sondern belegen können

Ein wiederkehrender Denkfehler ist: Wir sind eh sicher.

NIS2 und NISG 2026 verschieben den Maßstab in Richtung: Sie müssen zeigen können, dass Sie es im Griff haben.

ENISA liefert dazu hilfreiche Mappings und Beispiele für Nachweise, die sich in der Praxis gut nutzen lassen.

Minimaler Nachweis-Stack, der sich in vielen Unternehmen bewährt

1. Betroffenheit klären

Sektor, Größe, Rolle in der Lieferkette prüfen. Bei Unklarheit früh mit Rechts- oder Compliance-Schiene abgleichen.

2. Governance festlegen (Chefsache organisieren)

Verantwortliche benennen, Reporting-Rhythmus etablieren (z. B. quartalsweise Cyber-Risiko-Board), Entscheidungswege dokumentieren.

3. Risiko und Maßnahmen priorisieren

Nicht alles auf einmal. Kritische Systeme, wichtigste Prozesse, größte Abhängigkeiten zuerst.

4. Melde- und Reaktionsfähigkeit testen

Runbook erstellen, Meldefristen operationalisieren, Tabletop-Übung durchführen.

5. Lieferanten absichern

Kritische Partner identifizieren, Mindeststandards definieren, Verträge und SLA anpassen.

Fazit

NIS2 ist nicht die nächste IT-Checkliste. Es ist ein Governance- und Management-Thema. Verantwortung, Steuerung, Nachweisbarkeit und Reaktionsfähigkeit werden zur Pflicht – und damit zur Führungsaufgabe.