Digitalisierung schafft Möglichkeiten, beschleunigt Prozesse und verbindet Unternehmen über System- und Ländergrenzen hinweg. Gleichzeitig wächst mit jeder digitalen Schnittstelle auch die Verantwortung, Informationen, Systeme und Geschäftsprozesse zuverlässig zu schützen. Resilienz, Verantwortung und Vertrauen werden damit zu entscheidenden Faktoren einer sicheren digitalen Zukunft.
Gerade im Gesundheitswesen und bei IT-Dienstleistern, die digitale Prozesse in diesem Umfeld unterstützen, ist diese Verantwortung besonders groß. Digitale Systeme bilden heute die Grundlage zahlreicher Verwaltungs-, Abrechnungs- und Versorgungsprozesse. Ein Ausfall oder Cyberangriff kann deshalb weitreichende Folgen haben – für Unternehmen ebenso wie für Kund:innen, Partner:innen und letztlich für das Gesundheitssystem selbst.
Genau hier setzt die NIS-2-Richtlinie der Europäischen Union an. Sie hebt Cybersicherheit auf eine neue Ebene und verfolgt ein klares Ziel: Unternehmen und öffentliche Einrichtungen sollen Risiken frühzeitig erkennen, angemessen darauf reagieren und auch im Ernstfall handlungsfähig bleiben.
Für Österreich wird das Thema nun besonders konkret. Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wurde NIS 2 in nationales Recht umgesetzt. Das Gesetz tritt mit 1. Oktober 2026 in Kraft und bringt für betroffene Unternehmen neue Anforderungen an Risikomanagement, Sicherheitsmaßnahmen, Meldeprozesse und Unternehmensführung mit sich.
Damit wird Cybersicherheit endgültig von einer technischen Disziplin zu einer strategischen Unternehmensaufgabe. Denn nachhaltige Informationssicherheit entsteht nicht allein durch Firewalls, Passwörter oder Back-ups. Sie braucht klare Prozesse, sensibilisierte Mitarbeitende und eine Unternehmenskultur, in der Sicherheit konsequent mitgedacht wird.
Was NIS 2 für österreichische Unternehmen bedeutet, wer betroffen sein kann und welche Maßnahmen besonders relevant sind, erfahren Sie in diesem Überblick.
Was steckt hinter NIS 2?
NIS steht für „Network and Information Security“. Die NIS-2-Richtlinie – offiziell Richtlinie (EU) 2022/2555 – ist die Weiterentwicklung der ursprünglichen europäischen NIS-Richtlinie.
Ihr Ziel ist es, innerhalb der Europäischen Union ein hohes gemeinsames Cybersicherheitsniveau zu schaffen, Unternehmen sowie öffentliche Einrichtungen widerstandsfähiger gegenüber Cyberbedrohungen zu machen und sicherzustellen, dass in Notfällen essentielle Infrastrukturen weiter funktionstüchtig bleiben.
Im Mittelpunkt stehen dabei nicht nur technische Sicherheitsmaßnahmen. NIS 2 betrachtet Cybersicherheit ganzheitlich: von Risikoanalysen und Sicherheitskonzepten über Lieferketten und Krisenmanagement bis hin zu Schulungen und klar definierten Meldeprozessen.
Gegenüber der ursprünglichen NIS-Richtlinie wurde zudem der Anwendungsbereich deutlich erweitert. Damit rücken wesentlich mehr Unternehmen und Organisationen in den Fokus der europäischen Cybersicherheitsanforderungen.
Welche Unternehmen sind von NIS 2 betroffen?
Mit NIS 2 wurde der Kreis der betroffenen Unternehmen deutlich erweitert. Das österreichische NISG 2026 umfasst insgesamt 18 Sektoren. Dazu zählen Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten B2B, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel (Produktion, Verarbeitung und Vertrieb), verarbeitendes/herstellendes Gewerbe, Anbieter digitaler Dienste und Forschungseinrichtungen.
Neben dem Tätigkeitsbereich spielt insbesondere die Unternehmensgröße eine wichtige Rolle. Grundsätzlich erfasst werden mittlere und große Unternehmen, die einem der relevanten Sektoren zuzuordnen sind. Kleine Unternehmen fallen grundsätzlich nicht in den direkten Anwendungsbereich, allerdings bestehen für bestimmte Einrichtungen Ausnahmen („Schlüsselrolle“ für die Gesellschaft bzw. Wirtschaft – z.B.: Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze oder Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste). Auch über Lieferketten können Unternehmen indirekt mit erhöhten Cybersicherheitsanforderungen konfrontiert sein.
Als Orientierung gelten folgende Größenkriterien:
Ob ein Unternehmen tatsächlich unter das NISG 2026 fällt, muss im Einzelfall geprüft werden. Für eine erste Orientierung stellt die Wirtschaftskammer Österreich einen Online-Ratgeber zur Verfügung, mit dem Unternehmen ihre mögliche Betroffenheit prüfen können. Auch die offizielle NIS-Anlaufstelle des Bundes bietet weiterführende Informationen zum Anwendungsbereich.
Schon gewusst?
Das Gesundheitswesen zählt ausdrücklich zu den von NIS 2 erfassten Sektoren. Darüber hinaus können auch bestimmte IT- und IKT-Dienstleister in den Anwendungsbereich fallen. Ob ein Unternehmen tatsächlich betroffen ist, hängt unter anderem von der konkreten Tätigkeit, der Zuordnung zu einem der erfassten Sektoren und der Unternehmensgröße ab.
Was bedeutet NIS 2 für betroffene Unternehmen?
Fällt ein Unternehmen in den Anwendungsbereich des NISG 2026, ergeben sich daraus konkrete gesetzliche Verpflichtungen. Dazu gehört unter anderem die Registrierung bei der zuständigen Cybersicherheitsbehörde innerhalb der gesetzlich vorgesehenen Frist (31.12.2026 – die Form der Registrierung wird noch mittels Verordnung festgelegt).
Darüber hinaus müssen betroffene Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen umsetzen, um Risiken für ihre Netz- und Informationssysteme zu beherrschen und die Auswirkungen möglicher Sicherheitsvorfälle möglichst gering zu halten.
Dazu zählen insbesondere Maßnahmen rund um:
- Risikoanalysen und Sicherheitskonzepte
- Erkennung und Bewältigung von Cybersicherheitsvorfällen
- Business Continuity und Krisenmanagement
- Back-up-Management und Wiederherstellung
- Sicherheit der Lieferkette
- sichere Beschaffung, Entwicklung und Wartung von IT-Systemen
- Bewertung der Wirksamkeit von Cybersicherheitsmaßnahmen
- grundlegende Cyberhygiene
- Schulungen und Sensibilisierung
- Kryptografie und Verschlüsselungstechnologien
- Zugriffs- und Berechtigungskonzepte
- Multi-Faktor-Authentifizierung
- sichere Kommunikationslösungen (Sprach-, Video- und Text)
Entscheidend ist dabei: Cybersicherheit darf nicht nur auf dem Papier bestehen. Die getroffenen Maßnahmen müssen in den tatsächlichen Unternehmensprozessen verankert, regelmäßig überprüft und kontinuierlich weiterentwickelt werden.
Cybersicherheit wird zur Führungsaufgabe
Eine wesentliche Veränderung betrifft die Rolle der Unternehmensleitung.
Nach dem NISG 2026 müssen die Leitungsorgane betroffener Einrichtungen die Umsetzung der vorgeschriebenen Risikomanagementmaßnahmen sicherstellen und überwachen. Damit wird Informationssicherheit ausdrücklich zu einem Thema der Unternehmensführung.
Auch Schulungen spielen eine wichtige Rolle. Führungskräfte müssen über ausreichende Kenntnisse verfügen, um Risiken beurteilen und die Angemessenheit der getroffenen Cybersicherheitsmaßnahmen einschätzen zu können. Gleichzeitig ist die regelmäßige Sensibilisierung von Mitarbeitenden ein wesentlicher Bestandteil einer funktionierenden Sicherheitsstrategie.
Die Verantwortung für Cybersicherheit kann damit nicht ausschließlich bei der IT-Abteilung liegen. Informationssicherheit wird vielmehr zu einer gemeinsamen Unternehmensaufgabe – von der Geschäftsführung über IT und Fachabteilungen bis hin zum täglichen Arbeitsalltag.
Von der Richtlinie in die Praxis: So wird NIS 2 im Unternehmen wirksam umgesetzt
Doch was bedeuten diese Anforderungen konkret für die Praxis? Wie müssen Unternehmen auf Cybervorfälle vorbereitet sein, welche Rolle spielen Mitarbeitende und Lieferketten – und wie lässt sich Cybersicherheit nachhaltig im Unternehmensalltag verankern?
Im zweiten Teil unseres Beitrags zeigen wir, worauf es bei der praktischen Umsetzung von NIS 2 ankommt und wie Unternehmen ihre digitale Resilienz nachhaltig stärken können.
