Die Kurzfassung
Ob Ihr Unternehmen unter NIS2 fällt, hängt vor allem von zwei Faktoren ab: der Branche und der Unternehmensgröße. Die EU-Richtlinie erfasst Betriebe in bestimmten Sektoren, und zwar grundsätzlich ab mittlerer Größe, also in der Regel ab 50 Beschäftigten oder ab mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Österreich setzt die Richtlinie über das NIS-Gesetz (NISG) um. Betroffene Unternehmen werden als „wesentliche“ oder „wichtige Einrichtungen“ eingestuft.
Für einige Bereiche gilt die Größengrenze nicht, etwa für bestimmte Anbieter digitaler Infrastruktur. Und auch wer formal nicht betroffen ist, spürt NIS2 häufig indirekt: Große Kunden geben ihre Anforderungen an Lieferanten weiter.
Schritt 1: Liegt Ihre Branche in einem der Sektoren?
Die Richtlinie unterscheidet Sektoren mit hoher Kritikalität und sonstige kritische Sektoren. Vereinfacht gehören dazu:
| Gruppe | Beispiele für Sektoren |
|---|---|
| Hohe Kritikalität | Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für andere Unternehmen, Weltraum |
| Sonstige kritische Sektoren | Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -vertrieb, verarbeitendes Gewerbe (etwa Maschinenbau, Elektronik, Fahrzeuge, Medizinprodukte), Anbieter digitaler Dienste wie Onlinemarktplätze und Suchmaschinen, Forschung |
Wichtig ist, was Ihr Unternehmen tatsächlich tut, nicht wie es im Firmenbuch beschrieben ist. Ein Metallbetrieb, der Komponenten für Fahrzeughersteller fertigt, kann in das verarbeitende Gewerbe fallen. Bei einer Spedition mit eigenem Lager ist zu prüfen, ob einzelne Tätigkeiten unter Post- und Kurierdienste fallen, denn der Sektor Verkehr erfasst nicht jedes Transportunternehmen. Die genaue Zuordnung ist oft der schwierigste Teil der Prüfung.
Schritt 2: Erreichen Sie die Größenschwelle?
Wenn Ihre Branche in der Liste steht, prüfen Sie die Größe. Maßgeblich sind die Kriterien der EU-Empfehlung für KMU:
- Kleinst- und Kleinunternehmen (unter 50 Beschäftigte und höchstens 10 Mio. € Umsatz oder Bilanzsumme) sind grundsätzlich nicht erfasst, außer in Sonderfällen.
- Mittlere Unternehmen (ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme) sind in der Regel „wichtige Einrichtungen“.
- Große Unternehmen (ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme) in Sektoren hoher Kritikalität sind meist „wesentliche Einrichtungen“.
Ein häufiger Fehler: Verbundene Unternehmen und Partnerunternehmen werden nicht mitgerechnet. Gehört Ihre GmbH zu einer Gruppe, zählen deren Zahlen unter Umständen anteilig mit. Hier sollten Sie Ihre Steuerberatung einbinden, die diese Berechnung aus anderen Zusammenhängen kennt.
Schritt 3: Gibt es einen Sonderfall?
Manche Unternehmen sind unabhängig von ihrer Größe betroffen. Dazu zählen etwa Vertrauensdiensteanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze oder DNS-Diensteanbieter. Für ein typisches Produktions- oder Handelsunternehmen spielen diese Ausnahmen kaum eine Rolle, für IT-Dienstleister und Hoster dagegen schon.
Schritt 4: Wie stark trifft Sie die Lieferkette?
Auch wenn die ersten drei Schritte „nicht betroffen“ ergeben, ist das Thema selten erledigt. Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis bedeutet das Fragebögen, Vertragsklauseln und manchmal Audits bei Zulieferern.
Angenommen, ein Kunststoff-Zulieferer im Innviertel mit 42 Beschäftigten liefert Teile an einen großen Automobilzulieferer. Selbst liegt er unter der Größenschwelle. Trotzdem erhält er einen Fragebogen mit 60 Punkten: Gibt es Mehrfaktor-Anmeldung? Wie oft wird gesichert? Wer meldet Sicherheitsvorfälle, und wie rasch? Wer diese Fragen nicht beantworten kann, riskiert, bei der nächsten Vergabe von Aufträgen schlechter dazustehen.
Auch ohne direkte Pflicht lohnt sich eine Bestandsaufnahme. Die Fragen der Kunden kommen meist früher als jede Behörde.
Welche Unterlagen Sie für die Einstufung bereitlegen
Die Prüfung geht deutlich rascher, wenn die Grunddaten an einem Ort liegen. Bewährt hat sich eine kurze Mappe mit folgenden Inhalten:
- Beschäftigtenzahl der letzten zwei Geschäftsjahre, umgerechnet in Vollzeitäquivalente
- Umsatz und Bilanzsumme aus dem letzten Jahresabschluss
- Beteiligungen und Konzernverhältnisse, also wer an Ihrem Unternehmen beteiligt ist und woran Sie beteiligt sind
- eine ehrliche Beschreibung der Tätigkeiten, inklusive Nebengeschäften wie Lager, Transport oder Wartung für Dritte
- die fünf wichtigsten Kunden und ob diese bereits Sicherheitsanforderungen gestellt haben
Mit dieser Mappe kann Ihre Rechtsberatung die Einstufung in kurzer Zeit beurteilen, und die IT-Seite weiß, von welchem Umfang sie ausgehen muss.
Was betroffene Unternehmen umsetzen müssen
Die Pflichten lassen sich in drei Blöcke gliedern. Die Details regeln die Richtlinie und das nationale Gesetz, die Grundidee ist aber klar:
- Risikomanagement: Richtlinien zur Informationssicherheit, Umgang mit Sicherheitsvorfällen, Backup und Notfallplanung, Sicherheit in der Lieferkette, Zugangskontrolle, Mehrfaktor-Authentifizierung, Verschlüsselung und Schulung der Beschäftigten.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen in mehreren Stufen an die zuständige Stelle gemeldet werden, mit einer ersten Frühwarnung sehr rasch nach Bekanntwerden. Als Anlaufstelle für Vorfälle ist in Österreich unter anderem CERT.at etabliert.
- Verantwortung der Geschäftsleitung: Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Sicherheit lässt sich also nicht vollständig an die IT delegieren.
Welche Behörde zuständig ist, welche Registrierungspflichten gelten und ab wann Kontrollen stattfinden, ergibt sich aus dem österreichischen NIS-Gesetz in der jeweils geltenden Fassung. Verlassen Sie sich hier nicht auf ältere Zeitungsartikel, sondern auf aktuelle Informationen der Behörden und der Wirtschaftskammer.
Typische Grenzfälle aus der Praxis
Einige Konstellationen tauchen immer wieder auf:
- Handelsunternehmen mit eigener Produktion: Wer Lebensmittel nicht nur verkauft, sondern auch verarbeitet oder im großen Stil vertreibt, kann in den Sektor Lebensmittel fallen.
- Softwarehäuser mit Betriebsleistungen und Managed-Service-Anbieter: Wer IKT-Dienste für andere Unternehmen verwaltet, fällt in einen Sektor mit hoher Kritikalität. Das betrifft viele IT-Dienstleister mittlerer Größe.
- Gruppenpraxen und private Kliniken: Das Gesundheitswesen ist erfasst. Eine Einzelordination liegt meist unter den Schwellen, größere Einrichtungen häufig nicht.
- Konzerntöchter: Eine kleine österreichische Vertriebsgesellschaft kann über die Gruppenzahlen plötzlich als mittleres oder großes Unternehmen gelten.
In all diesen Fällen lohnt es sich, die Einstufung schriftlich festzuhalten und mit Ihrer Rechtsberatung abzustimmen. Diese Dokumentation hilft auch, wenn ein Kunde später nachfragt.
Fazit: Einstufung klären, dann pragmatisch anfangen
Klären Sie zuerst Branche und Größe, und halten Sie das Ergebnis schriftlich fest. Fällt Ihr Unternehmen unter NIS2, beginnen Sie mit einer Lückenanalyse gegen die Mindestmaßnahmen und priorisieren Sie die offensichtlichen Schwachstellen: Mehrfaktor-Anmeldung, getestete Datensicherung, ein einfacher Plan für Sicherheitsvorfälle. Fällt es nicht darunter, sind genau diese Maßnahmen trotzdem die beste Antwort auf die Fragebögen Ihrer Kunden.
Einen strukturierten Weg von der Einstufung bis zur Umsetzung beschreibt unsere Seite zur NIS2-Vorbereitung. Wenn vor allem Richtlinien und Nachweise fehlen, unterstützt die Leistung Sicherheitsrichtlinien und Dokumentation. Für eine unabhängige Bestandsaufnahme Ihrer IT eignet sich der Bereich IT-Beratung und Audit.
Redaktion Apply
IT-Sicherheit und Datenschutz