In Österreich sind rund 4.000 Unternehmen in 18 Sektoren (u. a. Gesundheit, Transport, Energie, digitale Infrastruktur) betroffen – sobald sie mehr als 50 Mitarbeitende oder einen Jahresumsatz über 10 Mio. € haben. Oder Teil der Lieferkette solcher Einrichtungen sind!

Bei Verstoßen drohen saftige Strafen:

• Für „wesentliche Einrichtungen“ bis zu 10 Mio. € oder 2 % des globalen Jahresumsatzes, je nachdem, was höher ist.
• Für „wichtige Einrichtungen“ bis zu 7 Mio. € oder 1,4 % Umsatz

Artikel 21 der Richtlinie schreibt vor, dass Unternehmen nicht nur ihre eigenen Risiken managen müssen, sondern auch die Sicherheit ihrer Lieferkette – inklusive unmittelbarer Dienstleister und Lieferanten – berücksichtigen und dokumentieren müssen. Hast du also einen Kunden, der NIS-2 pflichtig ist, bist du selbst mitbetroffen, obwohl du vielleicht nur ein Mini-Unternehmen bist.

Geschäftsführer:innen müssen selbst aktiv werden und ein Risikomanagement aufsetzen. Das bedeutet, dass man zwar einen Experten zur Unterstützung hinzuziehen kann, die Verantwortung aber immer beim Unternehmen selbst bleibt – ganz konkret bei der Leitung.

Die verantwortliche Leitungsebene – muss selbst sicherstellen, dass:

• die Informationssicherheit im Unternehmen gewährleistet wird und die Ressourcen dafür zur Verfügung stehen,
• Risiken identifiziert, bewertet und gemanagt werden,
• Geschäftsführer selbst und ihre Mitarbeitenden regelmäßig geschult werden,
• geeignete technische und organisatorische Maßnahmen umgesetzt sind (z. B. Firewalls, Monitoring, Notfallpläne),
• das Ganze dokumentiert ist – und zwar revisionssicher.

Die meisten Unternehmen schieben das Thema allerdings vor sich hin oder meinen, ohnehin nichts damit zu tun zu haben. Kannst du dich noch an die Einführung der DSGVO erinnern? Kawooom – alles sollte gleichzeitig da sein. NIS 2 wird schlimmer und wer wartet, riskiert böse Überraschungen. Denn:

• Wenn das nationale Gesetz endlich kommt, gilt es rückwirkend.
• Betroffene Unternehmen müssen dann plötzlich Risikoanalysen, Meldeprozesse, Vertragsklauseln und Lieferanten-Audits liefern.
• Das kann Reputationsverlust, Betriebsunterbrechungen oder wahre Horrorszenarien bei Audits zur Folge haben.

Um nicht im Compliance-Blindflug zu enden, sind folgende Schritte essenziell:

• Lieferantenregister erstellen – einschließlich IT‑Freelancer und Mini‑Dienstleister.
• Verträge aktualisieren – mit Klauseln zu Risikomanagement, Audits, Zertifikaten, Sicherheitsratings.
• Standards vorschreiben – etwa ISO 27001, BSI‑Grundschutz, KSÖ‑Rating, Auditsysteme.
• Regelmäßige Überprüfung und Dokumentation etablieren – je Lieferant Risikoanalyse und Audit nachweisen.
• Informationssicherheit im Unternehmen gewährleisten – mit Verantwortlichkeiten, Auswahlkriterien, Verfahrensbeschreibungen und Monitoring – wie in Artikel 21 gefordert.

Klingt mega mühsam? Da macht es Sinn sich jetzt schon Hilfe zu holen. Beim Cybersecurity-Experten (als NIS-pflichtiges Unternehmen jedenfalls) und sich die richtigen Tools zu sichern. Für den Nachweis der Lieferkette und die eigene Basis-Arbeit bietet sich NisFix an.

Die Cybersecurity-Experten von secinto, arbeiten gerade mit über 20 Jahren Erfahrung an einem Tool, das für dich (als NIS-2 pflichtiges Unternehmen) die Basisarbeit übernimmt und die NIS 2‑Compliance deiner Lieferkette in einem Dashboard zusammenfasst:

• Lieferanten einladen und schon können sie loslegen.
• Sie werden Schritt für Schritt durch den Compliance‑Prozess geführt (administrativ und technisch). Mit Mustervorlagen, Risikobewertungen und To‑Do‑Listen.
• Am Ende reicht ein Klick – du bist in diesem Punkt Audit‑ready.

Du bist NUR Lieferant eines NIS-2 pflichtigen Unternehmens? Gute Nachrichten auch für dich:

• Du kannst NisFix proaktiv nutzen und einfach für deine Kunden freigeben.
• NisFix führt dich mit Mustervorlagen, technische Überprüfungen mit ToDo-Listen zum Fixen und Schulungsunterlagen durch den Prozess.
• Als Lieferant erhältst du ein digitales NisFix‑Zertifikat, das du zentral verwenden kannst und das dir den mehrfachen Nachweisstress erspart.

NIS 2 ist da – aber der Countdown läuft still und leise, ohne offizielle Deadline. Unternehmen müssen sich selbst vorbereiten, um bei Gesetzesverabschiedung nicht ins Chaos zu stürzen. Besonders gefährlich: die Lieferkette. Wer jetzt rechtzeitig handelt, schützt sich vor Bußgeldern, Haftung und traumatischen Audits.

Und damit du nicht unter dem NIS 2-Schock zusammenklappst: CheckFix und bald auch NisFix helfen dir, strukturiert und rechtskonform durch den Prozess.

• EUR-Lex – Richtlinie (EU) 2022/2555 (NIS‑2) – Amtlicher Volltext der NIS‑2-Richtlinie, inkl. Artikel 20 (Leitung) & Artikel 21 (Risikomanagement)
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555
• Artikel 20 NIS‑2 – Verantwortung der Leitungsorgane – Haftung der Geschäftsführung, Genehmigung und Überwachung von Sicherheitsmaßnahmen, Schulungspflicht
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555#d1e5596-1-1
• Artikel 21 NIS‑2 – Risikomanagementmaßnahmen im Bereich der Cybersicherheit – Pflicht zu Risikoanalyse, Incident Response, Lieferkettensicherheit, Monitoring etc.
  https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32022L2555#d1e5682-1-1
• Anlaufstelle NISG Österreich (onlinesicherheit.gv.at) – NIS‑2 betrifft in Österreich rund 4.000 Unternehmen in 18 Sektoren
  https://www.onlinesicherheit.gv.at/Services/News/NIS-2-Richtlinie-Ueberblick.html
• Wirtschaftskammer Österreich (WKO) – Erläuterung zu betroffenen Sektoren und Unternehmen, gesetzlicher Umsetzungsstand in Österreich
  https://www.wko.at/it-sicherheit/nis2-uebersicht