NIS2/NIS-Gesetz: Cybersicherheit in Unternehmen

NIS steht für die Sicherheit der Netz- und Informationssysteme. Derzeit gilt die NIS-Richtlinie aus 2016, die in Österreich mit dem NIS-Gesetz umgesetzt wurde. Die derzeit geltenden Regelungen betreffen vorwiegend Unternehmen der kritischen Infrastruktur und Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen und Cloud Computing-Dienste).

In Österreich müssen verschiedene Organisationen und Einrichtungen die Vorgaben der NIS2-Richtlinie umsetzen.
Die wichtigsten Zielgruppen sind:

• Betreiber wesentlicher Dienste (Essential Services): Dazu gehören Unternehmen und Einrichtungen in kritischen Sektoren wie Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, öffentliche Verwaltung und andere, die für das Funktionieren der Gesellschaft von entscheidender Bedeutung sind.
• Anbieter digitaler Dienste (Digital Services): Dazu zählen Unternehmen, die digitale Dienste bereitstellen, wie Online-Marktplätze, Suchmaschinen und Cloud-Dienste.
• Behörden: Auch öffentliche Einrichtungen, die in kritischen Infrastrukturen tätig sind, müssen die Anforderungen erfüllen.

Die NIS2-Richtlinie sollte bis 17. Oktober 2024 in den EU-Mitgliedstaaten umgesetzt werden. Wann die Umsetzung in Österreich erfolgt, ist derzeit noch offen. 

Das hängt von vielen Faktoren ab.

1. Sektor: Die NIS2-Richtlinie gilt für Unternehmen und Organisationen in kritischen Sektoren, wie: Energie, Transport und Verkehr, Bankwesen und Finanzmärkte, Gesundheit, Trinkwasserversorgung und Abwasserentsorgung, Digitale Infrastruktur, Öffentliche Verwaltung, Lebensmittelproduktion, Raumfahrt, Postdienste und Lieferdienste
2. Größe des Unternehmens: Die Richtlinie betrifft hauptsächlich mittlere und große Unternehmen. Kleinst- und Kleinunternehmen sind oft von der NIS2 ausgenommen, es sei denn, sie spielen eine wesentliche Rolle in kritischen Infrastrukturen oder bieten wichtige Dienstleistungen an.
3. Art der Tätigkeit: Sind Sie Betreiber eines wesentlichen Dienstes oder Anbieter digitaler Dienste (z. B. Cloud-Dienste, Online-Marktplätze, Suchmaschinen), könnten Sie ebenfalls betroffen sein.
4. Sicherheitsrelevanz: Wenn Ihre Organisation eine kritische Rolle im Hinblick auf die nationale oder europäische Cybersicherheit spielt, sind Sie wahrscheinlich verpflichtet, die Anforderungen zu erfüllen.