NIS2 Compliance Checkliste

NIS2 ist die Richtlinie (EU) 2022/2555 zur Netz- und Informationssicherheit. Sie aktualisiert die NIS-Richtlinie von 2016, erweitert die betroffenen Sektoren und Einrichtungen, führt die Verantwortung der Geschäftsleitung ein und vereinheitlicht die Meldepflichten.

Das NIS2-Umsetzungsgesetz setzt die NIS2-Richtlinie in deutsches Recht um und ändert das BSI-Gesetz (BSIG). Es ist am 6. Dezember 2025 in Kraft getreten. Eine Übergangsfrist sieht es nicht vor.

Österreich setzt NIS2 mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) um. Kundmachung am 23. Dezember 2025, Inkrafttreten am 1. Oktober 2026. Die Registrierung läuft vom 1. Oktober bis zum 31. Dezember 2026, die Selbstdeklaration innerhalb von zwölf Monaten danach. Die zehn Risikomanagementmaßnahmen stehen in § 32 Abs. 4 lit. a bis j. § 33 NISG regelt den Nachweis der Wirksamkeit und verlangt einen Prüfbericht, den das Leitungsorgan gemeinsam mit den unabhängigen Prüfern unterzeichnet.

Betroffen sind mittlere und große Unternehmen in den Sektoren nach Anlage 1 und Anlage 2 BSIG sowie deren Lieferketten. Anlage 1 umfasst Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur und Weltraum. Anlage 2 nennt sieben weitere Sektoren, darunter Abfallbewirtschaftung, Anbieter digitaler Dienste und Forschung. Unternehmen müssen ihre Betroffenheit selbst prüfen. Die verbindlichen Schwellenwerte ergeben sich aus Paragraf 28 BSIG.

Paragraf 30 BSIG (Artikel 21 der Richtlinie) nennt die Mindestmaßnahmen: Risikomanagement und Sicherheitsrichtlinien, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit, sichere Beschaffung und Entwicklung inkl. Schwachstellenmanagement, Wirksamkeitsprüfung der Maßnahmen, Schulungen und Sensibilisierung, Kryptografie, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung. In Österreich stehen dieselben zehn Maßnahmen in § 32 Abs. 4 NISG 2026. Artikel 23 / Paragraf 32 BSIG regelt die Meldepflichten.

Erhebliche Vorfälle sind dem BSI innerhalb von 24 Stunden zu melden (Erstmeldung), eine Bewertung folgt innerhalb von 72 Stunden, der Abschlussbericht innerhalb eines Monats.

Ja, in beiden Ländern. In Deutschland läuft die Registrierung nach § 33 BSIG über das BSI-Portal, Frist 31. Juli 2026. Wer die Schwellenwerte erst später erreicht, hat ab diesem Zeitpunkt drei Monate Zeit. In Österreich läuft die Registrierung vom 1. Oktober bis zum 31. Dezember 2026 über das Unternehmensserviceportal.

Besonders wichtigen Einrichtungen drohen Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis 7 Mio. EUR oder 1,4 %. Die Geschäftsleitung kann persönlich verantwortlich gemacht werden. Die konkreten Beträge ergeben sich aus dem BSIG.