NIS2
NIS2 ist die EU-Richtlinie zur Cybersicherheit. In Österreich wird sie über das Netz- und Informationssystemsicherheitsgesetz umgesetzt. Diese Seite erklärt, wer betroffen ist, was Art. 21 der Richtlinie verlangt und welche Fristen laufen.
Stand: 2. September 2026
Was ist NIS2?
NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie verpflichtet Unternehmen in 18 Sektoren zu Risikomanagement, Meldung von Sicherheitsvorfällen und technischen Mindestmaßnahmen. Sie gilt seit dem 18. Oktober 2024 und wird in Österreich über das Netz- und Informationssystemsicherheitsgesetz umgesetzt.
Die Schreibweise „NIS 2“ mit Leerzeichen meint dasselbe. Der Name steht für die zweite Fassung der Network-and-Information-Security-Richtlinie; sie ersetzt die erste von 2016 und erweitert deren Geltungsbereich erheblich: statt einiger Betreiber wesentlicher Dienste fallen nun Unternehmen aus 18 Sektoren darunter, sobald sie die Größenkriterien erreichen.
Neu ist vor allem die Verantwortung. NIS2 macht Cybersicherheit zur Leitungsaufgabe: die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und trägt nach Art. 20 der Richtlinie eine eigene Verantwortung für Verstöße. Diese Pflicht lässt sich nicht delegieren.
NIS2 in Zahlen
- 18
- Sektoren nach Anhang I und II der Richtlinie
- 50
- Mitarbeitende als Schwelle für die mittlere Unternehmensgröße
- 24 Std.
- Frist für die Erstmeldung eines Vorfalls
- 10 Mio. €
- Bußgeldrahmen, oder 2 % des Jahresumsatzes
Richtlinie, Umsetzung, Aufsicht
Drei Namen, ein Regelwerk. Wer die Kette kennt, findet die Vorschrift, die tatsächlich gilt.
- Europäische Ebene
Die NIS2-Richtlinie
Richtlinie (EU) 2022/2555, in Kraft seit Januar 2023. Eine Richtlinie gilt nicht unmittelbar: sie verpflichtet die Mitgliedstaaten, ihre Vorgaben in nationales Recht zu übersetzen. Für Unternehmen ist sie deshalb Auslegungshilfe, nicht Anspruchsgrundlage.
- Nationale Umsetzung
Die österreichische Umsetzung
Österreich setzt die Richtlinie im Netz- und Informationssystemsicherheitsgesetz um. Dort stehen die Pflichten, die für Unternehmen tatsächlich gelten: die Sicherheitsvorkehrungen, die Melde- und Registrierungspflichten und die Verantwortung der Leitung.
- Geltendes Recht
Behörde und Computer-Notfallteams
Die zuständige Behörde beaufsichtigt die Einhaltung, die Computer-Notfallteams nehmen Meldungen entgegen und unterstützen bei der Bewältigung. Die Registrierung und die Meldung eines erheblichen Sicherheitsvorfalls laufen über diesen Weg.
Wer ist betroffen?
Zwei Kriterien müssen zusammenkommen: der Sektor und die Größe. Trifft beides zu, gilt NIS2 automatisch, ohne Bescheid und ohne Aufforderung.
Besonders wichtige Einrichtungen
ab 250 Beschäftigten, oder über 50 Mio. € Jahresumsatz und über 43 Mio. € Bilanzsumme
In den Sektoren hoher Kritikalität: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Weltraum. Diese Einrichtungen unterliegen der laufenden Aufsicht.
Bußgeld bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtungen
ab 50 Beschäftigten, oder über 10 Mio. € Jahresumsatz und Bilanzsumme
Alle übrigen Sektoren sowie kleinere Einrichtungen der oben genannten: Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung. Die Aufsicht erfolgt anlassbezogen, die Pflichten selbst sind dieselben.
Bußgeld bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes
Unabhängig von der Größe
Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Dienste und Anbieter öffentlicher Telekommunikationsnetze fallen ohne Rücksicht auf Beschäftigtenzahl oder Umsatz unter NIS2.
Und die Lieferkette?
Zulieferer sind nicht automatisch selbst betroffen, werden aber vertraglich in die Pflicht genommen: Art. 21 Abs. 2 lit. d der Richtlinie verlangt von betroffenen Unternehmen, die Sicherheit ihrer unmittelbaren Anbieter zu bewerten. In der Praxis heißt das Fragebögen, Nachweise und Vertragsklauseln, die den Standard weitergeben.
Die 18 Sektoren
Sektoren hoher Kritikalität zuerst, danach die sonstigen kritischen Sektoren.
- Energie
- Verkehr und Transport
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- IKT-Dienstleistungsmanagement
- Öffentliche Verwaltung
- Weltraum
- Post und Kurier
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Verarbeitendes Gewerbe
- Digitale Dienste
- Forschung
Die zehn Anforderungen nach Art. 21 der Richtlinie
Art. 21 Abs. 2 der NIS2-Richtlinie listet zehn Maßnahmen, die jedes betroffene Unternehmen umsetzen muss. Das Netz- und Informationssystemsicherheitsgesetz übernimmt sie und lässt sie für alle Einrichtungsklassen gleichermaßen gelten.
Der Maßstab ist die Verhältnismäßigkeit: gefordert ist der Stand der Technik, gemessen am Risiko, an der Größe des Unternehmens und an den möglichen Schäden. Eine feste Produktliste gibt es nicht.
| Nr. | Maßnahme | Was dahintersteht | E-Mail-Bezug |
|---|---|---|---|
| §30 Abs. 2Nr. 1 | Risikoanalyse und Sicherheitskonzepte | Dokumentierte Analyse der Risiken für die eigenen Informationssysteme, daraus abgeleitete Konzepte. | kein direkter Bezug |
| §30 Abs. 2Nr. 2 | Bewältigung von Sicherheitsvorfällen | Erkennung, Reaktion, Wiederanlauf und Nachbereitung von Vorfällen als geregelter Prozess. | unmittelbar |
| §30 Abs. 2Nr. 3 | Aufrechterhaltung des Betriebs | Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement. | mittelbar |
| §30 Abs. 2Nr. 4 | Sicherheit der Lieferkette | Bewertung und vertragliche Absicherung der unmittelbaren Anbieter und Dienstleister. | unmittelbar |
| §30 Abs. 2Nr. 5 | Sicherheit bei Erwerb, Entwicklung und Wartung | Sicherheitsanforderungen über den Lebenszyklus von Systemen, einschließlich Schwachstellenmanagement. | kein direkter Bezug |
| §30 Abs. 2Nr. 6 | Bewertung der Wirksamkeit | Verfahren, die prüfen, ob die getroffenen Maßnahmen tatsächlich wirken. | mittelbar |
| §30 Abs. 2Nr. 7 | Cyberhygiene und Schulungen | Grundlegende Sicherheitspraktiken und regelmäßige Schulung aller Beschäftigten. | mittelbar |
| §30 Abs. 2Nr. 8 | Kryptografie und Verschlüsselung | Konzepte und Verfahren für den Einsatz kryptografischer Verfahren, einschließlich Schlüsselverwaltung. | unmittelbar |
| §30 Abs. 2Nr. 9 | Personalsicherheit und Zugriffskontrolle | Überprüfung von Personal, Rechtevergabe nach Bedarf, Verwaltung der Anlagen. | kein direkter Bezug |
| §30 Abs. 2Nr. 10 | Multi-Faktor und gesicherte Kommunikation | Mehrfaktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, Notfallkommunikation. | unmittelbar |
Vier der zehn Maßnahmen betreffen E-Mail unmittelbar
Verschlüsselung, Vorfallsbewältigung, Lieferkettenkommunikation und gesicherte Textkommunikation lassen sich ohne ein Mail-Gateway kaum belegen. Wie das konkret aussieht, steht auf der Seite zur E-Mail-Sicherheit nach NIS2.
Fristen, Meldungen, Bußgelder
Neben den Maßnahmen nach Art. 21 stehen drei formale Pflichten, die unabhängig von der IT-Ausstattung greifen.
Registrierung bei der Behörde
Betroffene Einrichtungen müssen sich nach Eintritt der Betroffenheit bei der zuständigen Behörde registrieren und dabei Kontaktdaten, Sektor und betroffene Dienste angeben. Die Behörde verschickt keine Aufforderung: die Pflicht zu prüfen, ob man betroffen ist, liegt beim Unternehmen.
Meldung von Sicherheitsvorfällen
Erheblich ist ein Vorfall, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder andere natürliche oder juristische Personen schädigen kann. Die Meldung erfolgt dreistufig:
- 1Innerhalb von 24 Stunden: Erstmeldung mit dem, was bekannt ist.
- 2Innerhalb von 72 Stunden: Bestätigung oder Aktualisierung mit erster Bewertung.
- 3Innerhalb eines Monats: Abschlussmeldung mit Ursache, Auswirkung und ergriffenen Maßnahmen.
Pflichten der Geschäftsleitung
Nach Art. 20 der Richtlinie muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Sie ist zur regelmäßigen Schulung verpflichtet und trägt für Pflichtverletzungen eine eigene Verantwortung. Ein Verzicht darauf ist unwirksam.
Bußgeldrahmen
Besonders wichtige Einrichtungen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtige Einrichtungen: bis 7 Mio. € oder 1,4 %. Für Verstöße gegen Melde- und Registrierungspflichten gelten eigene, niedrigere Rahmen.
NIS2 und kritische Infrastrukturen
Beides wird oft verwechselt. Kritische Infrastrukturen sind Einrichtungen, deren Ausfall die Versorgung der Bevölkerung gefährdet; für sie gilt zusätzlich die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen mit ihren Vorgaben zur physischen Sicherheit. Sie sind eine Teilmenge der wesentlichen Einrichtungen.
NIS2 ist der weitere Begriff. Ein Unternehmen kann unter NIS2 fallen, ohne kritische Infrastruktur zu sein; umgekehrt gilt für Betreiber kritischer Einrichtungen alles, was auch unter NIS2 gilt, und darüber hinaus die Anforderungen an die physische Resilienz.
| Aspekt | NIS2 | Kritische Einrichtung |
|---|---|---|
| Auslöser | Sektor und Unternehmensgröße | Einstufung durch die Behörde nach der Resilienz-Richtlinie |
| Umfang | Unternehmen aus 18 Sektoren ab der Größenschwelle | einzelne benannte Einrichtungen je Sektor |
| Nachweis | auf Verlangen der Aufsicht | verpflichtend alle drei Jahre |
| Angriffserkennung | Teil der Verhältnismäßigkeit | je nach Sektor vorgeschrieben |
Alle NIS2-Themen
Was auf dieser Seite im Überblick steht, ist an anderer Stelle ausgeführt. Dreizehn Seiten, nach Fragestellung sortiert.
Grundlagen und Haftung
- NIS2 und E-Mail-Sicherheit: der komplette GuideDer Einstieg über 30 Seiten: Geltungsbereich, Maßnahmen, Fristen, Fallstricke.
- Welche E-Mail-Pflichten jetzt geltenWas die Richtlinie für den Mailkanal konkret vorschreibt, Absatz für Absatz.
- Verantwortung der Geschäftsleitung nach Art. 20 NIS2Warum die Leitung persönlich haftet und wie sich das dokumentieren lässt.
Die Maßnahmen im Einzelnen
- Art. 21 NIS2: die zehn PflichtmaßnahmenJede Maßnahme einzeln erklärt, mit dem jeweiligen Bezug zur E-Mail.
- Ist E-Mail-Verschlüsselung Pflicht?Was Nr. 8 verlangt, wo TLS reicht und wo S/MIME oder PGP nötig werden.
- Meldepflicht bei einem VorfallDie 24-Stunden-Frist in der Praxis: wer meldet, was, an wen.
- Lieferkettensicherheit nach Nr. 4Wie Anforderungen an Zulieferer weitergegeben und nachgewiesen werden.
- Der E-Mail-NotfallplanBetriebskontinuität für den Mailkanal: Ausfall, Wiederanlauf, Ersatzweg.
- Protokollierung und SIEM-AnbindungWelche Nachweise die Aufsicht sehen will und wie E-Mail-Ereignisse dorthin kommen.
Umsetzung mit Conbool
- NIS2 und E-Mail-SicherheitDie vier E-Mail-relevanten Maßnahmen und wie Conbool sie abdeckt.
- NIS2-VerschlüsselungS/MIME und PGP automatisiert, mit Schlüsselverwaltung und Regelwerk.
- NIS2-BetriebskontinuitätNotfallpostfach und Weiterbetrieb, wenn der Mailserver ausfällt.
- NIS2-SchulungspflichtCyberhygiene und Schulungen nach Nr. 7, nachweisbar dokumentiert.
Häufige Fragen zu NIS2
Was ist der Unterschied zwischen der NIS2-Richtlinie und dem österreichischen Gesetz?+
NIS2 ist die europäische Richtlinie und gilt für Unternehmen nicht unmittelbar. Sie verpflichtet die Mitgliedstaaten, ihre Vorgaben in nationales Recht zu übersetzen. In Österreich geschieht das im Netz- und Informationssystemsicherheitsgesetz; die Pflichten, die tatsächlich gelten, stehen dort. Die Richtlinie bleibt Auslegungshilfe, insbesondere Art. 20 zur Leitungsverantwortung, Art. 21 zu den Maßnahmen und Art. 23 zu den Meldefristen.
Seit wann gilt NIS2 in Österreich?+
Die Richtlinie gilt seit dem 18. Oktober 2024, ihre Umsetzung erfolgt im Netz- und Informationssystemsicherheitsgesetz. Für die Maßnahmen selbst ist keine Übergangsfrist vorgesehen; für die Registrierung bei der zuständigen Behörde läuft eine eigene Frist ab Eintritt der Betroffenheit.
Was ist der Unterschied zwischen einer besonders wichtigen und einer wichtigen Einrichtung?+
Die Einstufung folgt aus Sektor und Größe. Wesentliche Einrichtungen sind große Unternehmen in Sektoren hoher Kritikalität, wichtige Einrichtungen alle übrigen betroffenen. Die Maßnahmenpflichten nach Art. 21 sind identisch; sie unterscheiden sich in der Aufsicht, die bei wesentlichen Einrichtungen laufend erfolgt, und im Bußgeldrahmen von 10 gegenüber 7 Mio. Euro.
Muss ich einen Sicherheitsvorfall innerhalb von 24 Stunden vollständig aufklären?+
Nein. Die 24-Stunden-Frist gilt für eine Erstmeldung mit dem Kenntnisstand zu diesem Zeitpunkt, einschließlich der Einschätzung, ob ein rechtswidriger Angriff vorliegt. Die Bewertung folgt binnen 72 Stunden, die Aufklärung mit der Abschlussmeldung binnen eines Monats.
Reicht eine ISO-27001-Zertifizierung für NIS2?+
Sie hilft, genügt aber nicht automatisch. ISO 27001 deckt einen großen Teil der Maßnahmen nach Art. 21 Abs. 2 ab, adressiert die Melde- und Registrierungspflichten sowie die eigene Verantwortung der Geschäftsleitung nach Art. 20 jedoch nicht. Ein vorhandenes Managementsystem verkürzt die Arbeit, ersetzt die Prüfung der einzelnen Pflichten aber nicht.
Fällt mein Unternehmen als Zulieferer unter NIS2?+
Nicht allein deshalb. Betroffen ist, wer selbst Sektor und Größenkriterien erfüllt. Betroffene Kunden geben ihre Anforderungen jedoch nach Art. 21 Abs. 2 lit. d vertraglich weiter, sodass Zulieferer die Maßnahmen faktisch nachweisen müssen, ohne selbst unter die Aufsicht zu fallen.
Die E-Mail-Anforderungen abdecken
Vier der zehn Maßnahmen nach Art. 21 der Richtlinie betreffen E-Mail unmittelbar. Conbool deckt sie mit Verschlüsselung, Bedrohungserkennung, Nachrichtenportal und lückenlosen Protokollen ab, gehostet in der EU.
Diese Seite fasst den Stand der Gesetzgebung allgemeinverständlich zusammen und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in seiner jeweils geltenden Fassung.