Cybersicherheit neu gedacht: NIS2 – Was österreichische Unternehmen jetzt wissen müssen

Wer ist von NIS2 betroffen?

NIS2 betrifft hauptsächlich mittlere und große Unternehmen mit mehr als 50 Beschäftigten oder einem Jahresumsatz von über 10 Millionen Euro. Die Richtlinie unterscheidet zwischen „wesentlichen Einrichtungen“ – großen Unternehmen in kritischen Sektoren wie Energie oder Gesundheit – und „wichtigen Einrichtungen“, zu denen auch mittlere Unternehmen zählen. Kleinere Unternehmen sind in der Regel nicht direkt betroffen, können aber durch ihre Rolle in Lieferketten indirekt in den Anwendungsbereich fallen.

Die genaue Einstufung ist entscheidend, da sie unterschiedliche Aufsichtsmethoden und Sanktionen mit sich bringt. Für wesentliche Einrichtungen gibt es strengere Überprüfungen und höhere Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes.

Die wichtigsten Anforderungen von NIS2

Unternehmen, die von NIS2 betroffen sind, müssen eine Reihe von Maßnahmen umsetzen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten. Dazu zählen:

– Risikomanagement: Unternehmen müssen Konzepte für Risikoanalysen und Sicherheitsmaßnahmen entwickeln, um ihre Netzwerke vor potenziellen Bedrohungen zu schützen.

– Sicherheitsvorfälle melden: Cybersicherheitsvorfälle, die den Betrieb erheblich stören, müssen innerhalb von 24 Stunden gemeldet werden. Eine erste Einschätzung des Vorfalls muss spätestens nach 72 Stunden erfolgen, gefolgt von einem Abschlussbericht innerhalb eines Monats.

– Sicherstellung der Geschäftskontinuität: Unternehmen müssen Maßnahmen ergreifen, um sicherzustellen, dass ihre betrieblichen Abläufe im Falle eines Cyberangriffs nicht dauerhaft beeinträchtigt werden. Dazu gehören Backup- und Krisenmanagementstrategien.

– Schulungen: Regelmäßige Cybersicherheitsschulungen für Mitarbeiter gehören zu den Mindestanforderungen, um die „Cyberhygiene“ des Unternehmens zu gewährleisten.