NIS2 für kleine Betriebe: Pflichten, Fristen und ein machbarer Plan

Was NIS2 ist — und ab wann es in Österreich gilt

NIS2 ist eine EU-Richtlinie für Cybersicherheit. Eine Richtlinie gilt nicht direkt für Ihren Betrieb: Sie ist eine Anweisung an die Mitgliedstaaten, ein eigenes Gesetz zu machen. Für Österreich ist dieses Gesetz da. Es heißt Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, wurde im Dezember 2025 beschlossen und gilt ab 1. Oktober 2026. Wer betroffen ist, muss sich bis 31. Dezember 2026 beim neu geschaffenen Bundesamt für Cybersicherheit registrieren; bis 30. September 2027 folgt die Selbstdeklaration — eine strukturierte Erklärung, welche Sicherheitsmaßnahmen tatsächlich umgesetzt sind.

Neu ist vor allem der Kreis der Betroffenen. Die Vorgängerrichtlinie von 2016 traf einen engen Zirkel — Stromnetz, Bahn, große Kliniken. NIS2 spannt das auf 18 Sektoren auf und zieht die Größenschwelle tiefer. In Österreich rechnet man mit rund 4.000 betroffenen Einrichtungen. Ihr Betrieb ist wahrscheinlich nicht darunter. Ihr größter Kunde schon.

Bin ich betroffen? Die erste Frage: Ihr Sektor

Es braucht zwei Treffer: Sektor und Größe. Beide müssen zusammenkommen — sonst fallen Sie nicht direkt unter das Gesetz. Achten Sie beim Lesen der beiden Listen auf zwei Dinge: „Verarbeitendes Gewerbe“ ist ein weites Feld, ein Maschinenbauer mit 60 Leuten ist plötzlich mitgemeint. Und Hotellerie, Gastronomie, Handel, Bau, Steuerberatung oder Werbeagenturen stehen nicht auf der Liste — was, wie Sie gleich sehen, nicht heißt, dass sie das Thema nicht erreicht.

• Sektoren mit hoher Kritikalität — Energie, Verkehr, Bankwesen, Börsen und Zahlungsverkehr, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur (etwa Rechenzentren und Cloud-Anbieter), die Verwaltung von IT-Diensten für andere Unternehmen, öffentliche Verwaltung und Weltraum.
• Sonstige kritische Sektoren — Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel (Produktion, Verarbeitung, Vertrieb), verarbeitendes Gewerbe (unter anderem Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste wie Online-Marktplätze oder Suchmaschinen sowie Forschung.

Die zweite Frage: Ab welcher Größe NIS2 greift

Sie sind groß genug, wenn Sie 50 oder mehr Beschäftigte haben. Sind Sie kleiner, zählt der zweite Weg: Jahresumsatz und Bilanzsumme liegen beide über 10 Millionen Euro. Trifft keines von beidem zu, sind Sie in der Regel nicht direkt erfasst. Unabhängig von der Größe erfasst sind nur wenige: Telefon- und Internetanbieter, Firmen, die Internetadressen auf die richtigen Server lenken (im Fachjargon DNS-Anbieter), Vertrauensdienste wie Anbieter digitaler Signaturen — und Betriebe, die als einzige in einer Region eine unverzichtbare Leistung erbringen.

Wer betroffen ist, landet in einer von zwei Klassen; die Begriffe kommen bei den Strafen wieder. Wesentliche Einrichtungen sind die großen und die besonders kritischen: Strom, Wasser, Telekommunikation, große Kliniken. Wichtige Einrichtungen sind der Rest der Liste, meist mittlere Unternehmen. Der Unterschied entscheidet, wie genau die Aufsicht hinsieht und wie hoch eine Strafe ausfallen kann.

Und dann kommt die dritte Frage, die im Gesetz nicht steht, für kleine Betriebe aber die wichtigste ist: Wer sind Ihre Kunden?

Der Punkt, der kleine Betriebe überrascht: Ihr Kunde reicht die Pflichten weiter

NIS2 verlangt von betroffenen Unternehmen ausdrücklich, die Sicherheit ihrer Lieferkette zu berücksichtigen — also auch die ihrer Lieferanten und Dienstleister. Ein betroffenes Unternehmen kann diese Pflicht gar nicht erfüllen, ohne sie an Sie weiterzureichen. Es fragt Sie deshalb nach genau den Dingen, die zum laufenden Schutz Ihrer Systeme gehören: Updates, Zugänge, Sicherungen. Nicht aus Schikane, sondern weil es muss.

Der Brief kommt also selten von einer Behörde. Er kommt vom größten Kunden. Und die Frist darin steht nicht im Gesetz, sondern im Vertrag. Die ehrliche Frage lautet für einen kleinen Betrieb deshalb nicht „Was schreibt mir das Gesetz vor?“, sondern: „Was wird mein Auftraggeber verlangen — und kann ich es beantworten, ohne drei Wochen zu suchen?“ Womit Sie rechnen sollten:

• Ein Fragebogen zu Ihrer IT — Sicherungen, Zugänge, Updates, Notfallplan, eigene Subunternehmer. Wer ihn nicht beantworten kann, wirkt wie ein Risiko, auch wenn er keines ist.
• Neue Vertragsklauseln — Sie müssen Vorfälle, die Ihren Kunden betreffen könnten, innerhalb einer bestimmten Zeit melden. Diese Frist ist verhandelbar. Die aus dem Gesetz ist es nicht.
• Nachweise statt Zusagen — ein Backup-Konzept, ein Beleg, dass eine Sicherung schon einmal zurückgespielt wurde, eine Liste der Zugriffsberechtigten. Dazu oft ein Prüfrecht: Der Kunde darf nachsehen.
• Ein Ausschlussgrund — fehlen die Nachweise, können Sie bei einer Ausschreibung schon in der Formalprüfung ausscheiden, bevor jemand Ihren Preis ansieht.

Welche Pflichten genau gelten

Das Gesetz nennt zehn Mindestmaßnahmen. Im Original klingen sie nach Verwaltung, hier stehen sie in Alltagssprache — und kein Punkt ist dabei, den man nicht ohnehin tun sollte:

• Risiken kennen — aufschreiben, was ausfallen kann und was das kostet. Ein Blatt Papier genügt als Anfang, aber es muss existieren.
• Vorfälle bewältigen — wer entscheidet, wer trennt den Rechner vom Netz, wer ruft an.
• Den Betrieb aufrechterhalten — Sicherungen, Wiederherstellung, Krisenplan. Eine Sicherung, die nie zurückgespielt wurde, ist kein Backup, sondern eine Hoffnung — wie Sie das prüfen, steht in Backups, die im Ernstfall funktionieren.
• Die Lieferkette absichern — auch Ihre eigenen Dienstleister: die IT-Firma, das Rechenzentrum, der Softwarehersteller.
• Sicher einkaufen und warten — Sicherheitsupdates zuverlässig auf allen Geräten einspielen, nicht nur auf denen, an die jemand denkt. Der Fachbegriff dafür ist Patch-Management.
• Wirksamkeit prüfen — einmal im Jahr nachsehen, ob das Aufgeschriebene noch stimmt.
• Leute schulen — Passwörter, gefälschte E-Mails, fremde USB-Sticks. Der Fachbegriff dafür ist Cyberhygiene, gemeint ist Händewaschen.
• Verschlüsseln — Notebooks, Datenträger, Übertragungswege. Ein verschlüsseltes Notebook, das im Zug liegen bleibt, ist ein Ärgernis. Ein unverschlüsseltes ist ein Datenschutzvorfall.
• Zugänge im Griff haben — wer darf was, und was passiert am Tag nach einer Kündigung.
• Zwei-Faktor-Anmeldung — zusätzlich zum Passwort ein zweiter Nachweis, etwa ein Code aufs Handy. Wenn Sie aus dieser Liste nur einen Punkt umsetzen: diesen.

Drei Pflichten, die nichts mit Technik zu tun haben

Sie müssen sich, wenn Sie betroffen sind, selbst melden und registrieren. Die Behörde schickt keinen Brief, in dem steht „Sie sind dabei“. Die Prüfung ist Ihre Aufgabe — wer sie nicht macht, ist nicht etwa nicht betroffen, sondern nur nicht registriert.

Ihre Geschäftsführung muss die Maßnahmen freigeben und ihre Umsetzung überwachen; delegieren und vergessen geht nicht. Und die Leitung muss sich schulen lassen — das verlangt das Gesetz ausdrücklich von der Führungsebene, nicht nur von den Mitarbeitern. Wer über Sicherheitsausgaben entscheidet, muss verstehen, worüber er entscheidet.

Die Meldekette: 24 Stunden, 72 Stunden, ein Monat

Bei einem erheblichen Sicherheitsvorfall — grob: einem, der den Betrieb ernsthaft stört oder anderen spürbaren Schaden zufügt — läuft eine dreistufige Meldung. Die Uhr läuft ab dem Zeitpunkt, an dem Sie den Vorfall bemerken. Wer dann nicht weiß, wen er anrufen muss und wo die Zugangsdaten liegen, verliert die ersten 24 Stunden mit Suchen. Und wer keine Protokolldateien führt — die Aufzeichnungen, die ein Server über jeden Zugriff mitschreibt —, kann nach einem Monat nicht sagen, was passiert ist. Genau deshalb gehört das laufende Mitschreiben und Überwachen der Systeme in den normalen IT-Betrieb und nicht auf eine Sonderrechnung mit der Aufschrift „NIS2“.

Sind personenbezogene Daten betroffen, kommt die Meldepflicht aus der DSGVO an die Datenschutzbehörde dazu. Ein Vorfall kann also mehrere Meldungen auslösen: an die Aufsicht, an die Datenschutzbehörde, an betroffene Kunden, an Ihre Versicherung. Die Kette:

• Binnen 24 Stunden eine Frühwarnung — kein Bericht, nur ein Signal: Es ist etwas passiert, so schätzen Sie es ein.
• Binnen 72 Stunden die eigentliche Meldung. Was ist passiert, wie schwer ist es, welche Auswirkungen sind absehbar.
• Binnen eines Monats der Abschlussbericht. Ursache, Ablauf, ergriffene Maßnahmen. Zwischenberichte kann die Behörde zusätzlich verlangen.

Was bei Verstößen passiert — und was Strafen kosten können

Zuerst die Einordnung, weil hier gern mit großen Zahlen Angst gemacht wird: Wer nicht unter das Gesetz fällt, zahlt auch keine Strafe danach. Für den Handwerksbetrieb mit 20 Leuten ist die Höhe der Geldstrafe nicht das Thema — für seinen Auftraggeber schon, und der reicht die Anforderung weiter.

Der Strafrahmen reicht für wesentliche Einrichtungen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; für wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent. Das ist der Rahmen, nicht die Rechnung: Wie das Gesetz in Ihrem Fall auszulegen ist, sagt Ihnen ein Jurist, nicht ein IT-Dienstleister.

Wichtiger als die Summe ist, was daneben steht: Die Leitung ist in der Pflicht und kann für Versäumnisse in die Verantwortung genommen werden. Deshalb ist das Thema in betroffenen Unternehmen Chefsache — und deshalb kommt der Druck bei deren Lieferanten an.

Was NIS2 nicht ist

Vier Missverständnisse, die teuer werden können:

• Kein Zertifikat, das man kauft. Es gibt kein Papier „NIS2-zertifiziert“, das Sie an die Tür hängen. ISO 27001 — ein internationaler Standard für Informationssicherheit, den ein externer Prüfer bestätigt — kann Struktur geben, ist aber nicht vorgeschrieben und für kleine Betriebe meist überdimensioniert.
• Kein Produkt. Wenn Ihnen jemand eine „NIS2-konforme Firewall“ verkauft, verkauft er Ihnen eine Firewall. Die kann sinnvoll sein. Konform macht sie niemanden.
• Kein Projekt mit Enddatum. Es ist ein Zustand, den man pflegt: einmal im Jahr durchsehen, nach jeder größeren Änderung nachziehen.
• Keine reine Technikfrage. Der größere Teil ist Organisation: Wer darf was, wer ruft wen an, wo steht es geschrieben.

Was das kostet — und wie Sie ein Angebot prüfen

Ich nenne hier bewusst keinen Betrag, weil jeder, der das ungefragt tut, rät. Ein Werkzeug für Ihre nächste Verhandlung: Lassen Sie sich jedes NIS2-Angebot in drei Spalten aufschreiben — Technik, Dokumentation, laufender Betrieb — mit Beträgen. Und fragen Sie, welche der zehn Mindestmaßnahmen es abdeckt und was Sie danach immer noch selbst tun müssen. Wer die Posten nicht trennen kann oder nicht will, verkauft Ihnen Geräte. Dasselbe dürfen Sie mit meinem Angebot machen.

Die Gegenrechnung wird zu selten gemacht: Wer geprüfte Sicherungen, gepflegte Updates und geordnete Zugänge hat, erfüllt den größten Teil der Anforderungen, bevor er das Wort NIS2 zum ersten Mal gehört hat — für ihn ist der Rest Aufschreiben. Wer nichts davon hat, zahlt jetzt, hätte es aber ohnehin gezahlt: spätestens am Tag nach dem Vorfall, dann ohne Zeitplan und ohne Angebotsvergleich. In diesen drei Blöcken entstehen die Kosten:

• Nachholbedarf — alles, was ohnehin fehlt: die Sicherung, die Zwei-Faktor-Anmeldung, das Gerät ohne Updates. Das sind keine NIS2-Kosten, sondern aufgeschobene IT-Kosten, die jetzt fällig werden.
• Ihre eigene Zeit — Inventar, Notfallplan, Dokumentation. Nur Sie wissen, was in Ihrem Betrieb geschäftskritisch ist. Ein guter Dienstleister strukturiert und fragt ab. Mitschreiben müssen Sie.
• Laufender Betrieb — Updates, Überwachung, die jährliche Durchsicht. Der Posten, der bleibt.

Die Schrittfolge für einen Betrieb ohne IT-Abteilung

Diese Reihenfolge empfehle ich. Sie ist so gebaut, dass nach jedem Schritt etwas Brauchbares fertig ist — auch wenn Sie danach zwei Monate nicht weitermachen.

• Betroffenheit klären. Sektor, Größe, Kunden — die drei Fragen von oben, schriftlich beantwortet. Auch das Ergebnis „nicht direkt betroffen“ gehört aufgeschrieben, mit Datum und Begründung. Genau das schicken Sie dem Kunden, der fragt.
• Inventar machen. Eine Tabelle: welche Programme, welche Geräte, welche Zugänge, welche Daten — und wer kommt an was heran. Ohne diese Liste ist jeder weitere Schritt geraten.
• Die vier Basics schließen. Eine Sicherung, die schon einmal zurückgespielt wurde. Eine Zwei-Faktor-Anmeldung überall dort, wo man von außen hineinkommt. Updates, die eingespielt werden, ohne dass jemand daran denken muss. Und Zugänge, die mit dem letzten Arbeitstag enden — eine wiederkehrende Aufgabe, die sich automatisieren lässt, damit sie niemand vergisst.
• Notfallplan auf einer Seite. Wer ruft wen an, in welcher Reihenfolge, mit welchen Nummern. Ausgedruckt: Im Ernstfall ist das Postfach genau das System, das nicht mehr geht.
• Meldewege festlegen. Vier Zeilen: Wer meldet an die Behörde, wer an den Kunden, wer an die Versicherung, wer an die Datenschutzbehörde. Vorher aufgeschrieben, nicht um drei Uhr früh.
• Leute schulen — die Chefs zuerst. Eine Stunde über gefälschte E-Mails ist schnell organisiert, und kein Gerät im Serverschrank ersetzt sie — dafür gibt es Beratung und Schulungen.
• Knapp dokumentieren. Ein Ordner, sechs Dokumente: Inventar, Risikoliste, Backup-Konzept, Notfallplan, Zugangsregeln, Schulungsnachweis. Was nicht aufgeschrieben ist, gilt im Zweifel als nicht getan. Was 200 Seiten hat, liest niemand.
• Jahrestermin setzen. Ein Nachmittag im Kalender, jedes Jahr derselbe. Durchgehen, was sich geändert hat, und die sechs Dokumente nachziehen.

Neun Fragen, die Sie diese Woche beantworten können

Zum Ausdrucken und in der nächsten Besprechung durchgehen. Wenn Sie bei Frage 4 zögern, fangen Sie dort an — nicht bei NIS2.

• In welchem Sektor sind Sie tätig — steht er auf einer der beiden Listen?
• Haben Sie 50 Beschäftigte, oder liegen Umsatz und Bilanzsumme über 10 Millionen Euro?
• Welche Ihrer Kunden sind betroffen, und was steht dazu in den Verträgen?
• Wann wurde die letzte Sicherung zurückgespielt? Nicht angelegt — zurückgespielt.
• Wo kann man sich von außen anmelden, und ist dort ein zweiter Faktor aktiv?
• Welches Gerät bekommt seit über einem Jahr keine Updates mehr?
• Welche Zugänge haben Menschen, die nicht mehr bei Ihnen arbeiten?
• Wer ruft wen an, wenn morgen früh nichts mehr geht — und steht die Nummer auf Papier?
• Wer entscheidet, ob ein Vorfall gemeldet wird — und weiß diese Person, dass die Uhr ab dem Bemerken läuft?

Was ich übernehme — und was Sie besser selbst tun

Ich bin Einzelunternehmer. Was ich Ihnen abnehmen kann: die Einordnung (Sektor, Größe, Kundenverträge), die Technik (Sicherungen, Zwei-Faktor-Anmeldung, Updates, Zugänge, Überwachung) und die Struktur für Ihre Dokumentation. Was ich Ihnen nicht abnehme: die Entscheidung, was in Ihrem Betrieb wirklich geschäftskritisch ist — das wissen nur Sie. Und die Rechtsberatung: Wie das NISG 2026 in Ihrem Einzelfall auszulegen ist, sagt Ihnen ein Jurist.

Und wenn die Prüfung ergibt, dass weder Sie noch Ihre Kunden betroffen sind? Dann sage ich Ihnen das. Sie haben dann trotzdem ein Inventar, eine geprüfte Sicherung und einen Notfallplan — genau das war der Sinn der Übung. NIS2 zwingt viele Betriebe nur, endlich zu tun, was ohnehin vernünftig ist.

Wenn Sie wissen wollen, wo Sie stehen: Schreiben Sie mir zwei Sätze — Branche, Mitarbeiterzahl, größter Kunde. Und wenn Sie vorerst nur mitlesen wollen, wie sich das Thema entwickelt: In meinen digitalen Impulsen schreibe ich ein- bis zweimal im Monat darüber.