NIS2: Warum auch nicht betroffene Unternehmen handeln sollten

Die EU-weite NIS2-Richtlinie zielt auf eine höhere Cybersicherheit in essenziellen und wichtigen Sektoren ab. Doch auch Unternehmen, die aktuell nicht unter die gesetzlichen Verpflichtungen fallen, profitieren von einer frühen Umsetzung. Warum? Weil Cyberrisiken, Lieferkettenanforderungen und regulatorische Entwicklungen alle betreffen – und weil Vorbereitung Sicherheit schafft. Zusätzlich können Unternehmen durch eine freiwillige Umsetzung der NIS2-Vorgaben auch strategische Wettbewerbsvorteile erzielen: Kritische Einrichtungen, die unter die NIS2 fallen, müssen laut EU-Kommission zunehmend nachweisen, dass auch ihre Dienstleister und Zulieferer NIS2-konform arbeiten. Eine frühe Zertifizierung oder nachweisbare Umsetzung kann also Zugang zu neuen Geschäftschancen sichern.

Was besagt die NIS2-Richtlinie genau?

Die EU-Richtlinie 2022/2555 („NIS2“) trat am 16. Januar 2023 in Kraft und sollte bis 18. Oktober 2024 von allen Mitgliedstaaten umgesetzt werden. Sie verfolgt das Ziel, das Cybersicherheitsniveau in der EU zu vereinheitlichen und zu erhöhen – insbesondere in kritischen Sektoren wie Energie, Gesundheit oder digitaler Infrastruktur.

Konkret verpflichtet NIS2 Unternehmen zur Umsetzung technischer und organisatorischer Sicherheitsmaßnahmen, darunter Risikomanagement, Zugangskontrollen, Backup-Strategien und Schulungen (siehe Blogartikel „Die NIS2 Cybersicherheits-Richtlinie im Überblick“). Zudem führt sie einheitliche Meldepflichten bei Sicherheitsvorfällen ein: Erste Meldung binnen 24 Stunden, Zwischenbericht nach 72 Stunden, Abschlussbericht innerhalb von 30 Tagen. Auch mittelgroße Unternehmen fallen nun unter den erweiterten Anwendungsbereich – das macht die Richtlinie zu einem zentralen Hebel für mehr digitale Resilienz in Europa.

Wie ist der Stand in Österreich?

In Österreich wird NIS2 im Netz- und Informationssystemsicherheitsgesetz (NISG) umgesetzt. Ein Gesetzesentwurf liegt vor, eine Verabschiedung wird noch 2025 erwartet. Unternehmen sollten sich daher nicht auf den Gesetzestext verlassen, sondern proaktiv agieren.

Wer ist laut NIS2 umsetzungspflichtig?

Umsetzungspflichtig im Sinne der NIS2-Richtlinie sind Unternehmen, die in bestimmten „kritischen“ oder „wichtigen“ Sektoren tätig sind – etwa Energie, Verkehr, Gesundheit, Finanzwesen, Trinkwasserversorgung, digitale Infrastruktur oder öffentliche Verwaltung. Innerhalb dieser Sektoren gelten Organisationen mit mehr als 50 Mitarbeitenden oder über 10 Mio. € Jahresumsatz als meldepflichtig. Großunternehmen sind unabhängig vom Sektor erfasst, sofern sie in einem relevanten Bereich tätig sind.

Darüber hinaus können auch kleinere Unternehmen unter die NIS2 fallen, wenn sie als systemrelevant gelten – etwa weil sie essenzielle Dienste bereitstellen oder als Teil kritischer Lieferketten eine besondere Rolle spielen. Entscheidend ist also nicht allein die Unternehmensgröße, sondern vor allem die Bedeutung des Unternehmens für die gesellschaftliche oder wirtschaftliche Versorgungssicherheit.

Welche Unternehmen gelten als nicht umsetzungspflichtig?

Betriebe unterhalb der Schwellenwerte und ohne kritische Rolle im Versorgungssystem sind derzeit nicht direkt betroffen. Doch sobald sie als Lieferanten eingebunden sind oder wachsen, können sie in den Geltungsbereich fallen. Proaktive Vorbereitung schafft hier strategische Vorteile.

Welche wirtschaftlichen Vorteile bringt eine frühe Umsetzung?

Frühzeitig in IT-Sicherheit zu investieren, zahlt sich langfristig aus. Unternehmen, die bereits jetzt NIS2-konforme Strukturen schaffen, gelten als verlässliche Partner – ein echter Wettbewerbsvorteil. Gerade im B2B-Umfeld steigt die Nachfrage nach dokumentierten Sicherheitsstandards und stabilen IT-Prozessen.

Immer mehr große Unternehmen verlangen von ihren Zulieferern nachweisbare IT-Sicherheit. Wer als KMU Teil einer solchen Lieferkette ist, wird früher oder später mit Sicherheitsanforderungen konfrontiert. Unternehmen, die jetzt schon vorbereitet sind, können flexibel reagieren und neue Aufträge leichter gewinnen. Besonders relevant: Kritische Unternehmen im Sinne der NIS2 sind voraussichtlich verpflichtet, auch ihre Partner entlang der Lieferkette auf Sicherheitsstandards zu verpflichten. Eine freiwillige NIS2-Implementierung wird so zum Türöffner für neue Kundenbeziehungen.

Die NIS2-Richtlinie legt bewusst offene Kriterien fest. Auch derzeit nicht verpflichtete Unternehmen könnten zukünftig als „wichtig“ oder „essenziell“ eingestuft werden. Wer heute bereits dokumentierte Prozesse für Risikomanagement, Governance und Meldung etabliert, spart morgen viel Aufwand – und reduziert Compliance-Risiken.

Welche konkreten Schritte können kleine Betriebe setzen?

Auch ohne gesetzliche Pflicht ist ein strukturierter Einstieg sinnvoll:

• Gap-Analyse: Welche bestehenden Schutzmaßnahmen entsprechen NIS2-Vorgaben?
• MFA & Backup: Technische Mindeststandards prüfen und ausbauen
• Schulungen: Sensibilisierung für Führung und Mitarbeitende
• Lieferantenprüfung: Sicherheitsanforderungen vertraglich klären

Diese Maßnahmen sind skalierbar und auch für kleinere Teams umsetzbar.

Fazit: Frühzeitig handeln lohnt sich

NIS2 ist mehr als ein Gesetz – es ist ein Aufruf zur Stärkung der digitalen Resilienz. Auch nicht direkt betroffene Unternehmen haben gute Gründe, sich schon jetzt mit der Umsetzung zu beschäftigen: Risikominimierung, bessere Marktchancen, Zukunftssicherheit. Wer vorbereitet ist, bleibt handlungsfähig – auch wenn sich die Lage ändert.