NIS2 für österreichische KMU: Sind Sie betroffen?
NIS2 betrifft in Österreich viele mittelständische Betriebe, oft ohne dass sie es wissen. So prüfen Sie Ihre Betroffenheit in wenigen Minuten.
Jürgen Praschl-Bichler
Inhaber, Praschl-Bichler IT Consulting
NIS2 ist die neue EU-Richtlinie für Netz- und Informationssicherheit. Sie löst die alte NIS-Richtlinie ab und macht deutlich mehr Unternehmen zur Pflicht. Viele österreichische KMU gehen davon aus, dass sie damit nichts zu tun haben. Diese Annahme ist riskant.
Wer fällt unter NIS2
Als Faustregel gilt eine Größenschwelle von 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem der geregelten Sektoren. Dazu zählen unter anderem Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienste, Post, Abfall, Chemie, Lebensmittel und das verarbeitende Gewerbe. NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen, die Pflichten sind für beide sehr ähnlich.
Entscheidend ist ein Punkt, den viele übersehen: Auch kleinere Betriebe können betroffen sein, wenn sie als Zulieferer in der Lieferkette eines größeren NIS2-Unternehmens stehen. Ihre Kunden werden die Anforderungen weitergeben, lange bevor eine Behörde bei Ihnen anklopft.
Welche Pflichten bringt NIS2 konkret
NIS2 verlangt ein angemessenes Risikomanagement und schnelle Meldewege bei Vorfällen. Zu den Kernpflichten zählen Risikoanalyse, Backup- und Notfallkonzepte, Zugriffskontrolle mit Mehr-Faktor-Authentifizierung, Absicherung der Lieferkette sowie Schulung der Mitarbeitenden. Bei erheblichen Sicherheitsvorfällen gilt eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden.
Die Geschäftsleitung muss die Maßnahmen freigeben und ihre Umsetzung überwachen. Damit wird IT-Sicherheit zur Chefsache, nicht mehr nur zum Thema der IT-Abteilung.
Was bedeutet das für Ihre Microsoft 365-Umgebung
Wenn Sie Microsoft 365 einsetzen, bringen Sie viele der technischen Bausteine bereits mit: Mehr-Faktor-Authentifizierung, bedingter Zugriff und Backup-Funktionen. Ob sie die Anforderungen erfüllen, hängt davon ab, wie sie konfiguriert sind. Dazu kommen dokumentierte Prozesse, etwa für Meldungen und Risikobewertung.
In der Praxis heißt das: Sie brauchen selten neue Software. Sie brauchen eine saubere Konfiguration Ihrer bestehenden Umgebung und eine nachvollziehbare Dokumentation.
Wer früh handelt, verteilt den Aufwand über die Zeit, statt ihn unter Zeitdruck kurz vor einer Kundenprüfung zu stemmen. Genau das ist der Grund, jetzt mit einer Bestandsaufnahme zu beginnen.
Der erste Schritt
Beginnen Sie mit der Frage, in welchem Sektor Sie tätig sind, wie groß Ihr Unternehmen ist und ob Sie größere Unternehmen beliefern. Wo Ihre Microsoft 365-Umgebung heute steht, zeigt der Sicherheitscheck. Wie wir NIS2 technisch umsetzen, steht auf der Seite zu NIS2 mit Microsoft 365. Die ausführliche Einordnung finden Sie im Artikel NIS2: warum das Thema jedes KMU angeht.
Wo steht Ihr Unternehmen bei diesem Thema?
Der kostenlose Check klärt es in vier Fragen. Keine Registrierung, kein Download, Sie bekommen eine konkrete Einschätzung im kurzen Gespräch.