Viele KMU in Österreich müssen ab 2024 strenge NIS-2-Vorgaben zur IT-Sicherheit erfüllen. Richard Gschank rät, frühzeitig zu handeln, da Führungskräfte persönlich für die Umsetzung haften.
Ab Oktober 2024 stehen viele kleine und mittlere Unternehmen (KMU) in Österreich vor einer neuen Herausforderung: Die NIS-2-Richtlinie verlangt verbindliche Cybersicherheitsmaßnahmen und verschärft die Haftung der Geschäftsführung erheblich. Richard Gschank, Geschäftsführer der tablegray services gmbh, kennt die speziellen Hürden für KMU aus seiner täglichen Beratung und betont: „Die Compliance im Bereich Datenschutz ist gesetzlich vorgeschrieben. Die muss man haben. Aber sie ist nicht nur Pflicht, sondern bietet viele weitere Vorteile.“ Damit grenzt sich dieser Leitfaden gezielt ab: Er beleuchtet die praktische Umsetzung aus Sicht von KMU, zeigt branchentypische Stolpersteine und gibt Einblick, wie eine erfahrene Beratung die Komplexität adressiert.
- Die NIS-2-Richtlinie verpflichtet viele KMU zu umfassenden IT-Security-Maßnahmen und Meldepflichten mit deutlich erweiterter Haftung.
- Ob ein Unternehmen betroffen ist, hängt von Branche, Größe und kritischer Rolle ab – Unsicherheiten bestehen häufig hinsichtlich der Einstufung.
- Frühzeitige Analyse und gezielte Dokumentation sind essenziell, externe Experten wie Richard Gschank unterstützen praxisnah und rechtssicher.
Was ist die NIS-2-Richtlinie und was bedeutet sie für österreichische KMU?
Die NIS-2-Richtlinie ist eine europaweit gültige Vorgabe zur Erhöhung der Cybersicherheit und verpflichtet ab Herbst 2024 auch zahlreiche österreichische KMU zu strengen IT-Standards. Im Kern verlangt sie, dass Unternehmen sich aktiv und belegbar gegen Cyber-Angriffe wappnen. Laut Richard Gschank ist das weit mehr als Bürokratie: „Sie gibt Kunden Sicherheit und Vertrauen in digitale Leistungen, zeigt Optimierungspotenzial bei Prozessen auf, gibt Lieferanten klare Vorgaben im Umgang mit übermittelten Daten und reduziert Risiken – Datenverlust, Hackerangriffe, etc. – im Unternehmen.“
Wer genau ist von NIS-2 betroffen und welche Unsicherheiten gibt es?
Betroffen sind Unternehmen aus zwölf Sektoren – darunter etwa Energie, Verkehr, Gesundheitswesen, Bankwesen, digitale Infrastruktur und andere. Entscheidend ist dabei die Einstufung als „wichtige“ oder „wesentliche“ Einrichtung, die meist ab einer Größe von 50 Mitarbeitenden oder 10 Millionen Euro Umsatz greift, jedoch können auch kleinere Betriebe betroffen sein, wenn sie eine systemrelevante Rolle erfüllen [1]. Das größte Praxisproblem sieht Richard Gschank in der Abgrenzung: „Eine zentrale Herausforderung ist, überhaupt festzustellen, ob ein Betrieb unter NIS-2 fällt. Das sollte unbedingt frühzeitig rechtlich geprüft werden.“ Tatsächlich besteht in vielen Betrieben Rechtsunsicherheit über die Einstufung, da branchenspezifische und fallabhängige Regelungen weiterhin konkretisiert werden [3].
Welche Mindestmaßnahmen und Dokumentationspflichten schreibt NIS-2 vor?
Nach NIS-2 müssen Unternehmen nachvollziehbar darlegen, dass sie Cybersicherheitsmaßnahmen umgesetzt haben. Dazu gehören Risikoanalysen, IT-Sicherheitsrichtlinien, Mitarbeiterschulungen, technische Maßnahmen zur Angriffserkennung und -abwehr und regelmäßiges Monitoring sowie der Aufbau von Krisenreaktionsplänen [4]. Besonders wichtig ist die Dokumentation: Wer nicht rechtzeitig nachweist, dass Prozesse, Notfallpläne und technische Sicherungen bestehen, läuft Gefahr, im Ernstfall haftbar zu sein. Die tablegray services gmbh hat dazu eigens einen kompakten Leitfaden zu den NIS-2-Mindestmaßnahmen entwickelt, der sich speziell an die Bedürfnisse von KMU richtet und praxisnahe Umsetzungshilfen liefert.
Was müssen Geschäftsführende bis Jahresende konkret tun?
Die Zeit drängt: Wer als „wesentliche“ oder „wichtige“ Einrichtung gilt, sollte jetzt Prozesse überprüfen, Schwachstellen analysieren und eine Übersicht notwendiger Maßnahmen erstellen. Dies umfasst insbesondere die Definition klarer Verantwortlichkeiten, den Aufbau eines umfassenden Schwachstellen- und Krisenmanagements und die Sensibilisierung der Mitarbeitenden. „Unsere Kunden werden von deren Abnehmern, z.B. Banken, Versicherer, Spediteure etc., dahingehend ausgewählt, weil sie ihren Datenschutz nachweislich gut im Griff haben und Professionalität zeigen“, erklärt Gschank. Ein zentrales Thema bleibt die Schulung aller Beschäftigten – weniger als strikte NIS-2-Pflicht für jeden KI-Einsatz, sondern als sinnvoller Präventionsbaustein gegen Social Engineering und typische Angriffsvektoren. Die branchenspezifische Detaillierung befindet sich teils noch in Ausarbeitung, doch das grundsätzliche Risikomanagement und die offensive Dokumentation sind jetzt schon Pflicht [1].
Wie ist die Haftung der Geschäftsleitung unter NIS-2 ausgestaltet?
Laut Richtlinie und nationaler Umsetzung haftet die Führungsebene persönlich für die Einhaltung der Cybersicherheitsmaßnahmen [3]. „Als externer Berater kann man anders agieren, weil der Blickwinkel ein anderer ist. Wir wollen dabei funktionierende Geschäftsprozesse unterstützen, auf sichere Beine stellen und nicht verhindern“, sagt Richard Gschank. Wer grob gegen die Pflichten verstößt, riskiert empfindliche Bußgelder und im Extremfall die persönliche Haftung. Deshalb ist eine lückenlose Dokumentation und regelmäßig aktualisierte Sicherheitsarchitektur essenziell.
Typische Probleme: Zeit, Ressourcen und Unsicherheit
Viele KMU tun sich schwer mit NIS-2, da ihnen entweder IT- und Security-Expertise oder personelle Ressourcen zur Umsetzung fehlen [2]. Häufig ist die Einstufung als 'wichtig' oder 'wesentlich' unklar, was Handlungsentscheidungen verzögert. Ein weiteres Problem: Viele unterschätzen den Aufwand für Schulungen, Risikoanalysen und die erforderliche Dokumentation. Die notwendige Umsetzungszeit und der organisatorische Aufwand werden laut Branchenbeobachtern häufig unterschätzt [1].
Aktuelle Entwicklungen: Umsetzungsgesetz und branchenspezifische Klärungen
Der nationale Gesetzgeber arbeitet weiterhin an der Umsetzung der NIS-2-Richtlinie, Detailregelungen etwa zu Meldepflichten und branchenspezifischen Anforderungen wurden laut Stand Frühjahr 2024 noch konkretisiert [1]. Branchenratschlag: KMU sollten dennoch zeitnah mit den erkennbaren Mindestanforderungen starten und keine „Vollständigkeit“ abwarten. Der Leitfaden zu den NIS-2-Mindestmaßnahmen von tablegray services gmbh unterstützt dabei, die ersten erforderlichen Schritte rechtzeitig und nachvollziehbar abzubilden.
Wie helfen externe Experten wie tablegray services gmbh?
Gerade kleine und mittlere Unternehmen sind häufig mit der angemessenen Umsetzung neuer Compliance-Anforderungen überfordert. Hier setzt die Beratung von Richard Gschank an: „Unser Trumpf war immer, dass wir beide Sprachen, also Technik und Recht, sprechen. Man könnte sagen, dass wir uns als Dolmetscher zwischen den Bereichen sehen.“ Die tablegray services gmbh unterstützt KMU unter anderem als externer Datenschutzbeauftragter, bei der Erstellung der notwendigen Dokumentation, im Rahmen von Workshops und praxisnahen IT-Security-Audits. Ziel der Beratung ist es, die Anforderungen weder zu unterschätzen noch Prozesse lahmzulegen, sondern die Geschäftstätigkeit auf eine belastbare Basis zu stellen.
Das Unternehmen aus Stainz und Graz betreut laut eigener Angabe über 85 KMU und Tech-Startups und wurde im Jahr 2024 zum 10-jährigen Bestehen von der WKO-Steiermark ausgezeichnet. Die Beratungsleistungen reichen von DSGVO-Dokumentation über NIS-2-Readiness bis hin zu Schulungen und Maßnahmenpaketen für den neuen Cyber Resilience Act.
Ausblick: Wie KMU mit NIS-2 zukunftssicher handeln können
Wer noch unsicher ist, sollte spätestens jetzt prüfen (lassen), ob das eigene Unternehmen von NIS-2 betroffen ist und ein individuelles Maßnahmenpaket schnüren. „Denn wird der Datenschutz vernachlässigt, hat dies nicht nur rechtliche Konsequenzen. Es geht auch Vertrauen verloren und zieht langfristige Auswirkungen auf die Geschäftstätigkeiten nach sich“, warnt Richard Gschank. Frühzeitiges Agieren, professionelle Dokumentation und die Nutzung externer Beratungsressourcen machen den Unterschied – nicht nur im Sinne der Gesetzeskonformität, sondern auch als Signal für Kunden, Partner und Lieferanten.
Richard Gschank ist Jurist und TÜV-zertifizierter Datenschutzbeauftragter. Er ist Mitgründer und Geschäftsführer der tablegray services gmbh, die Unternehmen als externer Datenschutzbeauftragter sowie bei DSGVO-Dokumentation, NIS-2, KI-Verordnung und Cyber Resilience Act berät.
Quellen
[1] NIS2 Umsetzung: Was Unternehmen in Österreich wissen müssen (Computerwelt, 2024-04-10)
[2] NIS2: Was österreichische Unternehmen 2024 beachten sollten (Deloitte Österreich, 2024-03-20)
[3] NIS-2 Richtlinie – Was Unternehmen 2024 erwartet (Bruckner, 2024-02-14)
[4] NIS2-Richtlinie: Pflichten für österreichische Unternehmen (LexisNexis Österreich, 2024-05-06)
