Das österreichische NISG betrifft viele KMU aus sensiblen Sektoren und verpflichtet zu umfassenden IT-Sicherheitsmaßnahmen. Geschäftsführer haften persönlich für die Einhaltung, daher sind präventive organisatorische und technische Vorkehrungen unerlässlich.
Das Netzwerk- und Informationssystemsicherheitsgesetz (NISG) ist das zentrale Gesetz Österreichs zur Cybersicherheit in Unternehmen und betrifft insbesondere Geschäftsführer und IT-Verantwortliche in kleinen und mittleren Unternehmen (KMU). Es regelt, welche Pflichten Firmen ab 2023/2024 einhalten müssen, um IT-Sicherheitsrisiken vorzubeugen und die Haftung der Geschäftsleitung zu minimieren. Für viele Unternehmer stellt sich die drängende Frage: Bin ich vom NISG betroffen, welche konkreten Maßnahmen sind gefordert – und was kann mich das kosten?
- Das NISG verpflichtet auch viele KMU zur Umsetzung umfassender Cybersicherheitsmaßnahmen.
- Geschäftsführer haften persönlich für Verstöße und müssen Vorfälle binnen 24 Stunden melden.
- Erweiterte Pflichten seit NIS2: Nachweise und stärkere Einbindung der Unternehmensführung gefordert.
Was genau ist das NISG und wen betrifft es?
Das NISG, das Netzwerk- und Informationssystemsicherheitsgesetz, ist ein österreichisches Gesetz, das die Sicherheit von Netz- und Informationssystemen regelt. Es basiert auf der EU-Richtlinie NIS2 und soll kritische Infrastruktur schützen sowie die IT-Sicherheit von Unternehmen stärken. Das Gesetz richtet sich insbesondere an Unternehmen, die als sogenannte Anbieter wesentlicher Dienste oder Anbieter digitaler Dienste eingestuft werden. Dazu zählen viele KMU, zum Beispiel aus den Bereichen Energie, Verkehr, Gesundheit, Finanzen und digitale Infrastruktur, deren Ausfall erhebliche Auswirkungen auf Gesellschaft und Wirtschaft hätte [1].
Welche Unternehmen sind konkret betroffen?
Ob Ihr Unternehmen unter das NISG fällt, hängt davon ab, ob Sie als "wesentlicher Dienst" oder "digitaler Dienst" klassifiziert sind. Mit der Umsetzung der NIS2-Richtlinie ab 2023/2024 werden mehr und teils kleinere Unternehmen als bisher vom Gesetz erfasst. Der Gesetzgeber adressiert insbesondere Firmen, deren Dienste für das Funktionieren wichtiger gesellschaftlicher Bereiche unersetzlich sind. Während der Begriff "wesentliche Dienste" bislang Unsicherheit erzeugte, gilt: Unternehmen aus den genannten Sektoren sollten ihre Zugehörigkeit sorgfältig prüfen und nicht auf eine offizielle Einstufung warten [4].
Welche Pflichten entstehen durch das NISG für KMU?
Das NISG schreibt den betroffenen Unternehmen technische und organisatorische Maßnahmen zur IT-Sicherheit vor. Dazu zählen unter anderem die Durchführung konsequenter Risikoanalysen, die Einführung und laufende Überprüfung von Zugangskontrollen, die Einrichtung von Incident-Response-Plänen für IT-Sicherheitsvorfälle und regelmäßige Sicherheitsüberprüfungen [2]. Für Geschäftsführer ist besonders relevant, dass erhebliche Sicherheitsvorfälle binnen 24 Stunden an CERT.at, die nationale Sicherheitsbehörde, gemeldet werden müssen. Zudem sind umfassende Dokumentations- und Nachweispflichten gegenüber den Behörden festgelegt [3].
Haftung der Geschäftsführung: Wo liegt das Risiko?
Die Geschäftsführung haftet persönlich für die Einhaltung der NISG-Pflichten. Das bedeutet: Bei Versäumnissen, etwa bei fehlender Umsetzung erforderlicher IT-Sicherheitsmaßnahmen, drohen nicht nur hohe administrative Geldbußen, sondern auch zivilrechtliche Regressansprüche gegen die Geschäftsleitung. Das Gesetz verlangt explizit die Einbindung der Geschäftsführung in die Cybersicherheitsstrategie. Organisatorische Delegation oder Unwissen schützen nicht vor persönlicher Verantwortung [2].
Typische Probleme in der Praxis
Gerade kleine und mittlere Unternehmen kämpfen in der Praxis häufig mit zu knappen personellen und finanziellen Ressourcen, um den strengen Anforderungen des NISG ausreichend nachzukommen [1]. Besonders schwierig ist oft das fehlende Bewusstsein auf Leitungsebene sowie der Mangel an spezifischem IT-Sicherheitsknow-how. Die resultierende Unsicherheit kann dazu führen, dass betroffene Unternehmen ihre Pflichten entweder übersehen oder unterschätzen – mit potenziell gravierenden rechtlichen Konsequenzen [4].
Welche Fristen und Nachweispflichten gelten?
Die wichtigsten Fristen betreffen die Meldung erheblicher Sicherheitsvorfälle – diese müssen binnen 24 Stunden nach Kenntnis an CERT.at gemeldet werden. Weiterhin verlangt das Gesetz eine laufende Dokumentation aller getroffenen IT-Sicherheitsmaßnahmen sowie auf Anfrage einen Nachweis gegenüber den zuständigen Behörden. Seit Inkrafttreten der NIS2-Richtlinie werden Nachweispflichten verschärft kontrolliert und die Geschäftsführung stärker in die Pflicht genommen [3].
Aktuelle Entwicklungen: NIS2 und neue Anforderungen
Seit 2023/2024 gelten durch die Umsetzung der NIS2-Richtlinie in Österreich deutlich erweiterte Pflichten. Neu ist insbesondere, dass auch bislang nicht betroffene Unternehmen, darunter viele weitere KMU, ab jetzt verpflichtet sind, die Anforderungen des NISG vollständig zu erfüllen. Die Anforderungen an den Nachweis umgesetzter Maßnahmen wurden deutlich verschärft und die Rolle der Geschäftsleitung in der Cybersicherheitsstrategie ist nun gesetzlich stärker hervorgehoben [2].
Was sollten KMU jetzt tun?
KMU sollten schnellstmöglich klären, ob sie unter die NISG-Pflichten fallen, und gegebenenfalls interne Prozesse anpassen. Empfehlenswert ist die Ernennung interner oder externer IT-Sicherheitsverantwortlicher, die Durchführung von regelmäßigen Risikoanalysen, eine klare Dokumentation und die Schulung des Personals zum Umgang mit Sicherheitsvorfällen. Besonders wichtig: Die Geschäftsleitung sollte Cybersicherheit zur Chefsache machen und sich aktiv in die Überwachung und Steuerung der notwendigen Maßnahmen einbringen.
Fazit: Proaktive Umsetzung schützt vor Haftung und hilft im Wettbewerb
Das NISG ist für viele österreichische KMU eine neue Herausforderung, bietet jedoch auch die Chance, IT-Sicherheitsrisiken strukturiert anzugehen und Bußgelder zu vermeiden. Wer jetzt handelt, sichert nicht nur die Einhaltung der rechtlichen Vorgaben, sondern schafft auch Vertrauen bei Kunden und Geschäftspartnern. Letztlich ist die Vermeidung persönlicher Haftungsrisiken für die Geschäftsführung ein überzeugendes Argument, Cybersicherheit in den Mittelpunkt der Unternehmensstrategie zu stellen.
Quellen
[1] NISG – Netzwerk- und Informationssysteme Gesetz: Leitfaden für Unternehmen (Wirtschaftskammer Österreich, 2024-03-12)
[2] Das NISG für Unternehmen – konkrete Anforderungen und Umsetzungstipps (DORDA Rechtsanwälte, 2023-11-15)
[3] Rechtsgrundlagen zur Cybersicherheit: Das Netzwerk- und Informationssystemsicherheitsgesetz (NISG) (IT-Recht Kanzlei, 2023-06-20)
[4] Wie Unternehmen das NIS2-Umsetzungsgesetz (NISG) betrifft – Was jetzt zu tun ist (der brutkasten, 2024-01-29)
