Cybersicherheits-Richtlinie NIS2.
Für mehr Cybersicherheit in der EU.

Was ist das Ziel von NIS2?

NIS steht für die Sicherheit von Netz- und Informationssystemen. Ziel der Cybersicherheits-Richtlinie NIS2 ist die Gewährleistung der Cybersicherheit in Österreich, indem sie Betreiber kritischer Infrastrukturen und digitale Diensteanbieter dazu verpflichtet, angemessene Schutzmaßnahmen zu ergreifen und Sicherheitsvorfälle zu melden. Dies trägt dazu bei, die digitale Infrastruktur des Landes vor Cyberangriffen zu schützen und die Kontinuität wichtiger Dienste sicherzustellen und zu verbessern. Ab 18. Okt. 2024 sollen die neuen Regelungen von NIS2 gelten. Dabei legt die EU-NIS2 einen Rahmen für Betreiber kritischer Infrastruktur mit IT-Security-Mindeststandards in der EU fest.

 

Cybersicherheits-Richtlinien NIS2: Das Wichtigste auf einen Blick.

• Betreiber kritischer Infrastrukturen

  Die NIS2-Richtlinie verpflichtet Betreiber kritischer Infrastrukturen in Österreich, angemessene Sicherheitsmaßnahmen zu ergreifen, um ihre Netz- und Informationssysteme vor Cyberbedrohungen zu schützen. Dazu gehören beispielsweise Energieversorgung, Gesundheitswesen und Finanzdienstleistungen.

• Digitale Diensteanbieter

  Die Richtlinie legt auch Anforderungen an digitale Diensteanbieter fest, die wichtige Online-Dienste anbieten, um die Verfügbarkeit und Integrität ihrer Dienste sicherzustellen. Dies betrifft Unternehmen in den Bereichen E-Commerce, Cloud-Services und soziale Netzwerke.

• Nationale Cybersicherheitsbehörden

  Österreich hat nationale Cybersicherheitsbehörden eingerichtet, die für die Überwachung und Koordinierung von Cybersicherheitsaktivitäten verantwortlich sind. Diese Behörden arbeiten eng mit anderen EU-Mitgliedstaaten zusammen, um Informationen über Sicherheitsvorfälle auszutauschen.

• Meldung von Sicherheitsvorfällen

  Betreiber kritischer Infrastrukturen und digitale Diensteanbieter sind verpflichtet, schwerwiegende Sicherheitsvorfälle den nationalen Behörden zu melden. Dies ermöglicht eine schnellere Reaktion und den Schutz vor potenziellen Cyberbedrohungen.

• Schutz personenbezogener Daten

  Die NIS2-Richtlinie in Österreich stellt sicher, dass bei der Umsetzung von Cybersicherheitsmaßnahmen der Schutz personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) gewährleistet ist.

• Erfolge & Herausforderungen von NIS2

  Die NIS2-Richtlinie trägt dazu bei, die Cybersicherheit in Österreich zu stärken. Es es gibt weiterhin Herausforderungen, da die Bedrohungslandschaft ständig im Wandel ist. Die Zusammenarbeit auf nationaler und internationaler Ebene bleibt entscheidend.

 

Wer ist von der NIS2-Richtlinie betroffen?

Unter NIS2 fallen große und mittlere Unternehmen aus ausgewählten Branchen. Unter Ausnahmen können auch kleine Unternehmen davon betroffen sein. Beispielsweise gehören Vertrauensdienstanbieter oder Unternehmen, die für die Aufrechterhaltung wichtiger gesellschaftlicher oder wirtschaftlicher Aktivitäten verantwortlich sind, dazu. Auch die Dienstleister und Lieferanten von betroffenen Unternehmen müssen Sicherheitsmaßnahmen befolgen.

Wie werden die Unternehmensgrößen für die NIS2-Richtlinie definiert?

• Kleines Unternehmen

  Wenn ein Unternehmen weniger als 50 Mitarbeiter:innen beschäftigt und einen Jahresumsatz oder die Jahresbilanzsumme von unter € 10 Mio. erzielt, spricht man von einem Kleinunternehmen.

• Mittleres Unternehmen

  Von mittelständischen Unternehmen ist die Rede, wenn sie weniger als 250 Beschäftigte und einen Jahresumsatz von unter € 50 Mio. oder eine Jahresbilanzsumme von unter € 43. Mio. nachweisen können.

• Großes Unternehmen

  Als Großunternehmen gelten Einrichtungen, bei welchen über 250 Arbeitnehmer:innen eingestellt sind und welche einen Jahresumsatz von mehr als € 50 Mio. und eine Jahresbilanzsumme von über € 43 Mio. erreichen.

 

Welche Branchen, der großen und mittelständischen Unternehmen fallen unter die Cybersicherheits-Richtlinie NIS2?

Nachstehende Branchen sind von der NIS2-Richtlinie betroffen: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten B2B, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes/herstellendes Gewerbe, Anbieter digitaler Dienste, Forschung (fakultativ).

 
Zudem wird eine Einrichtung entweder als wesentlich oder als wichtig eingestuft. Wesentliche Unternehmen werden der regelmäßigen und gezielten Sicherheitsüberprüfung in Form von Stichprobelkontrollen unterzogen. Die wichtigen Einrichtungen hingegen werden nur bei berechtigtem Verdacht, vor Ort und überprüft.