NIS2 in Österreich: Was Betreiber kritischer Infrastruktur jetzt wissen müssen

Warum ist die NIS2-Richtlinie für österreichische Betreiber kritischer Infrastruktur kein reines IT-Thema, sondern Chefsache? Ganz einfach: Wer Strom, Wasser, Verkehr oder Gesundheitsdaten verantwortet, haftet künftig persönlich für die Cyber-Resilienz seines Betriebs. Die NIS2-Richtlinie der EU (Richtlinie (EU) 2022/2555) hebt Cybersicherheit auf die Ebene der Geschäftsleitung – und in Österreich betrifft das weit mehr Unternehmen als viele glauben. Wir erklären, was jetzt zu tun ist.

Was NIS2 für Österreich bedeutet

Die NIS2-Richtlinie der EU war bis 17. Oktober 2024 in nationales Recht umzusetzen. In Österreich passiert das über die Novelle des Netz- und Informationssystemsicherheitsgesetzes (NISG) sowie das NIS-Gesetz 2023. Zuständige Stellen sind das Bundeskanzleramt und die RTR (Rundfunk und Telekom Regulierungs-GmbH), die als Aufsichtsbehörde fungiert.

Für Betreiber bedeutet das: Es reicht nicht mehr, einen Firewall-Administrator zu haben. NIS2 verlangt ein gelebtes Risikomanagement, klare Meldewege und eine Geschäftsleitung, die sich mit der Materie auseinandersetzt – und das regelmäßig nachweisbar.

Von der NIS-Richtlinie zu NIS2: Der österreichische Weg

Die ursprüngliche NIS-Richtlinie von 2016 war ein erster Schritt, ließ aber viele Sektoren außen vor und setzte auf freiwillige Kooperation. NIS2 geht deutlich weiter: Sie erfasst mehr Sektoren, senkt die Schwellenwerte, verschärft die Meldepflichten und führt persönliche Haftung für die Geschäftsleitung ein. Österreich setzt das mit dem NIS-Gesetz 2023 und der NISG-Novelle um – ein Prozess, der laufend nachgeschärft wird.

Neue Sektoren und Schwellenwerte: Wen es jetzt trifft

Neu dabei sind unter anderem die öffentliche Verwaltung, das produzierende Gewerbe, Post- und Kurierdienste sowie die Abfallwirtschaft. Auch Forschungseinrichtungen und die Lebensmittelbranche fallen nun unter die Regelungen. Die Schwelle liegt grundsätzlich bei 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz – wobei es Ausnahmen gibt, etwa für Anbieter vertrauenswürdiger Dienste oder Einrichtungen mit kritischer Bedeutung für die Gesellschaft.

Wen die NIS2-Pflichten in Österreich treffen

NIS2 unterscheidet zwei Kategorien: wesentliche und wichtige Einrichtungen. Wesentliche Einrichtungen unterliegen strengeren Aufsichtspflichten, wichtige Einrichtungen haben etwas mehr Spielraum – die Kernpflichten gelten aber für beide.

Betroffen sind unter anderem:

• Energie (Strom, Gas, Fernwärme, Öl)
• Verkehr (Straße, Schiene, Luft, Wasser)
• Bankwesen und Finanzmarktinfrastruktur
• Gesundheitswesen, inklusive Labore und Apotheken
• Trinkwasser- und Abwasserversorgung
• Digitale Infrastruktur (Rechenzentren, Cloud-Dienste, DNS)
• Öffentliche Verwaltung auf Bundes- und Landesebene

Die Größenkriterien (ab 50 Mitarbeitenden oder 10 Mio. Euro Umsatz) gelten grundsätzlich, aber für kritische Infrastruktur gibt es eine besondere Verantwortung – unabhängig von der Mitarbeiterzahl. Wer systemrelevante Dienste erbringt, steht in der Pflicht.

Wesentliche Einrichtungen: Energie, Verkehr, Gesundheit

Diese Sektoren gelten als besonders kritisch. Ein Ausfall kann ganze Regionen lahmlegen. Entsprechend streng sind die Anforderungen an Risikomanagement, Meldepflichten und Nachweise. Wer hier tätig ist, sollte davon ausgehen, dass die RTR genau hinschaut.

Wichtige Einrichtungen: Digitale Dienste und öffentliche Verwaltung

Hierzu zählen unter anderem Cloud-Anbieter, Online-Marktplätze, Suchmaschinen und die öffentliche Verwaltung. Auch wenn die Aufsicht etwas milder ausfällt – die Meldepflichten und das Risikomanagement gelten uneingeschränkt.

Konkrete Pflichten: Was Betreiber umsetzen müssen

NIS2 verlangt mehr als technische Maßnahmen. Es geht um ein ganzheitliches Risikomanagement, klare Zuständigkeiten und nachweisbare Prozesse. Die wichtigsten Pflichten im Überblick:

Risikomanagement und technische Maßnahmen

Betreiber müssen ein Risikomanagementkonzept einführen, das technische, organisatorische und personelle Maßnahmen umfasst. Dazu gehören unter anderem:

• Risikoanalyse und Sicherheitskonzepte für alle Systeme
• Vorfallsbewältigung und Notfallmanagement
• Business-Continuity- und Backup-Management
• Sicherheit in der Lieferkette (inklusive Cloud-Anbieter)
• Schulungen für Mitarbeitende und Geschäftsleitung
• Verschlüsselung und Multi-Faktor-Authentifizierung

Wichtig: Die Geschäftsleitung haftet persönlich für die Umsetzung und muss regelmäßig an Schulungen teilnehmen. Wer das ignoriert, riskiert nicht nur Strafen, sondern auch seine Position.

Meldepflichten und Fristen im Überblick

Bei einem erheblichen Sicherheitsvorfall gelten klare Fristen:

1. 24 Stunden: Frühwarnung an die zuständige Behörde
2. 72 Stunden: Vollständige Meldung mit erster Einschätzung
3. 1 Monat: Abschlussbericht mit Ursachenanalyse und Maßnahmen

Die Meldung erfolgt in Österreich über die RTR. Wer die Fristen versäumt, muss mit Bußgeldern rechnen.

Registrierung und Nachweispflichten

Betroffene Einrichtungen müssen sich bei der zuständigen Behörde registrieren – in Österreich läuft das über die RTR. Zudem sind Nachweise über die Umsetzung der Maßnahmen zu führen. Das betrifft nicht nur eigene Systeme, sondern auch Dienstleister und Cloud-Anbieter.

Cloud-Sicherheit und Anomalieerkennung als NIS2-Hebel

Cloud-Sicherheit und Anomalieerkennung sind keine Nice-to-haves, sondern zentrale Bausteine der Resilienz. Wer kritische Infrastruktur betreibt, muss davon ausgehen, dass Angriffe kommen – die Frage ist, wie schnell man sie erkennt und reagiert.

Warum Cloud-Sicherheit für kritische Infrastruktur entscheidend ist

Viele Betreiber nutzen Cloud-Dienste von AWS, Microsoft Azure oder Google Cloud. Diese Anbieter bringen eigene Sicherheitsmechanismen mit, aber die Verantwortung für die Konfiguration und Überwachung liegt beim Betreiber. Österreichische Lösungen wie A1 Digital oder Cloudflight bieten hier unterstützende Services – von der Sicherheitsarchitektur bis zum Betrieb.

Anomalieerkennung: Frühwarnsysteme für den Ernstfall

Anomalieerkennung bedeutet, ungewöhnliche Muster im Netzwerk- oder Systemverhalten automatisiert zu erkennen – bevor ein Angriff Schaden anrichtet. Forschungseinrichtungen wie das Austrian Institute of Technology (AIT) und die Universität Wien arbeiten an Verfahren, die genau das für kritische Infrastruktur leistbar machen. In der Praxis kombiniert man meist Machine-Learning-Modelle mit klassischen Signaturen und Verhaltensanalysen.

Resilienz durch Multi-Cloud und Backup-Strategien

Wer nur auf einen Anbieter setzt, hat ein Klumpenrisiko. Multi-Cloud-Ansätze und georedundante Backups erhöhen die Resilienz erheblich. Wichtig ist, dass Backup-Strategien regelmäßig getestet werden – ein Backup, das sich nicht wiederherstellen lässt, ist kein Backup.

Fristen, Strafen und nächste Schritte für österreichische Betreiber

Die Umsetzungsfrist für NIS2 war der 17. Oktober 2024. In Österreich läuft die nationale Umsetzung über das NIS-Gesetz 2023 und die NISG-Novelle. Die RTR überwacht die Einhaltung und kann empfindliche Strafen verhängen.

Bußgelder und Haftung: Was droht

Bei Verstößen drohen Strafen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Bei wesentlichen Einrichtungen kann die Geschäftsleitung persönlich haftbar gemacht werden. Das ist kein theoretisches Risiko: Die RTR hat bereits angekündigt, konsequent zu prüfen.

Roadmap zur NIS2-Konformität in 5 Schritten

1. Gap-Analyse: Wo stehen wir heute, was fehlt?
2. Sicherheitsbeauftragten ernennen und Geschäftsführung einbinden
3. Risikomanagement und technische Maßnahmen umsetzen
4. Meldeprozesse etablieren und testen
5. Regelmäßige Schulungen und Nachweise führen

Wir empfehlen, mit der Gap-Analyse zu starten und die Geschäftsführung von Anfang an einzubinden. NIS2 ist kein Projekt, das man an die IT delegiert.

FAQ

Ab wann gilt NIS2 in Österreich?

Die EU-Richtlinie war bis 17. Oktober 2024 umzusetzen. In Österreich erfolgt die Umsetzung über das NIS-Gesetz 2023 und die NISG-Novelle. Die Pflichten gelten für betroffene Einrichtungen seit diesem Zeitpunkt.

Wer ist in Österreich die zuständige Aufsichtsbehörde?

Die RTR (Rundfunk und Telekom Regulierungs-GmbH) fungiert als Aufsichtsbehörde. Das Bundeskanzleramt ist für strategische Fragen zuständig.

Welche Strafen drohen bei NIS2-Verstößen?

Es drohen Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Bei wesentlichen Einrichtungen kann die Geschäftsleitung persönlich haften.

Was bedeutet Anomalieerkennung im NIS2-Kontext?

Anomalieerkennung ist ein Verfahren, um ungewöhnliche Aktivitäten in Netzwerken und Systemen automatisiert zu erkennen. Sie dient als Frühwarnsystem, um Angriffe zu erkennen, bevor Schaden entsteht – ein zentraler Baustein der Resilienz.

Welche Cloud-Anbieter sind für kritische Infrastruktur relevant?

International sind AWS, Microsoft Azure und Google Cloud führend. In Österreich bieten A1 Digital und Cloudflight unterstützende Services. Forschung zu Anomalieerkennung kommt unter anderem vom Austrian Institute of Technology (AIT) und der Universität Wien.

NIS2 ist kein bürokratisches Monster, sondern eine Chance: Wer Cloud-Sicherheit, Anomalieerkennung und Resilienz ernst nimmt, stärkt nicht nur die Compliance, sondern auch das Vertrauen in die eigene Infrastruktur. Wir begleiten österreichische Betreiber auf diesem Weg – von der Gap-Analyse bis zur gelebten Sicherheitskultur.