NIS-2 betrifft auch kleine Unternehmen 

Cybersicherheit über die Lieferkette

Cybersicherheitsvorfälle zählen zu den größten Risiken für Unternehmen. Ab 1. Oktober 2026 werden mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG) in Österreich mittlere und große Organisationen und Unternehmen aus kritischen Sektoren zu strengen technischen und organisatorischen Cybersicherheits-Maßnahmen verpflichtet. Dazu gehören insbesondere Risiko- und Krisenmanagement, Schulungen, Meldepflichten bei Sicherheitsvorfällen sowie Gewährleistung sicherer Lieferketten. Mit dem neuen Gesetz wird die europäische NIS-2-Richtlinie umgesetzt, die für deutlich mehr Unternehmen verbindliche Cybersicherheitsanforderungen bringt. 

Unmittelbar und mittelbar betroffen

Unmittelbar verpflichtet sind insbesondere Unternehmen ab einer bestimmten Unternehmensgröße aus hochkritischen Sektoren (z.B. Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung) und sonstigen kritischen Sektoren (z.B. Lebensmittel, Postdienste, Abfallbewirtschaftung).

Kleine Unternehmen (unter 50 Beschäftigte und maximal 10 Mio. Euro Jahresumsatz oder Jahresbilanzsumme) fallen grundsätzlich nicht direkt unter NIS-2 (es gibt Ausnahmen!); sie sind durch strenge Vorgaben für Lieferketten jedoch mittelbar betroffen. 

Lieferkette mit Sicherheitsnachweisen  

Da direkt verpflichtete Unternehmen die Sicherheit ihrer gesamten Lieferkette gewährleisten müssen, werden diese ihre Dienstleister und Zulieferer zunehmend vertraglich zu eigenen Risikomanagement-Maßnahmen verpflichten und entsprechende Nachweise verlangen, und zwar unabhängig von Größe und Branche. 

Besonders betroffen sind Branchen wie IT- und Cloud-Dienstleister oder Logistik- und Transportpartner. Das CyberRisk Rating (→ KSV1870) hilft Unternehmen, die Cyberresilienz von Geschäftspartnerinnen/Geschäftspartnern zu bewerten.