NIS-2-Richtlinie in Österreich

1. Einleitung
Die NIS-2-Richtlinie (Network and Information Security Directive) der EU ist eine überarbeitete Version der ursprünglichen NIS-Richtlinie und dient der Stärkung der Cybersicherheit in den Mitgliedstaaten. In Österreich muss sie bis 17. Oktober 2024 in nationales Recht umgesetzt werden. Ziel der Richtlinie ist es, einheitliche Sicherheitsstandards für kritische und wichtige Einrichtungen zu schaffen und so das Risiko von Cyberangriffen zu minimieren.

2. Erweiterter Anwendungsbereich
Während die ursprüngliche NIS-Richtlinie nur wenige Sektoren betraf, erweitert NIS-2 die Anforderungen auf eine Vielzahl von Unternehmen und Organisationen. Dazu gehören:

• Energieversorger
• Verkehr und Logistik
• Gesundheitswesen
• Finanzdienstleister und Versicherungen
• Digitale Dienste und Telekommunikation
• Öffentliche Verwaltung
• Wasserversorgung und Abfallwirtschaft

Damit unterliegt eine größere Anzahl an Unternehmen und Behörden neuen Sicherheitsanforderungen und Meldepflichten.

3. Zentrale Anforderungen
Unternehmen und Organisationen, die unter die NIS-2-Richtlinie fallen, müssen folgende Maßnahmen umsetzen:

• Risikomanagement: Einführung von Sicherheitsmaßnahmen zur Identifikation und Abwehr von Cyberbedrohungen.
• Vorfallmanagement: Implementierung von Prozessen zur schnellen Erkennung und Reaktion auf Sicherheitsvorfälle.
• Meldepflichten: Sicherheitsvorfälle müssen binnen 24 Stunden an die nationale Cybersicherheitsbehörde gemeldet werden, eine genauere Analyse ist innerhalb von 72 Stunden erforderlich.
• Geschäftsfortführung: Notfallpläne und Back-up-Strategien zur Sicherstellung des Betriebs auch während eines Cyberangriffs.
• Lieferkettensicherheit: Auch Dienstleister und Zulieferer müssen in die Sicherheitsstrategie integriert werden.
• Schulungen und Sensibilisierung: Unternehmen müssen ihre Mitarbeiter regelmäßig in Cybersicherheitsfragen schulen.

4. Verantwortung und Sanktionen
Die Geschäftsleitung trägt eine persönliche Verantwortung für die Einhaltung der NIS-2-Vorgaben und kann bei Verstößen haftbar gemacht werden. Die Strafen bei Nicht-Einhaltung sind erheblich und belaufen sich auf bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

5. Umsetzung in Österreich
Die nationale Umsetzung der NIS-2-Richtlinie erfolgt durch das Bundesministerium für Inneres (BMI) sowie die Cybersicherheitsbehörden CERT.at und GovCERT Austria. Unternehmen sollten frühzeitig Maßnahmen ergreifen, um sich an die neuen gesetzlichen Vorgaben anzupassen.

6. Fazit
Die NIS-2-Richtlinie bringt wesentliche Verbesserungen für die Cybersicherheit in Österreich. Sie stellt höhere Anforderungen an Unternehmen und Organisationen, um Cyberangriffe besser abzuwehren und die digitale Infrastruktur des Landes zu schützen. Eine frühzeitige Vorbereitung und Umsetzung ist entscheidend, um Sanktionen zu vermeiden und eine widerstandsfähige IT-Sicherheitsstrategie zu etablieren.