NIS2 Registrierung Österreich: wer betroffen ist und was zu tun ist

Die Frage kommt selten aus der eigenen IT. Sie kommt aus der Buchhaltung, vom Steuerberater oder aus dem Einkauf eines größeren Kunden: Fällt unser Betrieb unter NIS2, und müssen wir uns registrieren? Wer nach NIS2 Registrierung Österreich sucht, landet schnell bei Gesetzestexten, Sektorlisten und Fristen, bekommt aber selten eine Antwort auf die eigentliche Frage. Die NIS2-Richtlinie ist eine europäische Vorgabe zur Sicherheit von Netz- und Informationssystemen, die jedes Mitgliedsland in nationales Recht umsetzt. Für den einzelnen Betrieb hängt die Betroffenheit an zwei Punkten, die unten erklärt sind: am Sektor, in dem er tätig ist, und an seiner Größe.

Was die NIS2-Richtlinie von einem Unternehmen verlangt

Die Richtlinie besteht für betroffene Unternehmen im Kern aus zwei Pflichtenblöcken. Der erste sind Risikomanagementmaßnahmen, also technische und organisatorische Vorkehrungen, die sich auf die Risiken für die Netz- und Informationssysteme richten und den Umgang mit Sicherheitsvorfällen regeln. Der zweite ist die Meldepflicht: Erhebliche Sicherheitsvorfälle müssen der zuständigen Stelle gemeldet werden, und zwar in mehreren Stufen. Dazu kommt die Registrierung, mit der sich ein Unternehmen bei der zuständigen nationalen Behörde überhaupt erst zu erkennen gibt.

Neu gegenüber früheren Regelungen ist, dass die Leitungsebene ausdrücklich in die Verantwortung genommen wird. Die Geschäftsführung muss die Maßnahmen billigen und ihre Umsetzung überwachen, und sie kann diese Pflicht nicht vollständig an die IT oder an einen Dienstleister weiterreichen. Technisch umsetzen lässt sich vieles extern, die Entscheidung darüber, was umgesetzt wird, bleibt im Haus. Für die Verletzung der Pflichten sehen die nationalen Umsetzungen Sanktionen vor, deren Höhe sich nach dem jeweiligen Gesetz richtet.

Wer betroffen ist: der Sektor entscheidet, die Größe auch

Die Richtlinie listet Sektoren in zwei Anhängen. Zu den Sektoren mit hoher Kritikalität zählen unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Der zweite Anhang nennt weitere kritische Sektoren, darunter Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes wie Medizinprodukte, Elektronik, Maschinenbau und Fahrzeugbau, digitale Dienste sowie Forschung. Wer in keinem dieser Sektoren tätig ist, ist nach der Richtlinie nicht unmittelbar betroffen.

Die zweite Hürde ist die Größe. Grundsätzlich greift die Richtlinie ab der Größenklasse mittleres Unternehmen, also ab fünfzig Beschäftigten oder ab einem Jahresumsatz beziehungsweise einer Bilanzsumme von mehr als zehn Millionen Euro. Davon gibt es Ausnahmen: Bestimmte Anbieter fallen unabhängig von ihrer Größe unter die Regelung, etwa Betreiber öffentlicher elektronischer Kommunikationsnetze, DNS-Diensteanbieter, Registries für Top-Level-Domains und qualifizierte Vertrauensdiensteanbieter. Die Prüfung läuft deshalb in dieser Reihenfolge ab:

• Stellen Sie fest, welcher Tätigkeit Ihr Betrieb laut Gewerbeberechtigung und tatsächlichem Geschäft nachgeht, nicht nur, wie er sich selbst nennt.
• Gleichen Sie diese Tätigkeit mit den Sektorlisten der Richtlinie und der nationalen Umsetzung ab, einschließlich der Unterkategorien.
• Prüfen Sie die Größenkriterien nach Beschäftigtenzahl und nach Umsatz oder Bilanzsumme, und zwar für die rechtliche Einheit, nicht für die Abteilung.
• Klären Sie, ob eine der größenunabhängigen Ausnahmen auf einen Ihrer Dienste zutrifft.
• Halten Sie das Ergebnis dieser Prüfung schriftlich fest, auch wenn es lautet, dass Sie nicht betroffen sind.

NIS2 Registrierung Österreich: was bei der Anmeldung passiert

Die Registrierung ist kein Antrag, über den eine Behörde entscheidet. Sie ist eine Meldung von Stammdaten, der eine Selbsteinschätzung vorausgeht. Das Unternehmen stellt selbst fest, dass es unter die Regelung fällt, und übermittelt dann die geforderten Angaben an die zuständige nationale Stelle. Welche Angaben das genau sind und über welches Portal sie eingebracht werden, legt die nationale Umsetzung fest, üblicherweise gehören Name und Anschrift, der betroffene Sektor und eine Kontaktstelle für sicherheitsrelevante Benachrichtigungen dazu.

Der Punkt, der in der Praxis Arbeit macht, ist diese Kontaktstelle. Hinterlegt werden sollte eine Adresse, die dauerhaft funktioniert und auch dann gelesen wird, wenn die betreffende Person im Urlaub ist oder das Unternehmen verlässt. Eine persönliche Mailadresse eines einzelnen Mitarbeiters ist dafür ungeeignet. Ebenso gehört festgelegt, wer die Angaben aktualisiert, wenn sich Firmensitz, Zuständigkeit oder Tätigkeitsfeld ändern.

Die Meldepflicht ist der Teil, der im Ernstfall drückt

Die Richtlinie sieht für erhebliche Sicherheitsvorfälle ein gestuftes Verfahren vor. Zuerst eine Frühwarnung innerhalb von vierundzwanzig Stunden, dann eine ausführlichere Meldung innerhalb von zweiundsiebzig Stunden und schließlich ein Abschlussbericht innerhalb eines Monats. Die Fristen laufen ab dem Zeitpunkt, zu dem das Unternehmen Kenntnis vom Vorfall erlangt. Das klingt im Gesetzestext ruhig und ist in einer laufenden Störung der Teil, an den zuletzt jemand denkt.

Voraussetzung für jede Meldung ist, dass der Vorfall überhaupt bemerkt wird. Wenn ein Angreifer über ein kompromittiertes Konto auf einen Fileserver zugreift und niemand die Anmeldungen auswertet, beginnt keine Frist, weil keine Kenntnis entsteht. Deshalb hängt die Meldefähigkeit an sehr unspektakulären Dingen: an Protokollen, die lang genug aufbewahrt werden, an einer Firewall, deren Meldungen jemand liest, und an einer klaren Antwort auf die Frage, wer am Freitagnachmittag entscheidet, ob ein Vorfall erheblich ist.

Was von den Maßnahmen technisch übrig bleibt

Die Richtlinie zählt Bereiche auf, die ein Unternehmen abdecken muss: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs samt Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen, Schulung, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung, also die Anmeldung mit einem zweiten Nachweis zusätzlich zum Passwort. Das meiste davon ist nichts, was ausschließlich wegen NIS2 sinnvoll wäre. Der Unterschied ist, dass es nachweisbar sein muss.

Nachweisbar heißt: Es reicht nicht, dass ein Backup läuft. Es muss dokumentiert sein, was gesichert wird, wohin, wie lange es aufbewahrt wird und wann zuletzt eine Rücksicherung getestet wurde. Dieselbe Logik gilt für Netzwerksicherheit und Zugänge. Konkret sind das Punkte wie diese:

• Für jeden Fernzugriff von außen ist festgelegt, wer ihn hat, und er ist durch einen zweiten Faktor zusätzlich zum Passwort abgesichert.
• Die Firewall-Regeln sind dokumentiert, und zu jeder offenen Verbindung von außen gibt es eine Begründung, warum sie offen ist.
• Server, Kassensysteme, Gebäudetechnik und Gästenetz liegen nicht im selben Netzsegment wie die Arbeitsplätze.
• Von den eingesetzten Systemen existiert eine Liste, aus der hervorgeht, welche Version läuft und wer für Updates zuständig ist.
• Es gibt eine Übersicht der Dienstleister mit Zugriff auf Systeme oder Daten, samt der Frage, was passiert, wenn einer davon ausfällt.
• Eine Rücksicherung aus dem Backup wurde tatsächlich durchgeführt und das Ergebnis festgehalten.

Auch wer nicht betroffen ist, bekommt die Fragen gestellt

Die Sicherheit der Lieferkette gehört zu den Pflichten betroffener Unternehmen. Daraus folgt, dass diese Unternehmen ihre Lieferanten und Dienstleister befragen, weil sie selbst einen Nachweis brauchen. Das trifft Betriebe, die nach den Sektorlisten gar nicht unter die Regelung fallen, etwa einen Zulieferer, einen Softwareentwickler oder einen Wartungsbetrieb. Sichtbar wird das meist in Form eines Fragebogens, der mit einer Ausschreibung oder einer Vertragsverlängerung mitkommt.

Wer solche Fragen beantworten will, braucht keine Zertifizierung, aber eine ehrliche Bestandsaufnahme: welche Systeme es gibt, wer darauf zugreift, wie gesichert wird und wie jemand bemerkt, wenn etwas nicht stimmt. Wir sehen uns in solchen Fällen zuerst das Netzwerk, die Firewall-Konfiguration und die Backup-Situation an, bevor über Dokumente gesprochen wird. Wenn Sie diesen technischen Teil mit jemandem durchgehen möchten, finden Sie unsere Kontaktdaten und die Bürozeiten unseres Standorts in Wien; erreichbar sind wir unter office@easy4lan.com und +4312660666, das Büro ist Montag bis Donnerstag von 09:00 bis 12:30 und von 13:00 bis 17:00 besetzt, Freitag von 09:00 bis 14:00.

Fazit

Die NIS2 Registrierung Österreich ist kein Formular, das man zwischen zwei Terminen ausfüllt, sondern das Ergebnis einer Prüfung, die vor dem Formular stattfindet. Zuerst steht die Frage, ob der eigene Sektor und die eigene Größe die Kriterien erfüllen, danach kommen Stammdaten und Kontaktstelle, und erst dann beginnt die eigentliche Arbeit an Risikomanagement und Meldefähigkeit. Die Meldefristen der Richtlinie laufen ab Kenntnis eines Vorfalls, weshalb die Fähigkeit, einen Vorfall überhaupt zu bemerken, technisch der tragende Punkt ist. Betriebe außerhalb der Sektorlisten bleiben von der Registrierung verschont, bekommen die Anforderungen aber über ihre Kunden zu spüren. In beiden Fällen hilft dieselbe Grundlage: zu wissen, welche Systeme laufen, wer darauf zugreift und ob sich eine Sicherung tatsächlich zurückspielen lässt.