NIS-2: EU-Durchführungsverordnung und NISV 2026
Risikomanagementmaßnahmen und erhebliche Cybersicherheitsvorfälle: Anforderungen für digitale Infrastruktur und weitere Sektoren
Lesedauer: 5 Minuten
Ziel der NIS-2-Richtlinie ist ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. In Österreich wird sie durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt.
Für bestimmte digitale Dienste und Infrastrukturen legt die Durchführungsverordnung (EU) 2024/2690 der Europäischen Kommission technische und methodische Anforderungen an Risikomanagementmaßnahmen fest. Sie konkretisiert außerdem, wann ein Sicherheitsvorfall als erheblich gilt.
Mit der Netz- und Informationssystemsicherheits-Verordnung – NISV 2026, gelten die Anforderungen an die Risikomanagementmaßnahmen nun auch für die weiteren in den Anlagen 1 und 2 des NISG 2026 gelisteten Arten wesentlicher und wichtiger Einrichtungen. Die NISV 2026 wurde am 1. Oktober 2026 kundgemacht und ist mit Ablauf dieses Tages in Kraft getreten.
Für welche Einrichtungen gelten die Verordnungen?
Die EU-Durchführungsverordnung gilt unmittelbar für folgende Arten von Einrichtungen, soweit sie in ihren Anwendungsbereich fallen:
- DNS-Diensteanbieter
- TLD-Namenregister
- Anbieter von Cloud-Computing-Diensten
- Anbieter von Rechenzentrumsdiensten
- Betreiber von Inhaltszustellnetzen
- Anbieter verwalteter Dienste (MSP)
- Anbieter verwalteter Sicherheitsdienste (MSSP)
- Anbieter von Online-Marktplätzen
- Anbieter von Online-Suchmaschinen
- Anbieter von Plattformen für Dienste sozialer Netzwerke
- Vertrauensdiensteanbieter
Für die nicht von der EU-Durchführungsverordnung erfassten, in den Anlagen 1 und 2 des NISG 2026 gelisteten Arten wesentlicher und wichtiger Einrichtungen erklärt § 2 NISV 2026 die Anforderungen nach Artikel 2 samt Anhang der EU-Durchführungsverordnung ebenfalls für anwendbar.
Damit ist der Anhang der EU-Durchführungsverordnung für diese Einrichtungen nun verbindlich. Bei der Umsetzung können die Leitlinien der ENISA zur EU-Durchführungsverordnung unterstützen.
Die NISV 2026 übernimmt die Anforderungen an die Risikomanagementmaßnahmen. Die Kriterien der EU-Durchführungsverordnung für erhebliche Sicherheitsvorfälle werden dadurch nicht allgemein auf weitere Sektoren ausgedehnt. Dafür enthält die NISV 2026 eigene Regelungen.
Risikomanagementmaßnahmen
Die Anforderungen umfassen unter anderem regelmäßige Risikobewertungen, geeignete technische, operative und organisatorische Sicherheitsmaßnahmen sowie die Dokumentation und Überprüfung ihrer Umsetzung. Hinzu kommen die Schulung und Sensibilisierung der Mitarbeiter, die Sicherheit der Lieferkette und Vorkehrungen für Sicherheitsvorfälle und Betriebsunterbrechungen.
Die Maßnahmen müssen geeignet und verhältnismäßig sein. Welche konkrete Umsetzung erforderlich ist, richtet sich insbesondere nach der Größe der Einrichtung, ihrem Risikoprofil und den möglichen Auswirkungen von Cybersicherheitsvorfällen.
Die NISV 2026 verlangt, bei der Risikoanalyse zumindest folgende Risikokategorien zu berücksichtigen:
- technologische Risiken
- menschliche Risiken
- Risiken in der IKT-Lieferkette
- standortbezogene Risiken für Netz- und Informationssysteme
Kompensierende Maßnahmen
Kann eine Einrichtung einzelne Anforderungen vorübergehend oder aufgrund ihrer Größe nicht erfüllen, muss sie gemäß § 4 NISV 2026 kompensierende Maßnahmen umsetzen. Diese müssen auf einer Risikobewertung beruhen, dem Zweck der jeweiligen Anforderung dienen und die damit verbundenen Risiken minimieren.
Die Umsetzung ist nachvollziehbar und begründet zu dokumentieren. Die Wirksamkeit der kompensierenden Maßnahmen muss regelmäßig, zumindest jährlich, überprüft werden.
Für Anforderungen, die ausdrücklich nur soweit angemessen, anwendbar oder durchführbar zu erfüllen sind, besteht keine Pflicht zur Umsetzung kompensierender Maßnahmen.
Erhebliche Cybersicherheitsvorfälle
Erhebliche Cybersicherheitsvorfälle sind nach den Vorgaben des NISG 2026 zu melden. Welche Kriterien für die Einstufung maßgeblich sind, hängt davon ab, ob die Einrichtung der EU-Durchführungsverordnung unterliegt oder die nationalen Kriterien anzuwenden sind.
Für Einrichtungen im Anwendungsbereich der EU-Durchführungsverordnung gelten deren allgemeine und dienstespezifische Erheblichkeitskriterien.
Für die weiteren betreffenden Einrichtungen konkretisieren §§ 5 bis 7 NISV 2026 die gesetzlichen Vorgaben. Die Kriterien betreffen unter anderem:
- tatsächliche oder mögliche direkte finanzielle Verluste
- den tatsächlichen oder möglichen Abfluss von Geschäftsgeheimnissen oder bestimmten geheimhaltungspflichtigen Informationen
- tatsächliche oder mögliche Todesfälle oder schwere Gesundheitsschäden
- erfolgreiche, mutmaßlich böswillige und unbefugte Zugriffe, die wahrscheinlich schwerwiegende Betriebsstörungen verursachen
- Ausfälle oder Einschränkungen von Diensten, abhängig von Dauer, Nutzerbetroffenheit oder geografischer Ausbreitung
- die Aktivierung des Krisenmanagements oder von Notfallwiederherstellungsplänen des Betriebskontinuitätsmanagements
Auch wiederholte, einzeln betrachtet nicht erhebliche Cybersicherheitsvorfälle können zusammengenommen erheblich sein. Nach § 7 NISV 2026 setzt dies voraus, dass sie innerhalb von sechs Monaten mindestens zweimal auftreten, dieselbe offensichtliche Ursache und Auswirkung haben und gemeinsam die finanzielle Erheblichkeitsschwelle nach § 5 Abs. 1 Z 1 erreichen.
Planmäßige Betriebsunterbrechungen und geplante Folgen planmäßiger Wartungsarbeiten, die von oder im Auftrag der Einrichtung durchgeführt werden, gelten nach § 6 NISV 2026 nicht als erhebliche Cybersicherheitsvorfälle.
Technische und methodische Anforderungen
Der Anhang der EU-Durchführungsverordnung enthält die folgenden 13 Maßnahmenbereiche. Durch den Verweis in § 2 NISV 2026 sind diese auch für die dort erfassten weiteren Einrichtungen maßgeblich.
1. Konzept für die Sicherheit von Netz- und Informationssystemen
1.1. Konzept für die Sicherheit von Netz- und Informationssystemen
1.2. Rollen, Verantwortlichkeiten und Weisungsbefugnisse
2. Konzept für das Risikomanagement
2.1. Risikomanagementrahmen
2.2. Überwachung der Einhaltung
2.3. Unabhängige Überprüfung der Netz- und Informationssicherheit
3. Bewältigung von Sicherheitsvorfällen
3.1. Konzept für die Bewältigung von Sicherheitsvorfällen
3.2. Überwachung und Protokollierung
3.3. Meldung von Ereignissen
3.4. Bewertung und Klassifizierung von Ereignissen
3.5. Reaktion auf Sicherheitsvorfälle
3.6. Überprüfungen nach Sicherheitsvorfällen
4. Betriebskontinuitäts- und Krisenmanagement
4.1. Notfallplan für die Aufrechterhaltung und Wiederherstellung des Betriebs
4.2. Backup-Sicherungs- und Redundanzmanagement
4.3. Krisenmanagement
5. Sicherheit der Lieferkette
5.1. Konzept für die Sicherheit der Lieferkette
5.2. Verzeichnis der Anbieter und Diensteanbieter
6. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen
6.1. Sicherheitsmaßnahmen beim Erwerb von IKT-Diensten oder IKT-Produkten
6.2. Sicherer Entwicklungszyklus
6.3. Konfigurationsmanagement
6.4. Änderungsmanagement, Reparatur und Wartung
6.5. Sicherheitsprüfung
6.6. Sicherheitspatch-Management
6.7. Netzsicherheit
6.8. Netzsegmentierung
6.9. Schutz gegen Schadsoftware und nicht genehmigte Software
6.10. Behandlung und Offenlegung von Schwachstellen
7. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
8. Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
8.1. Sensibilisierungsmaßnahmen und grundlegende Verfahren im Bereich der Cyberhygiene
8.2. Sicherheitsschulungen
9. Kryptografie
10. Sicherheit des Personals
10.1. Sicherheit des Personals
10.2. Zuverlässigkeitsüberprüfung
10.3. Verfahren zur Beendigung oder Änderung des Beschäftigungsverhältnisses
10.4. Disziplinarverfahren
11. Zugriffskontrolle
11.1. Konzept für die Zugriffskontrolle
11.2. Management von Zugangs- und Zugriffsrechten
11.3. Privilegierte Konten und Systemverwaltungskonten
11.4. Systemverwaltungssysteme
11.5. Identifizierung
11.6. Authentifizierung
11.7. Multifaktor-Authentifizierung
12. Anlagen- und Wertemanagement
12.1. Anlagen- und Werteklassifizierung
12.2. Behandlung von Anlagen und Werten
12.3. Konzept für Wechseldatenträger
12.4. Anlagen- und Werteinventar
12.5. Abgabe, Rückgabe oder Löschung von Anlagen und Werten bei Beendigung des Beschäftigungsverhältnisses
13. Sicherheit des Umfelds und physische Sicherheit
13.1. Unterstützende Versorgungsleistungen
13.2. Schutz vor physischen Bedrohungen und Bedrohungen des Umfelds
13.3. Perimeter und physische Zutrittskontrolle