NIS2: Was jetzt auf Österreichs Unternehmen zukommt

Ein regionaler Wasserversorger betreibt mehrere Brunnen, ein kleines Aufbereitungswerk und versorgt rund 25.000 Menschen in sechs Gemeinden. An diesem Montag steht die Leitwarte still. Auf den Überwachungsmonitoren für Durchfluss und Chlorung erscheint nur noch eine rote Meldung: „Zugriff verweigert. System gesperrt.“

Die Technikerinnen und Techniker versuchen, die Kontrollen manuell zu übernehmen. Die Gemeinden werden informiert, die Hotline läuft heiß. Die Versorgung kann auf Notbetrieb umgestellt werden, aber die Sicherheit der Wasserqualität ist unklar. Noch am selben Abend berichten lokale Medien.

Später stellt sich heraus: Ein kompromittiertes Administrationskonto, keine Zwei-Faktor-Authentifizierung, unzureichende Protokollierung. Die Wiederherstellung dauert Tage, die Ursachenanalyse Wochen. Das Vertrauen der Bevölkerung länger. Und die Behörde stellt Fragen.

Das Beispiel ist erfunden, könnte aber genauso passieren. Laut österreichischem Cybersecurity-Bericht erleidet fast jedes zweite Unternehmen jährlich mindestens einen relevanten Angriff. Ransomware ist ein solides Geschäftsmodell geworden. Und sie trifft längst nicht mehr nur „die Großen“.

Die erste EU-Richtlinie NIS aus 2016 war ein Anfang, aber sie war eng. Sie fokussierte auf Energie, Gesundheit, Wasser, Verkehr. Doch unsere Wirtschaft hängt heute in viel mehr Bereichen digital zusammen. Ein mittelständischer Zulieferer kann genauso systemrelevant sein wie ein großes Kraftwerk – wenn er der einzige ist, der ein bestimmtes Teil fertigt.

Deshalb erweitert NIS2 ab 2025 den Kreis der verpflichteten Organisationen deutlich. Für Österreich bedeutet das: Statt rund 100 direkt betroffenen Unternehmen werden es künftig 3.000 bis 5.000 sein. Dazu zählen: produzierendes Gewerbe, Lebensmittelhersteller, Labor- und Forschungsinstitute, kommunale Dienste, Entsorgungsunternehmen, IT-Dienstleister und Teile der öffentlichen Verwaltung.

Viele dieser Betriebe merken erst jetzt, dass sie betroffen sind.

Prokop Sponner und Partner arbeitet derzeit bei NIS2  mit dem Frankfurter Unternehmen DE-bit zusammen. In Deutschland ist DE-bit seit vielen Jahren im Bereich Audits und Informationssicherheitsprüfung von kritischen Infrastrukturen tätig – etwa bei Energieversorgern, Krankenhäusern, großen kommunalen Betrieben oder Ministerien.

Diese Perspektive aus der praktischen Prüfungspraxis zeigt, wie Sicherheitsanforderungen im Alltag aussehen, welche Maßnahmen tatsächlich funktionieren und woran Unternehmen in Audits häufig scheitern. Für österreichische Betriebe kann dieser Blick von außen helfen, Prioritäten richtig zu setzen und Umsetzungshürden realistisch einzuschätzen. Debit empfiehlt, was jetzt zu tun ist:

1. Die Lage ernst nehmen.
   Nicht dramatisieren, aber priorisieren. Informationssicherheit ist kein Luxus.
2. Ist-Stand klären.
   Welche Systeme sind kritisch? Wo liegen Daten? Welche Risiken sind real?
3. Zeit einplanen.
   Sicherheit braucht Monate, nicht Wochen.
4. Dokumentieren.
   Nicht nur handeln – nachweisbar handeln.
5. Lieferketten einbinden.
   Der schwächste Partner entscheidet das Risiko.

NIS2 wird Aufwand bedeuten. Aber es wird auch Professionalität, Resilienz und Zukunftssicherheit stärken. Wer heute beginnt, hat morgen keinen Stress. Wer wartet, wird später hektisch, teuer und möglicherweise juristisch handeln müssen.

Cyber- und Informationssicherheit ist keine Zusatzaufgabe. Sie ist die Grundlage einer funktionierenden Wirtschaft.