NIS2-Richtlinie: Warum 29.500 österreichische Unternehmen jetzt handeln müssen

Ab dem 15. Juli 2024 steht für rund 29.500 österreichische Unternehmen eine wichtige Änderung an: Der Zugang zum Behördenportal muss umgestellt werden. Doch während diese technische Anpassung kurzfristig Priorität hat, sollte der Blick bereits weiter reichen. Denn mit der EU-weite NIS2-Richtlinie drohen ab 2026 drastische Konsequenzen für den Mittelstand – und die Zeit zum Handeln wird knapp.

Die akute Pflicht: Zugangsumstellung bis 15. Juli

Das Bundesrechenzentrum (BRZ) hat angekündigt, dass ab Mitte Juli die Zugangsdaten für das Unternehmensserviceportal (USP) aktualisiert werden müssen. Betroffen sind vor allem Firmen, die regelmäßig mit Behörden kommunizieren – von Steuererklärungen bis zu Förderanträgen. Wer die Umstellung verpasst, riskiert Unterbrechungen im Geschäftsablauf.

Doch diese Änderung ist nur ein Vorspiel. Die eigentliche Herausforderung liegt in der Netz- und Informationssicherheitsrichtlinie 2.0 (NIS2), die bis 17. Oktober 2024 in nationales Recht umgesetzt werden muss. Die Frist für die Registrierung betroffener Unternehmen wurde zwar vom BSI bis 31. Juli 2026 verlängert – doch wer dann nicht compliant ist, muss mit empfindlichen Strafen rechnen.

NIS2: Diese Unternehmen sind betroffen

Die NIS2-Richtlinie erweitert den Kreis der verpflichteten Unternehmen deutlich. Nicht mehr nur „kritische Infrastrukturen“ (KRITIS) wie Energieversorger oder Gesundheitswesen sind betroffen, sondern auch:

• Mittelständische Unternehmen ab 50 Mitarbeitern und 10 Mio. Euro Umsatz in bestimmten Sektoren (z. B. Digitalanbieter, Lebensmittelindustrie, Verkehr).
• Kleinere Unternehmen in besonders risikoreichen Branchen, wenn sie als „wichtig“ eingestuft werden.
• Öffentliche Verwaltung, inklusive Gemeinden und kommunale Betriebe.

Laut IHK und kommunal.at müssen sich besonders Gemeinden und KMUs jetzt mit den neuen Anforderungen vertraut machen – denn die Bußgelder bei Verstößen können existenzbedrohend sein.

Drastische Strafen: Bis zu 10 Mio. Euro oder 2 % des Umsatzes

Die NIS2 sieht verschärfte Sanktionen vor, die je nach Unternehmensgröße und Schwere des Verstoßes variieren:

• Für große Unternehmen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
• Für mittelständische Unternehmen: Bis zu 7 Millionen Euro oder 1,4 % des Umsatzes.
• Für Wiederholungstäter: Zusätzliche administrative Maßnahmen wie Betriebsuntersagungen.

Hinzu kommen Reputationsschäden und mögliche Haftungsrisiken für die Geschäftsführung. Experten warnen: Viele Mittelständler unterschätzen die Komplexität der Anforderungen – von Risikoanalysen über Incident-Reporting bis hin zu regelmäßigen Sicherheitsaudits.

Was Unternehmen jetzt tun müssen

Die Zeit drängt. Hier sind die wichtigsten Schritte:

1. Prüfen, ob das Unternehmen betroffen ist: Die NIS2 gilt für 18 Sektoren und 15 Untersektoren. Eine Übersicht bietet das Bundesamt für Sicherheit in der Informationstechnik (BSI).
2. Registrierung vorbereiten: Auch wenn die Frist bis 2026 verlängert wurde, sollte die Anmeldung nicht auf die lange Bank geschoben werden.
3. IT-Sicherheit auf Vordermann bringen: Implementierung von ISO 27001 oder vergleichbaren Standards kann helfen, die Anforderungen zu erfüllen.
4. Schulungen durchführen: Mitarbeiter müssen für Cyberrisiken sensibilisiert werden – Phishing und Social Engineering sind nach wie vor die häufigsten Angriffsmethoden.

Tipp: Externe Berater oder Zertifizierungsstellen können bei der Umsetzung unterstützen. Die IHK und Wirtschaftskammern bieten dazu Informationsveranstaltungen an.

Fazit: Handeln statt abwarten

Die Zugangsumstellung zum Behördenportal ist nur der erste Schritt. Die NIS2-Richtlinie wird die Cyber-Sicherheitslandschaft in Österreich grundlegend verändern – und wer sich nicht rechtzeitig vorbereitet, riskiert nicht nur hohe Strafen, sondern auch den Verlust von Kundenvertrauen.

Für 29.500 Unternehmen beginnt die Reise jetzt. Die gute Nachricht: Wer frühzeitig handelt, kann die Umsetzung nicht nur als Pflicht, sondern als Chance für mehr IT-Sicherheit und Wettbewerbsvorteile nutzen. Die schlechte Nachricht: Die Uhr tickt – und die Nachfrist des BSI endet in weniger als zwei Jahren.

Source: boerse-express.com via Google News