NISG 2026 ist in Kraft getreten:
Was bedeutet das für Ihr Unternehmen?

Das NISG 2026 setzt die europäische NIS2-Richtlinie in Österreich um. Im Vergleich zur bisherigen Regelung erweitert sich damit der Kreis jener Organisationen deutlich, für die konkrete Anforderungen an die Cybersicherheit gelten.

Betroffen sind Unternehmen und Organisationen aus zahlreichen Bereichen, darunter Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur sowie Teile der produzierenden Industrie.

Auch die Unternehmensgröße spielt eine Rolle. Als erste Orientierung sollten Unternehmen in relevanten Sektoren mit mindestens 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz genauer prüfen, ob sie in den Anwendungsbereich fallen.

Diese Schwellenwerte allein liefern allerdings noch keine eindeutige Antwort.

Unter bestimmten Voraussetzungen können auch kleinere Unternehmen relevant sein. Und selbst Unternehmen, die nicht direkt unter das NISG fallen, können mit neuen Anforderungen ihrer Kunden konfrontiert werden. Lieferketten und Abhängigkeiten von externen Dienstleistern spielen im neuen Rahmen eine wichtige Rolle.

Ein kurzer Blick auf Mitarbeiterzahl und Umsatz reicht daher nicht aus.

Sobald feststeht, dass das NISG für ein Unternehmen relevant ist, verändert sich die Fragestellung recht schnell.

Dann geht es nicht mehr in erster Linie darum, die Regulierung zu interpretieren. Es geht darum, die tatsächliche technische Umgebung des Unternehmens zu verstehen.

• Welche Systeme sind für den Betrieb wesentlich?

• Wo werden relevante Daten gespeichert und verarbeitet?

• Welche Schnittstellen verbinden IT, OT, Cloud-Dienste und externe Anbieter?

• Was passiert, wenn eines dieser Systeme ausfällt?

• Wer erkennt ungewöhnliches Verhalten?

• Und wer ist verantwortlich, wenn tatsächlich etwas passiert?

Die Fragen klingen zunächst einfach. In einer über Jahre gewachsenen IT- oder Produktionsumgebung sind sie oft überraschend schwer zuverlässig zu beantworten.

Ein Produktionssystem kann von mehreren Datenbanken, einem ERP-System, einer externen API und Infrastruktur abhängen, die wiederum von unterschiedlichen Teams oder Dienstleistern betrieben wird. Dokumentation ist vielleicht vorhanden, bildet aber nicht unbedingt die aktuelle Systemlandschaft ab.

Bevor Risiken sinnvoll gemanagt werden können, müssen diese Abhängigkeiten sichtbar sein.

NISG-Readiness bedeutet nicht automatisch, eine komplett neue Security-Landschaft aufzubauen.

Ein sinnvoller erster Schritt ist, sich anzusehen, was bereits vorhanden ist.

Welche Systeme und Datenflüsse sind dokumentiert? Was wird heute schon überwacht? Welche Incident- und Eskalationsprozesse gibt es? Welche Informationen stehen dem Management zur Verfügung? Und an welchen Stellen müssen Informationen noch manuell aus verschiedenen Tools zusammengetragen werden?

Das ist eine wesentlich bessere Ausgangsbasis, als jede einzelne NISG-Anforderung sofort als neues Technologieprojekt zu betrachten.

Gerade in datenintensiven und industriellen Umgebungen besteht ein wesentlicher Teil der Arbeit häufig darin, bereits vorhandene Informationen zusammenzuführen.

Dieses Problem begegnet uns bei craftworks auch unabhängig von regulatorischen Anforderungen. Unternehmen verfügen über große Mengen an Daten, diese liegen aber verteilt auf Maschinen, Datenbanken, Business-Applikationen und einzelne Tools. Damit diese Daten sinnvoll genutzt werden können, braucht es eine verlässliche Datengrundlage.

Genau deshalb kann Data Engineering auch im Zusammenhang mit NISG-Readiness relevant werden. Nicht, weil das NISG eine Data-Engineering-Regulierung wäre, sondern weil sich Systeme, Schnittstellen und Abhängigkeiten nur dann verlässlich beurteilen lassen, wenn die entsprechenden Informationen verfügbar und nutzbar sind.

Zu wissen, welche Systeme vorhanden sind, ist ein Teil der Aufgabe. Zu wissen, was darin gerade passiert, ein anderer.

Zentrales Monitoring kann dabei helfen, operative, technische und sicherheitsrelevante Signale zusammenzuführen. In industriellen Umgebungen betrifft das häufig sowohl klassische IT-Infrastruktur als auch Operational Technology.

Dabei geht es nicht darum, einfach mehr Alerts zu erzeugen.

Ein sinnvolles Monitoring sollte dabei helfen zu verstehen, ob tatsächlich etwas Ungewöhnliches passiert, welches System betroffen ist und ob Handlungsbedarf besteht.

Hier können auch Methoden wie Anomalieerkennung eine Rolle spielen. Ein ungewöhnliches Muster ist nicht automatisch ein Security Incident. Abweichungen in großen Mengen operativer Daten frühzeitig zu erkennen, kann aber ein zusätzliches Signal liefern, dass etwas genauer betrachtet werden sollte.

Wir setzen Anomalieerkennung bereits in industriellen Anwendungen ein, um ungewöhnliche Muster und kritische Ereignisse in Daten zu erkennen.

Ein Aspekt des NISG, der besondere Aufmerksamkeit verdient, ist die Lieferkette.

Moderne Systeme enden nur selten an der eigenen Unternehmensgrenze. Cloud-Anbieter, Softwarehersteller, Technologiepartner, Managed Services und andere Lieferanten können Teil eines geschäftskritischen Prozesses sein.

Unser NISG Readiness Check berücksichtigt deshalb neben IT-, OT- und Cloud-Abhängigkeiten auch Anforderungen entlang der Lieferkette.

Für Unternehmen, die selbst nicht direkt unter das NISG fallen, ist dieser Punkt aus einem anderen Grund relevant.

Ein Kunde, der dem NISG unterliegt, kann künftig zusätzliche Anforderungen an seine Lieferanten stellen, etwa hinsichtlich Dokumentation, Security-Informationen oder Nachweisen darüber, wie kritische Services betrieben werden.

Die entscheidende Frage lautet daher nicht nur:

• Sind wir reguliert?

Manchmal lautet sie:

• Sind unsere Kunden reguliert?

Cybersecurity-Risiken können mit dem NISG nicht ausschließlich ein Thema der IT bleiben.

Das Management benötigt ausreichend Informationen, um relevante Risiken, Maßnahmen und Verantwortlichkeiten nachvollziehen zu können. Das bedeutet allerdings nicht, dass jede technische Warnmeldung auf Management-Ebene landen sollte.

Im Gegenteil.

Die eigentliche Herausforderung besteht darin, Informationen aus unterschiedlichen Systemen so aufzubereiten, dass daraus Entscheidungen getroffen werden können: Welche Risiken brauchen Aufmerksamkeit? Welche Maßnahmen laufen bereits? Wo bestehen Abhängigkeiten? Und funktionieren die vereinbarten Prozesse?

Hier helfen Dashboards, automatisiertes Reporting und klar definierte Verantwortlichkeiten.

Das Ziel sollte dabei nicht eine weitere Reporting-Schicht sein, die kurz vor einem Audit manuell aktualisiert wird. Im Idealfall entstehen die Informationen, die als Nachweis benötigt werden, aus denselben Systemen und Prozessen, mit denen das Unternehmen ohnehin arbeitet.

Es gibt nicht die eine NISG-Technologie, die ein Unternehmen automatisch vorbereitet.

Bei einem Unternehmen fehlt vielleicht der vollständige Überblick über Systeme und Schnittstellen. Bei einem anderen ist das Monitoring zwischen IT und OT fragmentiert. Anderswo sind ausreichend Informationen vorhanden, Management-Reporting und Nachweisführung erfolgen aber noch weitgehend manuell.

Deshalb empfehlen wir, nicht mit einer Liste neuer Tools zu beginnen, sondern mit einem Assessment.

Am Ende sollte daraus vor allem eines entstehen: ein klares Bild der aktuellen Situation, ein Verständnis der relevanten Lücken und ein priorisierter Plan für die nächsten Schritte.

Ein Teil dieser Maßnahmen wird organisatorischer Natur sein. Ein anderer technisch.

Beim technischen Teil helfen wir.

Wir sind keine Rechtsberatung und unser Readiness Check ersetzt weder eine unabhängige Prüfung noch eine Zertifizierung. Unser Schwerpunkt liegt auf der operativen und technischen Seite: Wir helfen Unternehmen dabei, ihre Daten- und Systemlandschaft zu verstehen und die notwendigen Grundlagen für Monitoring, Daten, Automatisierung und Reporting umzusetzen.

Gerade bei komplexen IT-, OT-, Produktions- oder Plattformumgebungen bedeutet das, aus regulatorischen Anforderungen eine technische Roadmap zu machen, mit der Teams tatsächlich arbeiten können.

Wenn Sie noch klären, ob das NISG für Ihr Unternehmen gilt, oder bereits wissen, dass Sie betroffen sind, aber Ihre operative Readiness noch nicht einschätzen können, beginnen Sie mit dem Ist-Zustand.

Unser NISG Readiness Check betrachtet Systemtransparenz, Datenflüsse, IT-/OT-/Cloud-Abhängigkeiten, Monitoring, Risiko- und Eskalationsprozesse, Management-Reporting, Anforderungen an die Lieferkette sowie Automatisierungspotenziale.

Das Ergebnis ist ein priorisierter Maßnahmenplan mit konkreten nächsten Schritten.

NISG READINESS CHECK STARTEN