Was NIS2 für IT-Teams in Österreich jetzt konkret bedeutet

Lange war NIS2 ein regulatorisches Fernziel. Seit der Verabschiedung des überarbeiteten Netz- und Informationssystemsicherheitsgesetzes (NISG 2024) in Österreich ist aus dem Fernziel Tagesgeschäft geworden. Für IT-Teams bedeutet das nicht nur neue Pflichten auf dem Papier, sondern ganz konkrete Anforderungen an Prozesse, Technologien und Nachweisfähigkeit.

Dieser Beitrag richtet sich an alle, die jetzt vor der Frage stehen: Was müssen wir tatsächlich tun – und wo fangen wir an?

Wer ist betroffen? Mehr Unternehmen als viele denken

Der größte Unterschied zur alten NIS-Richtlinie ist der erweiterte Geltungsbereich. NIS2 unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen und erfasst damit deutlich mehr Branchen als zuvor. Neben den klassischen Sektoren wie Energie, Verkehr, Gesundheit und Finanzwesen fallen nun auch Bereiche wie digitale Infrastruktur, verarbeitendes Gewerbe, Abfallwirtschaft, Lebensmittelproduktion und die öffentliche Verwaltung unter die Regelung.

In Österreich betrifft das geschätzt mehrere tausend Unternehmen – viele davon zum ersten Mal. Das Kriterium ist dabei nicht nur die Branchenzugehörigkeit, sondern auch die Unternehmensgröße: In der Regel fallen Organisationen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in den Anwendungsbereich. IT-Teams, die bisher mit Compliance-Themen nur am Rande zu tun hatten, stehen plötzlich im Zentrum der Umsetzung.

Die vier Kernpflichten, die IT-Teams jetzt umsetzen müssen

NIS2 formuliert eine Reihe von Anforderungen, die sich in vier zentrale Handlungsfelder übersetzen lassen.

Risikomanagement und technische Maßnahmen

Unternehmen müssen ein systematisches Risikomanagement für ihre Netz- und Informationssysteme etablieren. Das klingt abstrakt, meint aber sehr Konkretes: dokumentierte Risikoanalysen, definierte Schutzmaßnahmen und deren regelmäßige Überprüfung. Technisch gehören dazu unter anderem Zugriffskontrollen, Netzwerksegmentierung, Verschlüsselung und ein strukturiertes Schwachstellenmanagement.

Für IT-Teams heißt das: Es reicht nicht, Firewalls und Antivirus zu betreiben. NIS2 verlangt nachvollziehbare Prozesse, die zeigen, wie Risiken identifiziert und welche Maßnahmen daraus abgeleitet werden.

Incident Detection und Meldepflichten

Einer der spürbarsten Aspekte von NIS2 sind die verschärften Meldepflichten. Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung an die zuständige Behörde gemeldet werden, gefolgt von einer detaillierten Meldung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats.

Das setzt voraus, dass Sicherheitsvorfälle überhaupt zuverlässig erkannt werden. Ohne ein funktionierendes Security Information and Event Management (SIEM) und ein durchgängiges Log-Management wird das kaum gelingen. Genau hier kommen Lösungen wie SIEMOC und LOMOC von COMPRISE ins Spiel. SIEMOC bietet als integriertes SIEM eine Echtzeit-Erkennung von Sicherheitsbedrohungen mit einer zentralen Kommandozentrale für Compliance-Nachweis, Betrugserkennung und Forensik. LOMOC ergänzt dies als Protokollmonitoring-Lösung, die System-, Applikations- und Security-Logs zentral analysiert und professionell visualisiert – und dabei explizit auf Konformität mit NIS2, ISO 27001 und weiteren Frameworks ausgelegt ist.

Zugriffskontrolle und Identitätsmanagement

NIS2 fordert robuste Zugriffskontrollmechanismen. Wer darf auf welche Systeme zugreifen? Sind privilegierte Zugänge besonders geschützt? Gibt es nachvollziehbare Genehmigungsprozesse? Diese Fragen sind nicht neu, aber NIS2 macht ihre Beantwortung zur gesetzlichen Pflicht.

Ein Identity & Access Management (IAM) bildet hierfür die operative Grundlage. Mit AccessKeeper bietet COMPRISE ein IAM-System, das Benutzer, Rollen und Berechtigungen über den gesamten Lebenszyklus hinweg zentral und nachvollziehbar verwaltet. In Kombination mit Privileged Access Management und Continuous Verification lässt sich eine Zero-Trust-Architektur aufbauen, die den NIS2-Anforderungen an Zugriffskontrolle gerecht wird. Wer dieses Zusammenspiel vertiefen möchte, findet im COMPRISE-Blogartikel „AccessKeeper als Basis für Zero Trust" eine ausführliche Einordnung.

Darüber hinaus verlangt NIS2 nicht nur die Verwaltung von Zugriffsrechten, sondern auch deren regelmäßige Überprüfung und Nachweisbarkeit. Identity Governance & Administration (IGA) bringt genau diese strategische Governance-Schicht mit: Rezertifizierungskampagnen, Funktionstrennung (Segregation of Duties) und lückenlose Audit-Trails. Wie IAM und IGA in der Praxis zusammenwirken, beschreibt der Beitrag „Wie Identity Governance & Administration (IGA) ein IAM-System wie AccessKeeper erweitert".

Business Continuity und Lieferkettensicherheit

NIS2 geht über die eigenen Unternehmensgrenzen hinaus. Organisationen müssen sicherstellen, dass auch ihre Lieferketten und Dienstleister ein angemessenes Sicherheitsniveau einhalten. Zudem braucht es dokumentierte Notfallpläne, Backup-Strategien und Wiederherstellungsverfahren.

Für IT-Teams bedeutet das: Nicht nur die eigene Infrastruktur muss überwacht und abgesichert sein, sondern auch die Schnittstellen zu Partnern und Zulieferern. Unified Monitoring mit COMMOC kann hier einen Beitrag leisten, indem es Transparenz über die gesamte IT-Landschaft schafft – on-premises und in der Cloud.

Was viele unterschätzen: Die Nachweispflicht

Es genügt nicht, Maßnahmen umzusetzen. NIS2 verlangt, dass Unternehmen ihre Compliance jederzeit nachweisen können. Das betrifft Risikoanalysen, Sicherheitsmaßnahmen, Incident-Response-Prozesse und eben auch die Zugriffskontrolle. Wer im Falle einer Prüfung wochenlang Excel-Listen und E-Mail-Verläufe zusammensuchen muss, hat ein Problem.

Genau deshalb ist die Investition in Systeme, die Audit-Trails, Reports und Compliance-Nachweise automatisiert erzeugen, keine Kür, sondern Pflicht. Ob SIEM-Reports aus SIEMOC, Log-Analysen aus LOMOC oder Berechtigungsnachweise aus AccessKeeper – die Fähigkeit, auf Knopfdruck nachzuweisen, wer wann auf welche Systeme zugegriffen hat und warum, wird zum entscheidenden Faktor.

Drei Schritte, mit denen IT-Teams jetzt starten können

Auch wenn der Umfang der NIS2-Anforderungen zunächst überwältigend wirken kann, lässt sich die Umsetzung in pragmatische Schritte gliedern.

Erstens: Betroffenheit prüfen und Gap-Analyse durchführen. Fällt das eigene Unternehmen unter NIS2? Welche Anforderungen sind bereits abgedeckt, wo bestehen Lücken? Eine strukturierte Bestandsaufnahme schafft die Grundlage für alles Weitere.

Zweitens: Kritische Lücken zuerst schließen. In der Praxis sind fehlende Incident-Detection-Fähigkeiten und unkontrollierte Zugriffsrechte die häufigsten Schwachstellen. Ein SIEM-System und ein strukturiertes IAM sind daher oft die ersten sinnvollen Investitionen.

Drittens: Nachweisfähigkeit von Anfang an mitdenken. Jede Maßnahme, die nicht dokumentiert und auditierbar ist, ist im Kontext von NIS2 nur halb so viel wert. Deshalb sollte bei der Auswahl von Tools und Prozessen die Reporting- und Audit-Fähigkeit ein zentrales Kriterium sein.

Fazit: NIS2 ist kein reines Compliance-Projekt

Die NIS2-Umsetzung betrifft nicht nur die Rechtsabteilung oder den CISO – sie landet direkt auf dem Schreibtisch der IT-Teams. Zugriffskontrollen verschärfen, Logs zentral erfassen, Vorfälle in Echtzeit erkennen, Nachweise auf Knopfdruck liefern: Das sind operative Aufgaben, die operative Werkzeuge brauchen.

Europäische Lösungen wie die Produkte von COMPRISE – SIEMOC, LOMOC, AccessKeeper und COMMOC – sind dabei nicht nur technisch auf diese Anforderungen ausgelegt, sondern bieten als Produkte mit europäischer Herkunft auch den Vorteil, dass Datensouveränität und Compliance-Konformität von Grund auf mitgedacht sind.

Wer jetzt handelt, schafft nicht nur regulatorische Sicherheit, sondern baut gleichzeitig eine IT-Sicherheitsarchitekt