Was ist NIS2 — und warum jetzt?
NIS2 ist die Nachfolgerichtlinie der EU-Cybersicherheitsrichtlinie NIS (2016). Sie erweitert den Anwendungsbereich erheblich: Deutlich mehr Unternehmen und Organisationen fallen unter die neuen Regeln. Ziel ist es, das Cybersicherheits-Niveau in der EU zu vereinheitlichen und kritische Infrastruktur besser zu schützen.
Die Richtlinie war bis Oktober 2024 in nationales Recht umzusetzen. In Österreich geschieht das über das NISG 2024 (Netz- und Informationssystemsicherheitsgesetz).
Bin ich als Unternehmen betroffen?
NIS2 unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen. Betroffen sind Unternehmen in folgenden Sektoren:
- Energie (Strom, Gas, Wärme, Öl, Wasserstoff)
- Transport (Luftfahrt, Schiene, Straße, See)
- Bankwesen und Finanzmarktinfrastruktur
- Gesundheitswesen
- Trinkwasser- und Abwasserversorgung
- Digitale Infrastruktur (Cloud, DNS, Rechenzentren, ISPs)
- Öffentliche Verwaltung
- Raumfahrt
- Postdienste, Lebensmittel, Chemie, Abfallwirtschaft (erweiterte Liste)
Grundsätzlich gelten Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz in diesen Sektoren als betroffen. Kleinere Unternehmen können ebenfalls erfasst sein, wenn sie kritische Dienste erbringen.
Was verlangt NIS2 konkret?
Betroffene Unternehmen müssen (vereinfacht):
- Risikomanagement einführen: Risiken für ihre IT-Systeme identifizieren und dokumentieren
- Sicherheitsmaßnahmen umsetzen: Technische und organisatorische Maßnahmen für Netz- und Informationssicherheit
- Vorfälle melden: Erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an die zuständige Behörde melden
- Lieferkette berücksichtigen: Auch Sicherheitsanforderungen an Lieferanten und Dienstleister stellen
- Schulungen durchführen: Management muss in Cybersicherheit geschult werden
Was hat das mit Ihrer Website und Hosting zu tun?
Hier kommt der für Sie relevante Teil: Ihre Website und die digitale Infrastruktur dahinter sind Teil Ihrer IT-Umgebung — und damit von NIS2-Anforderungen berührt.
Konkret: Wer kann belegen, dass seine Website auf einem sicheren Hosting-System läuft? Dass Backups funktionieren und getestet werden? Dass Security-Patches zeitnah eingespielt werden? Dass PHP-Versionen im aktiven Support-Zeitraum betrieben werden?
Das sind keine theoretischen Anforderungen — das ist normales, sauberes Handwerk. Und genau das, was PaWeb ohnehin bei jeder Website liefert:
- Tägliche Backups mit dokumentierter Testwiederherstellung
- Security-Patches innerhalb definierter Fristen nach Advisory
- PHP-Versionen immer im aktiven Support-Zeitraum
- Hosting auf österreichischen Servern (EU-Rechenzentrum, DSGVO-AVV vorhanden)
- 24/7-Monitoring mit Alerting
Das ist kein Versprechen von vollständiger NIS2-Compliance — das wäre eine Übertreibung, da NIS2 weit über die Website hinausgeht. Aber es ist ein konkreter, dokumentierter Beitrag zu den geforderten technischen Sicherheitsmaßnahmen.
NIS2 betrifft viele Unternehmen, die sich das noch nicht bewusst sind. Die erste Frage ist: Bin ich überhaupt betroffen? Die zweite: Was muss ich dann tun? Und die dritte — die ich beantworten kann: Ist meine digitale Infrastruktur sicher genug, um das dokumentieren zu können?
Wenn Sie Unsicherheit haben: Ich schaue mir Ihre aktuelle Hosting-Situation an und sage Ihnen, was sauber ist — und was nicht.
