TOOLBOX · DOWNLOAD
Risikomanagementnach NIS2 alsCheckliste.
Seit 1. Oktober 2026 müssen wesentliche und wichtige Einrichtungen Risikomanagementmaßnahmen nach § 32 NISG 2026 umsetzen. Was die zehn Mindestinhalte im Einzelnen verlangen, regelt der Anhang der Durchführungsverordnung (EU) 2024/2690; § 2 NISV 2026 erstreckt ihn auf alle wesentlichen und wichtigen Einrichtungen, für die er nicht ohnehin gilt. Diese Checkliste ordnet jedem Buchstaben des § 32 Abs. 4 die Nummern des Anhangs zu, fasst den Kern jeder Anforderung zusammen und nennt Nachweise, die Sie vorhalten sollten. Dazu kommen die Pflichten der Leitungsorgane nach § 31, Verhältnismäßigkeit und kompensierende Maßnahmen sowie Selbstdeklaration, Prüfung und Fristen nach § 33.
Kostenloses PDF · Checkliste
NIS2-Risikomanagement: die Maßnahmen nach § 32 NISG 2026 als Checkliste
- Thema
- NIS2 & Compliance
- Format
- PDF, A4
- Umfang
- 10 Seiten
- Größe
- 140 KB
- Stand
- 25.10.2026
- Quellen
- 16
- Nutzung
- Weitergabe in unveränderter Form erlaubt
FÜR WEN
Für wen
das gedacht ist.
Die Mindestinhalte nach § 32 Abs. 4 NISG 2026 mit dem Anhang der DVO (EU) 2024/2690, Nachweisideen, Pflichten der Leitungsorgane und Selbstdeklaration.
- Informationssicherheitsbeauftragte und CISOs wesentlicher und wichtiger Einrichtungen nach dem NISG 2026
- Geschäftsführung, Vorstand und andere Leitungsorgane, die die Umsetzung sicherstellen und beaufsichtigen müssen
- IT-Leitung, Compliance und Revision, die Nachweise sammeln und die Selbstdeklaration vorbereiten
9 ABSCHNITTE
Was drin
steht.
Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.
- 01
Worum es geht und was verbindlich ist
Zehn Mindestinhalte im NISG 2026, Einzelheiten im DVO-Anhang, Nachweisideen als Empfehlung.
- 02
Zuordnung: § 32 Abs. 4 NISG 2026 und DVO-Anhang
Welche Nummern des DVO-Anhangs die zehn Buchstaben des § 32 Abs. 4 NISG 2026 konkretisieren.
- 03
Checkliste 1: Konzepte, Risiko, Vorfälle, Betrieb
lit. a bis c, Anhang Nr. 1 bis 4: Konzept, Rollen, Risiken, Vorfälle, Notfall, Backup und Krise.
- 04
Checkliste 2: Lieferkette, Beschaffung, Betrieb
lit. d bis f, Anhang Nr. 5 bis 7: Lieferkette, Erwerb, Änderungen, Patches, Netz und Wirksamkeit.
- 05
Checkliste 3: Schulung, Zugriff, Anlagen, Umfeld
lit. g bis j, Anhang Nr. 8 bis 13: Schulung, Kryptografie, Personal, Zugriff, MFA, Anlagen, Umfeld.
- 06
Pflichten der Leitungsorgane (§ 31 NISG 2026)
Sicherstellen, beaufsichtigen, billigen, sich schulen lassen: was die Geschäftsführung selbst tun muss.
- 07
Verhältnismäßigkeit und kompensierende Maßnahmen
Wie Größe und Risiko die Umsetzung bestimmen und wann Sie begründet abweichen dürfen.
- 08
Selbstdeklaration, Prüfung und Fristen (§ 33 NISG 2026)
Selbstdeklaration bis 30. September 2027, Aufforderung zur Prüfung frühestens ab 1. Oktober 2028, Strafrahmen.
- 09
Häufige Fehler
Was die Umsetzung von § 32 NISG 2026 und den Nachweis gegenüber der Cybersicherheitsbehörde in der Praxis erschwert.
AUSZUG
Zuordnung: § 32 Abs. 4 NISG 2026 und DVO-Anhang
| Lit. | Mindestinhalt nach § 32 Abs. 4 NISG 2026 | Anhang Nr. |
|---|---|---|
| a | Konzepte für Risikoanalyse und Sicherheit der Informationssysteme | 1, 2 |
| b | Bewältigung von Cybersicherheitsvorfällen | 3 |
| c | Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement | 4, 13.1 |
| d | Sicherheit der Lieferkette, auch zu unmittelbaren Anbietern | 5 |
| e | Erwerb, Entwicklung, Wartung; Umgang mit und Offenlegung von Schwachstellen | 6, 13.2 |
| f | Bewertung der Wirksamkeit der Risikomanagementmaßnahmen | 7 |
| g | Grundlegende Cyberhygiene und Schulungen | 8 |
| h | Kryptografie und gegebenenfalls Verschlüsselung | 9 |
| i | Sicherheit des Personals, Zugriffskontrolle, Management von Anlagen | 10 bis 12, 13.3 |
| j | MFA oder kontinuierliche Authentifizierung; gesicherte Kommunikation | 11 (11.7) |
QUELLEN
Belegt,
nicht behauptet.
- NISG 2026, BGBl. I Nr. 94/2025, geltende Fassung im RIS (öffnet in neuem Tab)Fassung vom 25.10.2026 (Stammfassung); §§ 3 Z 11, 27, 29, 31 bis 33, 38, 39, 44 bis 46, 51; gelesen am 25.10.2026
- NISV 2026, BGBl. II Nr. 290/2026, authentische Kundmachung im RIS (öffnet in neuem Tab)§§ 2 bis 4 Risikomanagementmaßnahmen, § 7, § 9 Inkrafttreten; gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Erläuterungen zur NISV 2026 (PDF) (öffnet in neuem Tab)Allgemeiner Teil, zu §§ 2, 4 und 8: Rahmen, DORA, § 7 analog, kompensierende Maßnahmen, Verweise; gelesen am 25.10.2026
- Erläuterungen zur Regierungsvorlage NISG 2026 (308 d. B. XXVIII. GP), beim Bundesamt für Cybersicherheit (PDF) (öffnet in neuem Tab)Zu §§ 31, 44 und 45 (Billigung, Strafadressat, § 9 VStG) und zu § 33 (Selbstdeklaration); gelesen am 25.10.2026
- Verwaltungsstrafgesetz 1991 (VStG), § 9, im RIS (öffnet in neuem Tab)§ 9 Abs. 1 Verantwortlichkeit der zur Vertretung nach außen Berufenen; gelesen am 25.10.2026
- Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 20 und 21 (öffnet in neuem Tab)Art. 20 Abs. 1 und Art. 21 Abs. 2; ABl. L 333 vom 27.12.2022; gelesen am 25.10.2026
- Durchführungsverordnung (EU) 2024/2690, Art. 2 und Anhang (öffnet in neuem Tab)Art. 1, 2 und Anhang Nr. 1 bis 13; ABl. L vom 18.10.2024; gelesen am 25.10.2026
- ENISA: NIS2 Technical Implementation Guidance, Juni 2025, Version 1.0 (öffnet in neuem Tab)Examples of evidence zu Nr. 1 bis 13, Guidance zu 4.3.2; laut ENISA nicht verbindlich; gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Registrierung (öffnet in neuem Tab)Erstregistrierung bis 1.1.2027, spätestens 4.1.2027 (§ 33 Abs. 2 AVG), NIS2-Services; Seite vom 2.10.2026, gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Häufig gestellte Fragen, Registrierung (öffnet in neuem Tab)Registrierung bis 31.12.2026 über das USP; Seite vom 25.9.2026, gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Häufig gestellte Fragen, Geschäftsleitung (öffnet in neuem Tab)Leitungsorgan, Schulung je Mitglied, keine Verwaltungsstrafen; Seite vom 25.9.2026, gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Häufig gestellte Fragen, Maßnahmen (öffnet in neuem Tab)Verantwortung bei ausgelagerter IT; Seite vom 15.10.2026, gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Häufig gestellte Fragen, § 2 Anforderungen an Risikomanagementmaßnahmen (öffnet in neuem Tab)Verhältnismäßigkeit mit Beispiel Tabellenkalkulation; Seite vom 20.10.2026, gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Häufig gestellte Fragen, § 4 Kompensierende Maßnahmen (öffnet in neuem Tab)Zeitplan bei vorübergehenden Abweichungen; Seite vom 20.10.2026, gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Häufig gestellte Fragen, Nachweise (öffnet in neuem Tab)Selbstdeklaration bis 30.9.2027 über das USP, ISO 27001, Scope, Teilanerkennung; Seite vom 25.9.2026, gelesen am 25.10.2026
- Bundesamt für Cybersicherheit: Überprüfungen durch unabhängige Stellen (öffnet in neuem Tab)Aufforderung frühestens ab 1.10.2028, Fristen, Zertifikate mit Scope; Seite vom 21.9.2026, gelesen am 25.10.2026
Die Checklisten sind eine Empfehlung von TOMORIS und ersetzen keine Rechtsberatung. Maßgeblich sind NISG 2026 und NISV 2026 in der geltenden Fassung, der Anhang der DVO (EU) 2024/2690 (über § 2 NISV 2026 in der Fassung bei deren Inkrafttreten) sowie die Vorgaben der Cybersicherheitsbehörde zur Selbstdeklaration. Die Nachweisideen sind Beispiele; die ENISA-Leitlinie ist nicht verbindlich.
TOOLBOX
Passend
dazu.
- Kostenlos
NIS2-Betroffenheitscheck
Wesentliche oder wichtige Einrichtung? Der Check prüft Ihre Angaben gegen das freigegebene Regelwerk zum NISG 2026 und nennt zu jeder Aussage den Paragrafen.
Jetzt prüfen IT-Sicherheitsrichtlinie: Vorlage
Mustertext für die Leitlinie zur Informationssicherheit und Grundregeln für Mitarbeitende, mit Fundstellen in BSI IT-Grundschutz, NISG 2026 und NISV 2026.
Mehr erfahrenNIS2-Vorfallmeldung: Vorlage
Arbeitsblatt für Frühwarnung, Meldung und Abschlussbericht nach § 34 NISG 2026, mit Erheblichkeitsprüfung nach NISV 2026.
Mehr erfahrenISMS im Lexikon
Was ein Informationssicherheits-Managementsystem ist und wie es Risiken, Maßnahmen und Nachweise dauerhaft steuert.
Mehr erfahren
NIS2 & COMPLIANCE
Mehr zum
Thema.
Weitere kostenlose PDFs aus dem Bereich NIS2 & Compliance.
- PDF
NIS2-Meldepflichten
Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach einem Monat: Fristen, Inhalte und Empfänger mit Fundstellen im NISG 2026, dazu eine Checkliste.
Ansehen - PDF
NIS2-Vorfallmeldung
Arbeitsblatt für den Ernstfall: Stammdaten, Prüfliste Erheblichkeit nach NISV 2026, Felder für Frühwarnung, Meldung und Abschlussbericht, Kundeninformation, DSGVO-Prüfung und Protokoll.
Ansehen - PDF
Checkliste Datenpanne nach DSGVO
Datenpanne erkannt, was nun? Verletzung feststellen, Risiko bewerten, fristgerecht an die Datenschutzbehörde melden, Betroffene informieren und dokumentieren, nach Art. 33 und 34 DSGVO.
Ansehen
IHR NÄCHSTER SCHRITT
Vom Papier
in die Praxis.
Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.