NIS2-Risikomanagement: die Maßnahmen nach § 32 NISG 2026 als Checkliste

Seit 1. Oktober 2026 müssen wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Risikomanagementmaßnahmen umsetzen (§ 32 Abs. 1 und 2 NISG 2026). Sie beruhen auf einem gefahrenübergreifenden Ansatz und umfassen zumindest die zehn Inhalte des § 32 Abs. 4 lit. a bis j, die Art. 21 Abs. 2 der NIS-2-Richtlinie umsetzen.

• Verbindlich: §§ 31 bis 33 NISG 2026 mit Leitungspflichten, Mindestinhalten und Nachweis.
• Verbindlich: der Anhang der DVO (EU) 2024/2690 mit dreizehn Nummern, für digitale Anbieter wie Cloud- und verwaltete Dienste unmittelbar, für alle übrigen Einrichtungen über § 2 NISV 2026.
• Nicht verbindlich: die ENISA-Leitlinie (Juni 2025) und die FAQ des Bundesamts für Cybersicherheit (BCS).
• Ausnahme: Gleichwertiges EU-Sektorrecht wie DORA verdrängt § 32 insoweit (§ 27 NISG 2026).

So lesen Sie die Tabellen: Der „Kern der Anforderung“ ist verbindlich; wo der Anhang „soweit angemessen, anwendbar oder durchführbar“ sagt, dürfen Sie nur mit dokumentierter Begründung abweichen (Art. 2 Abs. 2 DVO).

Leitungsorgan ist, wer nach Gesetz, Satzung oder Vertrag zur Führung der Geschäfte berufen ist (§ 3 Z 11 NISG 2026), laut BCS etwa Geschäftsführung oder Vorstand, nicht schon die IT-Leitung oder der CISO. Die Leitungsorgane haben die Einhaltung der Risikomanagementmaßnahmen sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1), laut den Erläuterungen zur Regierungsvorlage einschließlich der Billigung der Vorgaben (vgl. Art. 20 Abs. 1 NIS-2-Richtlinie), und an für sie gestalteten Cybersicherheitsschulungen teilzunehmen (§ 31 Abs. 2).

• Sicherheitskonzept genehmigt und jährlich überprüft (Anhang Nr. 1.1.1 lit. k, 1.1.2 DVO).
• Ressourcen zugesagt: Personal, Finanzmittel, Verfahren und Technologien (Nr. 1.1.1 lit. e).
• Mindestens eine Person ist der Leitung direkt für die Sicherheit verantwortlich (Nr. 1.2.3).
• Risikobewertung und Restrisiken von der Leitung oder befugten Personen akzeptiert (Nr. 2.1.1).
• Regelmäßige Berichte zum Sicherheitsstand und zu unabhängigen Prüfungen (Nr. 2.2.1, 2.3.3).
• Jedes Mitglied der Geschäftsleitung geschult, Teilnahme dokumentiert (laut BCS genügen Mitarbeiterschulungen nicht); den Mitarbeitenden werden regelmäßig Schulungen angeboten (§ 31 Abs. 2).
• Die Leitung unterzeichnet Prüfberichte mit den Prüfern (§ 33 Abs. 3) und gibt die Selbstdeklaration frei (Empfehlung).

Folgen: Geldstrafen nach § 45 kann die Bezirksverwaltungsbehörde gegen die juristische Person verhängen, laut Erläuterungen vorrangig (§ 44 Abs. 3 und 4). Daneben bleibt die Verantwortlichkeit nach § 9 VStG der zur Vertretung nach außen Berufenen wie der Geschäftsführung, soweit keine verantwortlichen Beauftragten bestellt sind; ist die juristische Person für denselben Verstoß bestraft, ist von ihrer Bestrafung abzusehen (§ 44 Abs. 5). Eigene Strafen für Leitungsorgane sieht das NISG 2026 laut Erläuterungen und BCS nicht vor; möglich ist Schadenersatz bei sorgfaltswidrigem Handeln. Wesentlichen Einrichtungen kann die Behörde Leitungsaufgaben vorübergehend untersagen (§ 39 Abs. 4 Z 2).

Für die Verhältnismäßigkeit zählen die Risikoexposition der Einrichtung und ihrer Dienste, ihre Größe sowie Wahrscheinlichkeit und Schwere von Vorfällen samt gesellschaftlichen und wirtschaftlichen Auswirkungen (§ 32 Abs. 3 NISG 2026, Art. 2 Abs. 2 DVO). Der Anhang ist laut den Erläuterungen zur NISV 2026 ein Rahmen, keine konkrete Umsetzungsbeschreibung. Ein Beispiel des BCS: Im Kleinstunternehmen können Inventar und Anbieterverzeichnis mit einer Tabellenkalkulation noch durchführbar sein.

Die Selbstdeklaration informiert über die umgesetzten Maßnahmen, insbesondere über die genutzten Netz- und Informationssysteme, die Sicherheit der Lieferketten und die Ergebnisse der Risikoanalyse (§ 33 Abs. 1). Laut BCS wird sie ein Formular mit kurzen, konkreten Fragen im Unternehmensserviceportal (USP) sein und keine Prüfung ersetzen. Wer später wesentlich oder wichtig wird, rechnet die zwölf Monate ab Erfüllung der Voraussetzungen (Erläuterungen zu § 33). Vorbereitung, empfohlen von TOMORIS:

• Inventar der Dienste und Systeme (Anhang Nr. 12.4) und Verzeichnis der direkten Anbieter (Nr. 5.2) aktuell.
• Risikoanalyse mit den vier Kategorien des § 3 NISV 2026 (technologisch, menschlich, IKT-Lieferkette, standortbezogen), Behandlungsplan und akzeptierten Restrisiken.
• Stand je Zeile der Checklisten 1 bis 3 erhoben, mit Verantwortlichen und Terminen; Abweichungen begründet dokumentiert.
• Zugang zum USP geklärt; festgelegt, wer ausfüllt und wer freigibt; Angaben mit den Nachweisen abgeglichen.

• Leitung nur informiert: Genehmigung des Konzepts und die eigene Schulung jedes Mitglieds sind Aufgaben der Leitungsorgane; Restrisiken akzeptiert die Leitung oder eine befugte Person, die ihr berichtet (Anhang Nr. 1.1.1 lit. k, 2.1.1 DVO; § 31 Abs. 2 NISG 2026).
• Auslagerung als Entlastung: Laut BCS bleibt die Einrichtung selbst verantwortlich, auch wenn ein Dienstleister die IT betreibt; Anforderungen gehören soweit angemessen in den Vertrag (Nr. 5.1.4).
• Pläne nie getestet: Vorfallreaktion, Notfallplan, Wiederherstellung und Krisenmanagement sind in geplanten Abständen zu testen (Nr. 3.5.5, 4.1.4, 4.2.6, 4.3.4).