Checkliste · NIS2
Wo steht die Geschäftsführung bei NIS2?
Diese interaktive Checkliste prüft den Umsetzungsstand der NIS2-Pflichten der Leitung gegen das österreichische NISG 2026 — Registrierung, Governance, Risikomanagement, Meldewesen, Nachweis und Lieferkette. Du markierst je Punkt erledigt, teilweise oder offen und bekommst sofort eine Auswertung mit den offenen Punkten. Eine Selbsteinschätzung als Orientierung für die Geschäftsführung.
So funktioniert die Checkliste
Sieben Pflichtenfelder, ein ehrlicher Stand.
Die 31 Punkte bilden die Pflichten der Leitung nach dem NISG 2026 ab — geordnet nach den maßgeblichen Paragrafen. Markiere jeden Punkt als erledigt, teilweise oder offen. Der Fortschritt und die offenen Punkte aktualisieren sich sofort. Die Auswertung läuft im Browser; nichts wird übertragen.
Lieber auf Papier?
Die 31 Punkte als gebrandete PDF-Checkliste zum Ausdrucken und Abhaken — inklusive Fristen und nächstem Schritt. Ideal als Vorlage für die nächste Geschäftsführungs-Sitzung.
0% Reifegrad: am Anfang
0 von 31 beantwortet
Registrierung & Meldekette
Betroffene Einrichtungen registrieren sich bei der Cybersicherheitsbehörde — binnen drei Monaten ab Inkrafttreten (§ 29 Abs. 3).
- Die Betroffenheit ist geklärt: wesentliche oder wichtige Einrichtung?
- Die Registrierung bei der Cybersicherheitsbehörde ist vorbereitet oder erfolgt (binnen drei Monaten ab Inkrafttreten, § 29 Abs. 3).
- Die für die Registrierung nötigen Stammdaten sind zusammengestellt (Sektor, Kontaktdaten, Ansprechpartner).
- Eine Kontaktstelle gegenüber der Behörde ist benannt.
Governance & Verantwortung der Leitung
Die Leitungsorgane müssen die Risikomanagementmaßnahmen nach § 32 sicherstellen und beaufsichtigen. Diese Verantwortung ist nicht delegierbar.
- Die Leitungsorgane haben die Verantwortung für die Cybersicherheitsmaßnahmen formell übernommen.
- Die Geschäftsführung gibt die Maßnahmen frei und überwacht ihre Umsetzung (regelmäßiges Reporting).
- Eine zuständige Person oder Rolle für Informationssicherheit ist benannt (z. B. CISO).
- Cyber-Risiken sind fester Punkt auf der Agenda von Geschäftsführung bzw. Aufsichtsrat.
Schulung
Die Leitungsorgane müssen an spezifischen Cybersicherheitsschulungen teilnehmen; Mitarbeitende sind regelmäßig zu schulen.
- Die Leitungsorgane haben an einer spezifischen Cybersicherheitsschulung teilgenommen.
- Es gibt ein laufendes Awareness- und Schulungsprogramm für die Mitarbeitenden.
- Teilnahmen und Schulungsinhalte werden nachvollziehbar dokumentiert.
Risikomanagement-Maßnahmen
Der Maßnahmenkatalog nach § 32 Abs. 4 umfasst zehn Bereiche (lit. a–j) als gefahrenübergreifenden Mindeststandard — verbindlich ab 1.10.2026.
- Risikoanalyse und Sicherheitskonzepte für die Informationssysteme (lit. a).
- Verfahren zur Bewältigung von Sicherheitsvorfällen (lit. b).
- Aufrechterhaltung des Betriebs: Backup-Management, Wiederherstellung, Krisenmanagement (lit. c).
- Sicherheit der Lieferkette gegenüber unmittelbaren Anbietern (lit. d).
- Sicherheit bei Beschaffung, Entwicklung und Wartung inkl. Schwachstellen-Management (lit. e).
- Verfahren zur Bewertung der Wirksamkeit der Maßnahmen (lit. f).
- Grundlegende Cyberhygiene und Cybersicherheitsschulungen (lit. g).
- Konzepte für Kryptografie und Verschlüsselung (lit. h).
- Personalsicherheit, Zugriffskontrolle und Asset-Management (lit. i).
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation (lit. j).
Selbstdeklaration & Nachweis
Binnen zwölf Monaten nach Eintritt der Registrierungspflicht ist eine Selbstdeklaration zu übermitteln (§ 33 Abs. 1); spätere Nachweise sind auch über gültige Zertifikate möglich (§ 33 Abs. 2).
- Der Umsetzungsstand der § 32-Maßnahmen ist dokumentiert und belegbar.
- Die Selbstdeklaration an die Behörde ist vorbereitet (binnen zwölf Monaten nach Registrierungspflicht, § 33 Abs. 1).
- Der Nachweisweg ist geklärt: interne Belege oder ein gültiges Zertifikat wie ISO 27001 (§ 33 Abs. 2).
Meldewesen
Erhebliche Cybersicherheitsvorfälle sind in einer Kaskade zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach (§ 34 Abs. 2).
- Es ist definiert, wer einen erheblichen Vorfall erkennt und bewertet.
- Der Meldeprozess steht: 24-Stunden-Frühwarnung, 72-Stunden-Meldung, Abschlussbericht binnen eines Monats.
- Die Meldewege zur Behörde bzw. zum CSIRT sind hinterlegt und im Team bekannt.
- Der Ablauf wurde geübt (z. B. in einer Tabletop-Übung).
Lieferketten-Sicherheit
Die Lieferkettensicherheit ist in der Praxis ein eigener Arbeitsstrang. Auch nicht direkt betroffene Unternehmen kommen über die Lieferkette ihrer Kunden in die Pflicht.
- Die kritischen Lieferanten und Dienstleister sind erfasst und nach Risiko eingestuft.
- Sicherheitsanforderungen und Prüf- bzw. Audit-Rechte sind vertraglich verankert.
- Die Sicherheitslage wesentlicher Lieferanten wird laufend beobachtet.
Deine offenen Punkte
Markiere oben die Punkte — hier erscheinen laufend die offenen und teilweise erledigten, gruppiert nach Pflichtenfeld.
Die Fristen
Was bis wann steht.
01.10.2026
NISG 2026 (BGBl. I 94/2025) tritt in Kraft; die Maßnahmen nach § 32 gelten ab diesem Tag.
+ 3 Monate
Registrierung bei der Cybersicherheitsbehörde binnen drei Monaten ab Inkrafttreten (§ 29 Abs. 3).
+ 12 Monate
Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1).
Nächster Schritt
Von der Selbsteinschätzung zur belastbaren Einordnung.
Die Checkliste zeigt, wo die Lücken liegen. Welche davon mit welcher Priorität anzugehen sind — und wie ein realistischer Fahrplan zum Stichtag aussieht — klären wir strukturiert:
NIS2-Strategiebriefing
Halbtags-Workshop mit Geschäftsführung und IT-Lead: Reifegrad-Einschätzung, priorisierte offene Punkte und eine schriftliche Empfehlung. Fixpreis 2.480 EUR.
Erst die Betroffenheit klären?
Wenn noch nicht sicher ist, ob NIS2 überhaupt greift, beantwortet das der NIS2-Betroffenheits-Wegweiser. Für die laufende Umsetzung gibt es das NIS2-Beratungsmandat.
FAQ
Häufige Fragen.
Was prüft diese Checkliste?
Den Umsetzungsstand der NIS2-Pflichten der Leitung nach dem österreichischen NISG 2026 — Registrierung, Governance, Schulung, Risikomanagement, Nachweis, Meldewesen und Lieferkette. Sie ist eine Selbsteinschätzung als Orientierung für die Geschäftsführung, kein Betroffenheits- oder Rechtsurteil.
Bin ich überhaupt von NIS2 betroffen?
Das klärt vorgelagert der NIS2-Betroffenheits-Wegweiser in drei Schritten (Sonderfall, Größe, Sektor). Diese Checkliste setzt eine wahrscheinliche Betroffenheit voraus und prüft den Umsetzungsstand.
Bis wann müssen die Pflichten erfüllt sein?
Das NISG 2026 tritt am 1. Oktober 2026 in Kraft. Die Registrierung hat binnen drei Monaten ab Inkrafttreten zu erfolgen (§ 29 Abs. 3), die Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht (§ 33 Abs. 1). Die Risikomanagementmaßnahmen nach § 32 gelten ab dem Inkrafttreten.
Haftet die Geschäftsführung persönlich?
Die Verantwortung für die Risikomanagementmaßnahmen liegt bei den Leitungsorganen und ist nicht delegierbar (§ 31 Abs. 1). Was das für Sanktionen und Haftung bedeutet, steht im Beitrag zu NIS2-Sanktionen und Geschäftsführungshaftung.
Reicht ISO 27001 als Nachweis?
Für den späteren Nachweis der operativen und organisatorischen Umsetzung sind gültige Zertifikate möglich (§ 33 Abs. 2). Das ISO-27001-Cheat-Sheet zeigt, wann ein ISMS dokumentiert und wann es wirksam ist.
Werden meine Eingaben gespeichert oder übertragen?
Die Auswertung läuft vollständig im Browser. Die Antworten werden nur lokal auf deinem Gerät gehalten (localStorage), damit der Stand beim erneuten Aufruf erhalten bleibt. Es werden keine Daten an einen Server übertragen.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo Ihr Unternehmen steht und welcher nächste Schritt sinnvoll ist.