Zum Inhalt springen

Wissen

Gesetze & Regulierung

Übersicht der relevanten EU-Richtlinien, EU-Verordnungen und nationalen Umsetzungen — mit Kurzbeschreibung, Anwendungsbereich und Quellen.

Zuletzt aktualisiert:

Diese Seite hält die für österreichische und deutsche Unternehmen wichtigsten Cybersecurity- und Datenschutz-Rechtsakte kompakt zusammen. Pro Eintrag finden sich der Anwendungsbereich, die wesentlichen Pflichten, der Strafrahmen und ein Link zur offiziellen Quelle.

Die Übersicht ersetzt keine Rechtsberatung. Sie soll Geschäftsführung und IT-Verantwortlichen helfen, das jeweils einschlägige Regelwerk schnell einzuordnen.

Zwei Spielarten von Cybersecurity-Regulierung

EU-Cybersecurity-Recht tritt in zwei Formen auf. Wer diese unterscheidet, ordnet jeden neuen Rechtsakt schneller ein und erkennt eine Mehrfach-Betroffenheit früher.

  • Dedizierte Cybersecurity-Regelwerke haben Informationssicherheit als Hauptgegenstand: NIS2 und die NIS2-Durchführungsverordnung für Betreiber, DORA für den Finanzsektor, der Cyber Resilience Act für Produkte mit digitalen Elementen, der EU Cybersecurity Act für die Zertifizierung.
  • Nachbar-Richtlinien verfolgen ein anderes Hauptziel — Produkt-, Maschinen- oder Funksicherheit, Künstliche Intelligenz — und ziehen Cybersecurity als zusätzliches Schutzziel ein. Die Maschinenverordnung fordert Schutz vor Manipulation, die Funkanlagen-Richtlinie (RED) Netz- und Datenschutz für vernetzte Geräte, der AI Act Robustheit von KI-Systemen gegen Angriffe.

In der Praxis ist ein Produkt oder Betrieb oft von beiden Gruppen zugleich betroffen — von einem dedizierten Regelwerk und einer oder mehreren Nachbar-Richtlinien. Die Einträge der zweiten Gruppe sind unten mit „Cybersecurity in einer Nachbar-Richtlinie” gekennzeichnet.

EU-Richtlinien

NIS2-Richtlinie — (EU) 2022/2555

Die zentrale Cybersicherheits-Richtlinie der EU. Sie ersetzt die ursprüngliche NIS-Richtlinie aus 2016 und erweitert den Anwendungsbereich auf 18 Sektoren und mehrere zehntausend zusätzlich verpflichtete Unternehmen.

  • Anwendungsbereich: „Wesentliche” und „wichtige” Einrichtungen ab 50 Mitarbeitenden bzw. 10 Mio. EUR Jahresumsatz in den gelisteten Sektoren (u. a. Energie, Verkehr, Gesundheit, digitale Infrastruktur, Industrie, öffentliche Verwaltung).
  • Kernpflichten: Risikomanagement nach Art. 21 (zehn Mindestmaßnahmen), Meldepflichten nach Art. 23 (24h-Frühwarnung, 72h-Erstmeldung, 1-Monat-Abschlussbericht), persönliche Verantwortung der Leitungsorgane.
  • Strafrahmen: bis 10 Mio. EUR oder 2 % Weltumsatz (wesentlich) bzw. 7 Mio. EUR oder 1,4 % (wichtig).
  • Umsetzungsfrist: 17. Oktober 2024.
  • Quelle: NIS2-Richtlinie auf EUR-Lex ansehen

CER-Richtlinie — (EU) 2022/2557

Die Critical Entities Resilience-Richtlinie regelt die physische Resilienz kritischer Einrichtungen — Komplementärstück zur NIS2 (digitale Resilienz). Setzt frühere ECI-Richtlinie (2008/114/EG) ab. National in Österreich als RKEG umgesetzt, in Deutschland im Rahmen des KRITIS-Dachgesetzes.

  • Anwendungsbereich: Elf Sektoren — u. a. Energie, Verkehr, Banken, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Lebensmittel.
  • Kernpflichten: Resilienzmaßnahmen gegen physische Bedrohungen (Sabotage, Naturereignisse, Terror, Insider), Meldepflicht für Vorfälle, Hintergrundprüfungen für sensitive Positionen.
  • Umsetzungsfrist: 17. Oktober 2024 (nationale Umsetzung läuft).
  • Quelle: CER-Richtlinie auf EUR-Lex ansehen

CSDDD (Lieferkettengesetz) — (EU) 2024/1760

Die Corporate Sustainability Due Diligence Directive verpflichtet große Unternehmen, Menschenrechts- und Umweltrisiken in der gesamten Wertschöpfungskette zu identifizieren und Gegenmaßnahmen zu ergreifen.

  • Anwendungsbereich: EU-Unternehmen ab 1.000 Mitarbeitenden und 450 Mio. EUR Umsatz; gestaffelte Anwendung ab 2027.
  • Cybersecurity-Bezug: indirekt — Datenschutz und IKT-Sicherheit in Lieferketten werden als Teil der Sorgfaltspflichten relevant; überschneidet sich mit DORA-Drittparteien-Vorgaben und NIS2-Lieferkettenpflichten.
  • Quelle: CSDDD auf EUR-Lex ansehen

CSRD — (EU) 2022/2464

Die Corporate Sustainability Reporting Directive erweitert die Berichtspflicht börsennotierter und großer Unternehmen um detaillierte Nachhaltigkeitsinformationen nach den ESRS-Standards.

  • Anwendungsbereich: schrittweise ab 2024 für große börsennotierte EU-Unternehmen, ab 2026 auch für KMU mit Notiz an EU-Börsen.
  • Cybersecurity-Bezug: indirekt — Cyber-Risiken sind Teil der „Governance”-Säule (G1, G2 in den ESRS); Berichtspflichten zu IT-Risiken und Datenschutz-Vorfällen werden in der Praxis aus DSGVO und NIS2 abgeleitet.
  • Quelle: CSRD auf EUR-Lex ansehen

RED — Funkanlagen-Richtlinie 2014/53/EU + Delegierte Verordnung (EU) 2022/30

Cybersecurity in einer Nachbar-Richtlinie. Die Funkanlagen-Richtlinie (Radio Equipment Directive) regelt das Inverkehrbringen von Funkanlagen. Die Delegierte Verordnung (EU) 2022/30 aktiviert für internetfähige Funkanlagen erstmals verpflichtende Cybersecurity-Anforderungen.

  • Anwendungsbereich: Hersteller, Importeure und Händler von Funkanlagen, die mit dem Internet kommunizieren können (u. a. IoT-Geräte, Smartphones, Wearables, vernetztes Spielzeug) sowie Geräte, die personenbezogene Daten oder Zahlungsdaten verarbeiten.
  • Cybersecurity-Bezug: Artikel 3 Abs. 3 — (d) Schutz des Netzes vor Beeinträchtigung, (e) Schutz personenbezogener Daten und der Privatsphäre, (f) Schutz vor Betrug. Die Konformität wird über die harmonisierten Normen der EN-18031-Reihe (Teile 1 bis 3) vermutet. Überschneidet sich inhaltlich mit dem CRA.
  • Anwendbar seit: 1. August 2025 (ursprünglich 1. August 2024, durch Delegierte Verordnung (EU) 2023/2444 um ein Jahr verschoben, weil die harmonisierten Normen noch nicht vorlagen).
  • Quelle: Delegierte Verordnung (EU) 2022/30 auf EUR-Lex ansehen

Seveso III — Richtlinie 2012/18/EU

Regelt die Beherrschung der Gefahren bei schweren Unfällen mit gefährlichen Stoffen (Störfallbetriebe). Seveso III nennt Cybersecurity nicht ausdrücklich. Das geforderte Sicherheitsmanagement muss cyber-induzierte Störfall-Auslöser — etwa Angriffe auf Leit- und Sicherheitstechnik (OT) — jedoch als Gefahrenquelle erfassen.

  • Anwendungsbereich: Betriebe der unteren und oberen Klasse, die gefährliche Stoffe über bestimmten Mengenschwellen lagern oder verwenden (Chemie, Lager- und Prozessindustrie).
  • Cybersecurity-Bezug: indirekt — die Resilienz sicherheitskritischer OT- und Leitsysteme ist Voraussetzung dafür, cyber-ausgelöste schwere Unfälle zu verhindern; überschneidet sich operativ mit den NIS2-Pflichten betroffener Industriebetriebe.
  • Anwendbar seit: 1. Juni 2015 (löst die Seveso-II-Richtlinie 96/82/EG ab).
  • Nationale Umsetzung (AT): gewerberechtliche Störfall-Bestimmungen der Gewerbeordnung 1994 (Seveso-III-Novelle BGBl I Nr. 81/2015) und Industrieunfallverordnung 2015 (BGBl II Nr. 229/2015).
  • Quelle: Seveso-III-Richtlinie auf EUR-Lex ansehen

DSGVO — Verordnung (EU) 2016/679

Auch wenn die DSGVO formal eine Verordnung ist, wird sie wegen ihrer prägenden Rolle für Sicherheitsvorfälle hier mitgeführt. Art. 32 verlangt „geeignete technische und organisatorische Maßnahmen” — die meisten NIS2-Pflichten sind hier bereits dem Geist nach angelegt.

  • Relevante Artikel für Cybersecurity: Art. 32 (Sicherheit der Verarbeitung), Art. 33 (Meldepflicht binnen 72h), Art. 34 (Benachrichtigung Betroffener), Art. 35 (Datenschutz-Folgenabschätzung).
  • Strafrahmen: bis 20 Mio. EUR oder 4 % Weltumsatz.
  • Quelle: DSGVO-Volltext auf EUR-Lex ansehen

EU-Verordnungen

NIS2-Durchführungsverordnung — (EU) 2024/2690

Konkretisiert die zehn Mindestmaßnahmen aus Art. 21 NIS2 für bestimmte Sektoren mit hoher Digitalisierungsdichte (u. a. DNS-Diensteanbieter, Cloud-Anbieter, Rechenzentren, Online-Marktplätze, Anbieter elektronischer Kommunikationsdienste).

EU Cybersecurity Act — (EU) 2019/881

Etabliert das Mandat der ENISA als ständige EU-Cybersicherheitsagentur und schafft den Rahmen für EU-weite Cybersecurity-Zertifizierungen (Schemata wie EUCC für Common-Criteria-Produkte, EUCS für Cloud-Dienste).

  • Anwendungsbereich: Hersteller, Diensteanbieter und Konformitätsbewertungsstellen, die freiwillige EU-Cybersecurity-Zertifizierungen anstreben oder anbieten.
  • Bedeutung: Bildet die rechtliche Grundlage für die zukünftig im CRA verpflichtenden Konformitätsbewertungen; schafft einen EU-Binnenmarkt für vertrauenswürdige IKT-Produkte.
  • Anwendbar seit: 27. Juni 2019.
  • Quelle: EU Cybersecurity Act auf EUR-Lex ansehen

eIDAS / eIDAS 2.0 — Verordnung (EU) 910/2014, geändert durch (EU) 2024/1183

Schafft den EU-Rechtsrahmen für elektronische Identifizierung und Vertrauensdienste (elektronische Signaturen und Siegel, Zeitstempel, Einschreiben, Website-Zertifikate). Die Novelle (EU) 2024/1183 („eIDAS 2.0”) führt die EU Digital Identity Wallet (EUDI-Wallet) ein.

  • Anwendungsbereich: qualifizierte und nicht-qualifizierte Vertrauensdiensteanbieter, öffentliche Stellen mit eID-Schemata sowie künftig Anbieter und Nutzer der EUDI-Wallet.
  • Cybersecurity-Bezug: Vertrauensdiensteanbieter müssen geeignete technische und organisatorische Sicherheitsmaßnahmen treffen und erhebliche Sicherheitsvorfälle binnen 24 Stunden an die Aufsichtsstelle melden; für die EUDI-Wallet gelten erhöhte Anforderungen an Sicherheit und Zertifizierung.
  • Anwendbar: eIDAS seit 1. Juli 2016; eIDAS 2.0 in Kraft seit 20. Mai 2024, EUDI-Wallet-Bereitstellung durch die Mitgliedstaaten bis Ende 2026.
  • Quelle: eIDAS-Änderungsverordnung (EU) 2024/1183 auf EUR-Lex ansehen

DORA — Digital Operational Resilience Act, (EU) 2022/2554

Eigene Cybersicherheits-Regulierung für den Finanzsektor. DORA ist gegenüber NIS2 sektorspezifisch und damit lex specialis für Banken, Versicherungen, Wertpapierfirmen, Krypto-Dienstleister, Zahlungsdienstleister und deren IKT-Drittanbieter.

  • Anwendungsbereich: Praktisch alle regulierten Finanzunternehmen sowie deren als „kritisch” eingestufte IT-Dienstleister.
  • Kernpflichten: IKT-Risikomanagement, Vorfallmeldung, Pflichttests (inkl. TLPT — bedrohungsgeleitete Penetrationstests), Lieferkettenverträge mit Mindestklauseln, Informationsaustausch.
  • Anwendbar seit: 17. Jänner 2025.
  • Quelle: DORA-Volltext auf EUR-Lex ansehen

Cyber Resilience Act (CRA) — (EU) 2024/2847

Verpflichtet Hersteller von „Produkten mit digitalen Elementen” zu Sicherheitsanforderungen über den gesamten Produktlebenszyklus — von Software-Bibliotheken bis vernetzten Geräten.

  • Bedeutung: Erweitert die Cybersicherheits-Regulierung von Betreibern (NIS2) auf Produkte und Hersteller. CE-Kennzeichnung wird um eine Cybersecurity-Konformität erweitert.
  • Anwendbar ab: schrittweise, vollständige Anwendbarkeit ab 11. Dezember 2027.
  • Quelle: Cyber Resilience Act auf EUR-Lex ansehen

AI Act — (EU) 2024/1689

Cybersecurity in einer Nachbar-Richtlinie. Erste umfassende Regulierung von Künstlicher Intelligenz weltweit. Risiko-basierter Ansatz: verbotene Praktiken, Hochrisiko-KI-Systeme, KI mit Transparenzpflichten, allgemeine Pflichten für GPAI-Modelle.

  • Anwendungsbereich: Anbieter, Betreiber, Einführer und Händler von KI-Systemen mit EU-Bezug.
  • Cybersecurity-Bezug: Hochrisiko-KI-Systeme müssen nach Art. 15 „angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit” gewährleisten — Resilienz gegen Manipulationsversuche, Data Poisoning, Adversarial Examples; Logging und Monitoring sind Pflicht.
  • Strafrahmen: bis 35 Mio. EUR oder 7 % Weltumsatz (verbotene Praktiken).
  • Anwendbar ab: schrittweise, vollständige Anwendbarkeit ab August 2026.
  • Quelle: AI Act auf EUR-Lex ansehen

Data Governance Act (DGA) — (EU) 2022/868

Schafft den Rechtsrahmen für vertrauenswürdiges Datenteilen in der EU — über Datenintermediäre, „Data Altruism Organizations” und Weiterverwendung von Daten der öffentlichen Hand.

  • Anwendungsbereich: Betreiber von Datenvermittlungsdiensten, datenaltruistische Organisationen, öffentliche Stellen.
  • Cybersecurity-Bezug: Anforderungen an technische, organisatorische und rechtliche Maßnahmen zum Schutz nicht-personenbezogener sensitiver Daten (Geschäftsgeheimnisse, Statistik, geistiges Eigentum); Notifikationspflicht für Datenintermediäre.
  • Anwendbar seit: 24. September 2023.
  • Quelle: Data Governance Act auf EUR-Lex ansehen

EU Data Act — (EU) 2023/2854

Regelt Zugangs- und Nutzungsrechte an Daten aus vernetzten Geräten (IoT, Industrie 4.0) und schafft horizontale Regeln für B2B-, B2C- und B2G-Datenflüsse.

  • Anwendungsbereich: Hersteller vernetzter Produkte, Anbieter verbundener Dienste, Cloud- und Edge-Anbieter; öffentliche Stellen mit Datenzugriffsrecht in Notlagen.
  • Cybersecurity-Bezug: Pflichten zum Cloud-Anbieterwechsel (Switching, Datenportabilität, Schutz vor unrechtmäßigem Drittstaatenzugriff durch Cloud-Anbieter); Anti-CLOUD-Act-Klauseln (Art. 32).
  • Anwendbar ab: 12. September 2025.
  • Quelle: EU Data Act auf EUR-Lex ansehen

Digital Services Act (DSA) — (EU) 2022/2065

Regelt Pflichten von Online-Vermittlungsdiensten — von Hosting-Anbietern bis sehr großen Plattformen (VLOPs) und Suchmaschinen (VLOSEs).

  • Anwendungsbereich: Vermittlungsdienste, Hosting-Anbieter, Online-Plattformen, sehr große Plattformen/Suchmaschinen ab 45 Mio. EU-Nutzenden monatlich.
  • Cybersecurity-Bezug: Notice-and-action-Mechanismen, jährliche Risikoanalysen (für VLOPs/VLOSEs) inkl. Manipulationen, Desinformation, Datenmissbrauch; Vorgaben zu Datenzugriffen für Forschende.
  • Anwendbar seit: 17. Februar 2024.
  • Quelle: Digital Services Act auf EUR-Lex ansehen

Digital Markets Act (DMA) — (EU) 2022/1925

Reguliert „Gatekeeper” — sehr große Plattformen mit hoher Marktmacht — durch konkrete Verhaltenspflichten und Verbote.

  • Anwendungsbereich: Sechs „Gatekeeper” (Stand 2024: Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft) und ihre als „Core Platform Services” benannten Dienste.
  • Cybersecurity-Bezug: indirekt — Pflicht zur Interoperabilität von Messaging-Diensten und Vorgaben zu Datenportabilität haben Sicherheits- und Datenschutzimplikationen.
  • Anwendbar seit: 2. Mai 2023; volle Pflichten der Gatekeeper ab 6. März 2024.
  • Quelle: Digital Markets Act auf EUR-Lex ansehen

Maschinenverordnung — (EU) 2023/1230

Cybersecurity in einer Nachbar-Richtlinie. Modernisiert die Maschinenrichtlinie 2006/42/EG. Nimmt erstmals Cybersecurity als Schutzziel im Maschinenbau auf — relevant für vernetzte und KI-gesteuerte Maschinen.

  • Anwendungsbereich: Hersteller, Importeure und Händler von Maschinen, Sicherheitsbauteilen, Lastaufnahmemitteln in der EU.
  • Cybersecurity-Bezug: Anhang III erweitert die Sicherheitsanforderungen um „Schutz vor Korruption” und Resilienz gegen Manipulation (Schutzfunktion, Software-Updates, Authentifizierung); überlappt mit CRA bei Maschinen mit digitalen Elementen.
  • Anwendbar ab: 14. Jänner 2027.
  • Quelle: Maschinenverordnung auf EUR-Lex ansehen

Internationale Abkommen / Drittstaaten-Bezug

EU-US Data Privacy Framework

Adäquanzbeschluss der EU-Kommission vom 10. Juli 2023, der die Übermittlung personenbezogener Daten von der EU in die USA an zertifizierte US-Unternehmen ohne zusätzliche Garantien erlaubt. Nachfolger des durch Schrems II (2020) gekippten Privacy Shield.

  • Anwendungsbereich: US-Unternehmen, die sich beim US-Handelsministerium nach den DPF-Prinzipien zertifizieren lassen.
  • Bedeutung: Praktisch wichtigster Übermittlungsmechanismus für personenbezogene Daten in die USA — relevant bei jeder Cloud-Nutzung mit US-Bezug. Ein erneutes „Schrems III”-Verfahren beim EuGH ist anhängig; Bestand des Frameworks bleibt unsicher.
  • Quelle: EU-US Data Privacy Framework Adäquanzbeschluss auf EUR-Lex ansehen

US CLOUD Act — Clarifying Lawful Overseas Use of Data Act

US-Bundesgesetz von 2018, das US-Strafverfolgungsbehörden den Zugriff auf Daten ermöglicht, die von US-Unternehmen verarbeitet werden — unabhängig vom physischen Speicherort, also auch in EU-Rechenzentren.

  • Anwendungsbereich: US-Diensteanbieter (auch deren EU-Tochtergesellschaften, sofern „US-controlled”). Betrifft alle großen US-Cloud-Hyperscaler.
  • Cybersecurity-Bezug: Direkter Konflikt mit DSGVO und EU Data Act. Schutzmaßnahmen in der Praxis: Verschlüsselung mit eigenen Schlüsseln (BYOK/HYOK), Cloud-Souveränitätsstrategien, EU-eigene Cloud-Anbieter, Vertragsklauseln mit „Schutz vor Drittstaatenzugriff” (Data-Act-Konformität).
  • Quelle: CLOUD Act auf congress.gov ansehen

Österreichische Umsetzungen

NISG 2026 — Netz- und Informationssystemsicherheitsgesetz

Die nationale Umsetzung der NIS2-Richtlinie in Österreich. Das Gesetz wurde am 23. Dezember 2025 im Bundesgesetzblatt kundgemacht und tritt am 1. Oktober 2026 in Kraft — zeitgleich tritt das NISG 2018 außer Kraft.

  • Anwendungsbereich: rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 Sektoren gemäß Anlagen 1 und 2 des Gesetzes.
  • Zuständige Behörden: Cybersicherheitsbehörde (für Registrierung, Selbstdeklaration, Prüfaufträge); CSIRT (Computer Security Incident Response Team) für Meldungen von Sicherheitsvorfällen.
  • Besonderheit: Eingrenzung über Sektorenliste und Schwellwerte folgt der Richtlinie nahezu 1:1, ergänzt um österreichische Spezifika (z. B. Ausnahmen für Bundesheer und Nachrichtendienste).
  • Strafrahmen: Wesentliche Einrichtungen bis zu 10 Mio EUR oder 2 % des weltweiten Jahresumsatzes; wichtige Einrichtungen bis zu 7 Mio EUR oder 1,4 %; organisatorische Verstöße bis zu 50.000 EUR (im Wiederholungsfall bis zu 100.000 EUR).
  • Quellen: NISG 2026 — Gesetzestext und Anlagen · WKO — NIS2-Übersicht (Praxis-Leitfaden)

Einen praxisnahen Hintergrund zur Betroffenheit, zu den Fristen und den konkreten Pflichten aus dem NISG 2026 bietet der informationale NIS2-Überblick von BlueGravitas.

RKEG — Resilienz Kritischer Einrichtungen Gesetz

Die nationale Umsetzung der CER-Richtlinie (EU) 2022/2557 in Österreich — Komplementärstück zum NISG 2026: NIS2 regelt die digitale, das RKEG die physische Resilienz kritischer Einrichtungen (Sabotage, Naturereignisse, Terror, Insider-Risiken).

  • Anwendungsbereich: kritische Einrichtungen in den elf CER-Sektoren (Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Lebensmittel).
  • Kernpflichten: Resilienzmaßnahmen gegen physische Bedrohungen, Vorfallsmeldung, Hintergrundprüfungen für sensitive Positionen.
  • Kundmachung: BGBl I Nr. 60/2025.
  • Quelle: RKEG — Volltext (BGBl I Nr. 60/2025, PDF)

Zur praktischen Umsetzung hat die zuständige Behörde (DSN/BMI) im Juni 2026 die Leitfäden kritische Einrichtungen veröffentlicht, verfasst von der Hochschule Campus Wien. Sieben Teilleitfäden entlang von § 15 RKEG decken den gesamten Resilienzkreislauf ab — von der Verhinderung von Sicherheitsvorfällen und dem physischen Schutz über die Bewältigung von Vorfällen bis zu Wiederaufnahme, personellen Vorkehrungen und Schulung. NIS2 wird darin explizit referenziert, damit die Anforderungen integriert und nicht redundant umgesetzt werden. Leitfäden kritische Einrichtungen (Hochschule Campus Wien / DSN, Juni 2026) ansehen

DSG — Datenschutzgesetz

Ergänzung zur DSGVO mit den Öffnungsklausel-Regelungen für Österreich (u. a. zur Datenschutzbehörde, zur Verarbeitung im öffentlichen Bereich, zu Bildverarbeitung).

Deutsche Umsetzungen

NIS2UmsuCG — NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz

Deutschlands Umsetzung der NIS2-Richtlinie. Status: Der Gesetzgebungsprozess hat sich mehrfach verzögert; aktueller Stand und in Kraft getretene Fassung sollten direkt beim BMI / Bundestag geprüft werden.

KRITIS-Dachgesetz

Eigenständiges Gesetz zur physischen Resilienz kritischer Infrastrukturen — flankierend zum NIS2UmsuCG, das die digitale Dimension abdeckt. Die Trennung digital/physisch ist in Deutschland bewusst gewählt; in der EU ergibt sich die Komplementarität aus NIS2 + CER-Richtlinie.

BDSG — Bundesdatenschutzgesetz

Wie das österreichische DSG die nationale Ergänzung zur DSGVO mit deutschen Öffnungsklauseln.

Erstgespräch

Sicherheit braucht ein Gegenüber, kein Tool.

Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.

Termin vereinbaren Kontakt aufnehmen