Kurzantwort: unter 50 Mitarbeitern meist nein – aber …
NIS2 (in Österreich: NISG) gilt als Faustregel ab 50 Mitarbeitern oder über 10 Mio. € Umsatz und Bilanzsumme – und nur in 18 regulierten Sektoren (Energie, Gesundheit, Verkehr, digitale Infrastruktur, IT-Dienste u. a.). Kleinst- und Kleinunternehmen darunter sind grundsätzlich ausgenommen. Aber: Großkunden wälzen Pflichten per Vertrag auf Lieferanten ab (Lieferkettendruck) – dann brauchst du Nachweise, obwohl das Gesetz dich nicht direkt trifft.
Die Schwellen im Überblick
| Größe | Mitarbeiter | Finanzen | NIS2-Folge |
|---|---|---|---|
| Kleinst/Klein | < 50 | ≤ 10 Mio. € | Grundsätzlich ausgenommen (Ausnahmen: Telekom, DNS/TLD, Vertrauensdienste) |
| Mittel | ≥ 50 | Umsatz und Bilanz > 10 Mio. € | Betroffen → meist „wichtige Einrichtung" |
| Groß | ≥ 250 | Umsatz > 50 Mio. € und Bilanz > 43 Mio. € | Betroffen → meist „wesentliche Einrichtung" |
Pflichten für Betroffene (Überblick)
Registrierung
Binnen 3 Monaten beim BMI über CERT.at registrieren.
Meldung
Cybervorfälle: 24-h-Frühwarnung, 72-h-Meldung, 1-Monats-Bericht.
Risikomanagement
Technische + organisatorische Maßnahmen, dokumentiert und wirksam.
Geschäftsführung
Leitung genehmigt, überwacht und schult sich – persönliche Haftung bei Pflichtverletzung.
Was KMU jetzt konkret tun sollten
- ✓ Betroffenheit prüfen: Sektor + Größe abgleichen (Tabelle oben). Im Zweifel CERT.at-Anlaufstelle fragen.
- ✓ Basis-Hygiene dokumentieren: Backups (getestet!), Updates, Zugriffskonzepte, Incident-Ablauf auf einer Seite.
- ✓ Lieferanten-Ordner anlegen: AV-Verträge, TOMs, Subdienstleister-Liste – das fragen regulierte Kunden zuerst.
- ✓ Website & Tools härten: Updates, 2FA überall, Backups, Monitoring – unser SEO-Check und Cookie-Check finden die Basics gratis.