Die 10 NIS2-Maßnahmen nach § 32 NISG 2026 – verständlich erklärt
§ 32 NISG 2026 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen in zehn Bereichen: Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Lieferkette, sichere Beschaffung und Entwicklung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personal und Zugriffskontrolle sowie Mehr-Faktor-Anmeldung und gesicherte Kommunikation. Verhältnismäßig heißt: bemessen nach Risiko, Größe und Kosten – nicht nach Konzernmaßstab.
Was § 32 verlangt – und was nicht
Die Maßnahmen müssen geeignet und verhältnismäßig sein, in technischer, operativer und organisatorischer Hinsicht. Zu berücksichtigen sind der Stand der Technik, einschlägige Normen und bewährte Verfahren sowie die Kosten der Umsetzung. Die Verhältnismäßigkeit bemisst sich am Risiko, an der Größe der Einrichtung und an Wahrscheinlichkeit und Schwere möglicher Vorfälle. Was das Gesetz nicht tut: eine Norm vorschreiben, ein Produkt verlangen oder eine Zertifizierung zur Pflicht machen. Die Behörde kann die Anforderungen per Verordnung näher bestimmen; bis dahin sind die zehn Bereiche der Maßstab.
Typisch angemessen
- Eine Risikoanalyse auf wenigen Seiten, regelmäßig überprüft
- Ein getesteter Wiederherstellungsweg für die kritischen Systeme
- Mehr-Faktor-Anmeldung für alle Fern- und Admin-Zugänge
- Klare Anforderungen an die wichtigsten IT-Dienstleister
- Awareness-Schulung für alle, mit Teilnahmeliste
Typisch überdimensioniert
- Ein eigenes Sicherheitszentrum rund um die Uhr
- Hundertseitige Richtlinien, die niemand liest
- Eine Zertifizierung als Selbstzweck, ohne dass ein Kunde sie verlangt
- Audits bei jedem Kleinlieferanten
Was angemessen ist, ergibt die Risikoanalyse. Die Liste zeigt typische Größenordnungen, keine Vorgabe.
Bereiche 1 bis 3: Risiko, Vorfall, Wiederanlauf
Die Risikoanalyse ist die Grundlage für alles andere: Welche Systeme brauchen Sie, um zu arbeiten und zu liefern, was bedroht sie, wie groß wäre der Schaden? Daraus folgt ein Sicherheitskonzept. Die Bewältigung von Sicherheitsvorfällen heißt erkennen, eindämmen, melden – mit festgelegten Rollen, damit die Frühwarnung binnen 24 Stunden nicht an der Frage scheitert, wer zuständig ist. Die Aufrechterhaltung des Betriebs umfasst Backup, Wiederherstellung und Krisenmanagement. Entscheidend ist das Wort getestet: Ein Backup, dessen Wiederherstellung nie probiert wurde, ist eine Hoffnung, kein Nachweis.
Bereiche 4 bis 6: Lieferkette, Beschaffung, Wirksamkeit
Die Sicherheit der Lieferkette betrifft Ihre Beziehungen zu Lieferanten und Dienstleistern – vor allem zu denen, die auf Ihre Systeme zugreifen: IT-Dienstleister, Softwarehersteller, Fernwartung. Sichere Beschaffung, Entwicklung und Wartung heißt, Sicherheit beim Kauf und bei Updates mitzudenken, einschließlich des Umgangs mit Schwachstellen. Und die Wirksamkeitsbewertung verlangt, zu prüfen, ob die Maßnahmen tatsächlich greifen – durch einen Wiederherstellungstest, eine Kontrolle der Berechtigungen oder eine Übung.
Bereiche 7 bis 10: Menschen, Schlüssel, Zugriffe
Cyberhygiene und Schulungen sind die Grundregeln im Alltag: Updates, sichere Anmeldung, der Umgang mit verdächtigen Nachrichten – dazu die Schulung der Mitarbeitenden, die § 31 regelmäßig verlangt. Kryptografie meint Verschlüsselung dort, wo sie nötig ist, und einen geregelten Umgang mit Schlüsseln. Personal, Zugriffskontrolle und Anlagenmanagement fragen: Wer darf was, wer hat welches Gerät, was passiert beim Eintritt und beim Austritt? Und schließlich Mehr-Faktor-Anmeldung sowie gesicherte Kommunikation – einschließlich eines Wegs für den Notfall, wenn E-Mail und Telefonanlage selbst betroffen sind.
Woran Sie erkennen, dass es reicht
Eine Verordnung mit Detailanforderungen war im September 2026 nach unserem Stand noch nicht erlassen. Ein brauchbarer Maßstab bis dahin: Zu jedem der zehn Bereiche können Sie sagen, was Sie tun, warum das für Ihr Risiko angemessen ist und womit Sie es belegen. Genau danach fragt auch die Selbstdeklaration, die bis 30. September 2027 fällig ist – nach den umgesetzten Maßnahmen, den Systemen, der Lieferkette und den Ergebnissen der Risikoanalyse. Wer eine Liste mit Anforderung, Maßnahme, Nachweis und Status führt, beantwortet damit Behörde und Kunden aus demselben Bestand.
Häufige Fragen
Gibt es eine offizielle Checkliste zu § 32?
Das Gesetz nennt die zehn Bereiche; Details kann die Cybersicherheitsbehörde per Verordnung festlegen. Bis dahin orientieren sich viele an etablierten Normen wie ISO/IEC 27001 – verpflichtend ist keine davon.
Müssen alle zehn Bereiche gleich tief umgesetzt werden?
Nein. Alle zehn müssen abgedeckt sein, die Tiefe richtet sich aber nach dem Risiko. Ein Betrieb ohne eigene Softwareentwicklung braucht beim Bereich Entwicklung wenig, bei der Lieferkette vielleicht viel.
Wer ist für die Umsetzung verantwortlich?
Die Geschäftsführung. Nach § 31 haben die Leitungsorgane die Einhaltung der Maßnahmen sicherzustellen und zu beaufsichtigen. Umsetzen können IT, Dienstleister oder Berater – die Verantwortung bleibt bei der Leitung.
Quellen
- NISG 2026, BGBl. I Nr. 94/2025 – Rechtsinformationssystem des Bundes (RIS) (öffnet in neuem Tab)
- Richtlinie (EU) 2022/2555 (NIS2) – EUR-Lex (öffnet in neuem Tab)
- WKO: FAQ zum NISG 2026 (öffnet in neuem Tab)
Stand: . Dieser Beitrag ist eine fachliche Einordnung, keine Rechtsberatung.
Geschrieben von
Ing. Özgür Deli, MSc CMSE
Geschäftsführer & Gründer, WeDev-IT GmbH
Ingenieur, Testmanager in regulierten Softwareprojekten und Experte für Maschinensicherheit (CMSE). Über 15 Jahre Enterprise-Projekterfahrung, Gastlektor.
Mehr über unsWo stehen Sie bei den zehn Bereichen?
Die Gap-Analyse bewertet jeden Bereich, ordnet die Lücken nach Risiko und macht daraus einen Plan mit Kosten. Fixpreis ab 4.900 € netto.
Zur Gap-AnalyseWeiterlesen
NIS2 und ISO 27001: Was die Zertifizierung abdeckt – und was nicht
Brauchen Sie ISO 27001 für NIS2? Nein. Hilft sie? Oft sehr. Wo sich beide decken und wo die Lücken liegen.
NIS2-Meldepflicht: 24 Stunden, 72 Stunden, ein Monat – was wann an wen geht
Frühwarnung, Meldung, Abschlussbericht: die Fristen nach § 34 NISG 2026, wer das CSIRT ist und warum der Meldeweg vor dem Vorfall stehen muss.
NISG 2026: Was sich am 1. Oktober ändert – und was nicht
Wer betroffen ist, welche Fristen gelten und was Unternehmen jetzt tun müssen – ohne Panikmache.