Einordnung: Ein Wandel der Zeit
Die Bedrohungslage hat sich normalisiert – im schlechten Sinn. Ransomware, Lieferketten-Angriffe und Betriebsunterbrechungen sind keine Ausnahmeereignisse mehr, sondern kalkulierbares Betriebsrisiko. Die EU zieht daraus die Konsequenz und hebt Cybersicherheit von der freiwilligen Kür zur gesetzlichen Pflicht. Für Tausende Unternehmen in Deutschland und Österreich ändert sich damit die Rechtslage grundlegend.
Was ist korrekt – die Regelwerke im Überblick
NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit. Sie wirkt nicht direkt, sondern über nationale Gesetze. In Österreich ist das Umsetzungsgesetz – das NISG 2026 – beschlossen und wird zum 1. Oktober 2026 vollständig wirksam; rund 4.000 Unternehmen sind betroffen, die Registrierung beim neuen Bundesamt für Cybersicherheit hat eine eigene Frist. In Deutschland läuft die Umsetzung über das NIS2-Umsetzungsgesetz. Wichtig: Wer betroffen ist, entscheidet die Kombination aus Sektor (z. B. Energie, Digitale Infrastruktur, Abfall, Verwaltung, verarbeitendes Gewerbe) und Unternehmensgröße.
DORA – der Digital Operational Resilience Act – gilt bereits seit dem 17. Januar 2025, adressiert aber gezielt den Finanzsektor: Banken, Versicherer, Fonds und Asset Manager sowie deren IKT-Dienstleister. Für die Immobilienwirtschaft ist das relevant, weil Immobilienfonds, Kapitalverwaltungsgesellschaften und finanzierende Institute in den Anwendungsbereich fallen – und ihre Anforderungen vertraglich an IT-Partner weiterreichen.
Was Sie beachten müssen – die Kernpflichten
- Risikomanagement: dokumentierte Analyse, Sicherheitsrichtlinien und Maßnahmen nach Stand der Technik.
- Notfall- und Krisenmanagement: Business-Continuity- und Wiederanlaufpläne, die geübt sind – nicht nur geschrieben.
- Lieferkettensicherheit: Auch die Sicherheit Ihrer Dienstleister und Zulieferer wird Ihre Verantwortung.
- Meldepflichten: Sicherheitsvorfälle müssen fristgerecht an die Behörde gemeldet werden – teils binnen 24 Stunden.
- Zugriff und Technik: Mehr-Faktor-Authentifizierung, Verschlüsselung, Zugriffskontrolle und Cyber-Hygiene sind ausdrücklich gefordert.
- Leitungshaftung: Die Geschäftsführung ist persönlich verantwortlich und muss geschult sein.
Was Sie tun können – der Fahrplan
- Betroffenheit klären: Fallen Sie – oder Ihre Kunden, für die Sie liefern – unter NIS2/NISG oder DORA? Diese Frage steht am Anfang.
- Ist-Aufnahme (Gap-Analyse): Wo stehen Sie gegenüber den geforderten Maßnahmen? Ein ehrlicher Abgleich zeigt die echten Lücken.
- Notfallpläne schärfen und üben: Ein ungeübter Plan versagt im Ernstfall. Tabletop-Übungen decken Schwachstellen auf, bevor es ein Angreifer tut.
- Verträge nachziehen: Sicherheits- und Meldepflichten mit Dienstleistern vertraglich verankern (Auftragsverarbeitung, IKT-Klauseln).
- Fristen und Registrierung im Blick behalten: Nationale Melde- und Registrierungsfristen terminieren und intern verantworten.
Was Sie kritisch hinterfragen sollten
- „Papier-Compliance“: Ein Ordner voller Richtlinien schützt vor keinem Angriff. Prüfen Sie Wirksamkeit, nicht nur Vollständigkeit.
- Tool-Gläubigkeit: Kein einzelnes Produkt macht Sie „NIS2-konform“. Resilienz ist Organisation, Prozess und Kultur – Technik ist nur ein Teil.
- Blinder Fleck Lieferkette: Der schwächste Zulieferer wird zu Ihrem Risiko. Ein starkes eigenes Haus mit unsicheren Partnern bleibt verwundbar.
- Einmal-Denken: Compliance ist kein Projekt mit Enddatum, sondern ein Zustand, der gepflegt werden muss.
Was das für Ihr Unternehmen bedeutet
Cyber-Resilienz wird zum Geschäftsfähigkeitsnachweis. Selbst wer formal nicht direkt unter NIS2 fällt, wird über die Lieferkette in die Pflicht genommen: Auftraggeber verlangen zunehmend Sicherheitsnachweise als Bedingung der Zusammenarbeit. Wer sie erbringen kann, gewinnt Aufträge; wer nicht, wird aussortiert. Aus Pflicht wird so ein Wettbewerbsfaktor.
Wie Sie standhaft bleiben
Standhaftigkeit heißt hier: Sie bleiben handlungsfähig, auch wenn etwas passiert. Das erreichen Sie nicht durch die Illusion perfekter Abwehr, sondern durch getestete Notfallpläne, gute Backups, klare Verantwortlichkeiten und geübte Abläufe. Die Frage ist nicht „ob“, sondern „wie schnell sind wir wieder im Betrieb“. Wer diese Frage überzeugend beantworten kann, hat Resilienz nicht nur dokumentiert, sondern verdient.
Anders & Ganz meint
Cyber-Resilienz ist 2026 keine Kür mehr, sondern die Eintrittskarte ins Geschäft. Der Aufwand lohnt sich doppelt – als Rechtssicherheit und als belegbares Vertrauen gegenüber Kunden und Partnern.
