Artikel 21 der NIS2-Richtlinie steht im Zentrum jeder Umsetzung, in Österreich umgesetzt in § 32 Abs. 4 lit. a bis j NISG 2026. Denn hier stehen die NIS2 Maßnahmen, die jedes betroffene Unternehmen umsetzen muss. Zehn Punkte sind es, in Absatz 2 aufgezählt. Sie klingen zunächst abstrakt. Doch dahinter steckt ein klarer Katalog, den Sie Schritt für Schritt abarbeiten können. Genau das zeigt dieser Beitrag.
Wir übersetzen die zehn Punkte in konkrete Aufgaben für den Alltag. Dabei bleibt der Blick auf dem österreichischen KMU. Zunächst geht es um die Logik hinter Artikel 21. Danach nehmen wir jede der zehn NIS2 Maßnahmen einzeln durch. Zudem zeigen wir, wo ein ISMS nach ISO 27001 die Arbeit abkürzt. Am Ende steht eine Tabelle, die alles auf einen Blick fasst.
Was Artikel 21 von Ihnen verlangt
Artikel 21 verlangt ein risikobasiertes Sicherheitskonzept. Absatz 1 nennt das Prinzip. Absatz 2 nennt die zehn NIS2 Maßnahmen, die dieses Konzept tragen müssen. Wichtig ist der Maßstab: Die Tiefe der Maßnahmen richtet sich nach Ihrem Risiko. Ein kleiner Zulieferer braucht kein Konzern-Setup. Ein Energieversorger schon. Genau diese Verhältnismäßigkeit macht die Regel für KMU tragbar.
Die Pflicht gilt für wesentliche und wichtige Einrichtungen gleichermaßen. Ob Sie überhaupt betroffen sind, klären Sie vorab. Dabei hilft unser Beitrag, wie Sie Ihre NIS2 Betroffenheit prüfen. Steht die Betroffenheit fest, beginnt die Arbeit an Artikel 21. Den europäischen Rahmen finden Sie in der Richtlinie 2022/2555.
Technikneutral und ergebnisorientiert
Die Richtlinie schreibt kein Produkt vor. Sie beschreibt Ziele, nicht Werkzeuge. Somit dürfen Sie selbst entscheiden, wie Sie ein Ziel erreichen. Ein Beispiel: Artikel 21 fordert Verschlüsselung, nennt aber kein Verfahren. Deshalb passen die NIS2 Maßnahmen zu Betrieben jeder Größe. Sie wählen die Mittel, die zu Ihnen passen. Die EU-Cybersicherheitsagentur ENISA hat dazu technische Leitlinien veröffentlicht.
Der Vorsprung durch ISO 27001
Wer schon ein Managementsystem betreibt, hat Glück. Denn ein ISMS nach ISO 27001 deckt fast alle zehn Punkte bereits ab. Die Norm und Artikel 21 sprechen dieselbe Sprache. Zugriffskontrolle, Kryptografie, Lieferkette: All das steht ebenso im Anhang A der ISO 27001. Deshalb lohnt sich der Blick auf ein bestehendes ISMS zuerst. Oft fehlen nämlich nur wenige NIS2-spezifische Ergänzungen, etwa die Meldefristen. Wie Sie ein solches System von Grund auf aufbauen, zeigt der Beitrag zu den Schritten beim ISMS-Aufbau.
Risikoanalyse, Vorfälle und Business Continuity
Die ersten drei NIS2 Maßnahmen bilden das Fundament. Zunächst fordert Punkt a eine Risikoanalyse und ein Sicherheitskonzept. Danach regelt Punkt b die Behandlung von Sicherheitsvorfällen. Schließlich verlangt Punkt c Business Continuity, also Backups und einen Notfallplan. Ohne diese drei steht der Rest auf Sand.
Risikoanalyse und Sicherheitskonzept (a)
Am Anfang steht die Frage: Was kann uns treffen? Zunächst listen Sie Ihre wichtigen Werte auf. Also Server, Daten, Anwendungen. Danach bewerten Sie die Risiken für jeden Wert. Aus dieser Bewertung folgt dann Ihr Sicherheitskonzept. Es hält fest, welche Risiken Sie wie behandeln. Das klingt aufwendig, ist aber die halbe Miete. Denn eine gute Risikoanalyse zeigt, wo Ihr Geld am besten wirkt. Genau hier setzt deshalb jedes IT-Security-Audit an.
Behandlung von Sicherheitsvorfällen (b)
Ein Vorfall kommt selten zur passenden Zeit. Deshalb brauchen Sie einen Ablauf, bevor er passiert. Wer entdeckt den Angriff? Und wer entscheidet? Zudem: Wer meldet an die Behörde? Das gehört vorab geklärt. Zudem knüpft NIS2 daran eine strenge Frist: Eine erste Meldung ist binnen 24 Stunden fällig. Somit macht die enge Verzahnung mit der Meldepflicht Punkt b so wichtig. Ein geübter Prozess spart im Ernstfall Stunden. Und diese Stunden entscheiden über den Schaden.
Business Continuity und Backups (c)
Fällt ein System aus, muss der Betrieb weiterlaufen. Dafür braucht es Backups, die auch wirklich funktionieren. Ein Backup, das im Ernstfall nicht zurückspielt, ist wertlos. Deshalb gehört der Test dazu. Zudem verlangt Punkt c ein Krisenmanagement. Also klare Rollen, wenn es brennt. Ein sauberes Notfallmanagement und BCM deckt genau diese Anforderung ab. Wie ein solcher Plan konkret aussieht, lesen Sie im Beitrag zum IT-Notfallplan.
Ein bewährtes Muster ist die 3-2-1-Regel. Zunächst halten Sie drei Kopien Ihrer Daten. Davon liegen zwei auf verschiedenen Medien. Eine Kopie bewahren Sie zudem räumlich getrennt auf, etwa offline oder außer Haus. Genau diese getrennte Kopie rettet Sie bei Ransomware. Denn moderne Angriffe verschlüsseln gezielt auch die erreichbaren Backups. Zudem legen Sie zwei Zielwerte fest: Wie viel Datenverlust ist tragbar, und wie schnell muss der Betrieb wieder laufen? Aus diesen Werten leiten Sie die passende Backup-Strategie ab. Ohne sie backupen Sie ins Blaue.
Lieferkette und sichere Entwicklung
Die nächsten beiden NIS2 Maßnahmen richten den Blick nach außen und in die eigene Technik. Punkt d betrifft die Lieferkette. Punkt e verlangt Sicherheit bei Beschaffung, Entwicklung und Wartung. Beide werden oft unterschätzt. Dabei stecken hier viele reale Risiken.
Sicherheit in der Lieferkette (d)
Ihr Sicherheitsniveau endet nicht an der eigenen Tür. Denn ein Angreifer nutzt gern den schwächsten Zulieferer als Einstieg. Deshalb müssen Sie Ihre direkten Dienstleister prüfen. Wie sicher ist deren IT? Was steht im Vertrag? Punkt d verlangt nämlich, diese Fragen zu stellen und schriftlich zu regeln. Für viele KMU ist das neu. Hingegen geben große Kunden ihre Pflichten weiter. Was das bedeutet, zeigt der Beitrag zu den NIS2-Anforderungen an die Lieferkette. So oder so: Die Kette ist nur so stark wie ihr schwächstes Glied.
Sichere Beschaffung und Entwicklung (e)
Sicherheit beginnt beim Einkauf, nicht erst im Betrieb. Wer Software beschafft, sollte deren Sicherheit bewerten. Ebenso sollte, wer selbst entwickelt, Sicherheit von Anfang an mitdenken. Punkt e nennt dazu ausdrücklich die Behandlung von Schwachstellen. Also das Einspielen von Updates und ein Weg, Lücken zu melden. Eine regelmäßige Schwachstellenanalyse gehört deshalb zur Pflicht. Für die eigene Systemlandschaft hilft zudem eine gezielte IT-Härtung. Beides senkt die Angriffsfläche spürbar.
Ein Beispiel macht Punkt e greifbar. Ein Betrieb kauft eine neue Branchensoftware. Ohne Prüfung übernimmt er auch deren Schwachstellen. Mit einer kurzen Sicherheitsbewertung fällt der Mangel vor dem Kauf auf. Somit spart die Prüfung später viel Ärger. Genau das meint die Richtlinie mit sicherer Beschaffung.
Der Kern von Punkt e ist ein gelebtes Patch-Management. Bekannte Lücken bleiben oft monatelang offen, weil das Update niemand einspielt. Angreifer nutzen genau diese Fenster. Deshalb brauchen Sie einen festen Ablauf: Wer verfolgt neue Schwachstellen? Wie schnell werden kritische Updates eingespielt? Ein Richtwert aus der Praxis: kritische Lücken innerhalb weniger Tage schließen, weniger dringende im geplanten Wartungsfenster. Wer selbst entwickelt, ergänzt einen klaren Weg, damit Externe gefundene Lücken melden können. Somit erfahren Sie von einem Problem, bevor es öffentlich wird.
Wirksamkeit prüfen und Cyberhygiene leben
Die Punkte f und g sorgen dafür, dass Sicherheit nicht auf dem Papier bleibt. Punkt f verlangt, die Wirksamkeit Ihrer Maßnahmen zu bewerten. Punkt g fordert grundlegende Cyberhygiene und Schulungen. Diese beiden NIS2 Maßnahmen halten das ganze System lebendig.
Wirksamkeit bewerten (f)
Eine Maßnahme, die niemand prüft, verliert mit der Zeit ihre Wirkung. Deshalb verlangt Punkt f eine regelmäßige Bewertung. Funktioniert die Zugriffskontrolle noch? Greifen die Backups? Solche Fragen beantworten Sie mit internen Prüfungen. Ein internes Audit nach ISO 27001 liefert genau diesen Nachweis. Zudem deckt es Lücken auf, bevor die Behörde oder ein Angreifer sie findet. Prüfen Sie mindestens einmal im Jahr. Nach großen Änderungen auch öfter.
Cyberhygiene und Schulung (g)
Die meisten Angriffe zielen auf Menschen, nicht auf Technik. Ein Klick auf den falschen Link genügt. Deshalb steht die Schulung ausdrücklich in Artikel 21. Cyberhygiene meint dabei einfache Regeln: starke Passwörter, Updates, Vorsicht bei E-Mails. Diese Grundlagen muss jeder im Betrieb kennen. Eine gute Security-Awareness vermittelt genau das. Der wirksamste Test ist eine Phishing-Simulation. Sie zeigt schwarz auf weiß, wo geschult werden muss. Warum der Mensch so zentral ist, vertieft der Beitrag zum Faktor Mensch.
Ein Zahlenbeispiel verdeutlicht den Hebel. Eine Belegschaft ohne Training klickt oft auf jede zweite Test-Mail. Nach mehreren Schulungsrunden sinkt die Quote deutlich. Somit senkt schon eine Awareness-Kampagne das Risiko messbar. Und sie kostet weniger als ein einziger erfolgreicher Angriff.
Punkt f und g greifen ineinander. Denn die Bewertung der Wirksamkeit zeigt, wo Schulung fehlt. Steigt die Klickrate bei einer Phishing-Simulation wieder, ist eine neue Runde fällig. So entsteht ein Kreislauf: prüfen, schulen, erneut prüfen. Genau diesen Kreislauf verlangt die Richtlinie. Ein einmaliger Kraftakt reicht nicht. Vielmehr geht es um dauerhafte Aufmerksamkeit. Deshalb gehören beide Punkte fest in den Jahreskalender. Ein kurzer Quartalstermin genügt oft schon, um am Ball zu bleiben.
Kryptografie, Personal und Zugriffe
Die letzten drei NIS2 Maßnahmen decken Technik und Organisation ab. Zunächst regelt Punkt h Kryptografie und Verschlüsselung. Danach bündelt Punkt i Personalsicherheit, Zugriffskontrolle und Asset-Management. Schließlich fordert Punkt j Mehr-Faktor-Authentifizierung und gesicherte Kommunikation. Zusammen schließen sie die häufigsten Einfallstore.
Kryptografie und Verschlüsselung (h)
Verschlüsselung schützt Daten, auch wenn sie gestohlen werden. Deshalb verlangt Punkt h eine Regel dafür. Welche Daten verschlüsseln Sie? Wo liegen die Schlüssel? Das gehört festgelegt. Insbesondere zählen Daten im Transport und Daten im Speicher. Ein verschlüsselter Laptop schützt vor Diebstahl. Ebenso schützt eine verschlüsselte Verbindung vor Mitlesern. Zudem nennt die Richtlinie bewusst kein Verfahren. Somit wählen Sie den Standard, der zum Schutzbedarf passt.
Personal, Zugriff und Assets (i)
Punkt i fasst drei Klassiker zusammen. Zunächst die Personalsicherheit: Wer bekommt welche Rechte, und was passiert beim Austritt? Danach die Zugriffskontrolle: Jeder sieht nur, was er für seine Arbeit braucht. Schließlich das Asset-Management: Sie führen eine Liste Ihrer Geräte und Systeme. Ohne diese Liste wissen Sie nämlich nicht, was Sie schützen. Genau hier scheitern deshalb viele Betriebe. Denn was man nicht kennt, kann man nicht sichern.
Mehr-Faktor-Authentifizierung (j)
Ein gestohlenes Passwort allein reicht Angreifern oft aus. Genau das stoppt die Mehr-Faktor-Authentifizierung. Neben dem Passwort braucht es nämlich einen zweiten Faktor, etwa eine App am Handy. Punkt j nennt zudem gesicherte Kommunikation für den Notfall. Also einen Weg, sich zu erreichen, wenn die normale IT ausfällt. Insbesondere MFA bietet das beste Verhältnis von Aufwand zu Wirkung. Deshalb sollte sie ganz oben auf Ihrer Liste stehen. Fehlt intern das Know-how für all das, übernimmt ein externer CISO die Steuerung.
Die zehn NIS2 Maßnahmen im Überblick
Die folgende Tabelle fasst alle zehn NIS2 Maßnahmen aus Artikel 21 Absatz 2 zusammen, in Österreich § 32 Abs. 4 NISG 2026. Sie zeigt zu jedem Punkt die Kernpflicht und den passenden Bezug zur ISO 27001. Somit sehen Sie auf einen Blick, wo ein bestehendes ISMS bereits greift. Nutzen Sie die Tabelle als Checkliste für den eigenen Betrieb.
| Punkt | NIS2 Maßnahme | Kernpflicht für KMU | ISO 27001 Bezug |
|---|---|---|---|
| a | Risikoanalyse und Sicherheitskonzept | Werte erfassen, Risiken bewerten, Konzept ableiten | Kapitel 6, A.5 |
| b | Behandlung von Sicherheitsvorfällen | Prozess samt 24-Stunden-Meldung festlegen | A.5.24 bis A.5.28 |
| c | Business Continuity und Backup | Getestete Backups und Krisenmanagement | A.5.29, A.5.30, A.8.13 |
| d | Sicherheit in der Lieferkette | Direkte Dienstleister prüfen und vertraglich binden | A.5.19 bis A.5.22 |
| e | Sichere Beschaffung und Entwicklung | Schwachstellen behandeln, Updates einspielen | A.8.8, A.8.25 bis A.8.29 |
| f | Wirksamkeit bewerten | Maßnahmen regelmäßig prüfen und nachschärfen | Kapitel 9, A.5.35 |
| g | Cyberhygiene und Schulung | Grundregeln vermitteln, Awareness aufbauen | A.6.3 |
| h | Kryptografie und Verschlüsselung | Regel für Verschlüsselung und Schlüssel | A.8.24 |
| i | Personal, Zugriff und Assets | Rechte vergeben, Assets führen, Austritt regeln | A.6, A.5.9, A.5.15 |
| j | MFA und gesicherte Kommunikation | Zweiten Faktor einführen, Notfallkanal schaffen | A.5.17, A.8.5 |
So gehen Sie die Liste an
Fangen Sie nicht bei Punkt a an und arbeiten sich blind durch. Beginnen Sie dort, wo Ihr Risiko am größten ist. Für die meisten KMU sind das MFA, Backups und Schulung. Diese drei senken das Risiko am schnellsten. Danach folgen die organisatorischen Punkte wie Risikoanalyse und Lieferkette. Wie Sie das Ganze als System aufziehen, zeigt unsere NIS2-Beratung. Für einen kompletten Sicherheitsaufbau lohnt der Blick auf Cybersicherheit für KMU.
Die Kosten schrecken viele zunächst ab. Doch ein Großteil der Punkte kostet vor allem Zeit, nicht Geld. MFA ist bei vielen Diensten längst enthalten. Schulungen gibt es förderbar. Zudem senkt die frühe Umsetzung spätere Kosten. Wie teuer eine ISO-Zertifizierung als Rahmen wird, lesen Sie im Beitrag zu den Kosten der ISO-27001-Zertifizierung. Praktische Hilfen für Betriebe bündelt zudem die WKO-Übersicht zu NIS2. Der deutschsprachige Raum orientiert sich zudem oft am BSI.
Häufig gestellte Fragen
Was steht in Artikel 21 der NIS2-Richtlinie?
Artikel 21 nennt die Pflicht zu einem risikobasierten Sicherheitskonzept. Absatz 2 listet zehn Mindestmaßnahmen auf. Dazu zählen Risikoanalyse, Vorfallbehandlung und Backups. Ebenso Lieferkette, Kryptografie und Mehr-Faktor-Authentifizierung. In Österreich stehen sie in § 32 Abs. 4 NISG 2026, und jede betroffene Einrichtung muss sie umsetzen.
Gelten alle zehn NIS2 Maßnahmen für kleine Unternehmen gleich?
Die Punkte gelten für alle betroffenen Einrichtungen. Doch die Tiefe richtet sich nach dem Risiko. Ein kleiner Betrieb braucht kein Konzern-Setup. Somit setzen Sie die Maßnahmen verhältnismäßig um. Genau das nennt Artikel 21 Absatz 1.
Deckt ISO 27001 die NIS2 Maßnahmen ab?
Zu einem großen Teil ja. Ein ISMS nach ISO 27001 erfüllt fast alle zehn Punkte aus Artikel 21. Die Norm regelt Zugriffskontrolle, Kryptografie und Lieferkette ohnehin. Doch NIS2 bringt eigene Punkte mit, etwa die Meldefristen. Deshalb ergänzen wir das ISMS gezielt.
Welche NIS2 Maßnahme sollte ich zuerst umsetzen?
Beginnen Sie dort, wo das Risiko am größten ist. Für die meisten KMU sind das Mehr-Faktor-Authentifizierung, getestete Backups und Schulungen. Diese drei senken das Risiko am schnellsten. Danach folgen die organisatorischen Punkte.
Was bedeutet Cyberhygiene nach Artikel 21?
Cyberhygiene meint einfache Grundregeln für alle im Betrieb. Dazu zählen starke Passwörter, regelmäßige Updates und Vorsicht bei E-Mails. Punkt g verlangt zudem Schulungen. Eine Awareness-Kampagne und eine Phishing-Simulation setzen das praktisch um.
Ist Verschlüsselung bei NIS2 Pflicht?
Punkt h verlangt eine Regel für Kryptografie und, wo sinnvoll, Verschlüsselung. Ein Verfahren schreibt die Richtlinie nicht vor. Wichtig sind Daten im Transport und Daten im Speicher. Sie wählen den Standard passend zum Schutzbedarf.
Was passiert bei Nichtumsetzung der NIS2 Maßnahmen?
Wer betroffen ist und die Maßnahmen ignoriert, riskiert Bußgelder. Zudem nimmt das Gesetz die Geschäftsführung ausdrücklich in die Pflicht (§ 31 NISG 2026). Auch ohne Kontrolle bleibt das Risiko eines Angriffs. Deshalb ist die frühe Umsetzung der günstigere Weg.
Fazit: Aus zehn Punkten wird ein Plan
Die NIS2 Maßnahmen aus Artikel 21 wirken auf den ersten Blick sperrig. Doch hinter den zehn Punkten steckt ein klarer, abarbeitbarer Katalog. Zunächst das Fundament aus Risikoanalyse, Vorfallbehandlung und Backups. Danach Lieferkette, sichere Entwicklung und die Prüfung der Wirksamkeit. Zum Schluss Kryptografie, Zugriffe und Mehr-Faktor-Authentifizierung. Wer ein ISMS nach ISO 27001 betreibt, hat den größten Teil schon in der Hand.
Der beste Start ist die Priorisierung nach Risiko. MFA, Backups und Schulung bringen schnell viel Sicherheit. Die Pflichten gelten seit 1. Oktober 2026, den Rest setzen Sie in Etappen nach Risiko um. Wichtig ist nur, jetzt zu beginnen. Denn bis zur Selbstdeklaration muss der Stand nachweisbar sein.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren