Leistungen
NISG 2026 und NIS2 für Industrieunternehmen in Österreich
Das österreichische NISG 2026 erweitert die Cybersicherheitsanforderungen für zahlreiche wesentliche und wichtige Einrichtungen. Ob Ihr Unternehmen betroffen ist, hängt nicht allein von Umsatz oder Mitarbeiterzahl ab, sondern auch von Branche, konkreter Tätigkeit, Konzernstruktur und gesetzlichen Sonderfällen. Solvetronix verbindet die regulatorische Betroffenheitsprüfung mit der technischen Umsetzung in OT, Embedded Systems, IoT und industrieller IT.
Wer ist betroffen
Wesentliche und wichtige Einrichtungen: Branche und Tätigkeit entscheiden
Wesentliche Einrichtungen
Typischerweise höhere Kritikalität, strengere Aufsicht und mehr Management-Druck.
- Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, Wasser, Abfall, öffentliche Verwaltung
- Industrieunternehmen mit kritischen Abhängigkeiten oder wesentlichen Dienstleistungen
- Konzern- oder Plattformfunktionen können relevant sein, auch wenn die Produktion selbst nur ein Teil der Gruppe ist
Wichtige Einrichtungen
Häufig produzierende Unternehmen, OEM, Integratoren oder Dienstleister mit NIS2-relevanter Rolle.
- Fertigung, Maschinenbau, Elektronik, digitale Dienste und spezialisierte Zulieferer
- Einordnung hängt an der konkreten Leistung, nicht nur am Etikett "Industrie"
- OT, IoT, Fernwartung und Lieferkettenposition erhöhen die regulatorische Relevanz
[SME REVIEW REQUIRED] Mitarbeiter- und Finanzschwellen müssen gegen den aktuellen Text des österreichischen NISG 2026 geprüft werden
Verlassen Sie sich nicht auf alte NIS2-Zusammenfassungen oder generische EU-Folien. Für die österreichische Betroffenheitsprüfung müssen Mitarbeiterzahl, Umsatz, Bilanzsumme, Konzernstruktur und sektorbezogene Sonderregeln immer am dann gültigen Gesetzestext und an Umsetzungsleitlinien geprüft werden.
Sonderfälle
Ausnahmen und Scope-Treiber können unabhängig von der Unternehmensgröße greifen
Ausnahmen unabhängig von Größe
Bestimmte Einrichtungen können auch ohne klassische KMU-/Großunternehmenslogik erfasst sein, wenn ihre Funktion, Kritikalität oder gesetzliche Sonderstellung dies auslöst.
Konzern- und Lieferkettenrolle
Zentrale IT-, Remote-Service-, Plattform- oder Sicherheitsfunktionen einer Gruppe können für die Einordnung relevanter sein als der einzelne Standort.
Tatsächliche Tätigkeit
Entscheidend ist, was Ihr Unternehmen real betreibt, herstellt oder absichert, nicht nur der Handelsregistertext oder ein Marketingbegriff.
Managementpflichten
Die Geschäftsleitung muss Cyber-Risiken verstehen, entscheiden und nachweisbar steuern
- Betroffenheit und Geltungsbereich nachvollziehbar feststellen
- Risikomanagement-Maßnahmen freigeben und deren Umsetzung verfolgen
- Zuständigkeiten, Eskalation und Incident-Entscheidungen festlegen
- Geeignete Nachweise für Aufsicht, Kunden und interne Revision sicherstellen
Risikomanagement
Cyber-Risikomanagement für OT, IoT, Embedded und industrielle IT
Risikoanalyse
Asset-Scope, Bedrohungen, Schwachstellen, Abhängigkeiten und Priorisierung.
OT/IoT-Härtung
Fernzugriffe, Segmentierung, sichere Defaults, Patch- und Update-Pfade.
Embedded & Edge
Firmware-Sicherheit, Identitäten, sichere Update-Kette und Geräteinventar.
Lieferkette
Third-Party-Zugänge, Komponentenrisiken, Zuliefererpflichten und Abhängigkeiten.
Incident Response
Erkennung, Eskalation, Wiederanlauf und Beweissicherung für den österreichischen Meldeprozess.
Nachweise
Policies, technische Evidenz, Entscheidungen der Geschäftsleitung und Audit-Trail.
Incident Reporting
Österreichischer NISG-Meldeprozess: Runbook vor dem Vorfall aufbauen
1. Vorfall qualifizieren
Ist es ein meldepflichtiger Sicherheitsvorfall nach dem aktuellen österreichischen NISG-Regime oder nur ein interner Störfall?
2. Eskalation auslösen
Management, OT/IT, Recht, Kommunikation und ggf. Gruppensicherheit müssen denselben Lagebild-Stand haben.
3. Nachweise sichern
Logs, betroffene Assets, Lieferkettenbezug, Einfluss auf Betrieb und getroffene Sofortmaßnahmen strukturiert sichern.
4. Meldung nach AT-Prozess
Empfänger, Inhalte und Fristen müssen am aktuellen NISG-Text, an RIS und an zuständigen Stellen/CERT-Prozessen gespiegelt sein.
Praxis-Hinweis
Bitte keine CRA-24h-Logik in den NISG-Prozess kopieren. Die österreichische NISG-Meldung muss am aktuellen Gesetzestext, den zuständigen Empfängern und der richtigen Einordnung ausgerichtet werden.
NISG vs. CRA
Einrichtungspflichten versus Produktpflichten
| NISG / NIS2 (Einrichtungsebene) | CRA (Produktebene) |
|---|---|
| Pflichten für betroffene Einrichtungen und deren Betriebsorganisation | Pflichten für Produkte mit digitalen Elementen und deren Hersteller |
| Fokus auf Governance, Resilienz, Meldeprozess und Risikobehandlung | Fokus auf Security by Design, SBOM, Schwachstellenmanagement und Produktdokumentation |
| OT, industrielle IT, Fernzugriff, Dienstleister und Prozesse stehen im Vordergrund | Firmware, Software-Komponenten, Update-Mechanismen und Produkt-Scope stehen im Vordergrund |
| Relevanz ergibt sich aus Einrichtung, Branche und Tätigkeit | Relevanz ergibt sich aus Produkttyp, Vertriebsrolle und technischer Einordnung |
NISG vs. MVO
Betriebsresilienz versus Maschinenkonformität
| NISG / NIS2 (Betrieb und Resilienz) | Maschinenverordnung (Produktsicherheit und CE) |
|---|---|
| Bewertet die Fähigkeit der Einrichtung, Cyber-Risiken zu beherrschen und Vorfälle zu melden | Bewertet die Sicherheit der Maschine und ihrer Funktionen für CE/Konformität |
| Relevant für Betreiber, OEM, Dienstleister oder Konzernfunktionen je nach Einordnung | Relevant für Hersteller und Inverkehrbringer von Maschinen und Sicherheitskomponenten |
| Betrifft Organisation, Prozesse, Zugänge, Lieferkette und resiliente Betriebsfähigkeit | Betrifft Risikobeurteilung, Sicherheitsfunktionen, technische Dokumentation und wesentliche Änderungen |
| Technische Maßnahmen müssen in OT/IT praktisch tragfähig sein | Technische und funktionale Sicherheit müssen CE-tauglich nachgewiesen werden |
Solvetronix-Module
Acht Module von der Betroffenheitsprüfung bis zur technischen Umsetzung
1. Betroffenheitsprüfung
Sektor, Tätigkeit, Konzernstruktur und Sonderfälle für Österreich prüfen.
2. Asset- und Prozess-Scope
OT, IoT, Embedded, Fernwartung, Lieferanten und Betriebsprozesse abgrenzen.
3. Cyber-Risikoanalyse
Kritische Risiken, Betriebsfolgen und Prioritäten für Management und Technik aufbereiten.
4. Lieferketten-Review
Remote-Zugänge, Drittparteien, Komponenten- und Betreiberabhängigkeiten bewerten.
5. Governance & Verantwortlichkeiten
Managementpflichten, Rollen, Freigaben und Eskalation belastbar definieren.
6. Incident-Runbook
AT-Meldeprozess, interne Eskalation, Beweissicherung und Kommunikationspfade aufbauen.
7. OT/Embedded/IoT-Härtung
Technische Maßnahmen für Geräte, Netze, Fernwartung und Update-Pfade umsetzen.
8. Nachweise & Management-Briefing
Prüffeste Evidenz, Maßnahmenstand und Entscheidungen kompakt dokumentieren.
FAQ
Typische Fragen aus österreichischen Industrieunternehmen
Sind wir automatisch nicht betroffen, wenn wir als Mittelstand gelten?
Nein. Gerade unter NIS2/NISG können Branche, konkrete Leistung, Konzernrolle und gesetzliche Sonderfälle wichtiger sein als ein pauschales KMU-Etikett. Deshalb markieren wir die Schwellenfrage bewusst mit [SME REVIEW REQUIRED].
Reicht ein IT-Sicherheitskonzept aus dem Office-Bereich?
Meist nicht. In Industrieumgebungen müssen OT, Embedded Geräte, Fernwartung, Betreiberprozesse und Lieferkette praktisch mitgedacht werden.
Ist NISG dasselbe wie CRA?
Nein. NISG/NIS2 bewertet die Einrichtung und ihre Betriebsresilienz. CRA bewertet digitale Produkte und deren Herstellerpflichten. Viele Industrieunternehmen müssen beide Ebenen parallel betrachten.
Wann sollte das Management eingebunden werden?
Zu Beginn. Betroffenheitsprüfung, Priorisierung, Budget, Eskalation und Nachweisfähigkeit lassen sich nicht nur technisch lösen.
Hintergrund und Leitfäden
Brauchen Sie einen klaren NISG-Pfad für Österreich?
Wir verbinden Betroffenheitsprüfung mit umsetzbaren Maßnahmen für OT, IoT, Embedded und industrielle IT.
NISG-Betroffenheit und technischen Reifegrad prüfen