Wie ein unternehmensspezifisches NIS2-Dokument in Minuten entsteht

Warum die Erstellung heute keine Wochen mehr braucht

Ein NIS2-Dokument ist kein freier Text, sondern die Verbindung von zwei Größen, die beide vorab feststehen.

Erstens die Rechtsgrundlage. Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) beschreibt den Pflichtinhalt bereits selbst. § 32 Abs. 4 zählt die Inhalte auf, die Risikomanagementmaßnahmen „zumindest" umfassen müssen – von den Konzepten zur Risikoanalyse (lit. a) bis zur Multi-Faktor-Authentifizierung (lit. j). § 34 legt die Berichtspflichten fest, § 24 die Einstufung. Diese Bausteine muss niemand neu erfinden; sie sind Gesetzestext.

Zweitens das Unternehmensprofil. Sektor (§ 2 sowie Anlagen 1 und 2), Unternehmensgröße (großes Unternehmen gemäß § 25 Abs. 2, mittleres Unternehmen gemäß § 25 Abs. 3) und die daraus folgende Einstufung als wesentliche Einrichtung (§ 24 Abs. 1) oder wichtige Einrichtung (§ 24 Abs. 2) entscheiden, welche Pflichten konkret greifen.

Wer beide Größen kennt und auf vorab geprüfte, wortgetreue Rechtsquellen zurückgreift, muss ein Dokument nicht mehr schreiben, sondern nur noch zusammensetzen. Genau darauf bezieht sich das Wort „Minuten": auf die Zusammenstellungsmethode, nicht auf ein Lieferversprechen. Jede rechtliche Aussage trägt dabei ihre exakte Fundstelle (Gesetzesname plus Paragraf), sodass Prüfer und Kunden jede Behauptung nachschlagen können.

Das Ganze zuerst: die fünf Kernbereiche der Dokumentation

Bevor es an ein einzelnes Dokument geht, lohnt der Blick auf das gesamte Set. Fünf Bereiche bilden den Kern.

1. Risikomanagement-Leitlinie. § 32 Abs. 1 verpflichtet wesentliche und wichtige Einrichtungen zu geeigneten und verhältnismäßigen Maßnahmen in technischer, operativer und organisatorischer Hinsicht. § 32 Abs. 4 lit. a nennt ausdrücklich „Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme". Dieses Dokument ist die Klammer über alle anderen.

2. Umgang mit Cybersicherheitsvorfällen. § 32 Abs. 4 lit. b verlangt die Bewältigung von Cybersicherheitsvorfällen als Teil der Maßnahmen. Dazu gehören die Fristen aus § 34 Abs. 2: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme, eine Meldung innerhalb von 72 Stunden nach Kenntnisnahme sowie ein Abschlussbericht spätestens einen Monat nach Übermittlung der Meldung. Ob ein Vorfall erheblich ist, richtet sich nach § 35.

3. Aufrechterhaltung des Betriebs. § 32 Abs. 4 lit. c nennt Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Das Dokument hält fest, welche Systeme wie wiederhergestellt werden und wer im Krisenfall entscheidet.

4. Sicherheit der Lieferkette. § 32 Abs. 4 lit. d erfasst die sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern – einschließlich deren spezifischer Schwachstellen, der Gesamtqualität der Produkte und der Cybersicherheitspraxis dieser Anbieter.

5. Verantwortung der Leitungsorgane. Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 sieht vor, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. National ist zudem die Pflicht zu Cybersicherheitsschulungen für Leitungsorgane gemäß § 31 Abs. 2 verwaltungsstrafbewehrt (§ 45 Abs. 1 Z 1).

Schritt 1 von 5: die Risikomanagement-Leitlinie als Fundament

Das erste Dokument ist die Risikomanagement-Leitlinie, weil alle anderen auf ihr aufsetzen. Ihren Inhalt gibt § 32 vor:

• Zweck und Reichweite – Reduzierung der Risiken für die Netz- und Informationssysteme, die für den Betrieb oder die Erbringung der Dienste genutzt werden (§ 32 Abs. 1).
• Maßstab – Stand der Technik, einschlägige nationale, europäische und internationale Normen, bewährte Verfahren sowie die Kosten der Umsetzung; das Sicherheitsniveau soll dem bestehenden Risiko angemessen sein (§ 32 Abs. 2).
• Verhältnismäßigkeit – zu berücksichtigen sind Risikoexposition, Größe der Einrichtung sowie Wahrscheinlichkeit und Schwere von Vorfällen einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen (§ 32 Abs. 3).
• Zehn Inhaltsblöcke – der gefahrenübergreifende Ansatz nach § 32 Abs. 4 lit. a bis j, also unter anderem Vorfallbewältigung, Betriebskontinuität, Lieferkette, Beschaffung und Wartung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle.

Der unternehmensspezifische Anteil steckt in der Zuordnung: Welche Systeme, welche Dienste, welche Anbieter, welche Rollen. Der rechtliche Anteil bleibt konstant und wird zitiert, nicht paraphrasiert. Beachten Sie außerdem, dass die Cybersicherheitsbehörde ermächtigt ist, nähere Anforderungen an die Maßnahmen per Verordnung festzulegen (§ 32 Abs. 5) – laufende Verordnungen prüfen Sie bitte direkt bei der Cybersicherheitsbehörde (offizielle Quelle).

Das Firmenprofil entscheidet über den Pflichtenumfang

Ohne Einstufung bleibt jedes Dokument allgemein. § 24 Abs. 1 zählt auf, wer als wesentliche Einrichtung gilt – etwa qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, Einrichtungen der öffentlichen Verwaltung auf Bundesebene oder Einrichtungen der in Anlage 1 genannten Art, die ein großes Unternehmen betreiben. § 24 Abs. 2 definiert die wichtige Einrichtung, darunter Einrichtungen der in den Anlagen 1 und 2 genannten Art, die ein großes oder mittleres Unternehmen betreiben, sowie Einrichtungen der öffentlichen Verwaltung auf Landesebene.

Diese Einordnung wirkt unmittelbar auf den Strafrahmen: § 45 Abs. 2 sieht für wesentliche Einrichtungen Geldstrafen bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweiten Umsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist; § 45 Abs. 3 nennt für wichtige Einrichtungen bis zu 7 000 000 EUR oder bis zu 1,4 %. Für formale Verstöße – etwa nicht fristgerechte Selbstdeklaration nach § 33 Abs. 1 – gilt der Rahmen des § 45 Abs. 4 (bis zu 50 000 EUR, im Wiederholungsfall bis zu 100 000 EUR).

Die Pflichten treten nach § 51 mit dem nächstfolgenden Monatsersten nach Ablauf von neun Monaten nach der Kundmachung des Gesetzes in Kraft; die Kundmachung erfolgte am 23. Dezember 2025.

Warum Behörde und Kunden quellenbelegte Unterlagen verlangen

Dokumentation ist im NISG 2026 kein Selbstzweck, sondern Gegenstand der Aufsicht. Die Cybersicherheitsbehörde übt Aufsichts- und Durchsetzungsmaßnahmen gegenüber wesentlichen und wichtigen Einrichtungen gemäß den §§ 38 und 39 aus (§ 4 Abs. 1 Z 13). Zu den Befugnissen nach § 38 Abs. 1 zählen Kontrollen (Z 1), Sicherheitsscans (Z 2), die Bereitstellung von Informationen einschließlich dokumentierter Sicherheitskonzepte (Z 3), die Gewährung des Zugangs zu Daten, Dokumenten oder sonstigen Informationen auf Anforderung (Z 4) sowie Ad-hoc-Prüfungen (Z 5). Wer diese Mitwirkung verweigert, fällt unter den Strafrahmen des § 45 Abs. 4.

Hinzu kommen Selbstdeklaration und Nachweis: § 33 Abs. 1 verpflichtet zur fristgerechten Selbstdeklaration über die Umsetzung der Risikomanagementmaßnahmen, § 33 Abs. 3 zur fristgerechten Übermittlung eines Prüfberichts. Wissentlich falsche Angaben in der Selbstdeklaration sind eigens strafbewehrt (§ 45 Abs. 4 Z 8).

Auch beschaffende Kunden fragen das Set ab – und zwar aus eigener Pflicht: Wer selbst wesentliche oder wichtige Einrichtung ist, muss nach § 32 Abs. 4 lit. d die Cybersicherheitspraxis seiner unmittelbaren Anbieter berücksichtigen. Ein Dokument, in dem jede rechtliche Aussage ihre Fundstelle mitführt, lässt sich in solchen Abfragen unmittelbar prüfen. Ob eine konkrete Unterlage im Einzelfall ausreicht, beurteilt die zuständige Behörde – maßgeblich ist der amtliche Gesetzestext.