NIS2-Risikomanagementmaßnahmen vs. ISO 27001, DORA und DSGVO
Die NIS2-Pflichten legt in Österreich NISG 2026 fest; die Maßnahmen zum Cybersicherheits-Risikomanagement regelt § 32. Die Liste der Sicherheitspflichten im nationalen Gesetz umfasst 10 Punkte.
Die Tabelle ordnet die zehn Risikomanagementmaßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie den Kapiteln und Anhang-A-Controls der ISO/IEC 27001:2022, der DORA (Verordnung (EU) 2022/2554) und der Datenschutz-Grundverordnung zu. Die Zuordnung ist in jedem Land gleich — es ändert sich nur die Sprache der Seite. In den Zellen stehen die amtlichen Kennungen der Controls; der Link in einer Zelle öffnet die amtliche Quelle des jeweiligen Rahmenwerks.
| Was gefordert wird | DORA | DSGVO | ISO/IEC 27001:2022 | |
|---|---|---|---|---|
| art 21(2)(a) | Konzepte für die Risikoanalyse und Sicherheit für Informationssysteme [↗] | art 5, art 6, art 8 [↗] | art 24, art 32(1)-(2), art 35 [↗] | klausel 5.2, klausel 6.1.2, klausel 6.1.3, klausel 8.2-8.3, A.5.1 [↗] |
| art 21(2)(b) | Bewältigung von Sicherheitsvorfällen [↗] | art 17, art 18, art 19 [↗] | art 33, art 34 [↗] | A.5.24, A.5.25, A.5.26, A.5.27, A.5.28, A.6.8 [↗] |
| art 21(2)(c) | Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement) [↗] | art 11, art 12 [↗] | art 32(1)(c) [↗] | A.5.29, A.5.30, A.8.13, A.8.14 [↗] |
| art 21(2)(d) | Sicherheit der Lieferkette [↗] | art 28, art 29, art 30 [↗] | art 28, art 32 [↗] | A.5.19, A.5.20, A.5.21, A.5.22, A.5.23 [↗] |
| art 21(2)(e) | Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen [↗] | art 9, art 25 [↗] | art 25, art 32(1)(d) [↗] | A.8.8, A.8.25, A.8.26, A.8.27, A.8.28, A.8.29, A.8.30, A.8.31 [↗] |
| art 21(2)(f) | Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit [↗] | art 6(6), art 24-26 [↗] | art 32(1)(d), art 24(1) [↗] | klausel 9.1, klausel 9.2, klausel 9.3, klausel 10.1, A.5.35, A.5.36 [↗] |
| art 21(2)(g) | grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit [↗] | art 13(6) [↗] | art 39(1)(b), art 32(4) [↗] | A.6.3, A.5.10, A.8.7 [↗] |
| art 21(2)(h) | Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung [↗] | art 9(2) [↗] | art 32(1)(a), art 34(3)(a) [↗] | A.8.24 [↗] |
| art 21(2)(i) | Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen [↗] | art 9(4)(c) [↗] | art 29, art 5(1)(f) [↗] | A.6.1, A.6.2, A.6.5, A.5.9, A.5.15, A.5.16, A.5.17, A.5.18, A.8.2 [↗] |
| art 21(2)(j) | Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme [↗] | art 9(4)(d) [↗] | art 32(1) [↗] | A.8.5, A.5.14, A.5.16 [↗] |
Häufige Fragen
Wie verhalten sich die Maßnahmen nach NIS2 Artikel 21(2) zu ISO/IEC 27001, DORA und DSGVO?
Die Tabelle ordnet alle 10 Risikomanagementmaßnahmen nach NIS2 Artikel 21(2) den Anforderungen dieser Rahmenwerke zu. Beispiel art 21(2)(a) — ISO/IEC 27001:2022 klausel 5.2, klausel 6.1.2, klausel 6.1.3, klausel 8.2-8.3, A.5.1; DORA art 5, art 6, art 8; DSGVO art 24, art 32(1)-(2), art 35.
Sicherheitsmaßnahmen im eigenen Gesetz des Landes: Österreich
Die folgende Liste ist wörtlich aus dem Rechtsakt des Landes zitiert, der die Pflicht zu Risikomanagementmaßnahmen im Bereich der Cybersicherheit begründet. Wo die Zuordnung eindeutig ist, trägt jeder Punkt einen Verweis auf den entsprechenden Buchstaben des Artikels 21 Absatz 2 der Richtlinie.
NISG 2026, § 32 — Risikomanagementmaßnahmen
ntmaßnahmen haben auf einem gefahrenübergreifenden Ansatz zu beruhen, der auf den Schutz der Netz- und Informationssysteme samt deren physischen Komponenten vor Cybersicherheitsvorfällen abzielt, und zumindest folgende Inhalte zu umfassen:a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
art 21(2)(a)b) Bewältigung von Cybersicherheitsvorfällen
art 21(2)(b)c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
art 21(2)(c)d) Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern, unter Berücksichtigung der spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter, der Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Dienstanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse, sowie der Ergebnisse der gemäß Art. 22 Abs. 1 NIS-2-Richtlinie durchgeführten koordinierten Risikobewertungen
art 21(2)(d)e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
art 21(2)(e)f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit
art 21(2)(f)g) grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit
art 21(2)(g)h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung
art 21(2)(h)i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen
art 21(2)(i)j) Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
art 21(2)(j)
Fundstelle: NISG 2026, § 32 — Amtliche Quelle ansehen