Die 10 häufigsten Fehler bei der NIS2-Umsetzung

Seit 01.10.2026 gilt in Österreich das NISG 2026. Viele Unternehmen haben mit der Umsetzung begonnen – und stoßen auf dieselben Stolpersteine. Diese zehn Fehler sehen wir in der Praxis am häufigsten.

1. Die Betroffenheit zu spät oder zu oberflächlich prüfen

Wer „wir sind doch nur ein Mittelständler“ denkt, übersieht oft, dass bereits mittlere Unternehmen in kritischen Sektoren erfasst sind. Bei Konzernen zählen verbundene Unternehmen mit. Nutzen Sie eine strukturierte Betroffenheitsprüfung und klären Sie Grenzfälle im Detail.

2. Die Registrierung im USP unterschätzen

Die Registrierung erfolgt über „NIS 2 Services“ im Unternehmensserviceportal – bis 01.01.2027. Dafür braucht es einen USP-Zugang, Personen mit ID Austria und vergebene Rollen. Wer das erst kurz vor Fristende organisiert, gerät unnötig unter Druck. Details: Registrierung und Meldepflichten.

3. NIS2 als reines IT-Projekt behandeln

NIS2 adressiert ausdrücklich die Leitungsorgane. Ohne Rückhalt der Geschäftsführung fehlen Budget, Entscheidungen und Durchsetzungskraft. Binden Sie die Geschäftsführung von Beginn an ein.

4. Maßnahmen ohne Risikoanalyse umsetzen

Ohne Risikoanalyse wird nach Bauchgefühl investiert. Die Maßnahmen müssen dem Risiko angemessen sein – das lässt sich nur begründen, wenn Sie Assets, Bedrohungen und Schwachstellen kennen.

5. Die Lieferkette vergessen

IT-Dienstleister, Cloud-Anbieter und Zulieferer mit Netzwerkzugang sind ein häufiges Einfallstor. Regeln Sie Zugänge nach dem Prinzip der geringsten Rechte und verankern Sie Sicherheitsanforderungen in Verträgen.

6. Den Meldeprozess nie üben

Eine Frühwarnung binnen 24 Stunden gelingt nur, wenn klar ist, wer entscheidet, wer meldet und welche Informationen nötig sind. Ein Incident Response Plan und eine jährliche Übung schaffen Sicherheit.

7. Backups ohne Wiederherstellungstest

Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, kein Plan. Testen Sie Wiederherstellungen regelmäßig und halten Sie zumindest eine Kopie getrennt vom Produktivnetz.

8. Schulungen als einmalige Pflichtübung sehen

Cyberhygiene und Schulungen sind Teil der Risikomanagementmaßnahmen. Ein einziges Training pro Jahr verpufft. Kombinieren Sie kurze, regelmäßige Einheiten mit Phishing-Kampagnen.

9. Nichts dokumentieren

Was nicht dokumentiert ist, lässt sich gegenüber der Aufsicht schwer nachweisen. Halten Sie Risikoanalyse, Entscheidungen, Richtlinien und Maßnahmen nachvollziehbar fest – ein ISMS nach ISO 27001 liefert dafür eine bewährte Struktur.

10. Tools kaufen statt Konzept entwickeln

Ein neues Sicherheitsprodukt ersetzt keine Strategie. Und Vorsicht bei Online-„Betroffenheitsanalysen“, die sensible Unternehmensdaten abfragen – davor warnt auch das USP. Erst analysieren, dann priorisieren, dann investieren.

Fazit

NIS2 ist kein Sprint, aber die ersten Schritte sind zeitkritisch: Betroffenheit klären, Registrierung vorbereiten, Meldefähigkeit herstellen. Danach folgen die Maßnahmen – priorisiert nach Risiko. Unser NISG-2026-Hub fasst alle Schritte zusammen.