Die NIS2 Richtlinie erklärt: was SaaS und eCommerce Unternehmen wirklich tun müssen

Der Kern: NIS2 handelt von den Diensten, die du betreibst, und Österreich hat sie im NISG 2026 umgesetzt

Die NIS2 Richtlinie ist die Richtlinie (EU) 2022/2555, das Gesetz der Europäischen Union zur Cybersicherheit von Organisationen, die wichtige Dienste betreiben.¹ Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht übertragen und dieses Recht ab dem 18. Oktober 2024 anwenden, am selben Tag, an dem die ursprüngliche NIS Richtlinie aufgehoben wurde.¹²

Für ein SaaS Unternehmen oder einen Onlineshop heißt das kurz gesagt: Erbringst du eine Art von Dienst, die in den Anhängen der Richtlinie steht, bist du mindestens mittelgroß und erbringst du diesen Dienst in der EU, gilt NIS2 für dich. Sie verlangt zehn Arten von Sicherheitsmaßnahmen, eine Meldung von Sicherheitsvorfällen in drei Stufen, deren erste binnen 24 Stunden fällig ist, und eine Geschäftsleitung, die die Maßnahmen genehmigt und sich schulen lässt.¹ Viele SaaS Produkte zählen als Cloud Computing Dienst. Die meisten gewöhnlichen Onlineshops zählen gar nicht.

In Österreich gilt die Richtlinie über das Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), kundgemacht im Bundesgesetzblatt am 23. Dezember 2025 (BGBl. I Nr. 94/2025) und in Kraft seit 1. Oktober 2026. Es löst das NISG aus 2018 ab, und zuständig ist eine neue Behörde, das Bundesamt für Cybersicherheit, dem Bundesminister für Inneres unmittelbar nachgeordnet.³⁴ Was das konkret heißt, steht weiter unten. Die Unternehmen in den Beispielen sind erfunden. Das Recht und die Termine stehen in den Fußnoten.

Wie sich NIS2 vom Cyber Resilience Act unterscheidet

In meinem Beitrag zum Cyber Resilience Act habe ich geschrieben, dass reine SaaS Produkte nicht unter den CRA fallen und dass ein anderes Gesetz sie stattdessen abdeckt. Dieses Gesetz ist NIS2.

Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 und erfasst Produkte mit digitalen Elementen: Hardware, herunterladbare Software, Apps.⁵ Er sorgt dafür, dass das Produkt sicher ist, bevor es auf den Markt kommt. Unter anderem verlangt er von Herstellern eine Softwarestückliste, eine maschinenlesbare Liste der Komponenten im Produkt.⁵

NIS2 erfasst die Organisationen, die Dienste betreiben. Es geht darum, wie du Cyberrisiken managst, während der Dienst läuft: deine Maßnahmen, deine Meldungen, deine Geschäftsleitung. Der CRA sagt das selbst in Erwägungsgrund 12: NIS2 gilt für Cloud Computing Dienste und Cloud Dienstmodelle wie Software as a Service (SaaS), Platform as a Service und Infrastructure as a Service.⁵

Dazu kommt die Datenschutz Grundverordnung (DSGVO), die personenbezogene Daten erfasst, egal welches der beiden anderen Gesetze greift.⁶ Du kannst ohne Weiteres alle drei brauchen. Willkommen in der EU Compliance.

Ein Beispiel: Ein Linzer Unternehmen verkauft eine Desktop App zur Schichtplanung in Lagern und betreibt dazu das Web Dashboard, mit dem sich die App synchronisiert. Die herunterladbare App ist ein Produkt mit digitalen Elementen, also schaut der CRA auf sie. Das gehostete Dashboard ist ein Dienst, also kann NIS2 darauf schauen, wenn das Unternehmen den Größentest unten besteht. Beide enthalten Namen von Mitarbeitenden, also schaut die DSGVO auf beide. Drei Gesetze, eine Produktlinie, und jedes stellt eine andere Frage.

Wer betroffen ist: zuerst die Art des Dienstes

NIS2 beginnt nicht mit der Größe deines Unternehmens. Sie beginnt mit dem, was du tust. Artikel 2 Absatz 1 wendet die Richtlinie auf Einrichtungen einer der in Anhang I oder II genannten Arten an.¹ Anhang I listet elf Sektoren mit hoher Kritikalität, Anhang II sieben sonstige kritische Sektoren, 18 insgesamt.¹

Anhang I umfasst Energie, Verkehr, Banken, Gesundheit, Wasser, öffentliche Verwaltung, Weltraum und zwei, die für Softwareunternehmen zählen: digitale Infrastruktur (Anbieter von Cloud Computing Diensten, Rechenzentren, Content Delivery Networks, DNS Anbieter, Vertrauensdiensteanbieter und andere) und die Verwaltung von IKT Diensten zwischen Unternehmen (Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste).¹

Anhang II umfasst Post und Kurierdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, Forschung und Anbieter digitaler Dienste: Online Marktplätze, Online Suchmaschinen und Plattformen für soziale Netzwerke.¹

Drei Begriffe entscheiden die meisten Fälle für meine Leserinnen und Leser.

Ein Cloud Computing Dienst ist nach Artikel 6 Nummer 30 ein digitaler Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht.¹ Erwägungsgrund 33 nennt SaaS unter den erfassten Dienstmodellen.¹ Ein SaaS Produkt, bei dem sich deine Kunden registrieren und das sie über das Web nutzen, ist also sehr oft ein Cloud Computing Dienst.

Ein Anbieter verwalteter Dienste installiert, verwaltet, betreibt oder wartet IKT Produkte, Netze, Infrastruktur oder Anwendungen für Kunden, vor Ort oder aus der Ferne (Artikel 6 Nummer 39).¹ Betreibst und pflegst du die Systeme anderer Unternehmen für sie, bist das du.

Ein Online Marktplatz bekommt seine Bedeutung aus dem Verbraucherrecht: ein Dienst, der es Verbrauchern ermöglicht, "Fernabsatzverträge mit anderen Gewerbetreibenden oder Verbrauchern" abzuschließen.⁷ Die entscheidenden Worte sind "anderen Gewerbetreibenden". Ein Shop, der seine eigenen Waren verkauft, ist kein Marktplatz. Eine Plattform, auf der unabhängige Händler an Verbraucher verkaufen, ist einer.

Durchgerechnetes Beispiel: drei Unternehmen, drei Antworten

Das erste ist ein Grazer Unternehmen, das Terminsoftware an Zahnarztpraxen verkauft, mit Registrierung und Nutzung im Browser, und zu seinen Kunden zählen Praxen in Deutschland und den Niederlanden. Das Produkt passt auf die Definition des Cloud Computing Dienstes, also Anhang I. Arttest bestanden.

Das zweite ist ein Salzburger Shop, der eigene Geschenkkörbe online verkauft und nach Deutschland liefert. Er ist kein Marktplatz, denn jeder Vertrag kommt mit dem Shop selbst zustande. Lebensmittel stehen zwar in Anhang II, aber nur für Lebensmittelunternehmen, "die im Großhandel sowie in der industriellen Produktion und Verarbeitung tätig sind".¹ Ein Geschenkkorbshop im Einzelhandel ist nichts davon. Arttest nicht bestanden, NIS2 erreicht ihn über ihre eigenen Listen also nicht.

Das dritte ist eine Innsbrucker Plattform, auf der 400 unabhängige Werkstätten Keramik an Verbraucher in ganz Europa verkaufen. Verbraucher schließen darüber Verträge mit anderen Gewerbetreibenden, also ist sie ein Online Marktplatz, Anhang II. Arttest bestanden.

Wer betroffen ist: dann der Größentest

Der zweite Filter ist die Größe. Artikel 2 Absatz 1 erfasst Einrichtungen, die als mittlere Unternehmen nach der Empfehlung 2003/361/EG der Kommission gelten oder deren Schwellenwerte überschreiten.¹ Nach dieser Empfehlung beschäftigt ein kleines Unternehmen weniger als 50 Personen und hat einen Jahresumsatz und/oder eine Jahresbilanzsumme von höchstens € 10 Millionen.⁸ Mittelgroß heißt weniger als 250 Personen und ein Umsatz bis € 50 Millionen und/oder eine Bilanzsumme bis € 43 Millionen.⁸

Zwei Details erwischen viele, in beide Richtungen.

Eine verbreitete Kurzformel sagt, ein Unternehmen sei ab 50 Beschäftigten "oder" € 10 Millionen Umsatz mittelgroß. Das ist zu einfach. Wegen des "und/oder" bleibt ein Unternehmen mit weniger als 50 Beschäftigten klein, solange entweder sein Umsatz oder seine Bilanzsumme bei höchstens € 10 Millionen liegt.⁸ Ein SaaS Unternehmen mit 30 Leuten, € 12 Millionen Umsatz und einer bescheidenen Bilanz ist weiterhin klein und liegt unter der Größengrenze von NIS2. Das österreichische Gesetz formuliert es genauso: Als mittleres Unternehmen gilt, wer zumindest 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von über zehn Millionen Euro erzielt und zugleich eine Jahresbilanzsumme von über zehn Millionen Euro hat.⁴

In die andere Richtung gilt: Die Zahlen gehören nicht dir allein. Die Empfehlung rechnet die Daten verbundener Unternehmen und anteilig die von Partnerunternehmen hinzu.⁸ Eine kleine Tochter eines großen Konzerns ist nicht klein. Die Beschäftigten werden in Jahresarbeitseinheiten gezählt, also in Vollzeitäquivalenten, und ein Unternehmen wechselt die Kategorie erst, wenn es eine Schwelle in zwei aufeinanderfolgenden Geschäftsjahren überschreitet.⁸ Hier weicht das österreichische Gesetz ab: Die Daten von Partner oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn die Einrichtung bei den Netz und Informationssystemen, die sie für ihre Dienste nutzt, organisatorisch, technisch und operativ unabhängig von ihnen ist.⁴

Manche Einrichtungen sind unabhängig von ihrer Größe erfasst: Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter, Top Level Domain Registries und DNS Anbieter, unter anderen, sowie jede Einrichtung, die ein Mitgliedstaat als einzigen Erbringer eines wesentlichen Dienstes oder als kritisch benennt (Artikel 2 Absatz 2).¹

Der ganze Test, erst die Art, dann die Größe, dann die Kategorie, passt in eine Kette von Fragen.

Lies es von oben. Jede Raute ist eine Frage an dein Unternehmen, und die Beschriftung am Pfeil zum nächsten Kasten ist die Antwort, die dorthin führt. Die grauen Hinweise sind die Ausgänge: Wer bei einer der ersten beiden Fragen aussteigt, liegt nach den eigenen Begriffen der Richtlinie außerhalb von NIS2. Die Lehre steckt in der Reihenfolge. Erst die Art, dann die Größe, dann die Kategorie. Die meiste Verwirrung entsteht, wenn man mit der Größe anfängt.

Durchgerechnetes Beispiel: die Grazer Terminsoftware, Jahr für Jahr

Die Schwellen sind in Euro, und das Grazer Unternehmen bilanziert in Euro, also muss niemand umrechnen.

Erstes Jahr: 38 Beschäftigte in Vollzeitäquivalenten, € 10,35 Millionen Umsatz, € 5,75 Millionen Bilanzsumme. Weniger als 50 Beschäftigte, und die Bilanzsumme liegt unter € 10 Millionen, also ist das Unternehmen klein, obwohl sein Umsatz über € 10 Millionen liegt. Außerhalb von NIS2.

Zweites Jahr: 54 Beschäftigte. Das liegt über der Grenze für ein kleines Unternehmen, aber es ist das erste Jahr, also ändert sich der Status noch nicht.

Drittes Jahr: 58 Beschäftigte. Die Grenze ist jetzt in zwei aufeinanderfolgenden Geschäftsjahren überschritten, also wird das Unternehmen mittelgroß. Es erbringt einen Cloud Computing Dienst in der EU. NIS2 gilt.

Wesentlich oder wichtig: was die Kategorie ändert

Bist du einmal drin, bist du entweder eine wesentliche oder eine wichtige Einrichtung, und das österreichische Gesetz verwendet genau diese beiden Begriffe. Artikel 3 regelt das. Einrichtungen aus Anhang I, die die Schwellen für mittlere Unternehmen überschreiten, also große Unternehmen, sind wesentlich. Alle anderen im Anwendungsbereich sind wichtig, also mittelgroße Einrichtungen aus Anhang I und alle Einrichtungen aus Anhang II, die den Größentest bestehen, sofern kein Mitgliedstaat sie als wesentlich benennt.¹ Das NISG 2026 übernimmt das: Wesentlich sind Einrichtungen der Art aus Anlage 1, die ein großes Unternehmen betreiben, und groß ist, wer zumindest 250 Mitarbeiter beschäftigt oder über 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme hat.⁴

Die Pflichten sind für beide dieselben: die Maßnahmen nach Artikel 21 und die Meldungen nach Artikel 23. Was sich unterscheidet, sind die Aufsicht und die Höhe der Geldbußen.

Besonders wichtige Einrichtungen werden vorab beaufsichtigt. Die Behörde kann Prüfungen vor Ort, Stichproben, regelmäßige Audits und Sicherheitsscans durchführen, ob etwas passiert ist oder nicht (Artikel 32).¹ Wichtige Einrichtungen werden nachträglich beaufsichtigt: Die Behörde handelt, wenn sie Nachweise oder Hinweise hat, dass die Einrichtung die Anforderungen nicht erfüllt (Artikel 33).¹ Im NISG 2026 steht das in § 38: Gegenüber wesentlichen Einrichtungen darf die Cybersicherheitsbehörde kontrollieren, scannen und Unterlagen anfordern, gegenüber wichtigen erst, wenn sie Hinweise hat, etwa aus der Selbstdeklaration.⁹

Ein Punkt wird oft übertrieben: dass die Geschäftsleitung bei jedem Verstoß suspendiert oder abgesetzt werden könne. Die Befugnis, ein vorübergehendes Verbot für eine Geschäftsführerin oder einen gesetzlichen Vertreter zu beantragen, gibt es nur für wesentliche Einrichtungen, und nur, wenn frühere Durchsetzungsmaßnahmen gescheitert sind und eine Frist verstrichen ist (Artikel 32 Absatz 5).¹ Für beide Kategorien gilt aber, dass die Leitungspersonen für die Verletzung ihrer Pflichten haftbar gemacht werden können müssen (Artikel 32 Absatz 6 und Artikel 33 Absatz 5).¹

Ein Beispiel: Die Innsbrucker Plattform hat 60 Beschäftigte. Sie ist mittelgroß und steht in Anhang II, also ist sie eine wichtige Einrichtung. Wüchse sie über 250 Beschäftigte, bliebe sie wichtig, denn Einrichtungen aus Anhang II werden allein durch ihre Größe nie wesentlich. Die Grazer Terminsoftware würde mit über 250 Beschäftigten oder über den großen Schwellen wesentlich, denn Cloud Computing steht in Anhang I.

Die Geldbußen: eine Untergrenze unter dem Höchstbetrag

Artikel 34 regelt die Geldbußen für Verstöße gegen die Maßnahmen aus Artikel 21 oder die Meldepflichten aus Artikel 23. Für wesentliche Einrichtungen liegt der Höchstbetrag bei mindestens € 10 Millionen oder mindestens 2 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen bei mindestens € 7 Millionen oder mindestens 1,4 %, je nachdem, welcher Betrag höher ist.¹ Das "mindestens" zählt: Das sind die niedrigsten Höchstbeträge, die ein Mitgliedstaat festlegen darf, und ein nationales Gesetz darf höhere festlegen.

Für ein bestimmtes Unternehmen lautet die Obergrenze:

$$F_{\max} = \max\left(A,\; r \times T\right)$$

$F_{\max}$ ist der niedrigste Höchstbetrag, den die Richtlinie einem Mitgliedstaat erlaubt. $A$ ist der feste Betrag, € 10 Millionen für eine wesentliche und € 7 Millionen für eine wichtige Einrichtung. $r$ ist der Umsatzsatz, $0{,}02$ für wesentliche und $0{,}014$ für wichtige Einrichtungen. $T$ ist der gesamte weltweite Jahresumsatz im vorangegangenen Geschäftsjahr des Unternehmens, zu dem die Einrichtung gehört, also der ganzen Gruppe. $\max$ nimmt den größeren der beiden Werte. Wenn Prozentrechnung eingerostet ist, erklärt Grundlagen: Prozent sie von Grund auf.

Österreich ist bei den Untergrenzen der Richtlinie geblieben. Das NISG 2026 sieht für wesentliche Einrichtungen bis zu € 10.000.000 oder bis zu 2 % und für wichtige bis zu € 7.000.000 oder bis zu 1,4 % des weltweiten Umsatzes im vorangegangenen Geschäftsjahr vor, gerechnet für das Unternehmen, dem die Einrichtung angehört, je nachdem, welcher Betrag höher ist.¹⁰ Es sind Verwaltungsstrafen: Die Cybersicherheitsbehörde zeigt den Verdacht an, und die Bezirksverwaltungsbehörde verhängt die Strafe.³ Für eine versäumte Registrierung gibt es einen eigenen, kleineren Rahmen, bis zu € 50.000 und im Wiederholungsfall bis zu € 100.000.¹⁰

Durchgerechnetes Beispiel: zwei Obergrenzen

Die Innsbrucker Plattform ist wichtig, mit einem Gruppenumsatz von € 40,25 Millionen. Der Umsatzteil ist $0{,}014 \times 40.250.000 = 563.500$, also € 563.500. Das ist weniger als € 7 Millionen, also liegt die Obergrenze bei mindestens € 7 Millionen.

Jetzt ein großer Cloud Anbieter, wesentlich, mit einem Gruppenumsatz von € 900 Millionen. Der Umsatzteil ist $0{,}02 \times 900.000.000 = 18.000.000$, also € 18 Millionen. Das ist mehr als € 10 Millionen, also liegt die Obergrenze bei mindestens € 18 Millionen.

Das Muster: Für die meisten mittelgroßen Unternehmen ist der feste Betrag derjenige, der greift. In beiden Kategorien übernimmt der Prozentsatz erst ab € 500 Millionen Umsatz, denn $10.000.000 / 0{,}02$ und $7.000.000 / 0{,}014$ ergeben beide $500.000.000$. Das österreichische Gesetz kommt mit seinem "je nachdem, welcher Betrag höher ist" auf genau dieselbe Schwelle.¹⁰

Noch eine Regel: Ist dasselbe Verhalten zugleich eine Verletzung des Schutzes personenbezogener Daten und verhängt die Datenschutzaufsicht dafür eine Geldbuße, darf die NIS2 Behörde für dieses Verhalten keine weitere verhängen, ihre anderen Durchsetzungsmaßnahmen kann sie aber weiter nutzen (Artikel 35).¹ Das NISG 2026 übernimmt das ausdrücklich: Hat die Datenschutzbehörde für dasselbe Verhalten schon eine Geldbuße nach der DSGVO verhängt, gibt es keine Geldstrafe nach dem NISG.³

Was NIS2 von dir verlangt: die zehn Maßnahmen

Artikel 21 Absatz 1 verlangt "geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen", um die Risiken für die Systeme zu beherrschen, die du für deine Dienste nutzt. Verhältnismäßig ist hier ein echtes Wort: Die Richtlinie verlangt, dass die Behörde deine Risikoexposition, deine Größe sowie die Wahrscheinlichkeit und Schwere von Vorfällen berücksichtigt.¹

Artikel 21 Absatz 2 zählt dann auf, was die Maßnahmen mindestens umfassen müssen, und § 32 NISG 2026 übernimmt die Liste fast wortgleich:¹¹¹

1. Konzepte zur Risikoanalyse und zur Sicherheit der Informationssysteme.
2. Bewältigung von Sicherheitsvorfällen.
3. Aufrechterhaltung des Betriebs, etwa Backup Management und Wiederherstellung nach einem Notfall, und Krisenmanagement.
4. Sicherheit der Lieferkette, einschließlich der Sicherheit der Beziehungen zu deinen unmittelbaren Anbietern und Dienstleistern.
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Umgang mit und Offenlegung von Schwachstellen.
6. Konzepte und Verfahren, um zu bewerten, ob deine Maßnahmen wirken.
7. Grundlegende Cyberhygiene und Schulungen zur Cybersicherheit.
8. Konzepte für Kryptografie und, wo angebracht, Verschlüsselung.
9. Sicherheit des Personals, Zugriffskontrolle und Verwaltung der Anlagen.
10. Multi Faktor Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Sprach, Video und Textkommunikation und Notfallkommunikation, wo angebracht.

Das ist eine ordentliche Liste. Zum größten Teil ist es auch das, was ein gut geführtes Softwareunternehmen ohnehin tun sollte.

Für Cloud Computing Dienste, Online Marktplätze, Anbieter verwalteter Dienste und die anderen digitalen Arten ist die Kommission weiter gegangen. Die Durchführungsverordnung (EU) 2024/2690 legt die technischen und methodischen Anforderungen an diese Maßnahmen fest und bestimmt, wann ein Vorfall erheblich ist.¹² Gehörst du zu diesen Arten, ist diese Verordnung deine genaue Checkliste, nicht nur Artikel 21, und das NISG 2026 erlaubt der Cybersicherheitsbehörde sogar, solche Durchführungsrechtsakte per Verordnung auf weitere Arten von Einrichtungen auszudehnen.¹²¹¹

Artikel 20 fügt die Ebene der Unternehmensführung hinzu. Die Geschäftsleitung muss die Maßnahmen genehmigen, ihre Umsetzung überwachen und kann für Verstöße gegen Artikel 21 haftbar gemacht werden. Die Mitglieder der Geschäftsleitung müssen an Schulungen teilnehmen.¹

Durchgerechnetes Beispiel: die erste Lückenanalyse in Graz

Das Unternehmen mit der Terminsoftware, jetzt mittelgroß, nimmt die zehn Punkte und markiert jeden als erledigt, teilweise oder fehlend.

Es hat verschlüsselte Backups, aber seit einem Jahr hat niemand eines wiederhergestellt: Aufrechterhaltung des Betriebs ist teilweise erledigt. Die Entwicklerinnen und Entwickler nutzen Multi Faktor Authentifizierung in der Cloud Konsole, aber das Adminpanel des Supports hat nur Passwörter: Punkt zehn ist teilweise erledigt. Den Zahlungsdienstleister und den Mailversanddienst hat es nie bewertet: Lieferkette fehlt. Ein schriftliches Verfahren für Sicherheitsvorfälle gibt es überhaupt nicht: Bewältigung von Sicherheitsvorfällen fehlt.

Die Reihenfolge der Arbeit folgt dem Risiko und den Meldefristen im nächsten Abschnitt. Zuerst die Bewältigung von Sicherheitsvorfällen, denn ohne sie ist die 24 Stunden Frist nicht zu halten. Dann Multi Faktor Authentifizierung im Adminpanel, denn das ist eine Tür direkt zu den Terminen der Patientinnen und Patienten. Dann die Bewertung der Lieferanten und ein Wiederherstellungstest.

Meldungen: 24 Stunden, 72 Stunden, ein Monat

In Artikel 23 bekommt NIS2 eine Stoppuhr. Ein erheblicher Sicherheitsvorfall ist einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für dich verursacht hat oder verursachen kann, oder erhebliche materielle oder immaterielle Schäden für andere.¹ Für die digitalen Anbieterarten macht die Durchführungsverordnung das konkret: etwa ein Vorfall mit einem direkten finanziellen Verlust von mehr als € 500.000 oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist, oder eine vermutete böswillige Kompromittierung der Daten hinter einem Cloud Dienst oder einem Online Marktplatz.¹² Beim Cloud Computing ist ein Dienst, der mehr als 30 Minuten komplett nicht verfügbar ist, erheblich.¹²

Bei einem erheblichen Sicherheitsvorfall meldest du in Stufen. In Österreich geht die Meldung an das für deinen Sektor zuständige Computer Notfallteam (CSIRT), gibt es keines, an das nationale CSIRT, und das leitet sie an die Cybersicherheitsbehörde weiter:¹¹³

1. Eine frühe Erstmeldung, unverzüglich und spätestens 24 Stunden nach Kenntnis, mit der Angabe, ob du eine rechtswidrige oder böswillige Handlung vermutest und ob es grenzüberschreitende Auswirkungen geben könnte.
2. Eine Meldung über den Sicherheitsvorfall binnen 72 Stunden nach Kenntnis, mit einer ersten Bewertung von Schweregrad und Auswirkungen und, falls vorhanden, Kompromittierungsindikatoren.
3. Eine Zwischenmeldung, wenn die Behörde sie verlangt.
4. Eine Abschlussmeldung spätestens einen Monat nach der Meldung aus Schritt zwei, mit ausführlicher Beschreibung, der wahrscheinlichen Ursache, den Abhilfemaßnahmen und etwaigen grenzüberschreitenden Auswirkungen. Dauert der Vorfall dann noch an, kommt stattdessen zunächst eine Fortschrittsmeldung.¹³

Umgekehrt muss das CSIRT dir spätestens 24 Stunden nach deiner Frühwarnung antworten, mit einer ersten Rückmeldung und auf Wunsch mit Hinweisen zur Abhilfe.¹³

Wo angebracht, musst du außerdem die Empfänger deines Dienstes unverzüglich über erhebliche Vorfälle informieren, die sie wahrscheinlich betreffen.¹

Durchgerechnetes Beispiel: das lange Wochenende der Innsbrucker Plattform

Freitagabend, 21:00 Uhr. Die Rufbereitschaft der Innsbrucker Plattform sieht, dass bei 30 Konten die Auszahlungsdaten der Verkäufer geändert wurden, von jemandem mit einer gestohlenen Adminsitzung. Das ist eine vermutete böswillige Kompromittierung von Marktplatzdaten, also erheblich.¹²

Die frühe Erstmeldung ist bis Samstag, 21:00 Uhr, fällig. Die Meldung über den Vorfall bis Montag, 21:00 Uhr. Geht diese Meldung am Montag um 16:00 Uhr raus, ist die Abschlussmeldung einen Monat später fällig. Die Auszahlungsdaten sind personenbezogene Daten der Verkäuferinnen und Verkäufer, die als Einzelpersonen handeln, also startet im selben Moment die Uhr des Datenschutzes. Nach der DSGVO geht die Verletzung möglichst binnen 72 Stunden an die zuständige Datenschutzaufsicht, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Menschen.⁶

Das sind zwei Meldungen an zwei Behörden mit sich überlappenden Fristen, beginnend um 21:00 Uhr an einem Freitag. Deshalb ist die 24 Stunden Frist ohne schriftliches Verfahren brutal, und deshalb stand die Bewältigung von Sicherheitsvorfällen in der Grazer Lückenanalyse an erster Stelle.

Die österreichische Umsetzung: das NISG 2026

Das Netz und Informationssystemsicherheitsgesetz 2026 steht im BGBl. I Nr. 94/2025, ausgegeben am 23. Dezember 2025, und ist nach einer Frist von neun Monaten mit 1. Oktober 2026 in Kraft getreten.³ Gleichzeitig ist das alte NISG aus 2018 weitgehend außer Kraft getreten. Für ein SaaS Unternehmen oder einen Marktplatz in Österreich sind fünf Stellen darin die wichtigsten.

1. § 24 NISG 2026 bestimmt, wer wesentliche und wer wichtige Einrichtung ist, nach den Arten in den Anlagen 1 und 2 und nach der Größe aus § 25. Anlage 1 trägt wie Anhang I der Richtlinie den Titel "Sektoren mit hoher Kritikalität".⁴¹⁴
2. § 32 NISG 2026 verlangt die zehn Maßnahmen von oben, nach dem Stand der Technik und verhältnismäßig zum Risiko.¹¹
3. § 34 NISG 2026 regelt die Meldungen an das CSIRT, mit den Fristen 24 Stunden, 72 Stunden und einem Monat.¹³
4. § 29 NISG 2026 verpflichtet dich, dich bei der Cybersicherheitsbehörde zu registrieren, elektronisch über einen sicheren Kommunikationskanal, mit Name, Anschrift und Kontaktdaten, Sektor und Art der Einrichtung, den EU Staaten, in denen du Dienste erbringst, gegebenenfalls deinen IP Adressbereichen, deinen Niederlassungen in der EU und den Angaben zu den Größenschwellen. Dazu kommt eine Kontaktstelle mit mindestens einer Telefonnummer und einer E Mail Adresse. Änderungen der Stammdaten meldest du binnen zwei Wochen, Änderungen bei Niederlassungen und Größe binnen drei Monaten.¹⁵ Die Behörde ist das Bundesamt für Cybersicherheit mit Sitz in Wien.¹⁶
5. § 31 NISG 2026 verpflichtet die Leitungsorgane, die Einhaltung der Maßnahmen sicherzustellen und zu beaufsichtigen, und an eigens für sie gestalteten Cybersicherheitsschulungen teilzunehmen. Den Mitarbeitenden muss die Einrichtung regelmäßig Schulungen anbieten.¹⁷

Für die digitalen Arten, also Cloud Computing, Rechenzentren, Content Delivery Networks, Managed Service Provider, Online Marktplätze, Suchmaschinen und soziale Netzwerke, gilt das österreichische Gesetz nur, wenn ihre Hauptniederlassung in Österreich liegt oder wenn sie weder hier noch in einem anderen EU Staat einen Vertreter bestellt haben.¹⁸ Hauptniederlassung ist der Staat, in dem die Entscheidungen zu den Risikomanagementmaßnahmen vorwiegend getroffen werden.¹⁸ Die Registrierungsangaben dieser Einrichtungen leitet die zentrale Anlaufstelle der Behörde an die ENISA weiter.¹⁵

Eine österreichische Eigenheit kommt dazu, die Selbstdeklaration. Binnen zwölf Monaten, nachdem die Registrierungspflicht eingetreten ist, schickst du der Cybersicherheitsbehörde strukturiert Informationen über die umgesetzten Maßnahmen, die genutzten Systeme, die Sicherheit der Lieferkette und das Ergebnis deiner Risikoanalyse. Auf Aufforderung musst du die Umsetzung später durch die Prüfung einer unabhängigen Stelle nachweisen.¹⁹

Bei der Registrierung ist das Gesetz in Österreich noch frisch. Die Frist läuft innerhalb von drei Monaten ab dem Inkrafttreten am 1. Oktober 2026, also bis zum Jahreswechsel auf 2027.¹⁵ Wer heute schon erfasst und noch nicht registriert ist, hat jetzt im November also noch Zeit, aber nicht viel. Wer wie die Grazer Terminsoftware erst später hineinwächst, registriert sich ehestmöglich, spätestens drei Monate, nachdem er die Voraussetzungen erfüllt.¹⁵

Durchgerechnetes Beispiel: die Grazer Terminsoftware im dritten Jahr

Mit 58 Beschäftigten, zum zweiten Mal in Folge über der Grenze, gilt das Grazer Unternehmen als wichtige Einrichtung, Cloud Computing.¹⁴ Seine Hauptniederlassung und alle Entscheidungen zur Sicherheit liegen in Graz, also gilt das österreichische Gesetz, mit der Cybersicherheitsbehörde als Aufsicht, auch für die Praxen in Deutschland und den Niederlanden.¹⁸

1. Registrierung bei der Cybersicherheitsbehörde binnen drei Monaten, samt Kontaktstelle mit Telefonnummer und E Mail Adresse.¹⁵
2. Die Lückenanalyse von oben wird zum Maßnahmenplan nach § 32, und binnen zwölf Monaten geht die Selbstdeklaration an die Behörde.¹¹¹⁹
3. Die Geschäftsführung stellt die Umsetzung sicher, beaufsichtigt sie und meldet sich zu einer Schulung an.¹⁷
4. Ab jetzt läuft bei jedem erheblichen Vorfall die Uhr nach § 34: 24 Stunden, 72 Stunden, ein Monat.¹³

Ein Unternehmen ohne Niederlassung in der EU

NIS2 erreicht Einrichtungen, die ihre Dienste in der Union erbringen oder dort tätig sind (Artikel 2 Absatz 1), und Artikel 26 regelt Unternehmen, die dort nicht niedergelassen sind.¹

Für die meisten Einrichtungen folgt die Zuständigkeit der Niederlassung: Dich beaufsichtigt der Mitgliedstaat, in dem du niedergelassen bist.¹ Für eine Gruppe digitaler Arten, darunter Cloud Computing Anbieter, Rechenzentren, Content Delivery Networks, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online Marktplätze, Suchmaschinen, soziale Netzwerke und DNS Anbieter, folgt die Zuständigkeit der Hauptniederlassung in der Union.¹

Ist eine dieser digitalen Arten überhaupt nicht in der Union niedergelassen, bietet dort aber Dienste an, muss sie nach Artikel 26 Absatz 3 einen Vertreter in der Union benennen, niedergelassen in einem der Mitgliedstaaten, in denen sie ihre Dienste anbietet. Sie fällt dann unter die Zuständigkeit dieses Mitgliedstaats. Ohne Vertreter kann jeder Mitgliedstaat, in dem sie Dienste erbringt, rechtlich gegen sie vorgehen.¹ Das NISG 2026 setzt das so um: Bietet eine solche Einrichtung ohne Niederlassung in der EU Dienste in Österreich an und hat sie weder einen Vertreter mit Hauptwohnsitz im Inland noch einen in einem anderen EU Staat, muss sie der Cybersicherheitsbehörde einen Zustellungsbevollmächtigten nennen. Tut sie das nicht, gilt das Gesetz für sie, und die Behörde kann gegen sie vorgehen.¹⁸

Ein Unternehmen außerhalb der EU mit einer Tochter in Österreich wird also hier beaufsichtigt. Ein Cloud Anbieter, Managed Service Provider oder Marktplatz ohne Niederlassung in der EU braucht einen Vertreter. Nicht sauber geregelt ist der Fall einer Einrichtung anderer Art ohne Niederlassung in der EU: Artikel 2 Absatz 1 erfasst sie im Grundsatz, aber die Zuständigkeitsregeln setzen eine Niederlassung voraus. Das ist eine Frage für eine Anwältin oder einen Anwalt im betreffenden Mitgliedstaat.

Ein Beispiel: Ein erfundener Anbieter von Praxissoftware ohne jede Niederlassung in der EU gewinnt Zahnarztpraxen in Österreich und Deutschland als Kunden. Er ist ein mittelgroßer Cloud Computing Anbieter, der seinen Dienst in der Union anbietet. Nach Artikel 26 Absatz 3 benennt er einen Vertreter, sagen wir in Österreich, und dann gilt das NISG 2026, mit der Cybersicherheitsbehörde als Aufsicht.¹¹⁸

Umsetzung: prüf das Land, nicht nur die Richtlinie

NIS2 ist eine Richtlinie, keine Verordnung. Jeder Mitgliedstaat schreibt sein eigenes Gesetz und darf strengere Regeln festlegen als die Richtlinie (Artikel 5).¹ Registrierung, die Behörde, an die du meldest, und die genauen Geldbußen kommen alle aus dem nationalen Recht.

Die Umsetzung verlief ungleichmäßig. Am 7. Mai 2025 schickte die Kommission begründete Stellungnahmen an 19 Mitgliedstaaten, die die vollständige Umsetzung nicht mitgeteilt hatten, darunter Deutschland, Österreich, Irland, Frankreich, Spanien und die Niederlande.²⁰ Diese Liste ist eine Momentaufnahme, also prüf die Seite der Kommission zur Umsetzung für jedes Land, in dem du tätig bist, bevor du dich darauf verlässt. Österreich hat seitdem gehandelt, wie der Abschnitt oben zeigt.³

Auch die Richtlinie selbst bewegt sich. Am 20. Jänner 2026 hat die Kommission gezielte Änderungen an NIS2 vorgeschlagen, die nach ihren Angaben die Compliance für 28.700 Unternehmen erleichtern sollen, darunter 6.200 Kleinst und Kleinunternehmen.² Das ist ein Vorschlag, kein Gesetz. Plane mit der Richtlinie, wie sie heute gilt.

Lieferkette: warum NIS2 auch Unternehmen außerhalb erreicht

Artikel 21 Absatz 2 Buchstabe d macht die Sicherheit der Lieferkette zu einer eigenen Maßnahme, und nach Artikel 21 Absatz 3 müssen Einrichtungen die Schwachstellen jedes unmittelbaren Anbieters und die Qualität seiner Produkte und Sicherheitspraktiken berücksichtigen, einschließlich seiner sicheren Entwicklungsverfahren.¹

Deshalb reicht NIS2 weiter als ihr eigener Anwendungsbereich. Eine Wiener Softwareagentur mit 20 Leuten liegt weit unter der Größengrenze. Ist ihr Kunde aber eine wichtige Einrichtung, muss dieser Kunde sie bewerten und schreibt die Bewertung in den Vertrag: Multi Faktor Authentifizierung, Fristen fürs Patchen, eine benannte Kontaktperson für Vorfälle, das Recht, Nachweise zu verlangen.

Das gilt genauso für deinen eigenen Stack: Hosting, Zahlungen, Mailversand, Open Source Bibliotheken und jede ausgelagerte Entwicklung. Bei einer großen Cloud Plattform schreib auf, welche Kontrollen ihre sind und welche deine. Mehr dazu, wie du Dienstleister prüfst, bevor sie deine Compliance untergraben, habe ich im Zusammenhang mit der DSGVO geschrieben, und die Methode lässt sich übertragen.

Ein Beispiel: Die Grazer Terminsoftware verschickt Terminerinnerungen über einen externen Mailversanddienst. Ihre Lieferantenbewertung hält fest, wo dieser Anbieter Daten hostet, ob er Multi Faktor Authentifizierung anbietet, wie er Vorfälle meldet und wie schnell. Dabei zeigt sich, dass der Anbieter eine Benachrichtigung bei Verletzungen "zeitnah" verspricht, ohne Stundenangabe. Mit der eigenen 24 Stunden Frist im Nacken verlangt das Grazer Unternehmen eine Zahl im Vertrag.

Wie das in einem Rails oder Solidus Projekt aussieht

NIS2 Compliance ist kein Werkzeug, das du kaufst. Sie ist Praxis, die du zeigen kannst, und in einem Ruby on Rails SaaS oder einem Solidus Shop ist das ziemlich gewöhnliche Technik.

Die Risikobewertung beginnt mit den Werten (die Produktionsdatenbank, die Authentifizierung, der Adminbereich, die API, die Kundendaten), dem, was bei jedem schiefgehen kann, und der Kontrolle dafür. Zugriffskontrolle heißt Multi Faktor Authentifizierung im Adminpanel, auf den Produktionsservern, in der Deployment Pipeline und in der Cloud Konsole, und in einem Solidus Shop ein Admin Backend mit sauber getrennten Rollen.

Verschlüsselung heißt TLS bei jeder Verbindung und verschlüsselte Backups. Rails bringt Active Record Encryption mit, um sensible Attribute auf Anwendungsebene zu verschlüsseln.²¹ Rails hat außerdem ein eingebautes rate_limit für Controller, das gegen das Erraten von Passwörtern beim Login und beim Zurücksetzen des Passworts hilft.²²

Monitoring macht die 24 Stunden Frist überhaupt erst möglich: zentrale Logs, Alarme bei ungewöhnlicher Adminaktivität und jemand, der sie auch außerhalb der Arbeitszeit bekommt. Aufrechterhaltung des Betriebs heißt, die Wiederherstellung zu testen, nicht nur das Backup zu machen, und aufzuschreiben, wie lange sie dauert und wie viele Daten du verlieren könntest.

Schulungen betreffen die Entwicklung (sicheres Programmieren, die OWASP Top 10, das Verfahren bei Vorfällen) und die Geschäftsleitung, die nach Artikel 20 genug verstehen muss, um die Maßnahmen zu genehmigen und zu überwachen.¹

Durchgerechnetes Beispiel: eine Übung auf Staging

Die Innsbrucker Plattform übt auf Staging. Um 10:00 Uhr widerruft ein Entwickler jede Adminsitzung und stellt dann die Auszahlungstabelle aus dem verschlüsselten Backup der Nacht wieder her. Die Wiederherstellung dauert 47 Minuten. Das Backup ist von 2:00 Uhr, im Ernstfall müssten also bis zu acht Stunden Änderungen an Auszahlungen aus den Unterlagen des Zahlungsdienstleisters rekonstruiert werden. Beide Zahlen kommen mit dem Datum der Übung in den Notfallplan. Im nächsten Quartal wiederholt das Team die Übung und versucht, sie zu schlagen.

Wie ich dafür baue

Hier kommt meine Arbeit zusammen. Ich baue SaaS Plattformen auf Ruby on Rails und Shops auf Solidus, und ich baue sie von Anfang an sicher und widerstandsfähig: verschlüsselter Umgang mit Daten, Multi Faktor Authentifizierung, rollenbasierter Zugriff, Logs, die auch wirklich jemand liest, und dokumentierte Verfahren für Vorfälle.

Jedes System, das ich liefere, bekommt einen Penetrationstest mit dem Werkzeugkasten von Kali Linux, bevor es ins Internet geht, mit Werkzeugen wie Nmap, Burp Suite, Metasploit und OWASP ZAP, und die Befunde werden mit Schweregrad und Behebung dokumentiert. Diese Aufzeichnung fließt direkt in die Nachweise, die eine NIS2 Behörde verlangt.

Ich helfe auch herauszufinden, ob NIS2 überhaupt gilt, von den Begriffen der Anhänge und dem Größentest bis dahin, wo du dich registrieren würdest, gemeinsam mit einer Anwältin oder einem Anwalt im jeweiligen Mitgliedstaat für die nationalen Fragen. Und auf der Wachstumsseite baue ich Marketing, das keine neuen Löcher reißt: First Party Analytics, sichere Formulare und Personalisierung, die die Privatsphäre respektiert, statt eines Haufens Skripte von Drittanbietern.

Was du jetzt tun solltest

Arbeite das in dieser Reihenfolge durch.

1. Prüf die Art. Gehört der Dienst, den du in der EU erbringst, zu den Arten in Anhang I oder II? Für SaaS lies die Definition des Cloud Computing. Für einen Shop frag, ob andere Händler über dich verkaufen.
2. Prüf die Größe. Beschäftigte in Vollzeitäquivalenten, Umsatz und Bilanzsumme, mit verbundenen und Partnerunternehmen, über zwei Geschäftsjahre, und schau, ob die österreichische Ausnahme für unabhängige Netz und Informationssysteme auf dich passt.
3. Finde dein Land. Wo bist du niedergelassen, wo liegt deine Hauptniederlassung, und falls nirgends in der EU, wo wird dein Vertreter sitzen? Lies das Gesetz und die Registrierungsregeln dieses Landes.
4. Prüf die Registrierung. Bist du in Österreich erfasst und noch nicht bei der Cybersicherheitsbehörde registriert, ist das die erste Aufgabe, denn die Frist endet mit dem Jahreswechsel.
5. Mach die Lückenanalyse gegen die zehn Maßnahmen, und gegen die Durchführungsverordnung 2024/2690, wenn du zu den digitalen Anbieterarten gehörst.
6. Bau zuerst das Verfahren für Vorfälle. Kannst du heute keine frühe Erstmeldung binnen 24 Stunden abschicken, ist das die Priorität.
7. Informiere und schule die Geschäftsleitung. Nach Artikel 20 und § 31 NISG 2026 stellt sie die Maßnahmen sicher und beaufsichtigt sie, und nach der Richtlinie kann sie haften.
8. Dokumentiere alles. Risikobewertungen, Maßnahmen, Schulungsnachweise, Übungen und Lieferantenbewertungen. Eine Behörde verlangt Nachweise, keine Absichten.

NIS2 geht nicht wieder weg. Die Unternehmen, die sie als Anlass nehmen, ordentlich zu bauen, statt sie als Papierkram zu behandeln, haben am Ende weniger Vorfälle, erholen sich schneller und haben Kundinnen und Kunden, die ihnen mehr anvertrauen.

Footnotes

1. Europäisches Parlament und Rat, Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2 Richtlinie), Artikel 2, 3, 5, 6, 20, 21, 23, 26, 32 bis 35, Erwägungsgrund 33 und Anhänge I und II, ABl. L 333, 27. Dezember 2022, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022L2555

2. Europäische Kommission, NIS2 Directive: securing network and information systems, Shaping Europe's digital future, zuletzt aktualisiert am 2. Juli 2026, https://digital-strategy.ec.europa.eu/en/policies/nis2-directive

3. Republik Österreich, Bundesgesetz, mit dem das Netz und Informationssystemsicherheitsgesetz 2026 erlassen wird, BGBl. I Nr. 94/2025, §§ 3a, 44 und 51, 23. Dezember 2025, https://www.ris.bka.gv.at/Dokumente/BgblAuth/BGBLA_2025_I_94/BGBLA_2025_I_94.html

4. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 25 Ermittlung der Unternehmensgröße, Absätze 1 bis 4, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273886/NOR40273886.html

5. Europäisches Parlament und Rat, Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienzverordnung), Erwägungsgrund 12 und Anhang I Teil II, ABl., 2024, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2847

6. Europäisches Parlament und Rat, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 33, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

7. Europäisches Parlament und Rat, Richtlinie 2005/29/EG über unlautere Geschäftspraktiken, konsolidierte Fassung vom 28. Mai 2022, Artikel 2 Buchstabe n, EUR Lex, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02005L0029-20220528

8. Europäische Kommission, Empfehlung 2003/361/EG betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, Anhang Artikel 2, 4, 5 und 6, ABl. L 124, 2003, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32003H0361

9. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 38 Aufsichtsmaßnahmen in Bezug auf wesentliche und wichtige Einrichtungen, Absätze 1 und 2, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273899/NOR40273899.html

10. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 45 Verwaltungsstrafbestimmungen, Absätze 1 bis 4, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273906/NOR40273906.html

11. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 32 Risikomanagementmaßnahmen im Bereich der Cybersicherheit, Absätze 1 bis 5, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273893/NOR40273893.html

12. Europäische Kommission, Durchführungsverordnung (EU) 2024/2690 vom 17. Oktober 2024 zur Festlegung der technischen und methodischen Anforderungen an die Risikomanagementmaßnahmen im Bereich der Cybersicherheit und zur Bestimmung erheblicher Sicherheitsvorfälle für digitale Anbieter nach der Richtlinie (EU) 2022/2555, Artikel 3, 7 und 11, ABl., 18. Oktober 2024, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R2690

13. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 34 Berichtspflichten, Absätze 1 bis 4, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273895/NOR40273895.html

14. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 24 Wesentliche und wichtige Einrichtungen, Absätze 1 und 2, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273885/NOR40273885.html

15. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 29 Register der Einrichtungen, Absätze 2 bis 6, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273890/NOR40273890.html

16. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 3a Bundesamt für Cybersicherheit, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273863/NOR40273863.html

17. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 31 Governance, Absätze 1 und 2, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273892/NOR40273892.html

18. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 28 Territorialität, Absätze 1 bis 4, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273889/NOR40273889.html

19. Republik Österreich, Netz und Informationssystemsicherheitsgesetz 2026 (NISG 2026), § 33 Nachweis der Wirksamkeit von Risikomanagementmaßnahmen, Absätze 1 und 2, Rechtsinformationssystem des Bundes (RIS), abgerufen am 8. November 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40273894/NOR40273894.html

20. Europäische Kommission, NIS2 transposition in EU countries, Shaping Europe's digital future, zuletzt aktualisiert am 1. Juli 2025, https://digital-strategy.ec.europa.eu/en/policies/nis-transposition

21. Ruby on Rails Guides, Active Record Encryption, guides.rubyonrails.org, https://guides.rubyonrails.org/active_record_encryption.html

22. Ruby on Rails API, ActionController::RateLimiting::ClassMethods, rate_limit, api.rubyonrails.org, https://api.rubyonrails.org/classes/ActionController/RateLimiting/ClassMethods.html