Persönliche Verantwortung
Die Leitung muss die Sicherheitsmaßnahmen nicht nur beauftragen, sondern aktiv beaufsichtigen – und sich dafür weiterbilden.
Ob direkt verpflichtet oder über die Lieferkette betroffen – das NISG 2026 macht Cybersicherheit ab Oktober 2026 zur Chefsache. Wir bringen Ihr Unternehmen führungssicher hindurch. Pragmatisch, in Wirtschaftssprache, ohne Technik-Kauderwelsch.
Von Franz Kopp – Jurist, Ökonom und Autor von „Quick Guide NIS-2 in Österreich" (Springer Gabler).
Die häufigste Frage – und die teuerste, wenn man sie falsch beantwortet. Drei kurze Fragen geben Ihnen eine erste Orientierung. Keine Rechtsberatung, sondern eine Standortbestimmung.
Vielleicht fällt Ihr Unternehmen nicht direkt unter das Gesetz. Aber Sie liefern an jemanden, der darunterfällt. Und in dem Moment werden dessen Pflichten zu Ihren Anforderungen – über den Vertrag, nicht über das Gesetz.
Das ist keine ferne Großkonzern-Regulierung. Es ist eine Vertriebsfrage: Bleiben Sie lieferfähig oder nicht?
Das NISG 2026 adressiert nicht die IT-Abteilung, sondern die Leitungsebene. Die Verantwortung liegt bei Geschäftsführung und Vorstand und lässt sich nicht nach unten weiterreichen.
Die Leitung muss die Sicherheitsmaßnahmen nicht nur beauftragen, sondern aktiv beaufsichtigen – und sich dafür weiterbilden.
Verstöße können mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Wenn es zählt, entscheidet nicht die Technik, sondern die Führung.
Die gute Nachricht: Das ist keine Drohung, sondern eine Chance, Führungsstärke zu zeigen – wenn Sie vorbereitet sind.
Ob Sie direkt unter das NISG 2026 fallen oder über Ihre Kunden hineingezogen werden – die Aufgabe ist eine andere. Der Einstieg ist auf jeder Stufe möglich, vom gesetzlichen Mindestmaß bis zur laufenden Begleitung.
Für wesentliche und wichtige Einrichtungen. Ansprechpartner ist die Leitungsebene – der Hebel ist persönliche Haftung, nicht Technik. Ziel: nachweisbare Haftungsentlastung.
Offener Vortrag, pro Person. Erfüllt die Teilnahmepflicht nach § 31 Abs. 2 mit Teilnahmebestätigung – das gesetzliche Minimum.
Pflichten-Landkarte, Verantwortungs- und Delegationsstrukturen, Haftungslage der Leitung (§ 31 Abs. 1), Priorisierung, Management-Einschätzung fürs Board.
Eskalationsmatrix, Executive Decision Sheet, Executive Incident Plan, Tabletop-Krisensimulation, Board-Reporting-Vorlage.
Verfügbarkeit, Quartals-Review, jährlicher Schulungs-Refresher, laufende Aktualisierung der Einordnung bei Änderungen.
Einstieg jederzeit auch über einen 90-minütigen Boardimpuls (1.200 €) – bei Buchung eines Folgepakets binnen 30 Tagen voll angerechnet.
Für Zulieferer und Dienstleister regulierter Kunden – meist KMU. Es geht nicht um Strafe, sondern um den Auftrag: angemessen statt maximal.
Offener Impuls, pro Person. Orientierung: Was verlangen Ihre Kunden – und was davon trifft Sie wirklich?
Prüfung der Kundenanforderungen und -klauseln, Abgleich mit der tatsächlichen Pflicht (§ 32 Abs. 4 lit. d), Ableitung der Handlungsfelder, schriftliche Einordnung.
Klausel-Redline und Nachverhandlung, angemessene Maßnahmenbasis, belastbare Lieferanten-Selbstauskunft – ein Nachweis, mehrfach nutzbar.
Effiziente Beantwortung von Kundenfragebögen und Assessments, Unterstützung bei neuen Verträgen.
Kurz: Bei den direkt Betroffenen geht es um Haftung. Bei Ihnen geht es um den Auftrag.
Wir klären Ihre Betroffenheit, Ihre größten Risiken und die nächsten sinnvollen Schritte. Ohne Verkaufsdruck.
Wir übersetzen die Anforderungen in Ihre Führungssprache: Wo stehen Sie, was ist wirklich dringend, was kann warten?
Auf Wunsch begleiten wir Sie in der Umsetzung – priorisiert, pragmatisch, mit Fokus auf Entscheidungs- und Handlungsfähigkeit.
Die meisten Zugänge zu NIS-2 sind entweder juristisch oder technisch. Beides hilft der Geschäftsführung wenig, wenn sie entscheiden muss. Franz Kopp verbindet beides: Jurist und Ökonom, der Cybersicherheit als Führungs- und Haftungsfrage übersetzt – nicht als Technikprojekt.
„NIS-2 ist kein IT-Projekt mit Haftungsanteil. Es ist ein Haftungs-Projekt mit IT-Anteil."
Direkt betroffen sind vor allem mittlere und große Unternehmen in kritischen Sektoren. Aber Vorsicht: Über die Lieferkette geraten auch kleinere Betriebe in die Pflicht, wenn sie an regulierte Unternehmen liefern. Die 2-Minuten-Einschätzung oben gibt Ihnen eine erste Orientierung.
Oft ja – nicht über das Gesetz, sondern über den Vertrag. Regulierte Unternehmen müssen ihre Lieferkette absichern und geben die Anforderungen an ihre Zulieferer weiter. Wer sie nicht erfüllt, riskiert den Auftrag.
Das österreichische Umsetzungsgesetz gilt ab 1. Oktober 2026. Die Vorbereitung sollte deutlich früher beginnen.
Die Verantwortung liegt ausdrücklich beim Leitungsorgan. Wer seine Aufsichtspflichten vernachlässigt, riskiert im Schadensfall persönliche Konsequenzen. Delegieren können Sie die Umsetzung, nicht die Verantwortung.
Ja. Die Leitungsebene muss sich zu Cybersicherheit weiterbilden, um ihrer Aufsichtspflicht nachkommen zu können.
Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes – plus die persönlichen Folgen für die Leitung.
Bringen Sie Ihre konkrete NIS-2-Frage mit. Wir ordnen Ihre Situation ein und sagen Ihnen ehrlich, was zu tun ist – und was nicht.
Kostenloses 30-Minuten-Sparring buchen