NIS2 & Cyberversicherung in Österreich

NIS2 ist mehr als ein IT-Thema

Die europäische NIS2-Richtlinie und ihre österreichische Umsetzung im Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) richten den Blick ausdrücklich auch auf Organisation und Leitung. Für wesentliche und wichtige Einrichtungen geht es nicht nur um technische Schutzmaßnahmen, sondern um die systematische Steuerung von Cyberrisiken.

In Österreich treten die zentralen Bestimmungen des NISG 2026 mit 1. Oktober 2026 in Kraft. Ob ein Unternehmen in den Anwendungsbereich fällt, hängt insbesondere von Tätigkeitsbereich, Größe und den gesetzlichen Sonderregeln ab. Eine pauschale Einordnung nur anhand der Mitarbeiterzahl oder Branche ist deshalb nicht ausreichend.

Cyberversicherung und NIS2 erfüllen unterschiedliche Aufgaben: NIS2 beziehungsweise das NISG 2026 definieren regulatorische Anforderungen. Eine Cyberversicherung kann ausgewählte finanzielle Folgen eines versicherten Cybervorfalls übertragen und professionelle Krisenleistungen bereitstellen.

Was bedeutet das für die Cyberversicherung?

Eine Cyberversicherung ist kein Nachweis für NIS2-Compliance. Umgekehrt bedeutet die Umsetzung der gesetzlichen Risikomanagementmaßnahmen nicht automatisch, dass ein Unternehmen optimal versichert ist. Beide Ebenen sollten getrennt geprüft und anschließend aufeinander abgestimmt werden.

• Versicherbarkeit: Versicherer prüfen Sicherheitsmaßnahmen und organisatorische Voraussetzungen, bevor sie ein Risiko zeichnen.
• Deckungsumfang: Betriebsunterbrechung, IT-Forensik, Datenwiederherstellung, Haftpflicht und Incident Response können je nach Bedingungswerk versichert sein.
• Obliegenheiten: Angaben im Antrag und vertragliche Sicherheitsanforderungen müssen zur tatsächlichen Organisation passen.
• Incident Response: Die versicherungsvertragliche Schadenmeldung und gesetzliche beziehungsweise behördliche Meldepflichten sind getrennte Prozesse und müssen im Notfallplan zusammengedacht werden.
• Restrisiko: Auch ein gut geschütztes Unternehmen kann einen Cybervorfall erleiden. Versicherung adressiert den verbleibenden finanziellen Teil des Risikos.

Die grundlegenden Deckungsfragen erklären wir ausführlich im Leitfaden Cyberversicherung in Österreich.

NIS2, Cyber Readiness und Notfallplanung zusammendenken

Ein sinnvoller Ansatz beginnt nicht mit einem Versicherungsantrag. Zuerst muss nachvollziehbar sein, welche Systeme, Dienste und Abhängigkeiten für den Betrieb wesentlich sind und welche extern sichtbaren Schwachstellen oder organisatorischen Lücken bestehen.

1. Anwendungsbereich prüfen: Betroffenheit nach NISG 2026 rechtlich und organisatorisch einordnen.
2. Risiko erfassen: Kritische Dienste, Systeme, Lieferketten und externe Angriffsfläche bewerten.
3. Maßnahmen priorisieren: Technische, operative und organisatorische Kontrollen risikobasiert umsetzen.
4. Notfallabläufe vorbereiten: Incident Response, BCM, Kommunikation und gesetzliche Meldewege definieren.
5. Restrisiko versichern: Danach Deckung, Versicherungssumme, Selbstbehalt und Incident-Response-Leistungen am tatsächlichen Risikoprofil ausrichten.

Der Cyber Readiness Scan von Cyberverantwortung kann dabei einen externen technischen Blick ergänzen. Er ersetzt weder eine Rechtsprüfung noch eine vollständige interne NIS2- oder Sicherheitsprüfung.

Häufige Fragen zu NIS2 und Cyberversicherung

Macht eine Cyberversicherung ein Unternehmen NIS2-konform?

Nein. Versicherung und regulatorische Compliance sind unterschiedliche Themen. Eine Police kann finanzielle Folgen bestimmter Cyberereignisse absichern, ersetzt aber keine gesetzlich erforderlichen Risikomanagementmaßnahmen.

Verlangt NIS2 ausdrücklich eine Cyberversicherung?

Das NISG 2026 verpflichtet betroffene Einrichtungen zu Cyber-Risikomanagement und weiteren gesetzlichen Pflichten. Eine allgemeine Pflicht zum Abschluss einer Cyberversicherung ergibt sich daraus nicht. Versicherung kann jedoch Teil des unternehmerischen Risikotransfers sein.

Kann NIS2 die Versicherbarkeit beeinflussen?

Indirekt ja: Versicherer beurteilen Sicherheitsniveau, Governance und Schadenprävention nach ihren eigenen Zeichnungsrichtlinien. Maßnahmen, die für regulatorisches Risikomanagement relevant sind, können deshalb auch für die Versicherungsprüfung bedeutsam sein.

Wer ist für NIS2 im Unternehmen verantwortlich?

Die operative Umsetzung verteilt sich regelmäßig auf mehrere Funktionen. Für wesentliche und wichtige Einrichtungen stellt § 31 NISG 2026 aber ausdrücklich Anforderungen an die Leitungsorgane hinsichtlich Sicherstellung und Beaufsichtigung der Risikomanagementmaßnahmen.

Was muss bei einem erheblichen Cybervorfall beachtet werden?

Neben technischen und versicherungsvertraglichen Schritten können gesetzliche Meldepflichten bestehen. Nach § 34 NISG 2026 sind für betroffene Einrichtungen unter anderem eine Frühwarnung grundsätzlich binnen 24 Stunden und eine weitergehende Meldung grundsätzlich binnen 72 Stunden vorgesehen.

Reicht ein Cyber Readiness Scan für NIS2?

Nein. Ein externer Scan kann technische Hinweise liefern und die Risikoeinschätzung unterstützen. NIS2 beziehungsweise das NISG 2026 betreffen jedoch ein wesentlich breiteres technisches, organisatorisches und operatives Risikomanagement.

Offizielle Grundlagen

Diese Seite dient der fachlichen Orientierung und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Rechtsvorschriften und die konkrete Situation der Organisation.

• NISG 2026 – BGBl. I Nr. 94/2025 (RIS)
• § 31 NISG 2026 – Governance (RIS)
• § 32 NISG 2026 – Risikomanagementmaßnahmen (RIS)
• § 34 NISG 2026 – Berichtspflichten (RIS)
• Richtlinie (EU) 2022/2555 – NIS2 (EUR-Lex)

Fachliche Verantwortung

Michael Samselnig beschäftigt sich als Versicherungsmakler und Cyberrisiko- und Cyberversicherungsexperte mit der Schnittstelle zwischen Cyberversicherung, NIS2, DORA, D&O, Cyber-Risikomanagement sowie Business Continuity und Incident Response.

Cyberverantwortung verbindet aktuelle Cyberlage-Daten, technische Risikoeinschätzung und Versicherungsberatung. Weitere Informationen finden Sie unter Über uns und im Fachwissen.