Cyberattacken in Österreichs Industrie : NIS2: Tausende Firmen müssen neue Cybersicherheitsvorgaben erfüllen

Ab Oktober gelten in der Europäischen Union neue Anforderungen, um die Cyber-Sicherheit in Unternehmen mit mehr als 50 Mitarbeitern und in bestimmten Branchen zu verbessern. Aber auch öffentliche Einrichtungen müssen im Rahmen der Cybersicherheitsrichtlinie "NIS 2" IT-Sicherheitsmaßnahmen ergreifen. Außerdem müssen sie IT-Sicherheitsvorfälle melden. Für die tausenden betroffenen Unternehmen soll das notwendige nationale Gesetz so praxistauglich wie möglich gestaltet werden.

>>> NIS2-Richtlinie: Ist Ihr Unternehmen cyberfit?

Das hat am Mittwoch nach einem Arbeitsgespräch mit IV-Chef Georg Knill Innenminister Gerhard Karner (ÖVP) versprochen. Die großen Chancen der Digitalisierung betonten der Politiker und die Unternehmensvertreter anschließend vor Journalistinnen und Journalisten. Mit deren Fortschreiten wüchsen aber auch die Gefahren. Karner erinnerte etwa an den Cyberangriff auf das Land Kärnten im Sommer 2022, der die öffentliche Verwaltung wochenlang beeinträchtigte und teilweise lahmlegte. "Jeder kann getroffen werden."

"Es geht auch um Rechtssicherheit", sagte der Präsident der Industriellenvereinigung (IV), Knill. Viele Unternehmen sähen in Cyberattacken eine mögliche Existenzbedrohung, zitierte er eine Umfrage. "Wichtig für uns Unternehmen ist es, dass es kein 'Gold Plating' gibt", betonte der Unternehmensvertreter zur Umsetzung von "NIS 2". "Gold Plating" bedeutet, die Anforderungen der EU zu übererfüllen und damit den Betroffenen das Leben zu erschweren.

>>> OT Security – „Firmenschefs müssen Methoden finden, das Risiko zu quantifizieren“

Im Rahmen der nationalen Umsetzung der EU-Richtlinie soll durch die Einbindung der Unternehmen von Anfang an eine Übererfüllung der EU-Vorgaben vermieden und eine Vereinheitlichung des Schutzes vor Cyber-Kriminalität erreicht werden. Unternehmen, die sich informieren wollen, ob sie betroffen sind, soll die Homepage nis.gv.at dienen. Ab Februar oder März, kündigte Karner an, wolle man mit dem Gesetz "in eine vertiefende Begutachtung unter Einbindung aller Stakeholder" gehen. Sowohl online als auch offline wolle man Anregungen und Vorschläge für Änderungen von Seiten der Unternehmen einholen.

"Wir wollen die Widerstandsfähigkeit im Cyberbereich erhöhen, die Reaktionsfähigkeit verkürzen und verpflichtende einheitliche Standards für Sicherheitsvorkehrungen festlegen", erläuterte der Innenminister. Die Einrichtung einer Servicestelle für potentiell betroffene Unternehmen im Innenministerium ist ebenfalls in Planung. Die Umsetzung soll in Planspielen mit einzelnen Unternehmen unterschiedlicher Größe getestet werden.

>>> Österreichs Industrie im Visier der Hacker

Wie viele Unternehmen tatsächlich von "NIS 2" betroffen sein werden, ist noch unklar. Beim Pressegespräch war von 3.000 bis 4.000 die Rede. Die Liste der betroffenen Sektoren und Teilsektoren - jeweils unterteilt in hochkritische und kritische Bereiche - der EU ist jedenfalls lang und umfasst das produzierende Gewerbe und z.B. auch die Forschung, nicht nur z.B. den Energiesektor mit all seinen Bereichen oder öffentliche Dienstleistungen wie die Wasserversorgung. Derzeit sind nur ca. 100 Unternehmen von "NIS 1" erfasst.