Was das Gesetz verlangt
Seit 1. Oktober 2026 gilt in Österreich das NISG 2026. Es beruht auf der NIS-2-Richtlinie der EU.
§ 32 Abs. 4 lit. d NISG 2026 nennt die Sicherheit der Lieferkette als Mindestinhalt des Risikomanagements. Gemeint sind die Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Das Gesetz nennt vier Punkte, die Sie berücksichtigen müssen:
- die spezifischen Schwachstellen jedes unmittelbaren Anbieters,
- die Gesamtqualität seiner Produkte,
- seine Cybersicherheitspraxis, auch die Sicherheit seiner Entwicklungsprozesse,
- die Ergebnisse koordinierter Risikobewertungen der EU für kritische Lieferketten.
Art. 21 Abs. 2 lit. d und Abs. 3 der NIS-2-Richtlinie enthalten dieselbe Pflicht für alle EU-Staaten.
Die Maßnahmen müssen geeignet und verhältnismäßig sein (§ 32 Abs. 1 und 3 NISG 2026). Risiko, Größe und mögliche Schäden bestimmen also den Aufwand.
Wer betroffen ist
Die Pflicht trifft wesentliche und wichtige Einrichtungen. Ob Ihr Unternehmen dazu zählt, klären Sie anhand des Gesetzes, am besten mit rechtlicher Beratung.
Lieferanten sind meist keine Einrichtung im Sinn des Gesetzes. Sie spüren die Pflicht trotzdem: Ihre Kunden fragen nach Nachweisen, Fragebögen und Vertragsklauseln.
Wer an mehrere Einrichtungen liefert, beantwortet oft ähnliche Fragen mehrfach. Eine gepflegte Selbstauskunft spart hier viel Zeit.
Ablauf in sechs Schritten
- Lieferanten erfassenFühren Sie eine vollständige Liste mit Leistung, Ansprechperson und Domain. Ohne Liste gibt es keine Steuerung.
- Nach Risiko einstufenFragen Sie: Welche Daten sieht der Lieferant? Hat er Zugriff auf Ihre Systeme? Wie schnell ist er ersetzbar? Daraus folgt die Prüftiefe.
- Anforderungen festlegenLegen Sie je Stufe fest, welche Nachweise Sie verlangen. Für kritische Lieferanten etwa Zertifikat, Fragebogen und Notfallkontakt.
- Prüfen und belegenWerten Sie Antworten und Nachweise aus. Halten Sie fest, wer wann was geprüft hat.
- Im Vertrag verankernVereinbaren Sie Meldepflichten bei Vorfällen, Prüfrechte und Regeln für Unterauftragnehmer.
- Laufend überwachenPrüfen Sie kritische Lieferanten öfter. Achten Sie auf ablaufende Zertifikate und neue Schwachstellen.
Welche Fragen Sie Lieferanten stellen
Ein guter Fragebogen folgt den zehn Mindestinhalten aus § 32 Abs. 4 NISG 2026. So passen die Antworten zu Ihrem eigenen Risikomanagement.
| Thema | Beispielfrage an den Lieferanten |
|---|---|
| Risikoanalyse und Sicherheitskonzepte | Gibt es eine freigegebene Sicherheitsrichtlinie, die jährlich überprüft wird? |
| Umgang mit Sicherheitsvorfällen | Wie schnell informieren Sie uns über einen Vorfall, der uns betrifft? |
| Betrieb, Sicherung und Notfall | Werden Sicherungen getrennt aufbewahrt und Wiederherstellungen getestet? |
| Sicherheit der Lieferkette | Welche Unterauftragnehmer sehen unsere Daten, und in welchem Land? |
| Beschaffung, Entwicklung und Wartung | Wie schnell spielen Sie kritische Sicherheitsupdates ein? |
| Wirksamkeit prüfen | Gibt es interne Audits oder externe Prüfungen Ihrer Maßnahmen? |
| Cyberhygiene und Schulung | Werden alle Beschäftigten mindestens einmal im Jahr geschult? |
| Kryptografie und Verschlüsselung | Sind unsere Daten bei Übertragung und Speicherung verschlüsselt? |
| Personal, Zugriff und Anlagen | Werden Zugänge beim Austritt einer Person sofort entzogen? |
| Mehr-Faktor-Anmeldung und sichere Kommunikation | Ist für Fernzugriffe und Admin-Konten ein zweiter Faktor Pflicht? |
Was Lieferanten vorbereiten sollten
- Eine aktuelle Selbstauskunft mit Kontakten für Sicherheit und Vorfälle.
- Zertifikate wie ISO/IEC 27001 mit Geltungsbereich und Ablaufdatum.
- Eine Liste der Unterauftragnehmer mit Leistung und Land.
- Eine kurze Beschreibung von Sicherung, Notfallplan und Updates.
- Eine Meldestelle für Sicherheitslücken, etwa die Datei security.txt auf der Website.
- Eine saubere öffentliche Konfiguration: E-Mail-Schutz mit SPF und DMARC, aktuelle Verschlüsselung der Website.
Häufige Fehler
- Alle Lieferanten gleich prüfen. Das bindet Zeit bei unkritischen Lieferanten und fehlt bei kritischen.
- Nur einmal beim Einkauf prüfen. Risiken ändern sich, Zertifikate laufen ab.
- Antworten ohne Nachweis übernehmen. Lassen Sie sich wichtige Aussagen belegen.
- Nichts dokumentieren. In der Prüfung zählt, was festgehalten ist.
Checkliste: Lieferkette nach NISG 2026
Haken Sie ab, was bei Ihnen schon steht.
- Alle Lieferanten mit Leistung, Ansprechperson und Domain erfasst.
- Jeder Lieferant nach Daten, Zugriff, Bedeutung und Ersatz eingestuft.
- Je Stufe festgelegt, welche Nachweise und Fragen gelten.
- Fragebogen an den zehn Themen des § 32 Abs. 4 NISG 2026 ausgerichtet.
- Nachweise mit Ablaufdatum abgelegt, Erinnerung vor Ablauf eingerichtet.
- Meldepflichten, Prüfrechte und Unterauftragnehmer im Vertrag geregelt.
- Kritische Lieferanten öfter geprüft als unkritische.
- Jede Prüfung mit Datum, Ergebnis und Person dokumentiert.
Sie dürfen diese Liste frei übernehmen und anpassen.
Häufige Fragen
Gilt das NISG 2026 auch für Lieferanten?
Direkt nur, wenn der Lieferant selbst eine wesentliche oder wichtige Einrichtung ist. Indirekt ja: Einrichtungen müssen die Cybersicherheitspraxis ihrer unmittelbaren Anbieter berücksichtigen (§ 32 Abs. 4 lit. d NISG 2026). Deshalb fragen sie nach Nachweisen.
Seit wann gilt das NISG 2026?
Seit 1. Oktober 2026 (BGBl. I Nr. 94/2025). Geprüft am 31.10.2026.
Müssen wir alle Lieferanten gleich gründlich prüfen?
Nein. Das Gesetz verlangt geeignete und verhältnismäßige Maßnahmen (§ 32 Abs. 1 und 3 NISG 2026). Üblich ist eine Einstufung nach Risiko. Kritische Lieferanten prüfen Sie gründlich, unkritische mit wenig Aufwand.
Was ist mit den Lieferanten unserer Lieferanten?
§ 32 Abs. 4 lit. d NISG 2026 spricht von unmittelbaren Anbietern. Fragen Sie Ihre Lieferanten trotzdem nach deren wichtigen Unterauftragnehmern. Ein Ausfall dort trifft auch Sie.
Gilt NIS2 auch in der Schweiz?
Die NIS-2-Richtlinie richtet sich an die Mitgliedstaaten der EU. Schweizer Lieferanten von Kunden in der EU erhalten aber dieselben Fragen.
Quellen
- NISG 2026, § 32 Risikomanagementmaßnahmen, BGBl. I Nr. 94/2025, in Kraft seit 1.10.2026
- NIS-2-Richtlinie, Art. 21 Abs. 2 lit. d und Abs. 3, Richtlinie (EU) 2022/2555
Rechtsquellen geprüft am 31.10.2026. Rechtsinformation, keine Rechtsberatung. Für Ihren Einzelfall fragen Sie bitte eine Fachperson.