NIS2 ist in Kraft und die Schulungspflicht gilt

Seit dem 1. Oktober 2026 ist NIS2 in Österreich in Kraft. Die Frage lautet damit nicht mehr, ob die Anforderungen kommen, sondern ob Ihr Unternehmen sie bereits erfüllt. Ein Punkt wird dabei immer wieder unterschätzt: die Pflicht, Mitarbeitende und auch die Geschäftsleitung selbst regelmäßig in Cybersicherheit zu schulen. Dieser Beitrag ordnet ein, wen NIS2 betrifft, was die Richtlinie konkret zu Schulungen sagt und womit Sie jetzt am besten beginnen.

Wen NIS2 betrifft

NIS2 unterscheidet zwei Gruppen: „wesentliche“ und „wichtige“ Einrichtungen. Zu den wesentlichen Einrichtungen zählen unter anderem Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser und digitale Infrastruktur. Als wichtige Einrichtungen gelten etwa Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und bestimmte digitale Dienste. Für beide Gruppen gelten weitgehend dieselben Pflichten. Unterschiede gibt es vor allem bei Aufsicht und Sanktionen.

In den Anwendungsbereich fallen in der Regel mittlere und große Unternehmen dieser Sektoren, grob gesagt ab 50 Beschäftigten oder mehr als zehn Millionen Euro Jahresumsatz. Einzelne Einrichtungen sind unabhängig von ihrer Größe erfasst. Und selbst wer formal nicht betroffen ist, bekommt NIS2 häufig über die Lieferkette zu spüren: Betroffene Unternehmen müssen die Sicherheit ihrer Zulieferer bewerten und geben Anforderungen vertraglich weiter.

Was Artikel 20 und 21 für Schulungen bedeuten

Zwei Stellen der Richtlinie machen Awareness-Schulungen verbindlich:

• Artikel 20 (Governance): Die Leitungsorgane müssen die Cybersicherheits-Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Sie sind zudem verpflichtet, selbst an Schulungen teilzunehmen, und sollen vergleichbare Schulungen regelmäßig auch ihren Mitarbeitenden anbieten.
• Artikel 21 (Risikomanagement): Der Katalog der Mindestmaßnahmen nennt ausdrücklich grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit, gleichrangig neben Themen wie Backup-Management, Zugriffskontrolle und Lieferkettensicherheit.

Awareness-Training ist damit keine freiwillige Kür mehr, sondern Teil des gesetzlich geforderten Maßnahmenpakets. Eine einmalige Unterweisung bei der Einstellung genügt dem Anspruch „regelmäßig“ erkennbar nicht: Gemeint ist ein laufendes Programm, das alle Beschäftigten erreicht und dessen Durchführung sich belegen lässt.

Haftung der Geschäftsleitung

Artikel 20 sieht vor, dass Leitungsorgane für Verstöße gegen die Risikomanagement-Pflichten verantwortlich gemacht werden können. Wie diese Verantwortlichkeit im Einzelfall ausgestaltet ist, ergibt sich aus dem nationalen Recht und hängt von den Umständen ab. Dieser Beitrag ist ausdrücklich keine Rechtsberatung. Für die Bewertung Ihrer konkreten Situation sollten Sie juristischen Rat einholen.

Festhalten lässt sich aber: Die Schulungspflicht ist einer der wenigen Punkte, an denen NIS2 die Geschäftsleitung persönlich adressiert. Wer die eigene Teilnahme und ein dokumentiertes Programm für die Belegschaft vorweisen kann, ist in einer deutlich besseren Position als ein Unternehmen ohne Nachweise.

Konkrete erste Schritte

1. Betroffenheit klären: Prüfen Sie Sektor und Unternehmensgröße, und ob Ihre Kundschaft aus regulierten Branchen Anforderungen an Sie weiterreicht.
2. Bestandsaufnahme machen: Welche Schulungen gab es bisher, wer hat teilgenommen, was ist dokumentiert? Lücken werden hier meist schnell sichtbar.
3. Ein wiederkehrendes Programm aufsetzen: Kombinieren Sie E-Learning-Kurse mit regelmäßigen Phishing-Simulationen. So wird aus Pflichterfüllung messbarer Sicherheitsgewinn. Warum diese Kombination wirkt, erklärt unser Beitrag über Cybersecurity Awareness.
4. Geschäftsleitung einbeziehen: Planen Sie die Teilnahme der Leitungsebene von Anfang an mit ein, denn sie ist ausdrücklich gefordert.
5. Nachweise sichern: Teilnahmequoten, Abschlüsse und Simulationsergebnisse gehören sauber dokumentiert, damit Sie gegenüber Behörden und Kundschaft auskunftsfähig sind.

Jetzt starten statt nachrüsten

NIS2 ist geltendes Recht, und die Schulungspflicht lässt sich mit überschaubarem Aufwand erfüllen, wenn man strukturiert beginnt. Wie Protectly Unternehmen dabei unterstützt, von fertigen Awareness-Kursen bis zum Teilnahme-Reporting, zeigt unsere NIS2-Übersicht. Oder Sie sehen sich die Plattform direkt an: Vereinbaren Sie eine Demo, unverbindlich und auf Ihre Branche zugeschnitten.