NIS2 · NISG 2026 · BSIG · DSGVO

Die NIS2-Schulungspflicht erfüllen und belegen.

NIS2 ist in Kraft: in Österreich seit 1. Oktober 2026, in Deutschland seit 6. Dezember 2025. In beiden Ländern muss die Leitung an Schulungen zur Cybersicherheit teilnehmen, und Schulungen für die Beschäftigten gehören zu den Pflichten der Einrichtung. Protectly liefert die Trainings und den Teilnahmenachweis als Export, gehostet in der EU, auf Wunsch ausschließlich in Deutschland, und Betriebsrat-konform ausgewertet.

Quellen: BGBl. I Nr. 94/2025 (Österreich), BGBl. 2025 I Nr. 301 (Deutschland)

Termin buchen

Was das Gesetz verlangt

Österreich und Deutschland haben NIS2 in nationales Recht umgesetzt. Die Schweiz ist kein EU-Mitglied und hat eigene Regeln.

Eine EU-Richtlinie, nationale Gesetze

Grundlage ist die NIS2-Richtlinie (EU) 2022/2555. Sie gilt nicht direkt: Jeder Mitgliedstaat setzt sie in einem eigenen Gesetz um und regelt dabei Details zum Anwendungsbereich, die zuständigen Behörden, die Registrierung und die Geldbußen selbst. Zwei Vorgaben der Richtlinie gelten in allen Mitgliedstaaten: Art. 20 Abs. 2 verlangt Schulungen für die Leitungsorgane, Art. 21 Abs. 2 lit. g nennt grundlegende Verfahren der Cyberhygiene und Schulungen zur Cybersicherheit als Teil des Risikomanagements.

Umsetzungsstand in den EU-Mitgliedstaaten (Europäische Kommission, Englisch)

Österreich

Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026), BGBl. I Nr. 94/2025, in Kraft seit 1. Oktober 2026.

Leitung
§ 31 Abs. 2 NISG 2026: Die Mitglieder der Leitungsorgane müssen an Cybersicherheitsschulungen teilnehmen, die für sie konzipiert sind.
Beschäftigte
§ 31 Abs. 2 NISG 2026: Die Einrichtung muss ihren Beschäftigten regelmäßig entsprechende Schulungen anbieten.

NISG 2026 im Rechtsinformationssystem des Bundes (RIS)

Deutschland

BSI-Gesetz (BSIG) in der Fassung des NIS-2-Umsetzungsgesetzes, BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025.

Leitung
§ 38 Abs. 3 BSIG: Die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen.
Beschäftigte
§ 30 Abs. 2 Nr. 7 BSIG: Zu den Risikomanagementmaßnahmen gehören grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik.

BSI-Gesetz auf gesetze-im-internet.de

Ob und in welcher Form Ihre Einrichtung betroffen ist, ergibt sich aus dem jeweiligen Gesetz. Diese Seite ist keine Rechtsberatung.

Pflicht, Umsetzung, Nachweis

So ordnen sich die Anforderungen den Leistungen von Protectly zu und das erhalten Sie als Beleg.

Anforderung So setzen Sie es mit Protectly um Ihr Nachweis
Schulung der Leitungsorgane§ 31 Abs. 2 NISG 2026, § 38 Abs. 3 BSIG Eigene Trainings für die Führungsebene, etwa „NIS2 Management Training (3D)“ und „Informationssicherheit für Führungskräfte“. Teilnahmenachweis als Export
Regelmäßige Schulung der Beschäftigten§ 31 Abs. 2 NISG 2026, § 30 Abs. 2 Nr. 7 BSIG Über 80 Trainings, unter anderem zu Informationssicherheit, Datenschutz und Compliance, als Microlearning, 2D oder 3D. Export von Schulungsfortschritt und Teilnahme
Cyberhygiene im AlltagArt. 21 Abs. 2 lit. g NIS2 Phishing-Simulationen mit MS365-Melde-Button, damit verdächtige Mails mit einem Klick gemeldet werden. Anonymisierte Klick- und Melderaten als Bericht

Passende Kurse ansehen: NIS2 Management Training (3D), Informationssicherheit für Führungskräfte, Alle Kurse

Sicherheit und Datenschutz bei Protectly

Wir sagen Ihnen genau, was heute gilt und was noch in Vorbereitung ist.

Bereich Aktueller Stand
ISO 27001Informationssicherheit Unsere Informationssicherheit richtet sich nach den Prinzipien der ISO 27001. Die Zertifizierung ist in Vorbereitung.
BSI IT-GrundschutzSicherheitskonzept Ein Fachsicherheitskonzept auf Basis des BSI IT-Grundschutzes liegt vor. Sie erhalten es auf Anfrage.
DSGVODatenschutz Auftragsverarbeitungsvertrag (AVV) und Löschkonzept auf Anfrage, Auswertungen nur anonymisiert und aggregiert.
HostingEU-Rechenzentren, auf Wunsch nur Deutschland Betrieb bei Providern, die nach ISO 27001 bzw. BSI C5 zertifiziert sind: Open Telekom Cloud der Deutschen Telekom (Region eu-de) und Hetzner.

Ihre Daten bleiben in der EU, auf Wunsch ausschließlich in Deutschland.

Aktuell läuft Protectly in deutschen Rechenzentren der Open Telekom Cloud (Deutsche Telekom, Region eu-de) und von Hetzner. Zertifiziert nach ISO 27001 bzw. BSI C5 sind diese Provider, nicht Protectly selbst. Backups liegen verschlüsselt an einem getrennten Standort.

Technische und organisatorische Maßnahmen

Das prüft Ihre IT-Sicherheit üblicherweise zuerst.

  • Verschlüsselte Übertragung

    Verschlüsselte Übertragung per HTTPS mit TLS 1.2 und 1.3.

  • Verschlüsselte Backups

    Nächtliche, mit AES-256 verschlüsselte Backups an einem getrennten Standort, aufbewahrt für höchstens rund sechs Monate.

  • Rollen und Rechte

    Rollen- und Rechtesystem, damit jede Person nur sieht, was sie für ihre Aufgabe braucht.

  • Single Sign-on

    Single Sign-on über Ihren Identity Provider per SAML oder OIDC.

  • Kontosperre

    Sperre des Kontos nach mehreren fehlgeschlagenen Anmeldeversuchen.

  • Prüfung auf Schadsoftware

    Hochgeladene Dateien werden auf Schadsoftware geprüft.

  • Barrierefreiheit

    Nach WCAG 2.1 AA gestaltet und im Oktober 2026 extern geprüft: weitgehend konform. Zertifizierung für 2027 angestrebt, Konformitätserklärung auf Anfrage.

    Fragen zur Barrierefreiheit: barrierefreiheit@protectly.eu

Anonymisiert by design und Betriebsrat-konform.

  • Nur Gruppenwerte

    Keine personenbezogene Einzel-Auswertung, nur aggregierte Kennzahlen auf Gruppen- oder Abteilungsebene.

  • Mit dem Betriebsrat abgestimmt

    Die Einführung können Sie gemeinsam mit Ihrem Betriebsrat abstimmen.

  • Dokumentiertes Löschkonzept

    Aufbewahrung und Löschung folgen einem dokumentierten Löschkonzept, das Sie auf Anfrage erhalten.

Unterlagen für Ihre Prüfung

Für Ausschreibung, Datenschutz und IT-Sicherheit stellen wir Ihnen diese Dokumente auf Anfrage zur Verfügung:

  • Fachsicherheitskonzept auf Basis des BSI IT-Grundschutzes
  • Löschkonzept
  • Auftragsverarbeitungsvertrag (AVV)
  • Übersicht der Unterauftragsverarbeiter
  • Konformitätserklärung WCAG 2.1 AA
Unterlagen anfordern Termin buchen

Oder schreiben Sie uns direkt an office@protectly.eu.

Wer hinter Protectly steht

Protectly ist ein Produkt der Smart-Study GmbH mit Sitz in Graz und einem Büro in Wien. Die Produkte von Smart-Study nutzen über 60.000 Menschen.

Impressum Über uns

Referenz

Hessisches Ministerium der Finanzen

Zur Erfolgsgeschichte

Weitere Referenzen

  • Hessisches Ministerium der Finanzen
  • HSE365AT Health-Services 365 AT
  • PBeaKK
  • SVD Informationssicherheit
  • Leins Aktenvernichtung
  • PFINDER

Häufige Fragen aus Ausschreibungen

Wo liegen unsere Daten, und welche Unterauftragsverarbeiter sind beteiligt?

Ihre Daten bleiben in der EU, auf Wunsch ausschließlich in Deutschland. Aktuell erfolgt der Betrieb in deutschen Rechenzentren der Open Telekom Cloud (Deutsche Telekom) und von Hetzner. Beide Provider sind nach ISO 27001 bzw. BSI C5 zertifiziert. Eine aktuelle Übersicht der Unterauftragsverarbeiter erhalten Sie auf Anfrage.

Gibt es einen Auftragsverarbeitungsvertrag (AVV)?

Ja. Den Auftragsverarbeitungsvertrag senden wir Ihnen auf Anfrage zu. Auswertungen sind anonymisiert und aggregiert.

Wie lange werden Daten aufbewahrt, und wie werden sie gelöscht?

Aufbewahrung und Löschung regelt unser Löschkonzept, das Sie auf Anfrage erhalten. Verschlüsselte Backups bewahren wir höchstens rund sechs Monate auf.

Ist das Reporting Betriebsrat-konform?

Ja. Auswertungen sind anonymisiert und aggregiert auf Gruppen- oder Abteilungsebene, eine personenbezogene Einzel-Auswertung findet nicht statt. Die Einführung können Sie mit Ihrem Betriebsrat abstimmen.

Welche Nachweise erhalten wir für Audits und Ausschreibungen?

Schulungsfortschritt und Teilnahme lassen sich audit-fähig exportieren. Unterlagen zu unseren Sicherheitsmaßnahmen, etwa das Fachsicherheitskonzept, stellen wir Ihnen auf Anfrage bereit.

Weiterlesen

Compliance 3 Min. Lesezeit

NIS2 ist in Kraft und die Schulungspflicht gilt

NIS2 gilt in Österreich seit 1. Oktober 2026. Wer betroffen ist, was Artikel 20 und 21 für Schulungen verlangen und welche Schritte jetzt zählen.

Sprechen wir über Ihre NIS2-Schulungen.

Termin buchen

Weiter: Erfolgsgeschichten