Services / NIS2

NIS2 · Nachweis & Behördenerklärung

Einstufung, Schutzbedarf und Maßnahmennachweis sowie alles für die Behörde: Registrierung, Vorfallmeldungen, Selbstdeklaration.

Jetzt kostenlos starten Demo buchen

Die Anforderung

Was das Regelwerk verlangt

Adressiert sind wesentliche und wichtige Einrichtungen nach Anhang I und II; verbindlich über die nationale Umsetzung: in Deutschland seit dem 06.12.2025 (NIS2UmsuCG), in Österreich ab dem 01.10.2026 (NISG 2026).

Risikomanagement-Maßnahmen

Zehn Mindestmaßnahmen — von Kryptografie und Zugriffskontrolle über Lieferkettensicherheit bis zur Business-Continuity-Planung.

Art. 21 Abs. 2 NIS2 · § 30 BSIG · § 32 NISG 2026

Meldekaskade

Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen einem Monat nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls.

Art. 23 NIS2 · § 34 NISG 2026

Registrierungspflicht

Registrierung bei der nationalen Behörde mit Kontaktdaten, Sektor und Standorten — in Österreich bis zum 31.12.2026.

§ 29 NISG 2026

Pflichten der Leitungsebene

Geschäftsführung und Vorstand setzen die Maßnahmen um, überwachen ihre Umsetzung und lassen sich regelmäßig schulen.

Art. 20 NIS2 · § 38 BSIG · § 31 NISG 2026

Selbstdeklaration (Österreich)

Erklärung über umgesetzte Maßnahmen, genutzte Netz- und Informationssysteme, Lieferkettensicherheit und Ergebnisse der Risikoanalyse — nach Auslegung der Übergangsbestimmungen etwa bis 30.09.2027.

§ 33 Abs. 1 NISG 2026

Unsere Lösung

Unsere Antwort: ein Bestand, aus dem Einstufung, Maßnahmennachweis und Behördenerklärung entstehen.

Am Anfang steht die Einstufung. Ob eine Einrichtung unter Anhang I oder Anhang II fällt und damit als wesentlich oder als wichtig gilt, richtet sich nach Sektor, Tätigkeit und Größe (§§ 24, 25 NISG 2026). Davon hängt ab, welche Melde- und Registrierungsfristen und welcher Strafrahmen gelten und wie beaufsichtigt wird: eine wesentliche Einrichtung ex ante, eine wichtige grundsätzlich nur anlassbezogen (§ 38 NISG 2026).

Die Leitungsebene trägt die Verantwortung. Sie hat die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen (Art. 20 NIS-2-RL · § 38 BSIG · § 31 NISG 2026). Als äußerste Aufsichtsmaßnahme kann die Behörde einem Mitglied des Leitungsorgans die Ausübung seiner Funktion vorübergehend untersagen.

Die Erklärung ist ein Rechtsakt. Nach § 33 Abs. 1 NISG 2026 legt die Einrichtung dar, welche Maßnahmen sie umgesetzt hat, welche Netz- und Informationssysteme sie nutzt, wie sie ihre Lieferketten absichert und zu welchem Ergebnis ihre Risikoanalyse kommt. Eine unvollständige Selbstdeklaration ist kein nachbesserbarer Formfehler, sondern selbst ein Verstoß.

Im Ernstfall laufen drei Fristen: 24 Stunden bis zur Frühwarnung, 72 Stunden bis zur vollständigen Meldung, ein Monat bis zum Abschlussbericht (Art. 23 NIS-2-RL · § 34 NISG 2026). Die Monatsfrist läuft ab Übermittlung der Meldung, nicht ab Entdeckung des Vorfalls.

Was Sie bekommen

Die Bausteine, von der Einstufung bis zur abgesetzten Erklärung.

10 Risikomanagementmaßnahmen nach Art. 21 Abs. 2

4 Pflichtinhalte der Selbstdeklaration nach § 33 Abs. 1

24 h bis zur Frühwarnung, dann 72 h und ein Monat

Kern dieses Service

Einstufung nach Anhang I und II

Sektor, Tätigkeit und Größe bestimmen, ob Ihre Einrichtung als wesentlich, als wichtig oder als nicht erfasst gilt (§§ 24, 25 NISG 2026). Die Bewertung ist deterministisch: Sie sehen, welche Angabe zu welchem Ergebnis geführt hat. Das Ergebnis steuert Registrierungs- und Meldefristen, das Aufsichtsregime nach § 38 und die Frage, ob eine Selbstdeklaration zu erstatten ist.

Registrierung nach § 29 mit Fristen und Änderungsmeldungen

Die sieben Pflichtangaben des § 29 Abs. 2 (Bezeichnung, Sektor, Art der Einrichtung, betroffene Mitgliedstaaten, Niederlassungen, IP-Bereiche, Kontaktstelle) werden als Felder geführt. Die Frist läuft ab Eintritt der Registrierungspflicht Ihrer Einrichtung, nicht ab einem festen Stichtag. Ändert sich eine Angabe, greift die gestaffelte Nachmeldepflicht des § 29 Abs. 4: kurz für Kontakt- und Netzangaben, länger für die übrigen.

Schutzbedarfsfeststellung nach vier Grundwerten

§ 3 Z 2 NISG 2026 nennt Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit als vier Grundwerte; BSI-Standard 200-2 arbeitet mit dreien und führt die Authentizität als Sonderfall der Integrität. ReportAct bewertet sie getrennt, damit belegbar ist, dass auch das genannte Schutzziel bewertet wurde. Zielobjekte (Geschäftsprozesse, Anwendungen, IT-Systeme, Netze, Räume, Kommunikationsverbindungen) werden verknüpft; der Schutzbedarf vererbt sich nach dem Maximumprinzip auf die bereitstellenden Objekte, und jede abgeleitete Stufe nennt ihr Ursprungsobjekt. Kumulation und Verteilung überschreiben die Ableitung als bewusste Entscheidung.

Erhöhter Schutzbedarf steuert die Maßnahmentiefe

Ab der Stufe „hoch“ reichen Standardmaßnahmen nicht: ReportAct fordert für das Zielobjekt eine ergänzende Risikoanalyse an und benennt die berührten Pflichten aus § 32 Abs. 4. Eine Feststellung gilt als unvollständig, solange sie kein Objekt mit physischer Komponente kennt; § 32 Abs. 3 verlangt einen gefahrenübergreifenden Ansatz, der physische Ereignisse einschließt.

Kontroll-Bewertung aus vorhandenen Nachweisen

Die zehn Risikomanagementmaßnahmen nach Art. 21 Abs. 2 (= § 32 Abs. 4 NISG 2026) und die Controls aus CIR 2024/2690 werden aus bereits erfassten Daten bewertet. Was ReportAct selbst führt (Register, freigegebene Richtlinien), deckt den Checklistenpunkt automatisch und wird als Auszug versiegelt. Ist ein Control gleichwertig zu einem Control eines anderen Frameworks, zählt derselbe Nachweis für beide.

Risikoregister als Grundlage der Maßnahmen

Die Risikoanalyse nach Art. 21 Abs. 2 lit. a führt ein versioniertes Register mit Bewertung, Behandlung und Restrisikofreigabe. Der jeweils aktuelle Stand wird als Registerauszug versiegelt und deckt damit den Checklistenpunkt ohne Dokument-Upload und ist zugleich der Inhalt, den § 33 Abs. 1 als „Ergebnisse der Risikoanalyse“ verlangt.

Lieferkettensicherheit nach Art. 21 Abs. 2 lit. d

Ihre Lieferanten werden über mehrere Ebenen bewertet: wer von wem abhängt, wo sich Abhängigkeiten bündeln und welcher Ausfall welche Dienstleistung trifft. Fragebögen und laufendes Monitoring speisen dieselbe Bewertung, aus der die Kontrolle ihren Nachweis zieht und der Pflichtinhalt „Sicherheit der Lieferketten“ der Selbstdeklaration entsteht.

Vorfallregister mit 24-h-, 72-h- und Monatsfrist

Die Uhren laufen sichtbar mit: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats ab Übermittlung der Meldung (§ 34 Abs. 2 NISG 2026). Die Meldepipeline ist signiert und prüft vorab auf Vollständigkeit; eine unvollständige Meldung gilt nach § 39 Abs. 7 als schwerer Verstoß.

Leitungsorgan: Billigung, Überwachung, Schulung

Die Mitglieder des Leitungsorgans werden geführt, ihre Schulungsnachweise mit Gültigkeitsdatum. Läuft ein Nachweis ab, ist das sichtbar, bevor es die Behörde bemerkt, und die Abgabe der Selbstdeklaration wird blockiert, weil § 31 Abs. 1 NISG 2026 die Schulung zur Pflicht macht.

Selbstdeklaration nach § 33 mit Abgabesperre

Die vier Pflichtinhalte des § 33 Abs. 1 — umgesetzte Maßnahmen, genutzte Netz- und Informationssysteme, Sicherheit der Lieferketten, Ergebnisse der Risikoanalyse — werden als Erklärung erstellt und gegen den tatsächlichen Zustand geprüft. Fehlt die Einstufung, ist eine Pflicht aus § 32 Abs. 4 ohne Abdeckung, ein Zielobjekt unbewertet, fehlt einem Mitglied des Leitungsorgans die Schulung oder ist die Registrierung nicht abgesetzt, bleibt die Abgabe gesperrt, mit Fundstelle je Grund. Anders als der Auditor-Export, der trotz Lücken exportiert, darf eine Erklärung gegenüber der Behörde nicht unvollständig hinausgehen. Bei der Abgabe wird der Abdeckungsstand eingefroren und die Erklärung RSA-signiert in die Nachweiskette geschrieben. Aufforderungen zum Nachweis nach § 33 Abs. 2 und der Prüfplan nach § 33 Abs. 3 werden mit ihren Fristen daneben geführt.

Versiegelte Nachweiskette

Jeder Nachweis wird mit SHA-256 gehasht, mit dem RSA-Schlüssel Ihrer Organisation signiert und mit einem RFC-3161-Zeitstempel einer unabhängigen Stelle versehen. Was ReportAct selbst führt (Register, freigegebene Richtlinien, abgegebene Erklärungen), wird automatisch versiegelt. Die Kette ist über die Prüfseite auch ohne Zugang zum Workspace verifizierbar.

Außerdem in diesem Service enthalten

Dynamische Lieferantenrisikoanalyse

Der Anbieterbestand ist vom Start verfügbar und wächst laufend. Sanktionslisten, bekannte Schwachstellen, Eigentümerwechsel und geänderte Vertragsbedingungen werden fortlaufend analysiert. Ändert sich etwas, erfahren Sie es sofort, nicht erst beim nächsten Audit.

Asset Management

Das Asset-Register ist die gemeinsame Grundlage für Risikobewertung, Schwachstellenmanagement und ISO-27001-Inventarisierung.

Frameworks & Policies

Jede regulatorische Pflicht ist ein eigenes Service, gruppiert nach Framework: NIS2, DORA, ISO 27001, EU AI Act, GDPR und SOC 2 laufen auf demselben Bewertungs-Kern. Eine Kontrolle zählt automatisch über alle gebuchten Services an.

Plattform & Import

CSV-Massenimport mit Duplikaterkennung, Anbindung bestehender Systeme, kontinuierliches Monitoring, Automatisierungsregeln und Richtlinienmanagement: die operative Basis für alle Framework-Packs.

KI-gestützte Automatisierung

KI schlägt vor, klassifiziert und entwirft. Versiegelt wird ausschließlich nach Ihrer Bestätigung; die KI ersetzt nie die Entscheidung.

Trust Center

Eine öffentliche, konfigurierbare Seite mit Dokumenten, Ressourcen und datierten Status-Updates. Ihr Compliance-Stand, jederzeit einsehbar, ohne Nachfragen.

Reporting & Visualisierung

Readiness, offene Lücken und laufende Fristen, je Framework einzeln: Sichtbar bleibt, welches Regime zurückliegt. Für den internen Blick, ergänzend zum kundenseitigen Trust Center.

Einblick ins Produkt