Häufige Fragen zu NIS2 / NISG 2026, ISO 27001 und CISO Flex.

NIS2 ist die EU-Richtlinie, das NISG 2026 das österreichische Gesetz, das sie umsetzt. Für Unternehmen in Österreich gilt das NISG 2026. Gemeint ist in beiden Fällen dasselbe Thema.

Das hängt von Branche und Größe ab: in der Regel ab 50 Mitarbeitenden oder mit über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme, in einigen Sektoren unabhängig von der Größe. Eine erste Einschätzung gibt der kostenlose NIS2 Schnellcheck in rund 5 Minuten.

Spätestens bis Montag, 4. Jänner 2027, über „NIS2-Services“ im Unternehmensserviceportal (USP). Ablauf und Pflichtangaben stehen im Beitrag „Registrierung nach NISG 2026“.

Den Rahmen geben die Fristen vor: Registrierung bis 4. Jänner 2027, Selbstdeklaration bis 30. September 2027. Wie viel dazwischen zu tun ist, zeigt die Reifegrad-Analyse in zwei bis drei Wochen.

Die NISV 2026 gilt seit 2. Oktober 2026. Sie macht den Maßnahmenkatalog der EU-Durchführungsverordnung 2024/2690 für alle betroffenen Unternehmen verbindlich und legt fest, wann ein Vorfall meldepflichtig ist. Details im Beitrag „NISV 2026: Was Sie konkret umsetzen müssen“.

Verwaltungsstrafen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche, bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen, jeweils der höhere Betrag. Treffen kann es die Geschäftsführung persönlich (§ 9 VStG) oder direkt das Unternehmen (§ 44 NISG 2026). Mehr im Beitrag „Die Arbeit lässt sich delegieren, die Verantwortung nicht“.

Ja. § 31 Abs. 2 NISG 2026 verpflichtet die Geschäftsführung zu eigens für sie gestalteten Schulungen, eine allgemeine Awareness-Schulung reicht nicht. Die Teilnahme muss das Unternehmen nachweisen. Bei CISO Flex Start ist eine jährliche Schulung enthalten.

Nein, eine bestimmte Stelle schreibt das Gesetz nicht vor. Seit der NISV 2026 muss aber mindestens eine Person gegenüber der Geschäftsführung direkt für die Informationssicherheit verantwortlich sein. Angestellt sein muss sie nicht, das kann auch ein externer CISO im Abo sein.

Nein. Nachgewiesen wird die Umsetzung über die Selbstdeklaration bis 30. September 2027 und später über Prüfungen, frühestens ab 1. Oktober 2028. Ein ISO-27001-Zertifikat deckt dabei die organisatorischen und operativen Maßnahmen ab, die technischen werden gesondert geprüft. Alle Fristen: NISG 2026 im Überblick.

Dann kommen die Anforderungen über die Lieferkette: Betroffene Kunden müssen ihre Lieferanten absichern und fragen deshalb Nachweise ab. Ich kläre mit Ihnen, was verlangt wird, baue die Maßnahmen auf und beantworte die Fragebögen mit Ihnen. Ein ISO-27001-Zertifikat ist dafür nicht Voraussetzung.

Nein. Er ist entlang der gesetzlichen Anforderungen aufgebaut, beruht auf meiner Projekterfahrung mit NIS2 / NISG 2026 und liefert eine Einschätzung auf Basis Ihrer Angaben. Eine genauere Einschätzung erhalten Sie im Orientierungsgespräch.

Das NISG 2026 regelt die Cybersicherheit von Netz- und Informationssystemen. Das RKE-Gesetz, in Kraft seit 1. März 2026, regelt die Widerstandsfähigkeit kritischer Einrichtungen insgesamt, auch physischen Schutz und Krisenmanagement. Für die meisten KMU ist nur das NISG 2026 relevant.

Ein Managementsystem, das festlegt, wer für Informationssicherheit verantwortlich ist, wie Risiken bewertet werden und welche Maßnahmen gelten. ISO/IEC 27001 beschreibt die Anforderungen daran, die Maßnahmen selbst stehen im Anhang A.

Zwei Posten: meine Beratung nach Aufwand, das Angebot erhalten Sie nach dem kostenlosen Orientierungsgespräch. Dazu kommt die Zertifizierungsstelle, die nach Audittagen abrechnet, plus die jährlichen Überwachungsaudits.

Ein ISMS nach ISO 27001 deckt die organisatorischen und operativen Maßnahmen ab, sofern der Anwendungsbereich passt. Die technischen Maßnahmen müssen Sie zusätzlich nachweisen. Dazu kommen die Meldepflichten und die Schulung der Geschäftsführung. Was fehlt, zeige ich in der Reifegrad-Analyse.

Nein. Weder das NISG 2026 noch das BSIG verlangen ein Zertifikat. Es ist aber ein anerkannter Weg, die organisatorischen und operativen Maßnahmen nachzuweisen. Die technischen Maßnahmen werden gesondert geprüft.

Eine akkreditierte Zertifizierungsstelle, nicht der Berater. Das Zertifikat gilt drei Jahre, mit einem Überwachungsaudit pro Jahr. Danach folgt die Rezertifizierung.

Beide führen zu einem ISMS. IT-Grundschutz gibt konkrete Maßnahmen vor, ISO 27001 lässt mehr Spielraum und ist international anerkannt. Für die meisten KMU in Österreich passt ISO 27001. Ich baue nach beiden Wegen auf.

Der Anhang A wurde von 114 auf 93 Maßnahmen in vier Themen zusammengefasst, elf sind neu, etwa Threat Intelligence und Sicherheit von Cloud-Diensten. Zertifikate nach der Fassung von 2013 sind seit 31. Oktober 2025 ungültig.

Nein. Der Aufbau läuft als Projekt mit festem Umfang. Nach der Zertifizierung übernimmt CISO Flex Plus den Betrieb, den Preis kalkuliere ich nach Bedarf.

Die technische Umsetzung bleibt bei Ihrer IT oder Ihrem Dienstleister, ich lege fest, was gebraucht wird, und prüfe das Ergebnis. Penetrationstests vermittle ich an Partner, das Zertifizierungsaudit führt die Zertifizierungsstelle durch.

Mit jeder Leistung, alle sind einzeln buchbar. Als Einstieg bewährt hat sich der kostenlose NIS2 Schnellcheck. Im Gespräch danach klären wir, ob ein Projekt oder eine laufende Betreuung für Sie sinnvoller ist.

Die Reifegrad-Analyse zeigt auf Basis eines Interviews, wo Sie stehen und was zuerst kommt. Das interne Audit prüft anhand von Nachweisen vollständig gegen den Anforderungskatalog, ob Ihr System einer Prüfung standhält.

Die technische Umsetzung übernehmen Ihre IT oder Ihr Dienstleister, Penetrationstests vermittle ich an Partner. Eine 24/7-Bereitschaft biete ich nicht an. Rechtsberatung ersetze ich nicht, bei Auslegungsfragen arbeite ich mit Ihrem Rechtsbeistand zusammen.

Nein. Mein Fokus liegt auf Management- und Umsetzungsberatung. Für Penetrationstests, Schwachstellenscans und ähnliche technische Prüfungen vermittle ich Sie an qualifizierte Partner aus meinem Netzwerk.

Nein, ich ergänze sie. Ihre IT betreibt die Systeme und setzt technisch um. Ich steuere die Sicherheit: Risiken bewerten, Maßnahmen priorisieren, Nachweise und Berichte erstellen.

Ein externer CISO übernimmt die Informationssicherheitsleitung, ohne dass Sie eine Vollzeitstelle schaffen. Er steuert Risiken und Maßnahmen und berichtet an die Geschäftsführung. Bei NextSecure übernehme ich diese Rolle mit CISO Flex selbst.

Alle drei meinen dieselbe Rolle: eine erfahrene Fachkraft, die die Informationssicherheitsleitung in Teilzeit und ohne Anstellung übernimmt. Vergleichen Sie Angebote deshalb nach Umfang, festem Ansprechpartner und Berichtsweg.

Ja. Auf Wunsch werde ich als externer Informationssicherheitsbeauftragter (ISB) benannt. Für Geschäftsführung, Prüfer und Behörde bin ich dann die benannte Ansprechperson.

Ja. CISO Flex Start ist für KMU ohne eigenen CISO gemacht. Es passt, sobald Gesetz, Kunden oder Versicherer Nachweise verlangen und im Haus niemand das Thema steuert. Reicht ein Projekt, sage ich Ihnen das im Orientierungsgespräch.

Sobald Gesetz, Kunden oder Versicherer Nachweise verlangen und im Haus niemand die Informationssicherheit steuert. Unter das NISG 2026 fallen Unternehmen der betroffenen Sektoren in der Regel ab mittlerer Größe, also ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz. Eine eigene Vollzeitstelle rechnet sich meist erst, wenn Informationssicherheit täglich im Haus gesteuert werden muss.

Im ersten Monat sichte ich Unterlagen, führe Gespräche und halte Risiken fest, Sie erhalten den ersten Monatsbericht. Im ersten Quartal folgt der Maßnahmenplan, im ersten Jahr unter anderem Richtlinien, Nachweismappe und die Schulung der Geschäftsführung. Eine Einrichtungsgebühr gibt es nicht.

Bei CISO Flex Plus haben Vorfälle Vorrang: Ich melde mich innerhalb von 3 Stunden. Bei CISO Flex Start unterstütze ich so bald wie möglich in meinen Geschäftszeiten, ohne feste Reaktionszeit. Einen 24/7-Dienst umfasst das Abo nicht. Wer die 24-Stunden-Frühwarnung abgibt, legen wir deshalb im Onboarding fest.

Montag bis Freitag von 9 bis 17 Uhr, ausgenommen gesetzliche Feiertage in Kärnten, per E-Mail und Chat. Bei Sicherheitsvorfällen melde ich mich bei CISO Flex Plus innerhalb von 3 Stunden, bei CISO Flex Start so bald wie möglich.

Sie werden von mir persönlich betreut. Wie Urlaub, Krankheit und eine Vertretung geregelt sind, vereinbare ich mit jedem Kunden individuell, passend zu Ihrem Bedarf und Ihrer Abo-Stufe. Planbare Abwesenheiten kündige ich rechtzeitig an.

Vier Dinge: je eine Ansprechperson in der Geschäftsführung und in der IT, Zugang zu vorhandenen Unterlagen und Verträgen, Entscheidungen in den vereinbarten Abstimmungen und für die Business-Impact-Analyse die Mitwirkung Ihrer Prozessverantwortlichen.

Ja. Jedes Projekt endet mit einer Übergabe, das Anschlussangebot liegt dem Abschlussbericht bei. Auch umgekehrt geht es: Für den ISMS-Aufbau neben CISO Flex erhalten Sie ein eigenes Aufbauprojekt nach ISO 27001.

Technischer Betrieb und Wiederherstellung, Penetrationstests (über Partner) und eine 24/7-Bereitschaft. Den Aufbau eines ISMS nach ISO 27001 bis zur Zertifizierung setze ich als eigenes Projekt um, ebenso die NIS2-Umsetzung; CISO Flex übernimmt danach den Betrieb.

Das hängt vor allem vom Umfang ab, also davon, wie viele Tage im Monat der externe CISO für Sie arbeitet. Bei NextSecure kostet CISO Flex Start, mein externer CISO im Abo, 3.950 € netto pro Monat. Zum Vergleich: Eine angestellte CISO-Vollzeitstelle kostet in Österreich rund 114.000 € im Jahr an Arbeitgeberkosten. CISO Flex Plus und Projekte wie Reifegrad-Analyse, internes Audit oder ISMS-Aufbau kalkuliere ich nach Umfang. Ein konkretes Angebot erhalten Sie nach dem kostenlosen Orientierungsgespräch.

Laut kununu verdient ein Chief Information Security Officer in Österreich im Schnitt 89.300 € brutto im Jahr, bei einer Spanne von 60.900 bis 130.300 € (Stand Oktober 2026). Mit rund 28 % Lohnnebenkosten ergibt das rund 114.000 € Arbeitgeberkosten im Jahr, noch ohne Rekrutierung, Weiterbildung und Arbeitsplatz. CISO Flex Start kostet 47.400 € netto im Jahr.

CISO Flex Start kostet 3.950 € netto im Monat, CISO Flex Plus kalkuliere ich individuell. Ein Umsetzungsprojekt kalkuliere ich nach Aufwand, das Angebot erhalten Sie nach dem kostenlosen Orientierungsgespräch. Der NIS2 Schnellcheck ist kostenlos.

Wegen des Onboardings beträgt die Mindestlaufzeit drei Monate. Danach können Sie mit einem Monat Frist zum Monatsende kündigen. Ich rechne monatlich im Nachhinein ab. Maßgeblich sind die AGB.

Ob eine Förderung möglich ist, entscheidet die zuständige Förderstelle. Für den Antrag stelle ich Ihnen Angebot und Leistungsbeschreibung bereit.

Ja. Das Gespräch kostet nichts und verpflichtet Sie zu nichts. Sie nehmen in jedem Fall eine erste Einordnung Ihrer Situation mit, auch wenn wir danach nicht zusammenarbeiten.

Direkt mit mir, Lukas Kulmitzer, Gründer und Inhaber von NextSecure. Ich bleibe auch während der Zusammenarbeit Ihr Ansprechpartner. Eine Vertretung vereinbare ich mit Ihnen individuell.

Sie müssen nichts vorbereiten. Erzählen Sie mir, was Sie aktuell beschäftigt. Danach sage ich Ihnen, ob und wie ich Ihnen helfen kann.

Meine Heimat ist Südösterreich: In Kärnten und der Steiermark bin ich kurzfristig persönlich bei Ihnen. Darüber hinaus arbeite ich in ganz Österreich und im DACH-Raum, je nach Vorhaben remote oder vor Ort.

Ich bin zur Verschwiegenheit über alle Informationen aus der Zusammenarbeit verpflichtet, unbefristet, also auch nach Vertragsende. Eine zusätzliche Geheimhaltungsvereinbarung (NDA) unterschreibe ich auf Wunsch.