Ab 1. Oktober 2026 gilt in Österreich das NISG 2026, mit dem die EU-Richtlinie NIS2 umgesetzt wird. Betroffen sind große und mittlere Unternehmen aus 18 gesellschaftlich relevanten Sektoren, von Energie und Gesundheit über digitale Infrastruktur bis zu verarbeitendem Gewerbe und Lebensmittelproduktion. Wer als „wesentliche“ oder „wichtige“ Einrichtung eingestuft wird, muss künftig deutlich mehr für die eigene Cybersicherheit nachweisen als bisher. Die Details dazu hat die WKO auf ihrer NIS2-Übersichtsseite zusammengefasst.
Was NIS2 konkret verlangt
Im Kern schreibt das Gesetz Risikomanagementmaßnahmen vor: Konzepte zur Risikoanalyse, Notfallmanagement, Lieferkettensicherheit, sichere Softwareentwicklung, Cyberhygiene, Multi-Faktor-Authentifizierung und regelmäßige Schulungen. Hinzu kommt eine gestaffelte Meldepflicht bei Sicherheitsvorfällen: eine Frühwarnung innerhalb von 24 Stunden, eine detaillierte Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Und die Geschäftsführung haftet persönlich für die Einhaltung dieser Pflichten.
Diese Fristen sind der Punkt, an dem viele Unternehmen an ihre Grenzen stoßen. 24 Stunden für eine Frühwarnung klingen nach viel Zeit, bis man bedenkt, dass ein Vorfall zuerst überhaupt erkannt werden muss. In vielen Betrieben liegt zwischen dem tatsächlichen Eindringen in ein System und seiner Entdeckung immer noch viel zu viel Zeit, weil niemand die Logs rund um die Uhr auswertet und Auffälligkeiten oft erst durch Zufall auffallen.
Wo KI-gestützte Überwachung ansetzt
Genau hier verändert der Einsatz von KI die Ausgangslage. Klassische Serverüberwachung arbeitet mit festen Schwellenwerten und Regeln: Wenn die CPU-Last einen bestimmten Wert überschreitet oder ein Login von einer gesperrten IP-Adresse kommt, schlägt das System Alarm. Das funktioniert für bekannte Muster gut, versagt aber bei neuartigen Angriffen, die sich genau an diesen starren Regeln vorbeibewegen.
KI-gestützte Systeme lernen stattdessen das normale Verhalten einer Infrastruktur und melden Abweichungen davon, auch wenn diese Abweichungen keinem bekannten Angriffsmuster entsprechen. Ein Server, der plötzlich zu ungewöhnlichen Zeiten große Datenmengen an eine unbekannte Adresse überträgt, ein Nutzerkonto, das auf einmal auf Systeme zugreift, mit denen es nie zu tun hatte, oder eine Kette kleiner, für sich harmloser Ereignisse, die in Summe ein Angriffsmuster ergeben: Solche Signale gehen in klassischen Regelwerken oft unter, weil niemand jede einzelne Regel dafür vorher definiert hat. Eine kontinuierlich lernende Überwachung kann sie hingegen aufgreifen, bevor sie eskalieren, und damit genau die Zeitspanne verkürzen, die zwischen Vorfall und Entdeckung liegt und die für die NIS2-Fristen entscheidend ist.
Ebenso wichtig: KI kann bei der Dokumentation und Meldung selbst unterstützen. Wenn ein System nicht nur einen Alarm auslöst, sondern die relevanten Log-Daten sofort strukturiert zusammenfasst, welche Systeme betroffen sind, wann die Auffälligkeit begann und welche Aktionen bereits automatisch gesetzt wurden, dann verkürzt das die Zeit bis zur fristgerechten Meldung erheblich. Genau das ist der Unterschied zwischen einer Meldung, die im Stress zusammengeschustert wird, und einer, die belastbar ist.
Warum das mehr ist als eine reine IT-Frage
NIS2 ist kein Projekt, das man an die IT-Abteilung delegieren und dann vergessen kann. Die Geschäftsführung haftet persönlich, und die Nachweispflichten betreffen Prozesse, Verantwortlichkeiten und Schulungen im ganzen Unternehmen. Wer KI-gestützte Überwachungssysteme einführt, muss deshalb auch klären, wie diese Systeme in bestehende Abläufe passen, wer die Ergebnisse interpretiert und welche Entscheidungen an das System delegiert werden dürfen und welche nicht. Das ist eine Governance-Frage, keine reine Technikfrage.
Als com.pany | ai solutions begleiten wir Unternehmen genau an dieser Schnittstelle: in Workshops vermitteln wir, was KI-gestützte Sicherheitsüberwachung leisten kann und wo ihre Grenzen liegen, in der KI-Governance-Beratung klären wir Verantwortlichkeiten und Entscheidungsprozesse, und für die konkrete technische Umsetzung arbeiten wir mit spezialisierten Technologiepartnern zusammen. Immer DSGVO-konform und mit klarer Rollenverteilung zwischen dem, was ein Unternehmen selbst betreiben kann, und dem, wofür es fachliche Unterstützung braucht.
Die Frist bis 1. Oktober 2026 rückt näher. Wer jetzt klärt, wo das eigene Unternehmen steht und welche Rolle KI-gestützte Überwachung im Sicherheitskonzept spielen kann, gewinnt im Ernstfall echten Zeitvorsprung, und genau der entscheidet über die Frage, ob eine Meldung fristgerecht rausgeht oder nicht.