Warum Lieferanten gefragt werden
Seit 1. Oktober 2026 gilt in Österreich das NISG 2026. Rund 4.000 Einrichtungen müssen ein Risikomanagement für ihre IT-Sicherheit betreiben. Ein Teil davon ist die Sicherheit der Lieferkette: Wer IT-Systeme betreut, Software liefert oder Fernzugriff hat, ist für den Kunden ein Risiko, das er bewerten muss.
Das zeigt sich in den Zahlen. In der Studie von KPMG und KSÖ mit 1.396 österreichischen Unternehmen ist die Lieferkette mit 2,03 von 5 Punkten der schwächste Bereich. Nur 11 % haben ihre Maßnahmen dort vollständig umgesetzt. Etwa jeder fünfte Angriff auf einen Lieferanten griff auf das Unternehmen selbst über.
Quelle: KPMG Austria, Cybersecurity in Österreich 2026
Was Kunden verlangen
Laut WKO legen Auftraggeber die Anforderungen vertraglich und risikobasiert fest. Typisch sind:
- Sicherheitsfragebogen mit 40 bis 120 Fragen, meist einmal im Jahr
- Rating, in Österreich vor allem das KSV1870 CyberRisk Rating nach dem KSÖ-Schema
- Label oder Zertifikat, etwa das Cyber Trust Austria Label oder ISO 27001
- Vertragsklauseln zu Meldung von Vorfällen, Prüfrechten, Subunternehmern und Ausstieg
Quelle: WKO, Sicherheit in der Lieferkette
Wichtig: Die Pflichten aus dem Gesetz hat Ihr Kunde. Ihre Pflichten entstehen aus dem Vertrag. Lesen Sie neue Klauseln genau und fragen Sie nach, welche Stufe von Nachweis tatsächlich verlangt wird.
Wer besonders im Fokus steht
- IT-Dienstleister, Managed Service Provider und Softwarehäuser
- Agenturen mit Websites, Shops oder Schnittstellen für regulierte Kunden
- Technik- und Wartungsbetriebe mit Fernwartung, etwa in Energie, Gesundheit und Verkehr
- Cloud- und Hosting-Anbieter
Mittlere und große Anbieter verwalteter IKT-Dienste fallen übrigens selbst unter das Gesetz. Der Betroffenheits-Check zeigt in zwei Minuten, wo Sie stehen.
In fünf Schritten vorbereitet
- Betroffenheit klären. Sind Sie selbst erfasst oder nur Lieferant?
- Selbsttest machen. Die 14 Basisanforderungen zeigen, wo Lücken sind.
- Lücken schließen. Meist fehlen Richtlinie, Notfall- und Backupplan und eine dokumentierte Schulung.
- Beschreiben und belegen. Je Anforderung zwei bis fünf Sätze und ein Nachweis.
- Wiederverwenden. Dieselben Antworten passen in den nächsten Fragebogen, das Rating und das Label.
Was es kostet, wenn Sie nichts vorbereiten
Ein Fragebogen ohne vorbereitete Standardantworten kostet 2 bis 5 Personentage pro Jahr. Laut KSV1870 erreicht ein Drittel der Lieferanten das von Kunden gewünschte Niveau nicht. Wer das Cyber Trust Label beantragt und nicht erreicht, bekommt die Gebühr nicht zurück.
Quelle: pragma-code, NIS2 in der Lieferkette · Quelle: Trending Topics, NIS2: neun Monate, die jetzt zählen · Quelle: Cyber Trust Austria, Label-AGB
Häufige Fragen
Das Gesetz verpflichtet die regulierte Einrichtung. Sie als Lieferant haben die Pflichten, die Ihr Kunde im Vertrag mit Ihnen vereinbart. In der Praxis heißt das: Sicherheitsanforderungen, Meldung von Vorfällen, Prüfrechte und Nachweise.
Das entscheidet der Kunde risikobasiert. Die WKO nennt Zertifizierungen, Ratings, Audits oder individuelle Nachweise und empfiehlt das KSÖ Cyber Risk Rating mit A oder B als Richtwert. Fragen Sie nach, welche Stufe Ihr Kunde erwartet.
Die Einrichtungen geben ihre Selbstdeklaration bis Herbst 2027 ab. Viele fragen ihre Lieferanten vorher ab, manche schon jetzt.