NISG 2026 für Leitungsorgane · Pflichtschulungen.at

Einen Moment, wird geladen…

NISG 2026 für Leitungsorgane

Spezifische Cybersicherheitsschulung für Geschäftsführung und Vorstand nach § 31 Abs. 2 NISG 2026

Ergänzt den Mitarbeitenden-Kurs mit NIS-2-Fokus um das, was nur das Leitungsorgan entscheiden kann: Pflichten und persönliche Verantwortlichkeit nach § 31, die zehn Maßnahmenbereiche des § 32 als Entscheidungsvorlage, Restrisiken, Ressourcen und Berichtswesen, Lieferkette und Schulungsmatrix, Einstufung erheblicher Vorfälle nach § 35, Melde- und Informationspflichten nach § 34, Krisenstab und Lösegeld, Registrierung nach § 29 mit Änderungsfristen, Selbstdeklaration und unabhängige Nachweise nach § 33, sektorspezifische Sonderregeln (§ 27, DORA, DVO 2024/2690). Eigene Abschlussprüfung; Teilnahmebestätigung „Spezifische Cybersicherheitsschulung für Leitungsorgane gemäß § 31 Abs. 2 NISG 2026“.

Kurs-Aufbau

M1
Ihre Verantwortung als Leitungsorgan
Was § 31 von jedem Mitglied der Geschäftsführung oder des Vorstands persönlich verlangt, und warum diese Schulung eine eigene ist.
4 Lessons
M2
Betroffenheit, Einstufung und Fristen
Sektoren und Größenschwellen, wesentlich oder wichtig, Sonderregeln (§ 27, DORA, DVO 2024/2690) und Ihre Fristen-Roadmap.
4 Lessons
M3
Steuern: Maßnahmen genehmigen, Risiken akzeptieren, Berichte einfordern
§ 32 als Entscheidungsvorlage, Business Impact Analyse, Restrisiken, Ressourcen, Berichtswesen, Lieferkette und Schulungsmatrix.
8 Lessons
M4
Entscheiden im Vorfall: Erheblichkeit, Fristen, Krisenstab
§ 35 Kriterienmatrix, § 34 Meldestaffel, Dienstempfänger, DSGVO parallel, Krisenstab, Lösegeld und Kommunikation.
4 Lessons
M5
Nachweisen: Registrierung, Selbstdeklaration, Prüfung
§ 29 Register und Änderungsfristen, § 33 Selbstdeklaration und unabhängige Nachweise, Dokumentation und Fahrplan.
4 Lessons
M6
Die Geschäftsleitung als Angriffsziel
CEO-Fraud, Deepfakes, Phishing und Ransomware, und Ihr eigenes Verhalten als Vorbild.
3 Lessons
M7
Aufsicht, Sanktionen, Haftung und Ihr Umsetzungsplan
Was bei Verstößen droht, wie Sie sich durch Dokumentation schützen, und Ihre nächsten Schritte als Leitung.
5 Lessons

Abkürzungen und Begriffe (23)

Arbeitsinspektorat

Die Behörde, die den Arbeitnehmerschutz kontrolliert und Mängel beanstanden kann.

ASchG

ArbeitnehmerInnenschutzgesetz: das österreichische Grundgesetz für Sicherheit und Gesundheit am Arbeitsplatz.

Auftragsverarbeiter

Ein Dienstleister, der Daten nur nach unserer Weisung verarbeitet, etwa ein Rechenzentrum oder ein Lohnbüro.

AVV

Auftragsverarbeitungsvertrag: der Vertrag mit einem Dienstleister, der Daten in unserem Auftrag verarbeitet (Art. 28 DSGVO).

Betriebsrat

Die gewählte Vertretung der Beschäftigten im Betrieb, bei vielen Maßnahmen anzuhören oder mitbestimmend.

Business Impact Analyse

Die Untersuchung, welcher Ausfall das Geschäft wie schnell wie stark trifft. Grundlage für die Reihenfolge der Maßnahmen.

CSIRT

Computer Security Incident Response Team: die staatliche Stelle, die bei Sicherheitsvorfällen unterstützt und an die gemeldet wird.

DSFA

Datenschutz-Folgenabschätzung: die Prüfung vor besonders riskanten Datenverarbeitungen, welche Risiken bestehen und wie man sie senkt (Art. 35 DSGVO).

DSGVO

Datenschutz-Grundverordnung: das EU-Gesetz, das regelt, wie personenbezogene Daten verarbeitet werden dürfen.

Erheblichkeit

Der Maßstab, ab dem ein Sicherheitsvorfall meldepflichtig ist. Richtet sich nach Ausmaß und Folgen, nicht nach der Ursache.

Krisenstab

Die vorab festgelegte Gruppe, die bei einem Vorfall entscheidet, mit Rollen, Erreichbarkeit und Vertretung.

Leitungsorgan

Wer nach Gesetz oder Satzung zur Führung der Geschäfte berufen ist, etwa Geschäftsführung oder Vorstand.

Lieferkette

Die Dienstleister und Zulieferer, von denen die eigene Sicherheit mit abhängt. Auslagern beendet die Verantwortung nicht.

Lösegeld

Die Forderung bei einem Verschlüsselungsangriff. Eine Zahlung löst das Problem nicht und wirft eigene Rechtsfragen auf.

Meldestaffel

Die gestufte Meldung eines erheblichen Vorfalls: erste Warnung, Meldung, Abschlussbericht, mit eigenen Fristen (§ 34 NISG).

NIS2

Die EU-Richtlinie, die das NISG zugrunde liegt. Erweitert den Kreis der betroffenen Einrichtungen deutlich.

NISG

Netz- und Informationssystemsicherheitsgesetz: das österreichische Gesetz zur Cybersicherheit wichtiger Einrichtungen.

personenbezogene Daten

Alle Angaben, die sich auf eine bestimmte Person beziehen lassen, auch indirekt über eine Personalnummer oder eine IP-Adresse.

Risikomanagementmaßnahmen

Die zehn Bereiche, in denen Maßnahmen zu treffen sind, von Zugriffskontrolle über Lieferkette bis Krisenkommunikation (§ 32 NISG).

Unterweisung

Die Pflicht des Arbeitgebers, Beschäftigte nachweislich über Gefahren und Schutzmaßnahmen an ihrem Arbeitsplatz zu informieren (§ 14 ASchG).

Verantwortlicher

Wer entscheidet, warum und wie Daten verarbeitet werden. Im Betrieb ist das das Unternehmen, nicht die einzelne Mitarbeiterin.

wesentliche Einrichtung

Die strenger regulierte Gruppe betroffener Einrichtungen, mit Aufsicht auch ohne Anlass.

wichtige Einrichtung

Die zweite Gruppe betroffener Einrichtungen, mit Aufsicht erst bei einem Anlass.