Das neue Cybersicherheitsgesetz wirft bei Firmeninhabern viele Fragen auf. Und auch Nervosität. Wir im Service sehen das täglich – Unternehmer wissen nicht, ob das Gesetz sie überhaupt betrifft und falls ja, was genau sie erfüllen müssen. Klären wir das. Ohne Juristerei, ohne Panikmache, ganz direkt.
Kurzurteil
- Betrifft nicht jedes kleine Unternehmen — es kommt darauf an, ob Sie eine regulierte Dienstleistung erbringen und wie groß Sie sind.
- Wenn Sie unter das Gesetz fallen, reicht ein Virenschutz nicht aus — es geht um Backups, Zugriffe, Dokumentation, Lieferanten und Vorfälle.
- Ein Vorfall wird schnell gemeldet — erste Meldung innerhalb von 24 h, bei erheblichen Auswirkungen Ergänzung innerhalb von 72 h, Abschlussbericht typischerweise 30 Tage nach Benachrichtigung.
- Erster Schritt: nicht raten — überprüfen Sie die Dienstleistung und das Regime im NÚKIB-Rechner, dann lösen Sie konkrete Maßnahmen.
Praktische Vorbereitung der Firma: Übersicht über Geräte, Backups, MFA und einen einfachen Incident-Plan. Es geht nicht um eine Hochglanzpräsentation, sondern um funktionierende Ordnung.
NIS2 in Kürze: Was eine Firma sofort tun muss
Wenn Sie eine schnelle Antwort suchen, beginnen Sie hier: Betrachten Sie das neue Cybersicherheitsgesetz nicht als Papier für den Ordner, sondern als Kontrolle, ob die Firma nach einem Angriff oder Ausfall den Betrieb überhaupt wiederherstellen kann. Für eine normale Firma in Brünn bedeutet das typischerweise, die NIS2-Betroffenheit zu prüfen, Backups zu kontrollieren, MFA zu aktivieren, Verantwortlichkeiten festzulegen und zu wissen, wann das NÚKIB zu rufen ist.
Der schnellste praktische Weg:
- Überprüfen, ob Sie eine regulierte Dienstleistung erbringen und in welches Regime Sie fallen.
- Eine Übersicht über Geräte, Konten, Lieferanten und Systeme erstellen, auf denen der Betrieb basiert.
- Die Datensicherung prüfen und mindestens einmal eine Wiederherstellung wirklich testen.
- MFA für E-Mail, Cloud, VPN, Buchhaltung und Administratorkonten aktivieren.
- Ein kurzes Verfahren für Vorfälle vorbereiten: Wer entscheidet, wer löst technisch, wer kommuniziert.
Was sich seit dem 1. November 2025 geändert hat
Seit dem 1. November 2025 gilt das neue Cybersicherheitsgesetz Nr. 264/2025 Slg. Es setzt die europäische NIS2-Richtlinie in tschechisches Recht um. Das Ziel ist einfach: die Widerstandsfähigkeit von Unternehmen und Organisationen zu erhöhen, die für das Funktionieren von Staat und Wirtschaft wichtig sind.
Was ist anders als beim alten Gesetz? Vor allem wurde der Kreis der Verpflichteten ausgeweitet. Während das Cybersicherheitsgesetz früher nur einige hundert Subjekte betraf, erwartete das NÚKIB jetzt rund 6.000 Organisationen. Bis zum 8. Februar 2026 hatten sich 4.825 gemeldet. Das ist immer noch deutlich mehr als früher – und es bedeutet vor allem, dass das Gesetz jetzt auch mittelständische Unternehmen betrifft, die das Thema Cybersicherheit bisher eher am Rande behandelten.
Für uns im Service bedeutet das nur eines: Plötzlich betreuen wir Kunden, die früher außerhalb jeder Regulierung fielen und jetzt konkrete Pflichten erfüllen müssen. Und oft wissen sie es nicht einmal.
Betrifft es Ihre Firma?
Das ist die wichtigste Frage. Das Gesetz betrifft nicht automatisch jede Firma. Entscheidend ist die Kombination von drei Dingen:
- Erbringen Sie eine regulierte Dienstleistung? Die Liste steht in der Verordnung Nr. 408/2025 Slg. Typischerweise handelt es sich um IT-Dienstleistungen, Energie, Verkehr, Gesundheitswesen, Wasserwirtschaft, digitale Infrastruktur und andere.
- Sind Sie ein mittleres oder großes Unternehmen? Gemäß der Kommissionsempfehlung 2003/361/EG werden die Mitarbeiterzahl und Finanzkennzahlen bewertet. Zur Orientierung: Wenn Sie sich der Grenze von 50 Mitarbeitern oder 10 Millionen Euro Umsatz/Bilanzsumme nähern, prüfen Sie dies bereits sorgfältig.
- Sind Sie nicht anderweitig bedeutsam für den Staat? Auch ein kleineres Unternehmen kann unter das Gesetz fallen, wenn es für das Funktionieren des Staates oder der Gesellschaft entscheidend ist.
Betrifft das Gesetz Ihre Firma? Entscheidend sind die regulierte Dienstleistung, die Größe und die Bedeutung — überprüfen Sie dies im NÚKIB-Rechner.
| Situation | Eher ja | Eher nein | Muss geprüft werden |
|---|---|---|---|
| IT-Firma mit 60 Mitarbeitern, die Systeme für Krankenhäuser verwaltet | ✓ | ||
| Kleine Buchhaltungsfirma mit 5 Leuten | ✓ | ||
| Produktionsfirma mit 200 Mitarbeitern – Zulieferer für die Energiewirtschaft | ✓ | ||
| E-Shop mit 30 Mitarbeitern und einem Umsatz von 300 Mio. CZK | ✓ |
Erster Schritt: Raten Sie nicht. Nutzen Sie den NÚKIB-Rechner und gehen Sie den Leitfaden zum neuen Cybersicherheitsgesetz durch. Der Rechner führt Sie dahin, ob Sie wahrscheinlich unter das Gesetz fallen und in welches Regime.
Und Achtung – selbst wenn Sie dem Gesetz nicht direkt unterliegen, holt es Sie oft über die Lieferkette ein. Ein großer Abnehmer, der unter das Gesetz fällt, wird von Ihnen den Nachweis verlangen, dass Ihre Sicherheit in Ordnung ist. So setzen auch Firmen außerhalb der direkten Regulierung letztlich ähnliche Maßnahmen um.
Strengeres vs. einfacheres Regime
Das Gesetz teilt die Verpflichteten in zwei Gruppen ein:
- Einfacheres Regime – kleinere Anbieter regulierter Dienstleistungen, weniger strenge Anforderungen
- Strengeres Regime – bedeutendere Anbieter, strengere Anforderungen
In der Praxis bedeutet das: Wenn Sie in das strengere Regime fallen, haben Sie mehr Pflichten. Typischerweise handelt es sich um größere Firmen oder Organisationen, deren Ausfall schwerwiegende Folgen hätte. In welches Regime Sie gehören, erfahren Sie wiederum über den NÚKIB-Rechner.
Für uns im Service ist vor allem der Unterschied bei der Datensicherung entscheidend. Im einfacheren Regime kümmern Sie sich um regelmäßige Backups zur Wiederherstellung der Dienstleistung. Im strengeren Regime schreibt das Gesetz ausdrücklich auch das regelmäßige Testen von Integrität, Verfügbarkeit und Wiederherstellbarkeit der Backups sowie die Dokumentation der Ergebnisse vor. Dazu kommen wir gleich noch.
Was Sie tatsächlich umsetzen müssen
Die meisten Pflichten sind keine Science-Fiction-Anforderungen. Es sind Dinge, die ein gesund funktionierendes Unternehmen ohnehin haben sollte. Das Gesetz macht sie nur verpflichtend und überprüfbar.
Backups und Wiederherstellungstest
Das ist die Basis. Die Verordnung 410/2025 Slg. für das einfachere Regime besagt: Sie müssen Wiederherstellungsverfahren festlegen und regelmäßige Backups der Informationen, Daten, Konfigurationen und Einstellungen erstellen, die für die Wiederherstellung der Dienstleistung notwendig sind. Für das strengere Regime (Verordnung 409/2025 Slg.) kommt das regelmäßige Testen von Integrität, Verfügbarkeit und Wiederherstellbarkeit der Backups hinzu – und die Dokumentation der Ergebnisse. Der Wiederherstellungstest ist keine “Best Practice” mehr, sondern Pflicht.
Der Wiederherstellungstest ist der praktische Beweis, dass Backups nicht nur eingerichtet, sondern bei einem Ausfall oder Ransomware wirklich nutzbar sind.
Mehr-Faktor-Authentifizierung (MFA)
Für kritische Konten und Fernzugriffe müssen Sie MFA einsetzen. Keine Ausreden, dass “das Passwort stark genug” sei. Ist es nicht.
MFA muss vor allem bei E-Mail, Cloud, VPN, Buchhaltung und Administratorkonten aktiv sein. Der Angreifer kommt oft nicht durch die Firewall, sondern durch ein gestohlenes Passwort.
In der Praxis beginnen wir mit den Konten, deren Missbrauch die größten Auswirkungen hat: Firmeninhaber, Buchhalter, Administratoren von Microsoft 365/Google Workspace, VPN, Remotedesktop, Bank- und Buchhaltungssysteme. Bei Administratorkonten ist es gut, auch einen Backup-Zugang für Krisensituationen zu haben, aber dieser muss sicher aufbewahrt und darf nicht alltäglich genutzt werden.
Updates und Schwachstellenmanagement
Sie müssen den Überblick darüber haben, welche Systeme Sie nutzen, und diese regelmäßig aktualisieren. Kein verstecktes Windows XP in der Ecke.
Bestandsverzeichnis der Werte
Sie müssen wissen, was Sie haben. Server, Computer, Netzwerkkomponenten, Software, Cloud-Dienste. Ohne Überblick können Sie keine Risiken steuern.
Die Erfassung der Werte muss nicht mit einem teuren Tool beginnen. Die erste Version kann eine Tabelle sein: Gerät, Eigentümer, Zweck, Standort, Update-Status und wer Zugriff hat.
Typischerweise findet sich bei der ersten Inventur etwas, das die Firma schon jahrelang “irgendwie nutzt”, für das aber niemand wirklich verantwortlich ist: ein altes NAS, ein vergessener Router, ein gemeinsam genutztes Konto, ein ehemaliger Mitarbeiter in der Cloud, ein altes VPN oder Software, die keine Updates mehr erhält. Genau diese Dinge machen dann bei einem Vorfall Probleme.
Lieferantenmanagement
Sie müssen wissen, wer Ihnen was liefert, und vertraglich geregelt haben, wie die Lieferanten das Thema Sicherheit handhaben. Typischerweise über Verträge oder Sicherheitsfragebögen.
Externe IT, Cloud, Buchhaltungssystem, Kamerasystem oder Webhosting: Der Lieferant ist oft der direkte Weg zu Ihren Daten.
Bei Lieferanten fragen wir nicht nur “Wer verwaltet uns da?”, sondern vor allem “Worauf hat er Zugriff, wie schnell reagiert er, wie schützt er seine eigenen Konten, kann er Backups nachweisen und wer entscheidet bei einem Vorfall?”. Bei kleinen Firmen ist die Schwachstelle oft einfach: Ein einziger externer Administrator hat Zugriff auf alles, aber der Vertrag regelt nicht, was er bei einem Ausfall oder Angriff zu tun hat.
Verfahren für Vorfälle
Sie müssen einen Plan haben, wer was tut, wenn etwas passiert. Und vor allem, wer entscheidet, dass der Vorfall an das NÚKIB gemeldet wird.
NIS2-Checkliste für die ersten 30 Tage
Den größten Fortschritt machen Sie, sobald Sie aus den Pflichten konkrete Aufgaben machen. Dies ist ein einfacher Rahmen, den wir beim ersten technischen Durchgang in Firmen verwenden: Betroffenheit feststellen, die größten Risiken schließen, Wiederherstellung testen und die Reaktion auf Vorfälle vorbereiten.
Die Checkliste ist keine rechtliche Analyse. Sie ist ein technischer Startpunkt: Was durchgehen, damit die Firma nicht ohne Überblick, ohne Backups und ohne Entscheidungsverfahren dasteht.
Innerhalb von 7 Tagen: Betroffenheit im NÚKIB-Rechner prüfen, verantwortliche Person bestimmen, kritische Systeme und Konten auflisten.
Innerhalb von 30 Tagen: MFA aktivieren, Backups überprüfen, Wiederherstellungstest durchführen, Incident-Playbook erstellen und Hauptlieferanten prüfen.
Innerhalb von 90 Tagen: Dokumentation ergänzen, regelmäßige Kontrollen einrichten, Risiken bearbeiten und interne Prozesse mit Verträgen und Lieferanten abstimmen.
Vorfallmeldung an das NÚKIB Schritt für Schritt
Das ist die Sache, die Firmeninhaber am meisten fürchten. Dabei ist der Prozess logisch. Das Gesetz legt in § 16 drei Fristen fest:
Bei einem Vorfall zählen Schnelligkeit und Rollen: Der Techniker löst, die verantwortliche Person entscheidet, die Firma weiß, wann und was zu melden ist.
Fristen für die Vorfallmeldung: erste Meldung innerhalb von 24 h, Benachrichtigung innerhalb von 72 h, Abschlussbericht 30 Tage nach Benachrichtigung.
Innerhalb von 24 Stunden nach Feststellung des Vorfalls – erste Meldung. Kurz und knapp, kein Roman. Es reicht zu sagen: Es ist etwas passiert, wir kümmern uns darum, hier ist der Kontakt.
Innerhalb von 72 Stunden – Benachrichtigung über den Vorfall, wenn dieser erhebliche Auswirkungen hat. Hier müssen Sie bereits beschreiben, was passiert ist, welche Auswirkungen es hat und was Sie dagegen unternehmen.
Innerhalb von 30 Tagen nach Benachrichtigung – Abschlussbericht. Was genau passiert ist, warum, wie Sie es gelöst haben und was Sie tun, damit es sich nicht wiederholt. Wenn der Vorfall noch andauert, bedeutet das nicht “in 30 Tagen fertig” – es wird ein Zwischenbericht eingereicht und der Abschlussbericht erst nach der Behebung.
Die Schlüsselfrage: Wer in der Firma entscheidet, dass ein Vorfall gemeldet wird? Das muss klar geregelt sein. Typischerweise ist das der Geschäftsführer, Direktor oder Sicherheitsmanager. Nicht der IT-Techniker, der gerade etwas repariert. Dieser muss es eskalieren.
Und Achtung – bei vertrauensbildenden Diensten (z. B. Zertifizierungsstellen) gilt eine besondere 24-Stunden-Frist auch für diese 72-Stunden-Benachrichtigung.
Wie man ohne großes Budget anfängt
Der größte Fehler ist zu denken: “Dafür haben wir kein Geld, also lösen wir das nicht.” Das Gesetz verlangt nicht sofort teure Enterprise-Tools. Es verlangt angemessene Maßnahmen, die Ihrer Größe, Dienstleistung und Ihrem Risiko entsprechen.
Hier ist ein praktischer Plan für den Einstieg:
- Audit des aktuellen Zustands – Setzen Sie sich mit jemandem zusammen, der sich auskennt, und gehen Sie durch, was Sie haben und was Ihnen fehlt. Das dauert ein paar Stunden.
- MFA für kritische Konten – Microsoft 365, Google Workspace, VPN, Banking. MFA zu aktivieren, ist eine Sache von Minuten und kostet oft nichts.
- 3-2-1-Backups + Wiederherstellungstest – Drei Kopien der Daten, auf zwei verschiedenen Medien, eine außerhalb der Firma. Und versuchen Sie ab und zu, die Daten wirklich wiederherzustellen. Ohne Test ist ein Backup nur ein Wunsch.
- Systemliste – Eine Excel-Tabelle reicht. Schreiben Sie auf, was Sie haben, wer es verwaltet und wie alt es ist.
- Kurzes Incident-Playbook – Ein einseitiges Dokument: Wer macht was, wenn etwas passiert. Wer entscheidet über die Meldung. Wen ruft man an.
Die meisten dieser Schritte kosten kein Vermögen. Sie kosten Zeit und Disziplin.
Wie viel Arbeit bedeutet das tatsächlich
Bei einer kleineren Firma lässt sich der erste technische Durchgang sinnvoll gestalten: Dienste, Konten, Computer, Netzwerk, Backups, Lieferanten und Wiederherstellung des Betriebs durchgehen. Es geht nicht darum, das teuerste Sicherheitstool zu kaufen. Es geht darum, die grundlegenden Dinge unter Kontrolle zu bekommen, die vertretbar sind und vor allem in der Krise funktionieren.
Die höchste Priorität haben in der Regel:
- E-Mail- und Cloud-Konten ohne MFA,
- ungetestete Backups,
- alte Server und Router ohne Updates,
- Fernzugriff ohne klare Regeln,
- externer IT-Verwalter ohne beschriebene Verantwortlichkeiten,
- fehlender Kontakt und Ablauf für Vorfälle.
Wenn Sie bereits die Verwaltung von PCs und Firmen-IT regeln, lässt sich ein Großteil der Vorbereitung mit der üblichen Wartung verbinden: Inventur, Updates, Backup, Kontenprüfung und regelmäßige Wiederherstellungstests.
Wie ein technisches Audit in der Praxis aussieht
Das erste Audit muss kein kompliziertes, monatelanges Projekt sein. Bei einer kleineren Firma ist es sinnvoll, mit einem technischen Durchgang zu beginnen, der die größten Risiken und schnell behebbare Mängel aufzeigt. Erst danach macht es Sinn, die breitere Dokumentation und Prozesse anzugehen.
Ein typischer Durchgang sieht so aus:
| Bereich | Was wir prüfen | Warum es wichtig ist |
|---|---|---|
| Konten und Zugriffe | MFA, Administratoren, ehemalige Mitarbeiter, gemeinsam genutzte Konten | Der häufigste Eintritt in die Firma ist ein missbrauchtes Konto |
| Backups | Was wird gesichert, wohin, wie oft, wann wurde die Wiederherstellung getestet | Ohne Wiederherstellung ist kein Backup ein Beweis, nur eine Hoffnung |
| Netzwerk | Router, Firewall, WLAN, VPN, Remotedesktop | Alte Netzwerkkomponenten werden oft von niemandem aktualisiert |
| Endgeräte | Windows-Updates, Verschlüsselung, Antivirus, lokale Admin-Rechte | Ein Notebook kann den Weg in die ganze Firma öffnen |
| Lieferanten | Verträge, Zugriffe, Verantwortlichkeiten, Reaktionszeiten | Die Firma haftet auch für Risiken, die über Lieferanten entstehen |
| Vorfälle | Kontakte, Entscheidungsfindung, Dokumentation, Fristen | In der Krise bleibt keine Zeit zu suchen, wer was tun soll |
Das Ergebnis muss brauchbar sein: eine priorisierte Risikoliste, klare Aufgaben, eine verantwortliche Person und ein Termin. Kein Dokument, das niemand öffnet.
Die häufigsten Fehler, die wir bei Firmen sehen
NIS2 benennt oft nur Dinge, die auch ohne das Gesetz schon ein Problem waren. In der Praxis wiederholen sich vor allem diese Fehler:
- Backups laufen, aber niemand hat jemals eine Wiederherstellung versucht,
- MFA ist nur teilweise aktiviert, aber der Cloud-Administrator hat es nicht,
- alle nutzen dasselbe freigegebene Konto für NAS oder Buchhaltung,
- Router oder Firewall haben jahrealte Firmware,
- die externe IT hat Zugriff auf alles, aber es ist nicht klar, wie schnell sie reagieren soll,
- es fehlt eine einfache Liste von Geräten und Diensten,
- Vorfälle werden erst dann gelöst, wenn E-Mail, Buchhaltung oder der gemeinsame Speicher bereits ausgefallen sind.
Die gute Nachricht: Die meisten dieser Dinge lassen sich ohne den Kauf einer teuren Plattform deutlich verbessern. Es reicht, mit Ordnung bei den Konten, Backups, Updates und Verantwortlichkeiten zu beginnen.
Bußgelder und Risiken bei Nichterfüllung
Ja, die Bußgelder sind hoch. Das Gesetz legt in § 59 fest:
- Strengeres Regime: bis zu 250 Millionen CZK oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist)
- Einfacheres Regime: bis zu 175 Millionen CZK oder 1,4 % des weltweiten Jahresumsatzes
Aber verfallen Sie nicht in Panik. Diese Beträge sind maximale Obergrenzen für ausgewählte schwerwiegende Verstöße. Die konkrete Sanktion hängt davon ab, um welchen Verstoß es sich handelt, in welchem Regime Sie sich befinden und welche Folgen eingetreten sind. Der Artikel soll daher nicht auf der Androhung von Bußgeldern aufbauen, sondern darauf, dass die Firma eine funktionierende Sicherheit und Wiederherstellung des Betriebs haben muss.
Wichtiger als die Höhe des Bußgelds ist das reale Risiko: Wenn Sie keine Backups haben und es zu einem Ransomware-Angriff kommt, wird der Schaden wahrscheinlich viel höher sein als jedes Bußgeld. Und dann geht es um die Existenz der Firma, nicht um eine Sanktion auf dem Papier.
Häufige Fragen
Betrifft das Gesetz eine Firma mit weniger als 50 Mitarbeitern? Im Allgemeinen nicht – es sei denn, Sie sind für den Staat bedeutsam oder erbringen eine spezifische regulierte Dienstleistung, bei der die Größe keine Rolle spielt. Aber überprüfen Sie es im NÚKIB-Rechner. Es gibt Ausnahmen.
Muss ich jeden virenbefallenen Computer melden? Nein. Gemeldet werden Vorfälle, die erhebliche Auswirkungen auf die Erbringung der regulierten Dienstleistung haben oder haben könnten. Ein gewöhnlicher Virenbefall auf einem PC, den Sie mit dem Antivirenprogramm beseitigen, wird typischerweise nicht gemeldet.
Reicht die Cloud als Backup? Für sich allein genommen nicht. Die Cloud ist ein Medium. Sie benötigen mindestens zwei verschiedene Medien und eine Kopie außerhalb der Firma. Die Cloud kann dieses “außerhalb der Firma” sein, aber Sie brauchen zusätzlich ein lokales Backup auf einem anderen Medium.
Wie oft muss die Wiederherstellung getestet werden? Für das strengere Regime ist das Testen Pflicht und muss regelmäßig erfolgen. Die Häufigkeit legen Sie je nach Risiko fest – typischerweise einmal pro Quartal bis einmal jährlich. Für das einfachere Regime verlangt das Gesetz dies nicht ausdrücklich, der gesunde Menschenverstand hingegen schon.
Was ist, wenn ich die IT extern vergeben habe? Auch dann sind Sie für die Erfüllung der Pflichten verantwortlich. Eine externe IT-Firma müssen Sie als Lieferanten steuern – einen Vertrag haben, wissen, was sie tun, und die Gewissheit haben, dass sie Ihre Anforderungen erfüllt. Wir im Service lösen das täglich mit Kunden – wir legen Regeln, Dokumentation und technische Maßnahmen so fest, dass die Firma dem Gesetz entspricht.
Quellen und Verifizierung
Den Rechtsstand und die Methodik sollte man direkt beim NÚKIB überprüfen, da sich Auslegungsmaterialien ändern können. Für diesen Artikel stützten wir uns hauptsächlich auf den Leitfaden zum neuen Cybersicherheitsgesetz, den NÚKIB-Rechner, das Gesetz Nr. 264/2025 Slg., die Verordnung zu regulierten Dienstleistungen und die Durchführungsverordnungen für das strengere Regime und das einfachere Regime. Das NÚKIB veröffentlichte auch, dass es zum 8. Februar 2026 4.825 gemeldete Subjekte registrierte.
Wir helfen bei der Einrichtung
Das neue Cybersicherheitsgesetz ist kein Grund zur Panik. Es ist ein Grund, Ordnung zu schaffen. Die meisten Pflichten sind Dinge, die Ihre Firma vor realen Bedrohungen schützen – nicht nur vor einem Bußgeld.
Wir im Service helfen Firmen in Brünn bei der kompletten Einrichtung der Cybersicherheit. Von der Verwaltung von IT und Computern über die Datensicherung und Wiederherstellungstests bis hin zum Schutz vor Ransomware und Antivirenschutz. Wir führen einen Audit durch, schlagen maßgeschneiderte Maßnahmen vor und kümmern uns darum, dass Ihre Firma die gesetzlichen Anforderungen erfüllt – und vor allem widerstandsfähig gegen reale Bedrohungen ist.
Melden Sie sich, wir setzen uns ohne Panikmache zusammen. Wir sind Techniker, keine Bürokraten.