NIS-2-Richtlinie

Indirekt betroffen können allerdings auch Unternehmen aus anderen Sektoren im Rahmen von Lieferketten sein. Hotels können z.B. Dienstleistungen für NIS-2-betroffene Unternehmen bringen (Tagung, Kongress etc.) und müssen damit rechnen, dass Kundinnen und Kunden die Erfüllung bestimmter Sicherheitsvorgaben einfordern. Das bedeutet, dass sie ihrerseits zumindest Basis-Vorkehrungen zur Cybersicherheit treffen müssen.

Die Wirtschaftskammer hat umfassende Informationen zu NIS-2 für die Tourismusbranche aufbereitet und Mindestvorgaben an Informationssicherheit für nicht direkt betroffene Unternehmen wie folgt zusammengefasst:

Ein Unternehmen, das die Basissicherheitsmaßnahmen erfüllt,

1. hat eine Sicherheitsrichtlinie für das eigene Unternehmen erlassen
2. schult seine Mitarbeiter regelmäßig zu Informationssicherheit
3. hat eine:n oder mehrere zuständige Ansprechpartner:innen für Informationssicherheit
4. hat ein aktuelles Verzeichnis seiner Geräte und Anwendungen
5. hat Zugriffe auf Dateien und Programme auf das erforderliche Ausmaß reduziert
6. fordert die Verwendung sicherer Passwörter ein
7. hat eine sichere Konfiguration der eingesetzten Geräte
8. schützt den eigenen Internetauftritt
9. führt Updates stets zeitnah durch
10. schützt sich und sein Netzwerk gegen unberechtigte Zugriffe von außen
11. setzt Schutzprogramme gegen bösartige Software ein
12. macht regelmäßige Backups seiner Systeme und kontrolliert diese
13. hat einen Notfallplan für einen IT-Sicherheitsvorfall

Die WKO hat für obige Punkte Muster und Vorlagen ausgearbeitet.

Stand: Juli 2026