Website-Sicherheit in der EU: Welche technischen Pflichten haben Websitebetreiber?

HTTPS, regelmäßige Updates, sichere Passwörter und Back-ups gehören heute zum technischen Standard einer Website. Doch welche Sicherheitsmaßnahmen sind tatsächlich gesetzlich vorgeschrieben? Und welche Verantwortung tragen Websitebetreiber, wenn personenbezogene Daten verloren gehen oder ihre Website gehackt wird?

Die Sicherheit einer Website ist längst nicht mehr nur eine technische Frage. Europäische Datenschutz- und Cybersicherheitsvorschriften stellen konkrete Anforderungen an den Schutz digitaler Systeme und der darin verarbeiteten Daten.

Die wichtigste Grundlage für viele Websitebetreiber ist die Datenschutz-Grundverordnung (DSGVO). Darüber hinaus können weitere Vorschriften greifen, insbesondere bei größeren Unternehmen, bestimmten digitalen Dienstleistern und Betreibern kritischer Infrastrukturen.

Dieser Beitrag erklärt, welche technischen Sicherheitsanforderungen sich aus dem EU-Recht ergeben, worauf Betreiber von Blogs und Unternehmenswebsites achten sollten und wann zusätzliche Cybersicherheitspflichten gelten.

1. Die DSGVO als Grundlage der technischen Sicherheit

Die Datenschutz-Grundverordnung verpflichtet Unternehmen und andere Verantwortliche, personenbezogene Daten angemessen zu schützen.

Die zentrale Vorschrift ist Artikel 32 DSGVO. Sie verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten.

Dabei müssen unter anderem der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Datenverarbeitung berücksichtigt werden.

Zu den ausdrücklich genannten Maßnahmen gehören, soweit angemessen:

• Die Verschlüsselung und Pseudonymisierung personenbezogener Daten
• Die Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Systemen
• Die Möglichkeit, die Verfügbarkeit personenbezogener Daten nach einem technischen oder physischen Zwischenfall zeitnah wiederherzustellen
• Regelmäßige Überprüfungen und Bewertungen der Wirksamkeit der Sicherheitsmaßnahmen

Entscheidend ist: Die DSGVO schreibt nicht jeder Website dieselbe technische Konfiguration vor. Vielmehr muss das Sicherheitsniveau zum jeweiligen Risiko passen.

Ein einfacher Blog ohne Benutzerkonten und ohne umfangreiche Datenerhebung hat typischerweise ein anderes Risikoprofil als ein Online-Shop, der Kundenkonten, Zahlungsinformationen und Bestelldaten verarbeitet.

Auch eine kleine Website muss personenbezogene Daten angemessen schützen, wenn sie solche Daten verarbeitet. Die Größe des Betreibers bedeutet nicht automatisch, dass die Sicherheitsanforderungen entfallen.

2. HTTPS und Verschlüsselung: Wie müssen Daten geschützt werden?

Eine sichere Datenübertragung ist ein wesentlicher Bestandteil einer modernen Website.

HTTPS schützt die Verbindung zwischen dem Browser eines Besuchers und dem Webserver mithilfe von TLS. Dadurch wird es Dritten erheblich erschwert, übertragene Daten mitzulesen oder unbemerkt zu verändern.

Für Websitebetreiber ergeben sich daraus mehrere praktische Anforderungen:

• Ein gültiges TLS-Zertifikat muss korrekt eingerichtet sein
• Die HTTPS-Konfiguration sollte zeitgemäße Sicherheitsstandards verwenden
• Unsichere Weiterleitungen und gemischte Inhalte sollten vermieden werden
• Die Erneuerung des Zertifikats sollte zuverlässig funktionieren
• Formulare und andere Funktionen, über die personenbezogene Daten übertragen werden, sollten angemessen abgesichert sein.

Ist HTTPS gesetzlich vorgeschrieben?

Die DSGVO enthält keine pauschale Vorschrift, wonach jede beliebige Website unabhängig von ihrer Funktion zwingend HTTPS verwenden muss. Verschlüsselung ist jedoch eine ausdrücklich genannte Sicherheitsmaßnahme in Artikel 32 DSGVO.

Ob und in welcher Form sie erforderlich ist, hängt vom konkreten Risiko ab. Bei Websites, die personenbezogene Daten übertragen, ist eine sichere Verbindung regelmäßig eine grundlegende Schutzmaßnahme.

Wichtig: HTTPS allein macht eine Website nicht sicher. Es schützt in erster Linie die Datenübertragung, nicht automatisch den Webserver, das Content-Management-System oder die Datenbank.

3. Updates und Sicherheitslücken: Wer ist verantwortlich?

Viele erfolgreiche Angriffe auf Websites nutzen bekannte Schwachstellen in veralteter Software aus. Betroffen sein können beispielsweise:

• Content-Management-Systeme wie WordPress
• Plugins und Themes
• Serverseitige Software und Bibliotheken
• Betriebssysteme und Datenbanksysteme
• Administrationswerkzeuge und externe Komponenten

Die DSGVO schreibt keinen universellen Update-Zeitplan vor. Aus der Verpflichtung zu angemessenen Sicherheitsmaßnahmen kann sich jedoch ergeben, dass bekannte und relevante Schwachstellen zeitnah behoben werden müssen.

Für Websitebetreiber bedeutet das, einen verlässlichen Wartungsprozess einzurichten. Dazu gehören insbesondere:

• Regelmäßige Kontrolle verfügbarer Sicherheitsupdates
• Zeitnahe Installation kritischer Aktualisierungen
• Prüfung, ob eingesetzte Plugins und andere Komponenten noch gepflegt werden
• Entfernung nicht mehr benötigter Erweiterungen
• Überprüfung der Website nach größeren Aktualisierungen
• Austausch oder sichere Abschaltung nicht mehr unterstützter Software

Besonders problematisch sind Erweiterungen, die seit längerer Zeit keine Sicherheitsupdates mehr erhalten.

Auch automatische Updates sollten nicht völlig unbeaufsichtigt bleiben. Sie können sinnvoll sein, müssen aber zum technischen Aufbau der Website passen. Back-ups und geeignete Testverfahren helfen, mögliche Probleme nach Aktualisierungen zu begrenzen.

Was gilt bei externem Hosting?

Wer einen Hosting-Anbieter nutzt, überträgt damit nicht automatisch sämtliche Verantwortung für die Sicherheit der eigenen Website.

Der Hosting-Anbieter ist für die vereinbarten Leistungen und seinen Verantwortungsbereich zuständig. Der Websitebetreiber muss dagegen prüfen, welche Sicherheitsmaßnahmen er selbst umsetzen muss und welche Leistungen der Anbieter übernimmt.

Eine klare Abgrenzung der Zuständigkeiten ist deshalb wichtig.

4. Sichere Passwörter, Administrationszugänge und Berechtigungen

Ein kompromittierter Administrationszugang kann einem Angreifer weitreichende Kontrolle über eine Website verschaffen.

Deshalb gehört die Absicherung administrativer Zugänge zu den wichtigsten technischen Maßnahmen. Empfehlenswert sind insbesondere:

• Lange, einzigartige Passwörter.
• Mehr-Faktor-Authentifizierung für administrative Konten
• Individuelle Benutzerkonten statt gemeinsam genutzter Zugangsdaten
• Beschränkung der Zugriffsrechte auf das notwendige Maß
• Entfernung nicht mehr benötigter Benutzerkonten
• Schutz von Administrationsoberflächen vor unbefugtem Zugriff
• Sichere Speicherung und Weitergabe von Zugangsdaten

Die DSGVO verlangt angemessene Sicherheitsmaßnahmen, schreibt aber nicht pauschal für jede Website eine bestimmte Passwortlänge oder die verpflichtende Mehr-Faktor-Authentifizierung vor.

Solche Maßnahmen können abhängig vom Risiko dennoch erforderlich oder besonders empfehlenswert sein.

Bei Websites mit mehreren Redakteuren, Administratoren oder externen Dienstleistern sollte zusätzlich klar geregelt sein, wer auf welche Bereiche zugreifen darf.

5. Back-ups und Wiederherstellung nach einem Angriff

Sicherheitsmaßnahmen sollen nicht nur Angriffe verhindern. Sie müssen auch dazu beitragen, die Folgen eines erfolgreichen Angriffs oder eines technischen Defekts zu begrenzen.

Artikel 32 DSGVO nennt ausdrücklich die Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall zeitnah wiederherzustellen.

Daraus kann sich die Notwendigkeit eines geeigneten Sicherungs- und Wiederherstellungskonzepts ergeben. Ein solches Konzept sollte folgende Fragen beantworten:

• Welche Daten und Systeme müssen gesichert werden?
• Wie häufig werden Sicherungen erstellt?
• Wie lange werden sie aufbewahrt?
• Sind die Back-ups vor unbefugtem Zugriff geschützt?
• Können die Daten im Ernstfall tatsächlich wiederhergestellt werden?
• Wie schnell muss die Website wieder verfügbar sein?

Eine Sicherung ist erst dann wirklich hilfreich, wenn sie im Bedarfsfall funktioniert.

Deshalb sollten Wiederherstellungen regelmäßig getestet werden. Bei erhöhten Risiken kann es sinnvoll sein, Sicherungskopien getrennt vom produktiven System aufzubewahren und gegen Manipulation oder Verschlüsselung durch Schadsoftware zu schützen.

Gesetzliche Pflicht oder Empfehlung?

Die DSGVO schreibt nicht für jede Website eine bestimmte Anzahl täglicher Back-ups vor. Sie verlangt jedoch ein dem Risiko angemessenes Sicherheitsniveau und nennt die Wiederherstellbarkeit ausdrücklich als relevante Fähigkeit.

Ob tägliche Sicherungen, zusätzliche Offline-Kopien oder besonders kurze Wiederherstellungszeiten notwendig sind, hängt vom jeweiligen Anwendungsfall ab.

6. Sicherheitsvorfälle: Was passiert, wenn eine Website gehackt wird?

Trotz geeigneter Schutzmaßnahmen können Sicherheitsvorfälle auftreten. Dazu gehören beispielsweise:

• Unbefugter Zugriff auf Kundendaten
• Diebstahl von Zugangsdaten
• Manipulation einer Website
• Verlust oder Beschädigung personenbezogener Daten
• Veröffentlichung vertraulicher Informationen
• Verschlüsselung von Daten durch Ransomware

In solchen Situationen müssen Websitebetreiber zunächst den Vorfall eindämmen, mögliche Schäden begrenzen und feststellen, welche Systeme und Daten betroffen sind.

Werden personenbezogene Daten verletzt, ist zusätzlich zu prüfen, ob eine Datenschutzverletzung im Sinne der DSGVO vorliegt.

Die 72-Stunden-Frist nach der DSGVO

Nach Artikel 33 DSGVO muss der Verantwortliche eine meldepflichtige Verletzung des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden der Verletzung an die zuständige Datenschutzaufsichtsbehörde melden.

Die Frist gilt nicht ausnahmslos für jeden technischen Zwischenfall.

Eine Meldung an die Aufsichtsbehörde ist grundsätzlich nicht erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Besteht voraussichtlich ein hohes Risiko für die betroffenen Personen, kann nach Artikel 34 DSGVO zusätzlich eine Benachrichtigung dieser Personen erforderlich sein. Auch hierfür gelten bestimmte Voraussetzungen und Ausnahmen.

Ein Websiteausfall ohne Bezug zu personenbezogenen Daten löst daher nicht automatisch eine Meldepflicht nach der DSGVO aus.

Umgekehrt kann bereits ein unbefugter Zugriff auf personenbezogene Daten eine Meldepflicht begründen, auch wenn die Website weiterhin funktioniert.

Warum ein dokumentierter Notfallplan sinnvoll ist

Wer erst nach einem Angriff festlegt, wer zuständig ist und welche Schritte durchgeführt werden müssen, verliert möglicherweise wertvolle Zeit.

Ein Notfallplan sollte deshalb mindestens festlegen:

• Wer Sicherheitsvorfälle entgegennimmt und bewertet
• Wer technische Gegenmaßnahmen einleitet
• Wie betroffene Systeme isoliert werden können
• Wie die zuständige Datenschutzverantwortung eingebunden wird
• Wie mögliche Meldepflichten geprüft werden
• Wie Beweise und Protokolle gesichert werden
• Wie die Wiederherstellung erfolgt

Ein solcher Plan muss nicht für jede kleine Website umfangreich sein. Er sollte aber zum Risiko und zur Komplexität des Betriebs passen.

7. Hosting-Anbieter und externe Dienstleister

Viele Websites nutzen externe Anbieter, etwa für Hosting, Wartung, Newsletterversand, Back-ups oder Cloud-Dienste.

Sobald solche Anbieter personenbezogene Daten im Auftrag des Websitebetreibers verarbeiten, sind die Anforderungen der DSGVO zur Auftragsverarbeitung zu prüfen.

Artikel 28 DSGVO regelt unter anderem die Auswahl geeigneter Auftragsverarbeiter und den Abschluss entsprechender Verträge.

Artikel 32 DSGVO verpflichtet sowohl Verantwortliche als auch Auftragsverarbeiter, angemessene technische und organisatorische Sicherheitsmaßnahmen umzusetzen.

Bei der Auswahl eines Hosting-Anbieters sollten deshalb nicht nur Preis und Leistung berücksichtigt werden. Wichtige Prüfpunkte sind:

• Welche Sicherheitsmaßnahmen bietet der Anbieter?
• Wie werden Systeme aktualisiert und geschützt?
• Welche Möglichkeiten zur Datensicherung und Wiederherstellung bestehen?
• Wie werden Sicherheitsvorfälle behandelt?
• Welche Unterauftragnehmer werden eingesetzt?
• Welche Regelungen gelten für Zugriffe auf personenbezogene Daten?
• Wie erfolgt die Zusammenarbeit im Fall eines Sicherheitsvorfalls?

Die Verantwortung ist dabei nicht automatisch vollständig auf den Dienstleister übertragbar.

Der Websitebetreiber sollte nachvollziehen können, welche Leistungen ausgelagert sind und welche Maßnahmen weiterhin in seinem eigenen Verantwortungsbereich liegen.

8. Protokollierung, Überwachung und Erkennung von Angriffen

Sicherheitsrelevante Protokolle können dabei helfen, Angriffe zu erkennen, Fehler zu analysieren und den Ablauf eines Vorfalls nachzuvollziehen. Dazu zählen beispielsweise Protokolle über:

• Fehlgeschlagene Anmeldeversuche
• Administrative Änderungen
• Ungewöhnliche Zugriffe
• Fehler auf dem Webserver
• Sicherheitsrelevante Systemereignisse

Die DSGVO verlangt allerdings nicht pauschal, dass jede Website sämtliche Aktivitäten ihrer Besucher aufzeichnet.

Protokollierung und Überwachung müssen vielmehr sinnvoll auf den Sicherheitsbedarf abgestimmt sein und zugleich die datenschutzrechtlichen Anforderungen erfüllen. Insbesondere sollte geprüft werden:

• Welche Informationen tatsächlich benötigt werden
• Ob die Protokolle personenbezogene Daten enthalten
• Wer auf die Protokolle zugreifen darf
• Wie lange die Daten gespeichert werden

Wie die Protokolle vor Manipulation und unbefugtem Zugriff geschützt werden.
Auch bei Sicherheitsprotokollen gilt der Grundsatz, nicht mehr personenbezogene Daten zu verarbeiten, als für den jeweiligen Zweck erforderlich ist.

Je nach Website können darüber hinaus Schutzmaßnahmen wie Web Application Firewalls, Angriffserkennungssysteme oder automatisierte Warnmeldungen sinnvoll sein. Ihre konkrete Notwendigkeit hängt vom jeweiligen Risiko ab.

9. Datenschutz durch Technikgestaltung

Die DSGVO beschränkt sich nicht darauf, nachträglich Sicherheitsmaßnahmen zu verlangen.

Artikel 25 DSGVO enthält den Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Das bedeutet, dass Datenschutzanforderungen bereits bei der Planung und Konfiguration von Systemen berücksichtigt werden sollen. Für Websitebetreiber kann dies beispielsweise bedeuten:

• Nur notwendige personenbezogene Daten zu erheben
• Kontaktformulare auf die erforderlichen Angaben zu beschränken
• Unnötige Benutzerkonten und Datenbestände zu vermeiden
• Zugriffsrechte restriktiv zu konfigurieren
• Nicht benötigte Funktionen und Schnittstellen zu deaktivieren
• Daten nicht länger als erforderlich aufzubewahren
• Sicherheits- und Datenschutzeinstellungen bewusst zu wählen

Ein datenschutzfreundlicher Aufbau kann sowohl die Angriffsfläche verkleinern als auch die Folgen möglicher Sicherheitsvorfälle reduzieren.

Auch hier gilt: Welche konkreten Maßnahmen erforderlich sind, hängt vom jeweiligen Verarbeitungsvorgang und seinem Risiko ab.

10. Gilt die NIS-2-Richtlinie für jede Website?

Nein. Die NIS-2-Richtlinie ist keine allgemeine Sicherheitsvorschrift für sämtliche Webseiten.

Sie richtet sich an bestimmte Einrichtungen und Unternehmen, die in den erfassten Sektoren tätig sind und die jeweiligen gesetzlichen Voraussetzungen erfüllen.

Dazu gehören beispielsweise bestimmte Einrichtungen aus den Bereichen Energie, Gesundheit, Verkehr und digitale Infrastruktur. Auch bestimmte digitale Dienste und weitere Wirtschaftsbereiche können betroffen sein.

Ob ein Unternehmen unter die Vorschriften fällt, hängt unter anderem von seiner Tätigkeit, seiner Größe und möglichen Sonderregelungen ab.

Für einen gewöhnlichen privaten Blog oder eine kleine Unternehmenswebsite bedeutet das nicht automatisch, dass die umfangreichen NIS-2-Pflichten gelten.

Die besondere Situation in Österreich

In Österreich ist das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) am 1. Oktober 2026 in Kraft getreten. Es dient der Umsetzung der NIS-2-Richtlinie in nationales Recht.

Für erfasste Einrichtungen sieht das Gesetz zusätzliche Cybersicherheitspflichten vor. Dazu gehören insbesondere Risikomanagementmaßnahmen, Anforderungen an die Sicherheit der Lieferkette und Meldepflichten für erhebliche Sicherheitsvorfälle.

Die Pflichten müssen anhand des konkreten Anwendungsbereichs des Gesetzes geprüft werden. Die bloße Tatsache, dass ein Unternehmen eine Website betreibt, reicht dafür nicht aus.

Für Unternehmen, die unter das NISG 2026 fallen, empfiehlt sich eine gesonderte Prüfung der gesetzlichen Anforderungen und der vorgesehenen Umsetzungsfristen.

11. Welche Sicherheitsmaßnahmen sind für welche Website sinnvoll?

Nicht jede Website benötigt dieselbe Sicherheitsarchitektur. Die folgende Übersicht bietet eine erste Orientierung.

Einfacher Blog

Bei einem einfachen Blog ohne Benutzerkonten und ohne umfangreiche Datenerhebung stehen typischerweise folgende Maßnahmen im Vordergrund:

• Sichere HTTPS-Konfiguration
• Regelmäßige Updates des CMS und seiner Erweiterungen
• Absicherung des Administrationszugangs
• Regelmäßige Back-ups
• Entfernung nicht benötigter Plugins
• Schutz der tatsächlich verarbeiteten personenbezogenen Daten

Auch ein einfacher Blog kann durch ein veraltetes Plugin oder ein kompromittiertes Administratorkonto angegriffen werden.

Unternehmenswebsite

Bei einer Unternehmenswebsite mit Kontaktformularen, Newsletter oder mehreren Redakteuren kommen weitere Anforderungen hinzu:

• Klare Berechtigungsverwaltung
• Absicherung von Formularen und Benutzerkonten
• Prüfung der Datenschutzanforderungen
• Geeignete Aufbewahrung und Löschung personenbezogener Daten
• Überprüfung externer Dienstleister
• Regelmäßige Kontrolle der Sicherheitsmaßnahmen
• Festgelegte Abläufe für Sicherheitsvorfälle

Online-Shop

Ein Online-Shop verarbeitet häufig umfangreichere und sensiblere Datenbestände als ein einfacher Blog. Hier sind unter anderem folgende Punkte relevant:

• Schutz von Kundenkonten und Bestelldaten
• Sichere Integration von Zahlungsdienstleistern
• Einschränkung administrativer Zugriffe
• Regelmäßige Überprüfung der eingesetzten Shop-Erweiterungen
• Belastbare Sicherungs- und Wiederherstellungsverfahren
• Dokumentierte Prozesse zur Behandlung von Sicherheitsvorfällen
• Prüfung zusätzlicher branchenspezifischer Anforderungen.

Die konkrete Ausgestaltung hängt davon ab, welche Daten verarbeitet werden und welche Systeme zum Einsatz kommen.

12. Gesetzliche Pflicht oder technische Best Practice?

Eine wichtige Unterscheidung besteht zwischen ausdrücklich geregelten Pflichten und Maßnahmen, die sich aus einer risikobasierten Sicherheitsbewertung ergeben.

Diese Unterscheidung ist für die Praxis entscheidend: Eine Maßnahme kann technisch dringend empfehlenswert sein, ohne dass das Gesetz sie in genau dieser Form für jede Website vorschreibt.

Umgekehrt kann eine gesetzliche Verpflichtung bestehen, angemessene Schutzmaßnahmen umzusetzen, obwohl das Gesetz keine einzelne technische Lösung verbindlich vorgibt.

Fazit: Website-Sicherheit ist eine laufende Aufgabe

Die technische Sicherheit einer Website lässt sich nicht durch eine einmalige Installation von HTTPS oder ein einzelnes Sicherheitsplugin dauerhaft gewährleisten.

Wer eine Website betreibt und personenbezogene Daten verarbeitet, muss geeignete technische und organisatorische Schutzmaßnahmen umsetzen, deren Wirksamkeit im Blick behalten und sie bei veränderten Risiken gegebenenfalls anpassen.

Für viele Blogs und Unternehmenswebsites bilden eine sichere Konfiguration, regelmäßige Updates, geschützte Administrationszugänge, geeignete Back-ups und ein klarer Umgang mit Sicherheitsvorfällen eine sinnvolle Grundlage.

Bei größeren Unternehmen, bestimmten digitalen Dienstleistern und anderen gesetzlich erfassten Einrichtungen können zusätzliche Cybersicherheitsanforderungen gelten.

Die wichtigste Regel lautet daher: Sicherheitsmaßnahmen sollten nicht nur danach ausgewählt werden, was technisch möglich oder üblich ist, sondern danach, welche Risiken bestehen und welche gesetzlichen Anforderungen im konkreten Fall gelten.

Eine sichere Website schützt nicht nur Daten und Systeme. Sie trägt auch dazu bei, Vertrauen bei Besuchern, Kunden und Geschäftspartnern aufzubauen.

Rechtliche Grundlagen und weiterführende Informationen

Für eine vertiefte Prüfung der dargestellten Anforderungen eignen sich insbesondere folgende Quellen:

• Datenschutz-Grundverordnung, insbesondere Art. 25, 28, 32, 33 und 34
• NIS-2-Richtlinie (EU) 2022/2555
• Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Österreich

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine individuelle Rechtsberatung dar. Welche konkreten Pflichten gelten, hängt unter anderem von der Art der Website, den verarbeiteten Daten, dem Sitz des Betreibers und dem jeweiligen Anwendungsbereich der Vorschriften ab.

Quellen für die redaktionelle Prüfung

Die folgenden offiziellen beziehungsweise fachlich relevanten Quellen wurden für die Veröffentlichung des Beitrags herangezogen und können für eine rechtliche Gegenprüfung Verwendung finden:

• DSGVO, insbesondere Artikel 32:
  EUR-Lex – Datenschutz-Grundverordnung^[1]
• DSGVO und externe Dienstleister:
  Europäische Kommission – Anwendung der DSGVO^[2]
• NIS-2 und österreichische Umsetzung:
  Bundesamt für Cybersicherheit – Gesetzgebung und NISG 2026^[3]
• Prüfung, ob ein Unternehmen unter das NISG 2026 fällt:
  Bundesamt für Cybersicherheit – Anwendungsbereich^[4]
• Praxisinformationen zum NISG 2026:
  Wirtschaftskammer Österreich – Fragen und Antworten zum NISG 2026^[5]