NIS2, CER, DORA und HR-Screening im Fokus in Österreich
Auch in Österreich stehen Unternehmen und Führungskräfte vor wachsenden Anforderungen im Bereich Cyber-Resilienz, HR-Compliance und Lieferkettensicherheit. Die NIS‑2‑Richtlinie, die CER‑Richtlinie sowie die Digital Operational Resilience Act (DORA) setzen neue Standards – und verlangen u. a. gründliche Screening-Prozesse für Mitarbeitende und Dienstleister. Validato … nimmt genau diese „menschliche Risikokomponente“ in den Blick und unterstützt Unternehmen dabei, regulatorische Vorgaben im HR- und Cyber-Kontext sicher umzusetzen.
Regulatorischer Überblick für Österreich
- NIS-2 trat auf EU-Ebene am 16. Januar 2023 in Kraft. Anlaufstelle NISG+1
- In Österreich gilt – Stand Juli 2025 – noch kein vollständiges nationales Umsetzungsgesetz (NISG 2024/2025). Die Kommission hat eine Stellungnahme verschickt, da die vollständige Umsetzung fehlt. Digital Strategy EU+1
- Es wird geschätzt, dass rund 4 000 österreichische Unternehmen betroffen sein werden. docusnap.com+1
- Auch DORA ist für den Finanz-/ICT-Sektor relevant, Lieferantenketten- und Dienstleisterrisiken gewinnen an Bedeutung.
Konkrete Anforderungen für österreichische Unternehmen
- Screening von Mitarbeitenden mit Zugriff auf sensible Daten oder Infrastruktur: Identitäts- und Strafregisterprüfungen als Mindestanforderung.
- Etablierung eines unternehmensweiten Risikomanagement-Rahmens: Identifikation von Cyber-, HR- und Lieferkettenrisiken.
- Lieferanten- und Dienstleister-Risiken aktiv adressieren: Vertraglich sichern, dass externe Parteien Sicherheits- & HR-Standards erfüllen.
- Melde- und Monitoringpflichten bei Sicherheitsvorfällen: In Österreich sind z. B. Meldungen innerhalb von 24 h, erste Einschätzung innerhalb von 72 h vorgesehen. onlinesicherheit.gv.at+1
- Kontinuierliches Testen und Auditieren der Sicherheits-, HR- und Resilienz-Kontrollen: z. B. Penetrationstests, Red-Team, Lieferanten-Audit.
- Dokumentation aller Prozesse: Damit lassen sich Nachweise gegenüber Aufsichtsbehörden, Geschäftspartnern und im Rahmen von Ausschreibungen liefern.
Praxis-Empfehlungen für österreichische Firmen mit Background Checks
- Führen Sie eine Frühbewertung durch: Welche Ihrer Mitarbeitenden, Lieferanten oder Dienstleister sind besonders risikobehaftet (IT-Zugang, kritische Prozesse, sensible Daten)?
- Setzen Sie klare Policies und Verfahren auf: Wer wird wie geprüft? Wie oft? Welche Kriterien gelten? Wie wird der Dienstleister ausgewählt und überwacht?
- Machen Sie HR- und Cybersecurity-Themen zu einem gemeinsamen Thema: Die Geschäftsführung muss das Thema mittragen.
- Integrieren Sie Screening-Prozesse in Ihre Lieferanten-Due-Diligence: Dienstleister mit Zugriff auf Ihre Systeme müssen entsprechend geprüft werden.
- Legen Sie Monitoring- und Audit-Zyklen fest – sowohl für Mitarbeitende als auch externe Partner.
- Nutzen Sie externe Beratung oder Lösungspartner (z. B. Validato), um Prozesse aufzusetzen, Tools zu etablieren oder Schulungen durchzuführen.
Fazit
Für österreichische Unternehmen ist jetzt der Zeitpunkt gekommen, sich proaktiv vorzubereiten – auch wenn das nationale Gesetz noch nicht endgültig verabschiedet ist. Wer frühzeitig Screening-, HR- und Cyber-Strukturen aufsetzt, schafft nicht nur Compliance-Sicherheit, sondern stärkt zugleich die Resilienz gegenüber menschlichen Risiken und Cyberbedrohungen.