Häufige Fragen

Die NEXUS Governance GmbH berät österreichische Unternehmen bei Informationssicherheit und Compliance. Die Kernthemen: ISO 27001, NIS-2 und das österreichische NISG 2026, Aufbau und Betrieb von Informationssicherheits-Managementsystemen (ISMS) sowie Governance, Risk & Compliance. Der Sitz liegt in Euratsfeld in Niederösterreich, beraten wird in ganz Österreich. Typische Auftraggeber sind Unternehmen mit 50 bis 500 Mitarbeitern, in denen Geschäftsführung oder IT-Leitung das Thema Sicherheit verantworten — oft ausgelöst durch Kundenanforderungen, eine geplante Zertifizierung oder gesetzliche Pflichten.

Am Anfang steht ein kostenloses Strategiegespräch: Wo steht das Unternehmen, welche Anforderungen bestehen, was ist das Ziel? Darauf folgt das Initial-Assessment — eine strukturierte Aufnahme des Ist-Zustands über Workshops und einen Fragenkatalog. Das Ergebnis ist ein Bericht mit konkreten Handlungsempfehlungen und einem Festpreisangebot je Modul. Sie entscheiden danach selbst, welche Module beauftragt werden und in welchem Tempo. Es gibt keine Verpflichtung, nach dem Assessment weiterzumachen.

Das hängt vom Umfang ab — von der Unternehmensgröße, dem gewünschten Geltungsbereich und dem vorhandenen Reifegrad. Deshalb arbeitet die NEXUS Governance GmbH mit einem Festpreis-Prinzip: Das Initial-Assessment dient dazu, für jedes darauf aufbauende Modul ein Festpreisangebot zu erstellen, statt offener Tagessatz-Schätzungen. Laufende Leistungen wie CISO-as-a-Service sind ebenfalls fixe Preise. Sie wissen damit vor jeder Beauftragung, was sie kostet.

Das bestimmen Unternehmensgröße und Ausgangslage. Wer bereits dokumentierte Prozesse und Sicherheitsmaßnahmen hat, ist deutlich schneller als ein Unternehmen, das bei null startet. Erfahrungsgemäß liegen zwischen Projektstart und Zertifikat mehrere Monate bis etwa ein Jahr. Der Ablauf: Aufbau des ISMS, einige Monate gelebter Betrieb mit internen Audits, dann das Zertifizierungsaudit in zwei Stufen durch eine akkreditierte Zertifizierungsstelle. Ein realistischer Zeitplan entsteht im Initial-Assessment.

NIS-2 wird in Österreich durch das NISG 2026 umgesetzt, das am 1. Oktober 2026 in Kraft tritt. Betroffen sind wesentliche und wichtige Einrichtungen aus definierten Sektoren — darunter Energie, Verkehr, Gesundheit, digitale Dienste, verarbeitendes Gewerbe und Lebensmittel. Als grobe Orientierung gelten 50 Mitarbeiter oder 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme, im Einzelfall kann es aber abweichen: Manche Einrichtungen fallen unabhängig von ihrer Größe unter das Gesetz, andere trotz Überschreiten der Schwellenwerte nicht. Auch kleinere Unternehmen können mittelbar betroffen sein, etwa als Zulieferer eines betroffenen Kunden, der Sicherheitsanforderungen an seine Lieferkette weitergibt. Ob Ihr Unternehmen unter das Gesetz fällt, klärt eine Betroffenheitsprüfung — der erste Schritt jedes NIS-2-Projekts.

ISO 27001 ist ein freiwilliger internationaler Standard: Ein Unternehmen baut ein Informationssicherheits-Managementsystem auf und lässt es zertifizieren — oft, weil Kunden das verlangen oder weil es strategisch sinnvoll ist. NIS-2 ist dagegen eine gesetzliche Pflicht mit Registrierung, Meldepflichten bei Sicherheitsvorfällen und behördlicher Aufsicht. Die gute Nachricht: Die Anforderungen überschneiden sich stark. Ein ISMS nach ISO 27001 deckt einen Großteil der NIS-2-Pflichten bereits ab. Wer beides braucht, baut deshalb sinnvollerweise ein System auf, das beide Anforderungen bedient — nicht zwei getrennte.

Ein Informationssicherheits-Managementsystem (ISMS) ist die Gesamtheit der Regeln, Prozesse und Verantwortlichkeiten, mit denen ein Unternehmen seine Informationen schützt. Es beantwortet Fragen wie: Welche Risiken bestehen? Wer entscheidet was? Wie wird auf Vorfälle reagiert? Wie wird geprüft, ob die Maßnahmen wirken? Ein ISMS ist damit deutlich mehr als Technik — es ist der Rahmen, in dem Maßnahmen wie Firewalls oder Virenschutz ihren Platz haben. Der gängige Standard dafür ist ISO 27001. Richtig aufgebaut, passt sich ein ISMS an die Organisation an, nicht umgekehrt.

Nein — und das ist gesetzlich so gewollt. Zertifikate vergeben ausschließlich akkreditierte Zertifizierungsstellen, die unabhängig vom Berater sein müssen. Die NEXUS Governance GmbH begleitet den gesamten Weg dorthin: Aufbau des ISMS, Vorbereitung auf das Audit, Begleitung während der Auditstufen und Unterstützung bei der Behebung von Abweichungen. Die Trennung zwischen Beratung und Zertifizierung schützt Sie: Das Zertifikat bestätigt eine unabhängige Prüfung, keine Selbstbestätigung des Beraters. Die NEXUS Governance GmbH ist allerdings auch selbst als Auditor für eine akkreditierte Zertifizierungsstelle tätig — Sie profitieren in der Beratung damit direkt von der Prüferperspektive.

Ja, das ist in Unternehmen dieser Größe der Normalfall. Für den Aufbau eines ISMS braucht es intern vor allem einen Ansprechpartner, der Entscheidungen einholen kann — kein Vollzeit-Sicherheitsteam. Für den laufenden Betrieb gibt es CISO-as-a-Service: Die Rolle des Sicherheitsverantwortlichen wird extern übernommen — mit definiertem Umfang, fixem Monatspreis und direktem Berichtsweg an die Geschäftsführung. Das Unternehmen erfüllt damit die Anforderungen von ISO 27001 oder NIS-2, ohne eine eigene Stelle schaffen zu müssen.

Das Cyber Trust Austria Label ist ein österreichisches Gütesiegel für Basis-Cybersicherheit. Ein Unternehmen weist anhand eines definierten Anforderungskatalogs nach, dass grundlegende Sicherheitsmaßnahmen umgesetzt sind, und darf das Label danach öffentlich führen — etwa gegenüber Kunden, die Sicherheitsnachweise von ihren Lieferanten verlangen. Der Aufwand ist überschaubar, das Ergebnis schnell sichtbar. Das Label eignet sich damit als erster Schritt für Unternehmen, die noch keine vollständige ISO-27001-Zertifizierung anstreben, aber Sicherheit nachweisbar machen wollen.