NIS2 Checkliste für Endgeräte: Sind Ihre Geräte bereit für das NISG 2026?

Die Schonfrist ist vorbei: Mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) hat Österreich die EU-Richtlinie NIS2 endlich in nationales Recht umgesetzt. Das Gesetz wurde im Dezember 2025 beschlossen und tritt am 1. Oktober 2026 in Kraft – betroffene Unternehmen müssen sich anschließend innerhalb von drei Monaten beim neuen Bundesamt für Cybersicherheit registrieren.

Während sich viele Compliance-Projekte auf Richtlinien, Prozesse und Meldeketten konzentrieren, wird ein Bereich häufig unterschätzt: die Endgeräte. Dabei sind Smartphones, Tablets, Laptops, Scanner und IoT-Geräte genau die Angriffsfläche, über die Cyberangriffe am häufigsten beginnen – und das NISG 2026 verlangt hier nachweisbare technische Maßnahmen nach dem Stand der Technik.

Diese Checkliste zeigt Ihnen, welche Anforderungen Ihre Geräteflotte erfüllen muss und wie ein Enterprise MDM dabei hilft, sie systematisch und nachweisbar umzusetzen.

Hinweis: Dieser Artikel ist keine Rechtsberatung. Ob und wie das NISG 2026 auf Ihr Unternehmen anwendbar ist, klären Sie am besten mit Ihrer Rechtsabteilung oder externen Beratern.

Wer ist vom NISG 2026 betroffen?

Kurz zusammengefasst: deutlich mehr Unternehmen als bisher. Statt rund 100 designierten Betreibern kritischer Infrastrukturen fallen künftig geschätzt 5.000 Organisationen allein nur in Österreich direkt unter die Regularien – mittlere und große Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. Euro Umsatz) aus 18 Sektoren, darunter Energie, Verkehr, Gesundheit, Lebensmittelproduktion, Handel/Retail, Abfallwirtschaft, verarbeitendes Gewerbe und öffentliche Verwaltung.

Und selbst wer nicht direkt erfasst ist, spürt die Wirkung: Wesentliche und wichtige Einrichtungen müssen ihre Lieferkette absichern – und geben die Anforderungen an Zulieferer und Dienstleister weiter. Wer für einen NIS2-pflichtigen Kunden arbeitet, wird früher oder später Nachweise über die eigene Gerätesicherheit vorlegen müssen.

Wichtig für die Geschäftsführung: Die Verantwortung für die Risikomanagementmaßnahmen liegt beim Leitungsorgan persönlich und ist nicht delegierbar. Bei Verstößen drohen wesentlichen Einrichtungen Strafen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

Warum Endgeräte für NIS2 entscheidend sind

Das NISG 2026 verlangt geeignete technische, operative und organisatorische Maßnahmen entlang der zehn Maßnahmengruppen aus Art. 21 der NIS2-Richtlinie – von Risikoanalyse über Zugriffskontrolle bis zur Bewältigung von Sicherheitsvorfällen. Nahezu jede dieser Maßnahmengruppen hat eine direkte Endgeräte-Dimension:

Ein ungepatchtes Smartphone ist eine offene Schwachstelle. Ein unverschlüsseltes verlorenes Tablet ist ein meldepflichtiger Vorfall. Ein Scanner, den niemand inventarisiert hat, ist ein blinder Fleck in der Risikoanalyse. Und ohne zentrales Reporting lässt sich im Prüfungsfall schlicht nicht nachweisen, dass die Maßnahmen umgesetzt wurden.

Die NIS2 Checkliste für Endgeräte

Prüfen Sie Ihre Geräteflotte anhand dieser zwölf Punkte.

Jeder Punkt nennt die Anforderung, das Risiko bei Nichterfüllung und die passende technische Umsetzung.

☐ 1. Vollständige Geräteinventarisierung

Anforderung: Sie wissen jederzeit, welche Geräte im Unternehmen existieren, wem sie zugeordnet sind, welche Software darauf läuft und in welchem Zustand sie sind – inklusive Smartphones, Scanner, Rugged Devices und IoT-Endpunkten. Warum: Ohne vollständiges Inventar ist keine Risikoanalyse möglich. Nicht erfasste Geräte sind nicht verwaltete Angriffsflächen. Umsetzung: Zentrales Asset-Management mit automatischer Erfassung aller Gerätedaten, Live-Statusanzeige und lückenloser Zuordnung.

☐ 2. Zentrales Update- und Patchmanagement

Anforderung: Betriebssystem- und App-Updates werden zeitnah, kontrolliert und nachweisbar ausgerollt – auf allen Plattformen. Warum: Ungepatchte Schwachstellen sind der häufigste Einstiegspunkt für Angreifer. „Stand der Technik" ohne Patchmanagement ist nicht argumentierbar. Umsetzung: Geplante Update-Rollouts über die MDM-Konsole, inklusive Steuerung von Zeitfenstern (z. B. außerhalb der Schichten) und Reporting über den Patchstand der gesamten Flotte.

☐ 3. Verschlüsselung aller Endgeräte

Anforderung: Unternehmensdaten auf Geräten sind verschlüsselt – im Ruhezustand und bei der Übertragung. Warum: Kryptografie ist eine der explizit genannten Maßnahmengruppen der NIS2-Richtlinie. Ein verlorenes unverschlüsseltes Gerät ist ein Datenschutz- und Sicherheitsvorfall zugleich. Umsetzung: Erzwungene Geräteverschlüsselung per Richtlinie, sichere Container für Unternehmensdaten, verschlüsselte Kommunikation.

☐ 4. Zugriffskontrolle und Authentifizierung

Anforderung: Nur autorisierte Personen greifen auf Geräte und Unternehmensressourcen zu – mit starken Passwörtern bzw. Multi-Faktor-Authentifizierung, wo angemessen.

Warum: Zugriffskontrolle ist Kernbestandteil des NIS2-Maßnahmenkatalogs. Geteilte Geräte ohne personalisierte Anmeldung machen Vorfälle nicht nachvollziehbar.

Umsetzung: Durchgesetzte Passwortrichtlinien, rollenbasierte Zugriffe, personalisierte Logins auch auf geteilten Geräten (z. B. im Schichtbetrieb), Integration mit Active Directory bzw. Entra ID.

☐ 5. Härtung und sichere Konfiguration

Anforderung: Geräte sind nach definierten Sicherheitsstandards konfiguriert – nicht benötigte Funktionen, Schnittstellen und Apps sind deaktiviert. Warum: Jede offene Schnittstelle und jede nicht freigegebene App vergrößert die Angriffsfläche.

Umsetzung: Zentrale Konfigurationsprofile, App-Whitelisting, Kiosk-Modus für Geräte mit definiertem Einsatzzweck, Sicherheits-Browser für kontrollierten Webzugriff.

☐ 6. Schutz vor Schadsoftware und mobilen Bedrohungen

Anforderung: Bedrohungen auf Endgeräten werden erkannt und abgewehrt – auch auf Mobilgeräten, nicht nur auf Desktops. Warum: Phishing, bösartige Apps und kompromittierte Netzwerke zielen zunehmend auf Smartphones und Tablets. Umsetzung: Mobile Threat Detection (MTD) für Android, iOS und Windows, integriert in die zentrale Verwaltung.

☐ 7. Sofortmaßnahmen bei Verlust oder Diebstahl

Anforderung: Verlorene oder gestohlene Geräte können unverzüglich geortet, gesperrt und aus der Ferne gelöscht werden. Warum: Die Reaktionsfähigkeit bei Vorfällen ist eine zentrale NIS2-Anforderung – und die Meldefristen sind kurz (Erstmeldung binnen 24 Stunden).

Umsetzung: Remote Lock, Remote Wipe und Geräteortung direkt aus der browserbasierten Konsole – jederzeit und von überall.

☐ 8. Erkennung und Meldung von Vorfällen

Anforderung: Auffälligkeiten auf Endgeräten (Compliance-Verstöße, Jailbreak/Root, ungewöhnliches Verhalten) werden automatisch erkannt und gemeldet. Warum: Ohne automatisierte Alerts erfahren Sie von einem Vorfall zu spät, um die Meldefristen einzuhalten.

Umsetzung: Echtzeitüberwachung mit konfigurierbaren Alerts – in der Konsole, per E-Mail oder per API an Ihr SIEM.

☐ 9. Nachweisbarkeit durch Reporting

Anforderung: Der Sicherheitszustand der Flotte ist jederzeit dokumentier- und nachweisbar – für interne Audits, das Leitungsorgan und die Behörde.

Warum: Das NISG 2026 verlangt Selbstdeklaration und auf Aufforderung Nachweise über die umgesetzten Maßnahmen. Was nicht dokumentiert ist, gilt als nicht umgesetzt.

Umsetzung: Automatisierte Compliance-Reports auf Abruf oder zeitgesteuert, revisionssichere Dokumentation des Gerätestatus.

☐ 10. Kontrollierte App- und Softwareverteilung

Anforderung: Auf den Geräten läuft ausschließlich freigegebene, geprüfte Software – auch bei unternehmenseigenen Apps.

Warum: Unkontrollierte App-Installationen sind ein Einfallstor für Schadsoftware und ein Lieferketten-Risiko.

Umsetzung: Privater App- und File-Store, zentrale Verteilung und Aktualisierung, ohne Abhängigkeit von öffentlichen App-Stores.

☐ 11. Sicherer Umgang mit dem Gerätelebenszyklus

Anforderung: Onboarding, Nutzerwechsel und Ausmusterung von Geräten folgen definierten, sicheren Prozessen – inklusive vollständiger Datenlöschung am Lebensende.

Warum: Alt-Geräte mit Unternehmensdaten, die unkontrolliert ausscheiden, sind ein klassisches, vermeidbares Risiko.

Umsetzung: Zero-Touch Enrollment beim Rollout, dokumentierte Übergaben, zertifizierte Löschung bei der Außerbetriebnahme.

☐ 12. Datensouveränität der Verwaltungslösung selbst

Anforderung: Auch das Managementsystem, das all diese Maßnahmen steuert, erfüllt hohe Sicherheits- und Compliance-Standards – Stichwort Lieferkettensicherheit.

Warum: Ihr MDM hat weitreichende Rechte auf allen Geräten. Es ist damit selbst Teil Ihrer kritischen Lieferkette und muss den gleichen Ansprüchen genügen.

Umsetzung: MDM-Betrieb in einer geprüften Umgebung mit Datenhaltung in Österreich bzw. der EU, DSGVO-konform, als Private Cloud oder On-Premise – ohne Abhängigkeit von US-Hyperscalern.

Wie mCloud Enterprise MDM die Checkliste abdeckt

Die gute Nachricht: Die technische Endgeräte-Dimension von NIS2 lässt sich mit einem Enterprise MDM weitgehend zentral umsetzen – über alle Plattformen hinweg, von Android und iOS über Windows, macOS und Linux bis zu Rugged Devices und IoT-Endpunkten.

mCloud Enterprise MDM deckt alle zwölf Punkte der Checkliste ab: vollständige Inventarisierung mit Live-Status, zentrales Update- und Patchmanagement, erzwungene Verschlüsselung und Passwortrichtlinien, Kiosk-Modus und App-Whitelisting, Mobile Threat Detection, Remote Lock/Wipe, Echtzeitalerts mit SIEM-Anbindung sowie automatisierte Compliance-Reports für die Nachweispflicht.

Und beim zwölften Punkt – der Souveränität der Lösung selbst – liegt der vielleicht größte Unterschied zu internationalen Anbietern: mCloud ist NIS2-konform, wird in Österreich gehostet, ist DSGVO-konform und kommt ohne Anbindung an AWS, Azure oder andere Drittanbieter-Clouds aus. Auf Wunsch auch On-Premise in Ihrer eigenen Infrastruktur.

Ihr Zeitplan bis zum Stichtag

Die wichtigsten Termine im Überblick: Das NISG 2026 tritt am 1. Oktober 2026 in Kraft. Innerhalb von drei Monaten danach – also bis Ende 2026 – müssen sich betroffene Einrichtungen beim Bundesamt für Cybersicherheit registrieren. Innerhalb von zwölf Monaten nach der Registrierungspflicht folgt die Selbstdeklaration zu den umgesetzten Risikomanagementmaßnahmen.

Das klingt nach viel Zeit – ist es aber nicht: Wer im Herbst 2026 seriös deklarieren will, muss die Maßnahmen jetzt umsetzen. Eine Geräteflotte inventarisiert, härtet und dokumentiert sich nicht in vier Wochen.

Endgeräte-Compliance ist machbar – mit dem richtigen Werkzeug

NIS2 ist für Endgeräte keine unlösbare Aufgabe, sondern in weiten Teilen gelebte MDM-Praxis: inventarisieren, härten, patchen, überwachen, dokumentieren. Der Unterschied liegt in der Systematik und der Nachweisbarkeit – und genau dafür ist ein Enterprise MDM gebaut.

Möchten Sie wissen, wo Ihre Geräteflotte heute steht? 

Wir gehen die Checkliste gerne gemeinsam mit Ihnen durch – unverbindlich und konkret für Ihre Umgebung: info@mcloud-mdm.at

FAQ – Häufige Fragen zu NIS2 und Endgeräten

Ab wann gilt NIS2 in Österreich?

Das NISG 2026 als österreichische Umsetzung der NIS2-Richtlinie wurde im Dezember 2025 beschlossen und tritt am 1. Oktober 2026 in Kraft. Die Registrierung beim Bundesamt für Cybersicherheit muss innerhalb von drei Monaten danach erfolgen.

Ist mein Unternehmen betroffen?

Direkt betroffen sind mittlere und große Unternehmen (ab 50 Mitarbeitenden oder über 10 Mio. Euro Umsatz) in 18 definierten Sektoren. Indirekt betroffen sind viele Zulieferer und Dienstleister über die Lieferkettenpflicht ihrer Kunden. Die Einstufung müssen Unternehmen selbst prüfen – im Zweifel mit rechtlicher Beratung.

Reicht ein MDM für die NIS2-Compliance aus?

Nein – NIS2 umfasst auch organisatorische Maßnahmen wie Risikoanalysen, Schulungen der Leitungsorgane, Meldeprozesse und Business Continuity. Ein MDM deckt aber die technische Endgeräte-Dimension weitgehend ab und liefert die Nachweise, die im Prüfungsfall gefordert sind.

Welche Strafen drohen bei Verstößen?

Wesentlichen Einrichtungen drohen Geldstrafen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Zudem haftet das Leitungsorgan (CISO oder Geschäftsführung) persönlich für die Sicherstellung der Risikomanagementmaßnahmen.

Zählen auch Scanner, Rugged Devices und IoT-Geräte zu den Endgeräten?

Ja. Die Maßnahmen gelten für Netz- und Informationssysteme insgesamt – also auch für Handhelds, Scanner, Maschinensteuerungen und IoT-Endpunkte. Gerade diese Geräte (Shared Devices) werden in klassischen IT-Sicherheitskonzepten oft übersehen und sollten zwingend in die zentrale Verwaltung aufgenommen werden.