NIS2 und NISG 2026 für Softwareanbieter
NIS2, in Österreich das NISG 2026, erreicht Softwareanbieter über die Lieferkette. Rund 4.000 wesentliche und wichtige Einrichtungen in Österreich fallen direkt darunter, dazu geschätzt 50.000 Lieferkettenpartner. The Squad macht die Pflichten der Richtlinie zu technischen Belegen über die Software, die Sie ausliefern.
Warum Softwareanbieter betroffen sind
Die Richtlinie verlangt Risikomanagement nach dem Stand der Technik, strenge Vorfallsmeldung an nationale Behörden und persönliche Haftung der Geschäftsleitung. Das Risikomanagement umfasst Kryptografie, Zugriffskontrolle und Sicherheit der Lieferkette (Art. 21). Betroffene Einrichtungen müssen das Risiko ihrer Lieferanten steuern, deshalb kommen die Fragen im Einkauf bei Softwareanbietern an: was steckt in Ihrer App, welche Bibliotheken in welchen Versionen, welche Schlüssel, welche Endpunkte?
Die Informationen der nationalen Behörde unter nis.gv.at sind die Referenz dafür, ob und wie das Gesetz auf Ihr Unternehmen anwendbar ist. Die Prüfung entscheidet die Anwendbarkeit nicht. Sie liefert die technischen Tatsachen, von denen Ihre Antworten abhängen.
Von der Pflicht zur technischen Maßnahme
Keine Checkliste ersetzt den Blick auf die tatsächlichen Systeme. Wir ordnen die Pflichten Ihrem Code, Ihrer Konfiguration und Ihren Datenflüssen zu und übersetzen sie in Maßnahmen, die Ihr Infrastruktur-Team umsetzen kann:
- Kryptografie: hartkodierte Schlüssel und Zugangsdaten, TLS- und Network-Security-Konfiguration, Certificate Pinning.
- Zugriffskontrolle: Autorisierungslogik, Berechtigungen und API-Autorisierung, Vertrauensgrenzen zwischen App und Backend.
- Sicherheit der Lieferkette: Drittanbieter-Abhängigkeiten und SDKs mit ihren Versionen sowie die Unternehmen hinter den Endpunkten, die Ihre App kontaktiert.
- Vorfallsbereitschaft: Art. 23 setzt strenge Meldefristen. Ein vollständiges Inventar von Komponenten und Datenflüssen macht diese Fristen handhabbar.
Was Sie erhalten
Einen schriftlichen Bericht mit dem Beleg zu jedem Befund, nach CVSS gewichtetem Schweregrad wo anwendbar, einer Analyse dessen, was ein Angreifer realistisch tun kann, und Hinweisen zur Behebung. Jeder Bericht enthält einen Basis-Knowledge-Graph, der Befunde, SDKs, Endpunkte und Schwachstellen verknüpft. Menschliche Fachleute kontrollieren jeden Befund erneut.
Der Bericht ist ein technischer Beleg für Ihre Risikomanagement-Dokumentation. Er trägt kein Zertifikat. Das Security-Angebot auf der Seite Zugang nennt eine Lieferzeit von 5 Werktagen.
Methode und Unabhängigkeit
Die Prüfung liest die Software, wie sie ausgeliefert wird. Sie folgt OWASP ASVS, den OWASP Top 10 und CWE und nutzt dieselbe Methode wie unser öffentliches Verzeichnis. The Squad ist für die Sicherheitsuntersuchung von Software gebaut, und das Institut dahinter veröffentlicht seine Methodik, seine Offenlegungsrichtlinie und die Rahmenwerke, gegen die es prüft: NIS-2, DSGVO, EU AI Act sowie ISO/IEC 29147, 30111 und 27001.
Belege aus geprüfter Software
Das öffentliche Verzeichnis führt 387+ geprüfte Apps und 262+ kritische Befunde. Diese vollständigen Berichte zeigen Lieferketten- und Kryptografie-Befunde in Software etablierter Anbieter:
- SAP: Ein chinesisches Push-SDK in einer Außendienst-App und hartkodierte Firebase-Schlüssel in fünf Apps.
- Nike: Entwicklungs- und Produktiv-Push-Zugangsdaten hartkodiert im ausgelieferten Build.
- Strava: Ein hartkodierter Schlüssel und eine Sicherheitskonfiguration, die nichts schützt.
- Revolut: Das größte Drittanbieter-SDK der Serie und was es an ein US-Unternehmen sendet.
Starten Sie mit dem kostenlosen Check
Der kostenlose Check untersucht eine Domain von außen: ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ein Researcher sieht Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Der Check ist eine erste externe Einschätzung und ersetzt keine Quellcode-Prüfung.
Die Pläne für eine vollständige Prüfung stehen auf der Seite Zugang, die Rahmenwerke, gegen die wir prüfen, auf der Seite Standards.
Pläne und Preise ansehen → · The Squad kennenlernen → · Standards und Rahmenwerke →
Der erste Check erfolgt ausschließlich lesend, von einer europäischen IP-Adresse aus, ohne Login und ohne Payloads. Ihre Systeme bleiben dabei unverändert.
Bevor die Prüfung beginnt, sieht ein Researcher Ihre Anfrage durch und meldet sich innerhalb eines Werktags. Sie erhalten einen kurzen schriftlichen Report mit unseren Funden, möglichen Angriffsszenarien, dem wirtschaftlichen Schaden und klaren nächsten Schritten, dazu einen Knowledge Graph zu allen Funden. Alles kostenlos.
Fragen zu NIS2 und Softwareanbietern
Gilt NIS2 für unser Unternehmen?
Das hängt von Sektor, Größe und Rolle in einer Lieferkette ab. Die Informationen der nationalen Behörde unter nis.gv.at sind die Referenz. Die Prüfung liefert technische Tatsachen und überlässt die Entscheidung über die Anwendbarkeit Ihnen und Ihrer Rechtsvertretung.
Zertifizieren Sie die NIS2-Konformität?
Es wird kein Zertifikat ausgestellt. Geliefert wird ein schriftlicher technischer Bericht mit Belegen für Ihre Risikomanagement-Dokumentation.
Wie lange dauert eine Prüfung?
Das Security-Angebot auf der Seite Zugang nennt eine Lieferzeit von 5 Werktagen.
Testen Sie unsere Live-Systeme?
Nein. Sie senden das Material, das untersucht werden soll, und die Prüfung arbeitet an diesem Material.
Verwandte Seiten
App-Sicherheitsprüfung · DSGVO-Prüfung für Apps · Tracker- & SDK-Check
