Unter­neh­men, die sich mit Cyber­si­cher­heit aktiv aus­ein­an­der­set­zen, wer­den ste­tig bes­ser. In der Gesamt­wirt­schaft fehlt diese fun­dierte Aus­ein­an­der­set­zung. Das all­ge­meine Bewusst­sein ist zu gering und das gilt auch und trotz der ab nun gül­ti­gen NIS-Regularien.

Öster­reichs Unter­neh­men haben bei der Cyber­si­cher­heit im ver­gan­ge­nen Jahr Fort­schritte erzielt. Laut einer aktu­el­len Erhe­bung von Cyber­Risk Report von KSV1870 Nim­busec ver­bes­serte sich das Ergeb­nis bei knapp der Hälfte der rund 400 im Jahr 2026 durch­ge­führ­ten Cyber-Risk Ratings gegen­über 2025. 

63.000 Fälle von Inter­net­kri­mi­na­li­tät in Öster­reich im Jahr 2025

85 Pro­zent der erho­be­nen Betriebe sind in der Lage, IT-Sicher­heits­vor­fäl­len zuver­läs­sig zu erken­nen. Den­noch ist das all­ge­meine Bewusst­sein in der Wirt­schaft für Cyber­ri­si­ken ange­sichts der stei­gen­den Bedro­hungs­lage und des ab 1. Okto­ber 2026 gel­ten­den NIS-Geset­zes 2026 wei­ter­hin zu gering. „Nur ein Bruch­teil der Unter­neh­men lässt den eige­nen Cyber-Sicher­heits­sta­tus extern über­prü­fen“, so KSV1870 Nimbusec. 

Ganz gene­rell stellt das Thema Cyber-Kri­mi­na­li­tät Öster­reichs Unter­neh­men zuneh­mend vor Her­aus­for­de­run­gen. Im Vor­jahr wur­den hier­zu­lande rund 63.000 Fälle von Inter­net­kri­mi­na­li­tät erfasst, davon ent­fie­len rund 22.000 laut kri­mi­nal­po­li­zei­li­cher Anzei­gen­sta­tis­tik auf Cyber­crime. „Neben finan­zi­el­ler Schä­den kann auch die ope­ra­tive Hand­lungs­fä­hig­keit mas­siv beein­träch­tigt wer­den“, betont Robert Staub­mann, Geschäfts­füh­rer der KSV1870 Nimbusec. 

Rasche und rich­tige Reak­tion ent­schei­det bei Cybeangriff

Laut aktu­el­lem Cyber­Risk Report sind 49 Pro­zent der in 2026 durch­ge­führ­ten Cyber­Risk Ratings bes­ser aus­ge­fal­len als im Jahr 2025. Bei 29 Pro­zent blieb das Ergeb­nis unver­än­dert, bei 22 Pro­zent zeigte sich hin­ge­gen eine Ver­schlech­te­rung. „Nur ein Bruch­teil der Unter­neh­men lässt den eige­nen Sicher­heits­sta­tus über­prü­fen. Viele war­ten offen­bar lie­ber, bis etwas pas­siert. Das kann im Ernst­fall erheb­li­che wirt­schaft­li­che Fol­gen haben“, so Experte Staubmann. 

Wei­ters bestä­tigt der dies­jäh­rige Cyber­Risk Report von KSV1870 Nim­busec, dass mitt­ler­weile 85 Pro­zent der bewer­te­ten Unter­neh­men in der Lage sind, IT-Sicher­heits­vor­fälle zuver­läs­sig zu erken­nen. Im Vor­jahr waren es 73 Pro­zent. Bei neun Pro­zent der bewer­te­ten Betriebe lie­gen keine Not­fall­pläne vor, die im Ernst­fall inner­be­trieb­li­che Pro­zesse kon­kret regeln. Im Ver­gleich zum Cyber­Risk Report 2025 ist das ein posi­ti­ver Rück­gang um 13 Pro­zent­punkte. „Die rasche und rich­tige Reak­tion ist bei einem Cyber­an­griff ent­schei­dend“, unter­streicht Staubmann. 

60.000 Öster­rei­chi­sche Unter­neh­men von ab nun gül­ti­gen NIS-Regeln betroffen

Den Fol­gen etwa­iger Cyber­an­griffe ent­ge­gen­wir­ken soll auch das NIS-Gesetz 2026, das mit 1. Okto­ber 2026 end­gül­tig in Kraft getre­ten ist. Von dem Gesetz betrof­fen sind nicht nur die rund 4.000 Unter­neh­men kri­ti­scher Sek­to­ren, son­dern auch deren Lie­fe­ran­ten und Geschäfts­part­ner. Laut KSV1870 Schät­zung geht es in Summe um rund 60.000 (!) Betriebe. Im Kern geht es darum, das Sicher­heits­ni­veau von Netz- und Infor­ma­ti­ons­sys­te­men im Land zu erhö­hen und die Wider­stands­fä­hig­keit der Unter­neh­men zu verbessern. 

Diese Vor­gabe dürfte beson­ders bei den ana­ly­sier­ten Betrie­ben ange­kom­men sein. 79 Pro­zent haben einen Pro­zess zum Manage­ment ihrer Lie­fe­ran­ten­ri­si­ken imple­men­tiert, gegen­über 2025 eine Stei­ge­rung um 19 Pro­zent­punkte. Gleich­zei­tig ist die lau­fende Schu­lung von Mit­ar­bei­tern essen­zi­ell, um die Wider­stands­fä­hig­keit eines Unter­neh­mens zu erhöhen. 

Risi­ken sys­te­ma­tisch bewerten 

Das Cyber­Risk Rating von KSV1870 Nim­busec basiert Anga­ben zufolge auf dem Cyber-Risk-Schema des KSÖ (Kom­pe­tenz­zen­trum Siche­res Öster­reich) und bewer­tet das Cyber­ri­siko von Dienst­leis­tern, Lie­fe­ran­ten und Drit­ten. Anhand von 25 Anfor­de­run­gen wird das Sicher­heits­ni­veau ermit­telt und auf einer sie­ben­stu­fi­gen Skala von mini­ma­lem bis maxi­ma­lem Risiko ein­ge­stuft. Je nach Bedarf ste­hen A‑, A+- und B‑Ratings zur Ver­fü­gung. Das Ver­fah­ren wird jähr­lich an den aktu­el­len Stand der Tech­nik angepasst.

Final soll eine schnelle, fun­dierte und kos­ten­ef­fi­zi­ente Bewer­tung von Lie­fe­ran­ten­ri­si­ken ermög­licht wer­den. Ergänzt wird die Lösung mit dem soge­nann­ten Cyber­Risk Mana­ger, der für mehr Trans­pa­renz sor­gen soll. Diese Platt­form adres­siert ins­be­son­dere Unter­neh­men mit vie­len Lie­fe­ran­ten. „Hier kön­nen Sicher­heits­nach­weise von Geschäfts­part­nern ver­wal­tet, Risi­ken bewer­tet und Ver­än­de­run­gen des Cyber­ri­si­kos früh­zei­tig erkannt wer­den und zusätz­lich kön­nen Lie­fe­ran­ten mit­hilfe des Cyber­Risk Mana­ger kon­tak­tiert und Cyber­Risk Ratings direkt beauf­tragt wer­den“, so Robert Staub­mann, Geschäfts­füh­rer der KSV1870 Nim­busec. (red/​czaak)