Zeit für den Übergang zu NIS2: Aufbruch in eine neue Ära der Cybersicherheit
29. April 2026 • Wien, Österreich
Österreich wird NIS2 im Jahr 2026 endlich umsetzen. Zwischen 4.000 und 6.000 Organisationen werden davon betroffen sein.
Vom Nachzügler zum Vorreiter in Sachen Cybersicherheit?
Die EU-Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, die NIS2-Richtlinie in nationales Recht umzusetzen. Österreich hat dies noch nicht getan. Daher gilt weiterhin der veraltete NIS-Gesetzesrahmen von 2018, der nur einen Bruchteil der Unternehmen abdeckt, die den umfassenderen Anforderungen der NIS2-Richtlinie unterliegen werden. Derzeit gibt es einen aktualisierten Gesetzentwurf, das Netzwerk- und Informationssystem-Sicherheitsgesetz 2026 (NISG 2026), aber es ist unklar, wann dieses tatsächlich 2026 in Kraft treten wird.
Es ist daher nicht verwunderlich, dass Österreich laut einer aktuellen Umfrage ein idealer Ort für Hacker ist. Warum? Weil jeder siebte Cyberangriff in Österreich erfolgreich ist. Diese Erfolgsquote macht Cyberangriffe für Wirtschaftsakteure unglaublich profitabel und für diejenigen, die auf Störungen aus sind, verheerend effektiv.
Die gleiche Umfrage ergab Folgendes:
• 55 % geben an, dass Österreich nicht gut auf schwere Cyberangriffe auf kritische Infrastrukturen vorbereitet ist.
• Mehr als jeder vierte Angriff (28 %) lässt sich auf staatlich unterstützte Akteure zurückführen.
• Jedes dritte Unternehmen (32 %) hatte Lieferanten oder Dienstleister, die Opfer von Cyberangriffen wurden, die erhebliche Auswirkungen auf das eigene Unternehmen hatten.
• 62 % konnten Cyberangriffe mit Hilfe ihrer eigenen Mitarbeiter identifizieren – noch vor technischen Lösungen und Systemen.
• Jeder zehnte Social-Engineering-Versuch nutzt bereits Deepfakes für Sprach- und Videonachrichten.
All dies deutet darauf hin, dass Unternehmen weiterhin mehr in Sicherheit investieren müssen. Es ist auch klar, dass mit der endgültigen Umsetzung des NIS2-Gesetzes eine sehr große Anzahl von Unternehmen, die derzeit nicht verpflichtet sind, Cybersicherheit ernst zu nehmen, dies bald tun müssen.
Das bedeutet beispielsweise, dass:
• Notfallpläne nicht nur die Wiederherstellung und Wiederinbetriebnahme, sondern auch Szenarien mit längerer Unterbrechung der Verbindung abdecken müssen.
• Die Transparenz in Endpunkt- und Drittanbieterumgebungen muss verbessert werden, insbesondere für Regierungsbehörden, die möglicherweise Ziele von staatlichen Akteuren oder politisch motivierten Hacktivisten sind.
• Cyber-Risiken in der Lieferkette müssen neu bewertet und Lieferanten kontinuierlich überprüft werden.
• Kritische Vorgänge sollten nach Möglichkeit von externen Systemen abgekoppelt werden.
• CISOs müssen die Echtzeit-Erkennung von Bedrohungen und die internen Fähigkeiten zur Bedrohungssuche verbessern.
• Die Reaktion auf Vorfälle und die Widerstandsfähigkeit müssen über die Notfallwiederherstellung hinausgehen und in eine nachhaltige Kontinuitätsplanung münden.
In Österreich strebt die Regierung ein höheres Niveau bei der Erbringung digitaler öffentlicher Dienstleistungen an. Auch Unternehmen haben sich zu einem hohen Digitalisierungsgrad verpflichtet.
Dieses Digitalisierungsniveau muss jedoch durch solide Sicherheitsvorkehrungen abgesichert werden. Andernfalls wird das Vertrauen der Öffentlichkeit in Institutionen und Unternehmen untergraben, und die Vorteile der Digitalisierung werden durch die Kosten wiederholter Bereinigungsmaßnahmen zunichte gemacht.