Eine aktuelle Studie zeigt ein ambivalentes Bild bei der Vorbereitung österreichischer Unternehmen auf die EU-Cybersicherheitsrichtlinie NIS2. Zwar ist die Richtlinie den meisten Organisationen bekannt, doch bei der praktischen Umsetzung und bei der Einschätzung der eigenen Betroffenheit bestehen weiterhin erhebliche Unsicherheiten.
Foto: CERTAINITY
Christoph Zajic, Cyber Security-Experte und Head of Process Consulting der CERTAINITY
Österreichische Unternehmen bereiten sich derzeit auf eine der zentralen europäischen Regulierungen im Bereich Cybersicherheit vor: die NIS2-Richtlinie. Sie soll die Resilienz gegen Cyberangriffe in kritischen und wichtigen Sektoren stärken und tritt in Österreich als NISG 2026 mit 1. Oktober 2026 in Kraft.
Eine aktuelle empirische Studie des Marktforschungsinstituts IMAS im Auftrag des Wiener Cyber-Security-Beratungsunternehmens CERTAINITY zeigt jedoch, dass zwischen Bekanntheit der Vorgaben und ihrer Umsetzung eine deutliche Lücke besteht. Obwohl die meisten Organisationen von der Richtlinie wissen, sind viele Unternehmen noch unsicher, ob sie selbst tatsächlich unter die Regelung fallen – und haben erst einen Teil der erforderlichen Maßnahmen umgesetzt.
Die Richtlinie verpflichtet Organisationen ab einer Belegschaftsgröße von 50 Mitarbeiter:innen beziehungsweise einem Jahresumsatz von mehr als 10 Millionen Euro in systemkritischen Branchen zu umfangreichen Sicherheitsmaßnahmen.
Den Ergebnissen der Studie „NIS2 Sensor 2026“ zufolge kennen neun von zehn befragten Unternehmen die Vorgaben der Richtlinie. Dennoch kann rund jedes zweite Unternehmen derzeit nicht sicher einschätzen, ob es tatsächlich von NIS2 betroffen ist.
Nur etwa die Hälfte der Organisationen sieht sich selbst korrekt als NIS2-relevant. Ein Viertel geht davon aus, nicht betroffen zu sein, während weitere 26 Prozent keine Einschätzung dazu abgeben können. Befragt wurden ausschließlich Unternehmen mit mehr als 50 Mitarbeiter:innen, die grundsätzlich in den Anwendungsbereich der Richtlinie fallen.
Christoph Zajic, Cyber-Security-Experte und Head of Process Consulting bei CERTAINITY, sieht darin ein deutliches Warnsignal:
"Die Anwendbarkeit von NIS2 ist klar geregelt – wer aus Unsicherheit oder Unwissen zu spät oder gar nicht mit der Umsetzung startet, trägt gleich ein zweifaches Risiko: leichter Opfer von Cyber-Kriminalität zu werden und erheblichen Sanktionen ausgesetzt zu sein.“
Der tatsächliche Umsetzungsstand ist laut Studie noch überschaubar. Zum Zeitpunkt der Befragung hatten die teilnehmenden Unternehmen im Durchschnitt erst 30 Prozent der Vorgaben umgesetzt.
Gleichzeitig zeigen sich viele Organisationen optimistisch: Vier von fünf gehen davon aus, bis zum Ende der Übergangsfrist Ende September 2026 zumindest 75 Prozent der Anforderungen umgesetzt zu haben.
Ein möglicher Grund für die Diskrepanz zwischen aktuellem Stand und Zielwert liegt in der organisatorischen Einordnung des Themas. In mehr als 70 Prozent der Unternehmen ist NIS2 laut Studie vor allem in der IT-Abteilung als Projekt angesiedelt. Die Richtlinie betrifft jedoch die gesamte Organisation und sieht auch eine Haftung des Top-Managements für die Umsetzung vor.
Damit wird die Einführung von NIS2 zu einer Managementaufgabe, die über rein technische Maßnahmen hinausgeht.
Bei der Implementierung sehen viele Unternehmen vor allem praktische Herausforderungen. Budgetfragen, bürokratische Anforderungen und der notwendige Ressourcenaufwand werden in der Studie am häufigsten als Hindernisse genannt.
Gleichzeitig wird der Nutzen der Richtlinie von den Unternehmen durchaus anerkannt: Rund drei Viertel der befragten Organisationen bestätigen, dass die Umsetzung von NIS2 die Sicherheit im eigenen Unternehmen verbessert.
Ein möglicher Ansatz zur strukturierten Umsetzung liegt in bestehenden Standards. Eine ISO-27001-Zertifizierung kann künftig als Nachweis für die organisatorische und operative Umsetzung der NIS2-Anforderungen dienen. Unternehmen können damit ihre NIS2-Readiness offiziell belegen; in der Regel bleiben danach noch technische Audits erforderlich.
Für die Studie „NIS2 Sensor 2026“ befragte das Marktforschungsinstitut IMAS insgesamt 300 österreichische Unternehmen mit mehr als 50 Mitarbeitenden aus Branchen im Wirkungsbereich der Richtlinie.
