Digitale Souveränität wird zur Überlebensfrage für Wiens Unternehmen

Jeder fünfte Cyberangriff in Wien erfolgt mittlerweile über die Lieferkette. „Genau deshalb rückt NIS2 stärker in den Mittelpunkt, denn die Widerstandsfähigkeit eines Unternehmens endet nicht an der eigenen Firewall“, sagt Martin Heimhilcher, Obmann der Sparte Information und Consulting der WK Wien.

Die NIS2-EU-Richtlinie tritt am 1. Oktober 2026 in Kraft und soll die Wirtschaft vor den wachsenden Bedrohungen durch Cyberkriminalität schützen und die digitale Widerstandsfähigkeit erhöhen. Sowohl die Richtlinie als auch das Thema digitale Souveränität waren Thema bei der heuer zum elften Mal von KPMG gemeinsam mit dem Kompetenzzentrum Sicheres Österreich (KSÖ) erstellten Studie „Cybersecurity in Österreich“. Die Wien-Zahlen wurden zum vierten Mal erhoben.

Digitaler Brandschutz
Statt bislang 100 Organisationen werden in Österreich künftig mehrere tausend Unternehmen vom Netz- und Informationssystemsicherheitsgesetz 2026 betroffen sein. Somit muss Cybersicherheit als Managementaufgabe verstanden und Sicherheitsmaßnahmen in Geschäftsprozesse integriert werden.

Erst 19 Prozent der Wiener Unternehmen haben Maßnahmen zur Sicherheit ihrer Lieferkette etabliert und nur 36 Prozent haben bereits Schulungen für ihre Unternehmensführungen umgesetzt. Gleichzeitig wissen viele Betriebe immer noch nicht, ob sie künftig unter die NIS2-Regelungen fallen werden.

„Cybersicherheit ist längst keine reine IT-Aufgabe mehr, sondern ein zentraler Bestandteil unternehmerischer Resilienz, vergleichbar mit Brandschutz und Betriebshaftpflicht. Die Ergebnisse unserer KPMG & KSÖ Studie „Cybersecurity in Österreich 2026“ zeigen, wie entscheidend es ist, Risiken frühzeitig zu erkennen und wirksame Schutzmaßnahmen fest in der Unternehmenssteuerung zu verankern. Spätestens mit NIS2 ist klar: Cyberrisiken gehören auf die Agenda der Geschäftsführung“, sagt Robert Lamprecht, Partner bei KPMG Austria.

Digitale Souveränität
Die Digitalisierung eröffnet Unternehmen neue Chancen, schafft jedoch gleichzeitig auch Abhängigkeiten. Wiener Unternehmen sehen eine hohe Abhängigkeit von der EU (91 Prozent) und den USA (80 Prozent). Allerdings ist das Vertrauen in die EU mit 97 Prozent größer als jenes in die USA, das nur 39 Prozent beträgt.

Eine starke Abhängigkeit von anderen Staaten besteht vor allem in folgenden Bereichen: Cloud-Technologie (56 Prozent), Künstliche Intelligenz (54 Prozent) und IT-Komponenten (53 Prozent). Und 62 Prozent der Wiener Betriebe sagen, dass sie die Abhängigkeit von ausländischen Geschäftspartnern aktuell nicht umgehen können. Und rund 38 Prozent von einer Unterbrechung der Lieferkette betroffenen Unternehmen könnten nach eigener Einschätzung nur rund drei Monate wirtschaftlich überleben.

Vor dem Hintergrund geopolitischer Spannungen wird digitale Souveränität zunehmend bedeutender. Unternehmen und Staaten wollen und müssen bei kritischen Technologien handlungsfähig bleiben können. Aus der Studie geht auch hervor, dass 85 Prozent der Wiener Unternehmen Cybersecurity-Lösungen aus Österreich bevorzugen würden und sich eine stärkere europäische Zusammenarbeit im Bereich Cybersicherheit wünschen.

„Digitale Souveränität ist eine zentrale wirtschaftspolitische Herausforderung. Unser Ziel muss sein, die digitale Resilienz Europas zu stärken und heimische Unternehmen unabhängiger und widerstandsfähiger zu machen“, sagt Heimhilcher abschließend.

Wer ist betroffen?
Von NIS2 besonders betroffen sind mittlere und große Unternehmen aus insgesamt 18 gesellschaftlich und wirtschaftlich relevanten Sektoren: Energie, Verkehr, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelwirtschaft und bestimmte Bereiche der Industrie. Wer unter das Gesetz fällt, muss ab 1. Oktober angemessene technische, organisatorische und operative Cybersicherheitsmaßnahmen umgesetzt haben – u.a. die Absicherung der Lieferkette. Und da die Verantwortung bei der Geschäftsführung liegt, muss sie entsprechende Cybersicherheitsschulungen absolvieren.

Ab 1. Oktober gelten zudem neue Meldepflichten für erhebliche Cybersicherheitsvorfälle. Betroffene Unternehmen müssen sich bis spätestens 31. Dezember registrieren. Aber auch Unternehmen, die selbst nicht unmittelbar unter NIS2 fallen, sollten ihre Cybersecurity überprüfen. Als Lieferanten oder Dienstleister von NIS2-pflichtigen Unternehmen können sie künftig verstärkt mit Sicherheitsanforderungen ihrer Auftraggeber konfrontiert werden.

Ob das eigene Unternehmen betroffen ist und welche Schritte erforderlich sind, können Betriebe über den NIS2-Online-Ratgeber der Wirtschaftskammer überprüfen.

Weitere Informationen zu NIS2: wko.at/it-sicherheit/nis2-uebersicht