financenet: KSV1870: „Man muss eher Angst haben, wenn man nichts tut“

Mit dem Inkrafttreten des österreichischen NIS2-Gesetzes im Oktober 2026 steigen die Anforderungen an die Cybersicherheit. Im Gespräch mit medianet-Herausgeber Chris Radda erklärt KSV1870-CEO Ricardo-José Vybiral, warum neben rund 4.000 Unternehmen der kritischen Infrastruktur auch bis zu 60.000 Lieferanten betroffen sein könnten.

Die österreichische Wirtschaft präsentiert sich zu Beginn des zweiten Halbjahres 2026 in einer widersprüchlichen Verfassung. Im Studiogespräch des TV-Formats „financenet“ verweist Ricardo-José Vybiral, CEO der KSV1870 Holding AG, auf die solide Kapitalbasis vieler heimischer Unternehmen. Bei zahlreichen Kapitalgesellschaften liege die Eigenkapitalquote über 50 Prozent. Gleichzeitig fehle es aber weiterhin an Investitionsbereitschaft.
Lediglich 48 Prozent der Unternehmen bezeichneten ihre Geschäftslage als sehr gut oder gut. Aus den über Jahrzehnte gesammelten Wirtschaftsdaten des KSV1870 lasse sich ableiten, dass erst ab einem Wert von mehr als 60 Prozent von einer wirklich dynamischen Konjunktur gesprochen werden könne. Derzeit seien zudem mehr als 80 Prozent der Unternehmen in irgendeiner Form auf Sparkurs.
„Die Konsumenten sparen, die Unternehmen sparen und die Regierung spart“, fasst Vybiral die Lage zusammen. Kurzfristige Einsparungen seien nachvollziehbar, dauerhaft könne daraus jedoch kein Aufschwung entstehen. „Irgendwann müssen wir wieder in den Investitionsmodus kommen und positive Energie in die Köpfe bekommen. Wirtschaften hat viel mit Psychologie zu tun.“

Eine zusätzliche Herausforderung sieht Vybiral in der wachsenden Cyberkriminalität. Im Jahr 2025 seien mehr als 60.000 Vorfälle polizeilich dokumentiert worden – bei vermutlich hoher Dunkelziffer. Dennoch werde Cybersicherheit in vielen Betrieben weiterhin „stiefmütterlich behandelt“ oder ausschließlich als Aufgabe der IT verstanden.

Mit dem Inkrafttreten der österreichischen Umsetzung der EU-Richtlinie NIS2 im Oktober 2026 werden verpflichtende Sicherheitsmaßnahmen und Meldeprozesse eingeführt. Direkt betroffen sind laut KSV1870 rund 4.000 Organisationen der kritischen Infrastruktur, darunter Unternehmen aus den Bereichen Energie, Gesundheit, Telekommunikation, IT und Finanzwirtschaft.
Die Auswirkungen reichen jedoch deutlich weiter. Die betroffenen Konzerne müssen auch die Sicherheit kritischer Lieferanten prüfen. Schätzungen zufolge könnten dadurch 50.000 bis 80.000 weitere Unternehmen mittelbar erfasst werden. Gerade über digital angebundene Zulieferer könnten Schadsoftware und andere Gefahren in ansonsten gut geschützte Systeme gelangen.

Der KSV1870 bietet deshalb über seine Tochtergesellschaft Nimbusec GmbH ein CyberRisk Rating an. Es bewertet unter anderem Mitarbeiterschulungen, Softwareaktualisierungen, Risikomanagement, Notfallprozesse und Dokumentation. Ziel sei eine handhabbare Zertifizierung, die Unternehmen nicht mit zusätzlicher Bürokratie überfordert.
Vybiral warnt davor, das Thema zu delegieren: „Cybersicherheit ist kein reines IT-Thema, sondern ein Geschäftsführungsthema.“ Neben möglichen Betriebsunterbrechungen und finanziellen Schäden drohten Haftungsrisiken sowie Strafen von bis zu zehn Millionen Euro.
Angst vor den neuen Vorgaben sei dennoch nicht angebracht. Entscheidend sei, rechtzeitig mit der Vorbereitung zu beginnen. „Man muss keine Angst haben, die ersten Schritte zu tun“, sagt Vybiral. „Man muss eher Angst haben, wenn man es nicht tut.“