Kritische Infrastruktur-Unternehmen müssen ihre Lieferkette absichern, das NISG 2026 verlangt Sicherheitsvorgaben ausdrücklich auch für Zulieferer und Dienstleister. Ein Softwarehaus, ein IT-Dienstleister oder ein Logistikpartner eines KRITIS-Betriebs bekommt die Anforderungen also über den Vertrag weitergereicht.

Was bedeutet das konkret?

Unternehmen müssen ein Risikomanagement für ihre IT-Systeme einführen, Sicherheitsvorfälle binnen 24 bzw. 72 Stunden melden und sich innerhalb von drei Monaten registrieren. Neu und oft unterschätzt: Die Geschäftsführung trägt selbst Verantwortung und muss sich schulen lassen. Wer die Vorgaben ignoriert, riskiert Strafen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – ein Niveau, das man bisher nur von der DSGVO kannte.

Verschärft wird die Lage durch eine neue Generation von Angriffen. Für jedes zweite österreichische Unternehmen sind KI-gestützte Cyberangriffe mittlerweile die größte Herausforderung. Klassiker wie CEO-Fraud bekommen dadurch neue Schärfe: Statt einer holprig formulierten Mail schreibt heute eine KI im exakten Stil der echten Geschäftsführung mit passendem Fachjargon und Bezug auf reale Projekte. Bei Videocalls lassen KI-generierte Videos Vorgesetzte in Echtzeit sprechen und nicken, während im Hintergrund jemand ganz anderes die Fäden zieht. Am Telefon reicht mittlerweile eine kurze Sprachaufnahme, um eine Stimme nachzubilden und eine dringende Überweisung anzuordnen – solche Deepfake-Betrugsfälle haben sich mehr als vervierfacht. Dazu kommen KI-Phishing-Mails ohne verräterische Fehler, exakt zugeschnitten auf einzelne Mitarbeiter:innen. Kleine und mittlere Betriebe stehen besonders im Visier, weil sie oft schlechter geschützt und trotzdem zahlungsfähig sind. Während Angreifer KI längst einsetzen, nutzen erst 15 Prozent der Unternehmen sie zur eigenen Verteidigung.

Wie können Sie sich vorbereiten?

Genau hier setzt das WIFI Wien an. Unsere Kurse IT-Security für Anwender:innen - Basis und IT-Security für Anwender:innen - Aufbau zeigen praxisnah, wie man Angriffsarten erkennt und welche Werkzeuge schützen. Wer die NIS2-Schulungspflicht direkt erfüllen will, findet mit unseren E-Learnings “Cybersicherheit für IT-Anwender:innen” und “Cybersicherheit für Leitungsorgane” den passenden Einstieg. Beide vermitteln genau das Rüstzeug, das der Gesetzgeber jetzt verlangt.