IT-Sicherheitsbudget: Welches Risiko übernehmen Sie?
Ein knappes Sicherheitsbudget erklärt noch nicht, welche Risiken Ihr Unternehmen übernimmt. Für eine begründete Entscheidung muss sichtbar sein, was eine verschobene Maßnahme für den Betrieb bedeutet.
· Von Harald Trippolt
Rechtlicher Stand: 31. August 2026. Dieser Beitrag dient der fachlichen Orientierung und ist keine Rechtsberatung.
Wenn das Budget schon verplant ist
In vielen IT-Abteilungen ist Geld vorhanden, bevor über Sicherheit gesprochen wird. Es ist allerdings bereits gebunden: Hardware muss ersetzt werden, der laufende Betrieb darf nicht ausfallen. Für zusätzliche Schutzmaßnahmen bleibt oft nur ein Rest.
Diese Erfahrung kennt Harald Trippolt aus seiner Zeit als Teamleiter mit Budgetverantwortung für Support und Infrastruktur. Im Tagesgeschäft wirkte häufig etwas anderes dringender. Die Frage, welches Risiko das Unternehmen mit dieser Verteilung übernimmt, kam in den Budgetrunden zu selten vor.
Für Ihre nächste Budgetentscheidung ist deshalb eine Frage hilfreich: Welche Folgen kann es für den Betrieb haben, wenn Sie eine Sicherheitsmaßnahme verschieben?
Was das NISG 2026 für die Leitung konkretisiert
Die wesentlichen Bestimmungen des NISG 2026 treten am 1. Oktober 2026 in Kraft. Einrichtungen, die zu diesem Zeitpunkt registrierungspflichtig sind, müssen sich bis 31. Dezember 2026 registrieren. Das folgt aus §§ 51 und 29 des im BGBl. I Nr. 94/2025 kundgemachten Gesetzes. Für eine spätere Erfassung gelten eigene Fristen.
Artikel 20 NIS2 sieht die Billigung der Risikomanagementmaßnahmen und die Überwachung ihrer Umsetzung durch die Leitungsorgane vor. § 31 NISG 2026 verpflichtet die Leitung betroffener wesentlicher und wichtiger Einrichtungen, die Einhaltung dieser Maßnahmen sicherzustellen und zu beaufsichtigen. Sicherheitsverantwortung entsteht damit nicht erstmals im Oktober, wird für diese Einrichtungen aber ausdrücklich geregelt.
Ob Ihr Unternehmen erfasst sein könnte, erläutert die Seite NIS2 und NISG 2026 für Unternehmen in Österreich. Sie ersetzt keine rechtliche Einzelfallprüfung.
Quellen: § 51 NISG 2026, § 29 NISG 2026, § 31 NISG 2026 und Artikel 20 NIS2.
Verhältnismäßige Maßnahmen brauchen eine Begründung
Artikel 21 NIS2 und § 32 NISG 2026 verlangen geeignete und verhältnismäßige Maßnahmen. Dabei zählen die konkrete Risikoexposition und die Unternehmensgröße. Auch mögliche Auswirkungen eines Sicherheitsvorfalls sind zu berücksichtigen.
Daraus folgt für die Budgetplanung: Die teuerste Lösung ist nicht automatisch die passende. Eine günstigere Entscheidung ist aber auch nicht allein deshalb ausreichend, weil das Budget begrenzt ist. Gesetzlich erforderliche Schutzmaßnahmen lassen sich nicht durch eine dokumentierte Risikoakzeptanz ersetzen.
Wenn Sie eine Maßnahme verschieben, halten Sie das verbleibende Risiko und den Grund für die Entscheidung fest. Legen Sie außerdem fest, wann Sie die Entscheidung erneut prüfen. Das ist eine fachliche Empfehlung für nachvollziehbare Budgetentscheidungen, keine pauschale rechtliche Freigabe einer Kürzung.
Rechtliche Grundlage: § 32 NISG 2026 und Artikel 21 NIS2.
Vor der nächsten Budgetrunde die Risiken einordnen
Der 360° Security Check liefert eine unabhängige Bewertung Ihrer bestehenden IT-Sicherheitslage. Harald Trippolt ordnet die Befunde persönlich ein und bespricht mit Ihnen, welche Verbesserungen zuerst Aufmerksamkeit brauchen. Die Prüfung ist vollständig remote möglich.
Welche Sicherheitsmaßnahme haben Sie zuletzt verschoben, und welches Risiko haben Sie damit übernommen?