Cyber-Risiko-Check für Unternehmen in Österreich — der Cyber Reality Check

Der Cyber Reality Check kostet 2.990 EUR netto als Fixpreis — unabhängig davon, ob die Erhebung einen oder zwei Tage braucht. Enthalten sind Vorgespräch, Erhebung, Auswertung, Management-Report und die Ergebnispräsentation in der Geschäftsführung. Am österreichischen Markt reicht die Spanne von rund 400 bis 600 EUR für eine Online-Selbstauskunft über rund 1.000 bis 1.500 EUR für ein Cyber-Rating mit Gütesiegel bis zu 3.500 bis 8.000 EUR für beratergeführte oder technische Assessments. Eine vollständige ISO-27001-Zertifizierung liegt bei 8.000 bis 22.000 EUR, zuzüglich der internen Vorbereitung.

Ein Fragebogen erfasst, was das Unternehmen über sich selbst angibt. Die Interviews decken auf, was in keinem Katalog steht: wer im Ernstfall tatsächlich entscheidet, welche Abhängigkeit von einem einzelnen Dienstleister besteht, welches Backup noch nie zurückgespielt wurde, wo die dokumentierte Regel und die gelebte Praxis auseinanderlaufen. Genau diese Lücke zwischen Selbstauskunft und Wirklichkeit ist der häufigste Befund. Warum eine Erhebung dieser Art andere Fragen beantwortet als ein Audit, steht im Detail unter Was ein Risiko-Check nicht ist.

Ein Cyber-Rating — in Österreich etwa nach dem Schema des Kompetenzzentrums Sicheres Österreich (KSÖ) — validiert eine strukturierte Selbstauskunft gegen einen festen Anforderungskatalog und vergibt eine Rating-Stufe mit Zertifikat, typischerweise 12 Monate gültig. Es beantwortet die Frage deines Kunden: Erfüllt dieser Lieferant den Mindeststandard? Der Cyber Reality Check beantwortet deine eigene Frage: Wo würde dich ein Vorfall am härtesten treffen? Dafür schaut er per Interview von innen auf Organisation, Prozesse und Entscheidungswege — auch dorthin, wo der Katalog nicht hinfragt. Beides ergänzt sich: Das Rating belegt gegenüber Dritten einen Stand, die Erhebung liefert die Prioritäten für den Handlungsbedarf.

In der Steiermark fördert die SFG-Aktion „Cyber!Sicher" Beratungsleistungen und Konzeptarbeiten zur IT-Sicherheit mit maximal 30 Prozent der anrechenbaren Projektkosten, höchstens 15.000 EUR pro Projekt. Zu beachten: Die Mindestprojektgröße liegt bei 5.000 EUR förderfähigen Kosten — der Cyber Reality Check allein erreicht diese Schwelle nicht, als Auftakt eines größeren Sicherheitsprojekts dagegen schon. Pflichtbestandteil jedes geförderten Projekts ist eine Bewusstseinsbildungsmaßnahme für alle Mitarbeitenden mit Computerzugang. Der Antrag muss vor Maßnahmenbeginn gestellt werden. Details und der bundesweite Weg über AWS KMU.DIGITAL stehen im Praxisvergleich der Cybersecurity-Förderungen.

Die DIN SPEC 27076 ist ein gemeinsam von DIN und BSI entwickelter Bewertungsrahmen für kleine und mittlere Unternehmen: 27 Anforderungen in sechs Themenbereichen — Organisation, Personal, Sensibilisierung, Datensicherung, Identitäts- und Berechtigungsmanagement sowie Vorfallmanagement. Sie ist der Rahmen hinter dem BSI CyberRisikoCheck. Wermescher Advisory ist dafür qualifiziert und bewertet danach, wenn noch keine ISMS-Struktur existiert. Besteht bereits ein ISMS oder greift NIS2, läuft die Bewertung gegen ISO 27001 oder Artikel 21 NIS2. Wie die Rahmenwerke zueinander stehen, zeigen die Standard-Mappings.

Nein. Ein Penetrationstest greift Systeme technisch an und findet ausnutzbare Schwachstellen. Der Cyber Reality Check bewertet Organisation, Prozesse und Steuerung — also die Ebene, auf der entschieden wird, ob gefundene Schwachstellen überhaupt jemand behebt. In der Praxis ergibt die Reihenfolge Sinn: erst die Lage klären, dann gezielt dort testen, wo es zählt. Ob Penetrationstests unter NIS2 verpflichtend sind, klärt der Beitrag zur Rechtslage in Österreich.

Nein. Ein Audit prüft die Erfüllung dokumentierter Anforderungen und endet mit einem Befund gegen einen festgelegten Katalog. Der Cyber Reality Check beantwortet die Frage, wo dich ein Vorfall am härtesten treffen würde, und liefert eine Entscheidungsgrundlage für die Geschäftsführung. Ein Zertifikat entsteht dabei nicht. Wer eines braucht, findet den Weg dorthin in der ISO-27001-Praxis für Österreich.

Praktisch ab etwa 30 Mitarbeitenden, bei NIS2-Betroffenheit unabhängig von der Größe. Der Regelfall liegt zwischen 50 und 250 Mitarbeitenden: genug Abhängigkeit von IT, um im Ernstfall stillzustehen, aber keine eigene Sicherheitsfunktion im Haus. Ob dein Unternehmen unter NIS2 fällt, klärt der Betroffenheits-Wegweiser in wenigen Schritten.

Der Report ist die belastbare Grundlage, um einen Lieferantenfragebogen zu beantworten: Befunde, Maßnahmenplan und Zeitschiene lassen sich direkt als Anlage beilegen, und jede Aussage ist begründet. Ein formales Zertifikat entsteht dabei nicht — verlangt der Kunde eines, führt der Weg über ISO 27001 oder TISAX. Wenn die Kundenanforderung der eigentliche Auslöser ist, ist der IT-Sicherheitsnachweis für Großkunden das passendere Format.

Vom Erstgespräch bis zur Ergebnispräsentation vergehen typischerweise zwei bis drei Wochen: Vorgespräch und Terminabstimmung, ein bis zwei Erhebungstage, Auswertung und Berichtserstellung, dann die Präsentation in der Geschäftsführung. Bei akutem Anlass — etwa einer laufenden Ausschreibung — lässt sich der Ablauf verdichten.

Der Report endet mit den drei nächsten sinnvollen Schritten. Was daraus wird, entscheidest du: Viele Unternehmen setzen die Punkte intern um und melden sich erst wieder, wenn der nächste Auslöser kommt. Wo Struktur fehlt, folgt das Cyber Governance Setup; wo eine verantwortliche Rolle dauerhaft besetzt sein muss, das Mandat als externer CISO. Eine Verpflichtung entsteht aus dem Check keine.