Mit der zunehmenden Bedrohungslage im Cyberraum und den gesetzlichen Vorgaben des NISG 2026 (BGBl. I Nr. 94/2025, kundgemacht am 23. Dezember 2025, Inkrafttreten am 1. Oktober 2026 als österreichische Umsetzung der europäischen NIS-2-Richtlinie) stehen Unternehmen vor der Herausforderung, ihre Sicherheitsmaßnahmen transparent und nachvollziehbar nachzuweisen. Das Gütesiegel Cyber Trust Austria bietet hierfür einen standardisierten, verlässlichen und wirtschaftlich tragfähigen Rahmen.
Ein privatwirtschaftliches Gütesiegel stellt keine automatische behördliche Bestätigung aller gesetzlichen NISG-2026-Pflichten dar. Label-Erwerb, Selbstdeklaration und der behördlich geforderte Wirksamkeitsnachweis (§ 33 NISG 2026) sind rechtlich voneinander zu unterscheiden.
Was ist das Cyber Trust Austria Gütesiegel?
Das Gütesiegel Cyber Trust Austria wurde entwickelt, um österreichischen Unternehmen – insbesondere kleinen und mittleren Unternehmen (KMU) sowie Zulieferern kritischer Branchen – ein praxistaugliches, kosteneffizientes und anerkanntes Instrument zur Cyber-Sicherheitsbewertung an die Hand zu geben.
Die methodische Grundlage bildet das Cyber Risk Rating Schema des KSÖ (Kompetenzzentrum Sicheres Österreich), das in enger Kooperation mit dem Cyber Risk Advisory Board und dem KSV1870 erarbeitet wurde. Es orientiert sich an etablierten Sicherheitsstandards wie ISO/IEC 27001 und den CIS Controls, bereitet diese jedoch für den österreichischen Wirtschaftsstandort handhabbar auf.
Voraussetzungen und Verfahren
Die Erlangung eines Cyber Trust Austria Labels ist an klare qualitative und verfahrenstechnische Kriterien gebunden:
- Gültiges KSV1870 CyberRisk-Rating: Erforderlich ist für die ratingspezifischen Labels nach der KSV1870-CyberRisk-Ratingskala grundsätzlich eine Einstufung von „190 oder besser“ (numerischer Wert maximal 190):
- Standard Label: KSV1870 CyberRisk B-Rating (Score ≤ 190).
- Silber Label: KSV1870 CyberRisk A-Rating (Score ≤ 190, aufbauend auf dem erweiterten Fragenkatalog; die Ratingklasse B genügt hierfür nicht).
- Gold Label: KSV1870 CyberRisk A+-Rating (Score ≤ 190 bei Erstvergabe).
- Platinum Label: Basiert nicht auf einem KSV-Rating, sondern erfordert eine eigenständige, validierte Selbstdeklaration mit einem Erfüllungsgrad von mindestens 85 % (dessen 50 strukturierte Kontrollfragen die Vorgaben der EU-DVO 2024/2690 für MSPs und MSSPs operationalisieren).
- Gültigkeitsdauer & Auditzyklus: Das vergebene Label besitzt eine Gültigkeit von einem Jahr. Nach Ablauf ist eine Re-Validierung bzw. Erneuerung erforderlich.
- Für das Gold Label ist bei der Erstvergabe ein externes Vor-Ort- bzw. Remote-Audit durch einen unabhängigen Audit-Partner (wie die CIS – Certification & Information Security Services GmbH) vorgeschrieben. Die Erneuerung erfolgt durch ein erneutes Audit; Details zum Auditzyklus richten sich nach der jeweils gültigen Schema-Policy.
- Verfahrenscharakter: Es handelt sich um ein privatwirtschaftliches Gütesiegel-Verfahren und nicht um eine akkreditierte Zertifizierung im Sinne der ISO/IEC 17021. Die Stufen Standard, Silber und Platinum basieren auf einer validierten Selbstdeklaration, die von qualifizierten Validierern formal und inhaltlich auf Plausibilität geprüft wird.
Warum das Gütesiegel für Unternehmen essenziell ist
Lieferkettensicherheit (Supply Chain) unter NISG 2026
Wesentliche und wichtige Einrichtungen sind gemäß § 32 NISG 2026 gesetzlich verpflichtet, Sicherheitsrisiken in ihren Lieferketten systematisch zu steuern. Für Zulieferer und IT-Dienstleister ist ein nachweisbares Sicherheitsniveau damit eine unverzichtbare Voraussetzung, um bestehende Kundenverträge zu sichern und an Ausschreibungen teilnehmen zu können.
Strukturierte Risikoreduktion
Die strukturierte Bearbeitung des Kriterienkatalogs identifiziert typische Schwachstellen wie unzureichende Multi-Faktor-Authentifizierung (MFA), lückenhafte Patch-Routinen oder ungetestete Datensicherungen, bevor diese von Angreifern ausgenutzt werden können.
Die vier Label-Stufen im Überblick
Das Cyber Trust Austria Schema gliedert sich in vier Stufen, die keine einfache lineare Reifegradleiter darstellen: Silber und Gold verwenden grundsätzlich denselben erweiterten Kriterienbestand, unterscheiden sich jedoch im Prüfverfahren. Das Platinum Label beruht auf einem eigenständigen, an der Durchführungsverordnung (EU) 2024/2690 orientierten Kriterienkatalog:
| Stufe | Zielgruppe & Fokus | Anforderungen & Prüfverfahren |
|---|---|---|
| Cyber Trust Standard Label | Basis-Absicherung für kleinere Betriebe und Dienstleister | Grundlegende Cyber-Hygiene, Endpoint Protection, Passwort- und Zugriffsregeln, Offline-Backups. Voraussetzung: B-Rating (≤ 190). Verfahren: validierte Selbstdeklaration. |
| Cyber Trust Silber Label | Unternehmen mit erhöhtem Schutzbedarf & Zulieferer regulierter Einrichtungen | Strukturierte Prozesse, Incident-Response-Plan, Schwachstellenanalysen, Mitarbeitersensibilisierung. Erweiterter Fragenkatalog (A-Rating-Kriterien). Voraussetzung: A-Rating (≤ 190). Verfahren: validierte Selbstdeklaration. |
| Cyber Trust Gold Label | Betreiber kritischer Prozesse & Schlüsselpartner von Konzernen | Umfassende Sicherheitskontrollen basierend auf 14 Basis- und 11 Zusatzkriterien des KSÖ-Schemas. Voraussetzung: A+-Rating (≤ 190) bei Erstvergabe. Verfahren: externes Audit bei Erstvergabe; Erneuerung durch erneutes Audit; Details zum Auditzyklus richten sich nach der jeweils gültigen Schema-Policy. |
| Cyber Trust Platinum Label | Managed Service Provider (MSP), MSSPs & hochregulierte IKT-Dienstleister | 50 strukturierte Kontrollfragen, die die Vorgaben der EU-DVO 2024/2690 operationalisieren. Erfüllungsgrad von mindestens 85 % erforderlich (unabhängig vom KSV-Rating). Gebühr ca. 4.900 € im ersten Jahr. Verfahren: validierte Selbstdeklaration. |
Der strukturierte Weg zum Gütesiegel mit Authenta
Authenta begleitet Unternehmen als unabhängiger Beratungspartner Schritt für Schritt zur erfolgreichen Erlangung des passenden Cyber Trust Labels:
- Standortbestimmung (GAP-Analyse): Wir erfassen den aktuellen Sicherheitsstatus anhand des KSÖ-Kriterienkatalogs und definieren die notwendigen Handlungsfelder.
- Maßnahmen-Roadmap: Priorisierte Umsetzung erforderlicher technischer und organisatorischer Anpassungen – pragmatisch, herstellerunabhängig und wirtschaftlich angemessen.
- Dokumentation & Richtlinien: Erstellung und Anpassung relevanter Richtlinien (u. a. Zugriffs- und Passwort-Richtlinie, Datensicherungskonzept, Notfall- und Vorfallsleitfaden).
- Validierungs- und Audit-Vorbereitung: Zusammenstellung der erforderlichen Nachweise und Begleitung durch den Einreichungsprozess bei der Vergabestelle.
Möchten Sie Ihr Cyber-Sicherheitsniveau nachweisbar belegen?
Nutzen Sie unser Orientierungsgespräch mit unseren Sicherheitsexperten, um den optimalen Einstieg für Ihr Unternehmen zu definieren.