Alexander HuberAm 3. September 2026 hat das österreichische Verteidigungsministerium bekanntgegeben: Generalleutnant Harald Vodosek wird neuer Generalstabschef des Bundesheeres. Er folgt auf Rudolf Striedinger, der Ende September in den Ruhestand tritt. Was auf den ersten Blick wie eine Personalnachricht klingt, ist für IT-Dienstleister, Technologieunternehmen und Zulieferer des Bundesheeres ein konkretes Signal: Österreichs Militär steuert unter einem erfahrenen Rüstungsexperten direkt in die digitale Aufrüstung — und erwartet, dass seine Partner in puncto Cybersicherheit mithalten.
Vodosek: Fünf Jahre an der Schnittstelle von Technologie und Strategie
Harald Vodosek leitet seit 2021 die Direktion 5 des Bundesheeres, die sogenannte Rüstungsdirektion. In dieser Funktion war er einer der zentralen Architekten des „Aufbauplans 2032+" — jenem milliardenschweren Modernisierungsprogramm, das neue Leopard-Panzer, Ulan-Radpanzer und den gezielten Ausbau des Cyberkommandos umfasst. Das Bundesheer beschafft unter seiner Ägide nicht nur schweres Gerät, sondern auch Führungsinformationssysteme, verschlüsselte Kommunikationsinfrastruktur und IT-Sicherheitskomponenten für den Einsatzbetrieb.
Verteidigungsministerin Klaudia Tanner lobte bei der offiziellen Bekanntmachung Vodoseks „umfassende Erfahrung in den Bereichen Einsatz, Führung, Personal und Rüstung". Dass Rüstung in diesem Zusammenhang zunehmend digitale Beschaffung bedeutet, ist kein Geheimnis. Österreich baut seine Cyberverteidigungsfähigkeiten gezielt aus — und Vodosek hat diese Entwicklung maßgeblich mitgestaltet.
Für IT-Sicherheitsexperten ist das ein relevanter Kontext: Ein Generalstabschef, der Digitalisierung nicht als Randthema, sondern als strategische Kernaufgabe versteht, wird die Anforderungen an Lieferanten und Partner des Heeres anders gewichten als seine Vorgänger. Wer mit dem Bundesheer zusammenarbeitet oder das künftig anstrebt, sollte das jetzt ernst nehmen.
Das NISG 2024: Österreichs verschärfte Cyber-Rechtslage
Parallel zur militärischen Aufrüstung gilt seit Ende 2024 das neue Netz- und Informationssicherheitsgesetz — kurz NISG 2024 — als österreichische Umsetzung der EU-NIS2-Richtlinie. Dieses Gesetz verpflichtet Unternehmen, die als „wesentliche" oder „wichtige Einrichtungen" eingestuft werden, zu strengen Cybersicherheitsmaßnahmen und Meldepflichten.
Wesentliche Einrichtungen umfassen Betreiber kritischer Infrastruktur, Energieversorger, Gesundheitseinrichtungen und — entscheidend für das Thema Bundesheer — Anbieter digitaler Infrastruktur sowie IT-Dienstleister für staatliche Institutionen. Wichtige Einrichtungen schließen ein breiteres Spektrum mittelgroßer Unternehmen ein.
Die Strafen sind substanziell: Bei wesentlichen Einrichtungen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des globalen Jahresumsatzes — je nachdem, welcher Betrag höher ist. Bei wichtigen Einrichtungen liegt die Obergrenze bei 7 Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Darüber hinaus können Geschäftsführer persönlich haftbar gemacht werden, wenn sie nachweislich Sicherheitspflichten vernachlässigt haben.
Neben den Geldstrafen sieht das NISG 2024 auch aufsichtsrechtliche Maßnahmen vor: Die zuständigen Behörden — in Österreich koordiniert über die ENISA-Anlaufstelle und nationale Sektorbehörden — können Betriebsunterbrechungen anordnen, laufende Genehmigungen aussetzen oder öffentliche Bekanntmachungen des Verstoßes veranlassen. Letzteres kann für Unternehmen, die auf staatliche Aufträge angewiesen sind, existenziell sein: Ein öffentlich bekannt gewordener NISG-Verstoß schließt faktisch von öffentlichen Ausschreibungen aus.
Wie Sie Ihre digitale Identität nach österreichischem Recht absichern können, erklärt ein eigener Beitrag auf Expert Zoom — denn ID Austria und NIS2 greifen in der Praxis eng ineinander.
Was Vodoseks Ernennung für IT-Zulieferer bedeutet
Es gibt eine direkte Verbindung zwischen Vodoseks Bestellung und der NIS2-Welt. Das Bundesheer arbeitet mit Hunderten österreichischen Unternehmen zusammen: IT-Systemhäuser, Softwareentwickler, Kommunikationstechniker, Wartungsdienstleister. Wer mit einer staatlichen Einrichtung dieser Sicherheitskategorie zusammenarbeitet, gerät im Zweifelsfall selbst in den Anwendungsbereich des NISG 2024 — entweder direkt als Kategorie-Unternehmen oder indirekt über Lieferkettenpflichten.
Ein Generalstabschef mit Rüstungs-Hintergrund wird bei Auftragsvergaben und Verlängerungen systematisch nach Sicherheitsnachweisen fragen. Das ist keine Vermutung, sondern europäischer Standard: NATO-Partner und EU-Staaten fordern seit 2024 verstärkt, dass Verteidigungslieferanten konkrete Cybersicherheitsnachweise erbringen — angelehnt an Vorgaben wie NATO STANAG 4632 oder die Anforderungen des EU Cyber Solidarity Act.
Für viele österreichische Unternehmen ist das Neuland. Gerade deshalb ist es wichtig zu verstehen, was im Ernstfall konkret auf dem Spiel steht. Besonders brisant: Laut einer Einschätzung des österreichischen Wirtschaftsministeriums aus dem Jahr 2025 sind rund 3.000 bis 4.000 Unternehmen allein in Österreich vom NISG 2024 betroffen — deutlich mehr als noch unter der alten NIS-1-Richtlinie. Viele davon wissen es schlicht noch nicht.
Der Wiener IT-Dienstleister, dem das NISG 2024 zum Verhängnis werden könnte
Stellen Sie sich vor: Ein mittelgroßes Wiener IT-Systemhaus mit 55 Mitarbeiterinnen und Mitarbeitern betreut seit 2023 Netzwerkinfrastruktur für eine öffentliche Behörde — darunter ein Bundesheer-Logistikzentrum in Niederösterreich. Der Jahresumsatz liegt bei rund 3,8 Millionen Euro. Das Unternehmen betrachtet sich selbst als „normaler IT-Dienstleister", nicht als Teil einer Verteidigungslieferkette.
Nach NISG 2024 fällt dieses Unternehmen aller Wahrscheinlichkeit nach unter die Kategorie „wichtige Einrichtung". Das bedeutet konkret:
- 24-Stunden-Meldepflicht bei schwerwiegenden Sicherheitsvorfällen an das nationale CERT Austria
- Dokumentiertes Informationssicherheits-Managementsystem (ISMS) nach einem anerkannten Standard (z. B. ISO/IEC 27001 oder äquivalent)
- Nachweise über Lieferkettensicherheit: Das Systemhaus muss belegen können, dass auch seine Unterlieferanten Mindeststandards einhalten
- Regelmäßige Risikoanalysen und eine dokumentierte Business-Continuity-Strategie
Wenn das Unternehmen diese Anforderungen nicht nachweisen kann und ein Behördenaudit das aufdeckt, drohen Bußgelder von bis zu 1,4 Prozent des Jahresumsatzes — also rund 53.200 Euro — oder bei schwerwiegenderen Verstößen bis zu 7 Millionen Euro. Hinzu kommt das operative Risiko: Wird der Bundesheer-Auftrag bei der nächsten Ausschreibungsrunde nicht verlängert, weil Sicherheitsnachweise fehlen, verliert das Unternehmen möglicherweise 15–20 Prozent seines Jahresumsatzes auf einen Schlag.
Wenn erst ein realer Cybervorfall den Compliance-Mangel aufdeckt, ist der Schaden doppelt: CERT-Meldepflicht verletzt, Kundendaten womöglich kompromittiert, zivilrechtliche Haftung gegenüber dem Auftraggeber eröffnet. Die Bußgeldfrage ist dann das kleinste Problem.
Hinweis: Dieser Artikel informiert allgemein über rechtliche und regulatorische Rahmenbedingungen. Er ersetzt keine individuelle Rechts- oder IT-Sicherheitsberatung. Bei spezifischen Compliance-Fragen empfehlen wir, einen qualifizierten IT-Sicherheitsexperten oder Rechtsanwalt hinzuzuziehen.
Drei Risiken, die österreichische Unternehmen jetzt unterschätzen
IT-Sicherheitsexperten beobachten bei Unternehmen, die erstmals mit NISG-2024-Anforderungen konfrontiert werden, drei wiederkehrende Fehlannahmen:
„Wir sind zu klein für NIS2": Das Gesetz gilt nicht nur für Großkonzerne. Schon ab 50 Mitarbeiterinnen und Mitarbeitern oder 10 Millionen Euro Jahresumsatz kann eine Einstufung als „wichtige Einrichtung" greifen — je nach Branche und Auftragsstruktur auch darunter. IT-Systemhäuser, die staatliche Kunden betreuen, sind überproportional häufig betroffen.
„Unsere IT-Abteilung macht das schon": NISG 2024 verlangt dokumentierte, auditierbare Prozesse — nicht nur funktionierende Systeme. Eine interne IT-Abteilung ohne formelles ISMS und ohne externe Validierung genügt den gesetzlichen Anforderungen in der Regel nicht. Die Behörde prüft Nachweise, keine Selbstauskünfte.
„Das betrifft uns nicht, wir haben keinen direkten Heeresauftrag": Wer einen Unterauftrag von einem Hauptauftragnehmer des Bundesheeres übernimmt, kann indirekt in die Lieferkettenpflichten fallen. Das ist einer der am häufigsten übersehenen Anwendungsfälle des NISG 2024 — und einer der häufigsten Gründe, warum Unternehmen unvorbereitet in Audits geraten.
Mehr über die Grundlagen der IT-Sicherheit in Österreich nach aktuellen Standards erklärt ein weiterer Beitrag auf Expert Zoom.
Was Sie jetzt konkret tun sollten
Vodoseks Ernennung zum Generalstabschef ist ein guter Anlass, die eigene Cybersicherheits-Compliance zu überprüfen — bevor ein Audit, ein Incident oder eine verpasste Ausschreibung diesen Anlass erzwingt. IT-Sicherheitsexperten empfehlen drei unmittelbare Schritte:
Schritt 1 — Betroffenheitsanalyse: Prüfen Sie mit einem Fachexperten, ob Ihr Unternehmen unter das NISG 2024 fällt und in welche Kategorie. Die Einstufung hängt von Branche, Größe und Auftragsstruktur ab und ist nicht immer auf Anhieb erkennbar.
Schritt 2 — Gap-Analyse: Identifizieren Sie, wo Ihr aktuelles Sicherheitsniveau hinter den NISG-Anforderungen zurückbleibt. Fehlende Dokumentation, unstrukturiertes Vorfallsmanagement oder fehlende Lieferantenbewertungen sind typische Lücken — und typische Feststellungen bei Behördenaudits.
Schritt 3 — Lieferkette überprüfen: Prüfen Sie nicht nur Ihre eigene Sicherheitslage, sondern auch die Ihrer wichtigsten Unterlieferanten. Vodoseks Bundesheer wird das tun — und Sie müssen entsprechende Belege erbringen können, wenn ein Auftraggeber danach fragt.
Auf Expert Zoom finden Sie geprüfte IT-Sicherheitsexperten in Österreich, die Unternehmen bei der NISG-2024-Compliance, Gap-Analysen und der Vorbereitung auf Behördenaudits begleiten. Gerade jetzt, wo die Bundesheer-Digitalisierung unter Vodosek Fahrt aufnimmt, ist eine fundierte Bestandsaufnahme keine Vorsichtsmaßnahme — sie ist geschäftliche Notwendigkeit.
