Nationale Risikoanalysen

Übersicht und EU

In der EU und Europa gibt es noch wenig öffentliche Risikoanalysen nach der EU CER-Richtlinie. Nicht alle Risikoanalysen müssen veröffentlicht werden, und teilweise nur in relevanten Teilen. Als Orientierung für Betreiber sind im folgenden Risikoanalysen nach EU CER und andere staatliche Analysen und Berichte als Grundlage für Risiken aufgeführt.

Nationale Risikoanalyse RKEG

Die nationale Risikoanalyse für die EU CER-Umsetzung: in Deutschland mit dem KRITIS-Dachgesetz noch ausstehend, gibt es in österreich seit Anfang des Jahres die Nationale Risikoanalyse nach RKEG, der CER-Umsetzung.

Das österreichische Bundesinnenministerium veröffentlichte im Januar 2026 fristgerecht neben der gesamtstaatlichen Resilienzstrategie auch die nationale Risikoanalyse, wie von der EU CER-Richtlinie und im 2026 in Kraft getretenen Resilienz-kritischer-Einrichtungen-Gesetz (RKEG) gefordert. Auf Basis dieser staatlichen Analyse, die in detaillierter Form den identifizierten Betreibern vertraulich zugeht, sind Betreiber verpflichtet, ihre Risikoanalysen und Resilienzmaßnahmen daran auszurichten.

Insgesamt katalogisiert die nationale Risikoanalyse im Rahmen eines All-Hazard-Ansatzes 113 Risiken natürlicher, technischer und feindlicher Art, denen Kritische Infrastrukturen 2026 ausgesetzt sind. Drei Befunde stechen hervor:

• Cyberspionage, Cybersabotage und Cyberkriminalität mit Risikorelevanz in allen 11 Sektoren stellen die drei meistgenannten Gefahren im gesamten Katalog dar
• Drohnenangriffe werden für 9 als konkrete Bedrohung identifiziert.
• Insgesamt entfallen 37 von 113 Risikoeinträgen auf intentionale Gefahren und damit mehr als auf technische Gefahren (23/113) und Naturgefahren (19/113) zusammen. Diese Verteilung stellt somit ein Abbild der geopolitischen Lageeinschätzung dar.

Europäische und Emerging Risks

Erstmals berücksichtigt wurden zudem Risiken mit grenzüberschreitenden Auswirkungen, etwa Ausfälle europäischer Strom- und Gasnetze, Störungen von Cloud-Diensten und Unterbrechungen globaler Lieferketten, sowie Low-Probability/High-Impact-Risiken wie Extremereignisse im Weltraumwetter.

Als Emerging Risks erfasst wurden schließlich künstliche Intelligenz, neuartige Cyberbedrohungen und technologisch bedingte Systeminterdependenzen, deren Relevanz oft erst sichtbar wird, wenn bestehende Frühwarnmodelle an ihre Grenzen stoßen.

Vorreiterrolle

Österreich nimmt mit seiner fristgerechten Veröffentlichung eher eine Vorreiterrolle ein. Deutschland hat seine nationale Risikoanalyse nach §11 KRITIS-DachG noch nicht veröffentlicht, womit KRITIS-Betreibern die staatliche Makrogrundlage für ihre eigenen Analysen fehlt.

Dokument

Das Dokument wurde vom Österreichischen Bundesministerium für Inneres (BMI) herausgegeben und richtet sich an die österreichischen Bundesministerien, Landes- und Sicherheitsbehörden, die kritischen Einrichtungen sowie gesetzliche Interessenvertretungen.

Im Anhang liefert es eine detaillierte Auflistung der Sektoren und wesentlichen Dienste, eine Skalierung von Eintrittswahrscheinlichkeit und Auswirkung, eine leere Risikomatrix sowie einen umfangreichen Gefahrenkatalog mit Beschreibungen und Szenarien.

Die Risikoanalyse wird anlassbezogen bei wesentlichen Änderungen der Risikofaktoren aktualisiert, spätestens jedoch alle vier Jahre. Inhaltlich sticht der Bericht durch seine durchgehende Einbettung in ISO 31000, die EU-CER-Richtlinie sowie einschlägige wissenschaftliche Erkenntnisse hervor.

Leitlinien Österreich

Über die Risikoanalyse hinaus veröffentlichte Österreich im Juni 2026 praktische Leitlinien, um Betreiber bei der Erstellung eines kohärenten Maßnahmensystems zu unterstützen. Das 124-seitige Dokument schlägt in Bezug auf Normen und Richtlinien sieben Einzelleitfäden mit Maßnahmen und konkreten Tipps vor, die in ihrer Gesamtheit den Resilienzkreislauf einer kritischen Einrichtung abdecken.

Resilienz und Sicherheit

Konkret behandeln die Einzelleitfäden:

• Verhinderung von Sicherheitsvorfällen
• Physischer Schutz
• Abwehr und Bewältigung von Sicherheitsvorfällen
• Fortsetzung und rasche Wiederaufnahme nach Sicherheitsvorfällen
• Personelle Sicherheitsvorkehrungen
• Sensibilisierung und Schulung

Umsetzung

Die österreichischen Behörden werden die praktisch anwendbaren Vorgaben nach „Geeignetheit" und „Verhältnismäßigkeit" sektor- und betriebsbezogen und auf Grundlage der nationalen und betriebseigenen Risikoanalyse prüfen. Betreiber müssen jegliche Abweichungen begründet dokumentieren.

Hauptaugenmerk sollten Betreiber auf die Kohärenz der Konzepte richten, da die Maßnahmen nur im Zusammenspiel untereinander ihre Wirkung entfalten. Zudem zeigen erst gesamtheitliche Konzepte bestehende Lücken und Redundanzen auf. Schließlich ist diese gesamtheitliche Betrachtung wichtig, da Betreiber auch sektor- und grenzüberschreitende Interdependenzen integrieren müssen.

Regulierung

Notwendig sind die Leitlinien, da trotz dichter sektoraler Regulierung bisher kaum Regulierung zum systematischen physischen Schutz gegen intentionale Bedrohungen, zum Krisenmanagement oder zur strukturierten gesamtheitlichen Verknüpfung von Resilienzmaßnahmen besteht. Ein tragender Input war deswegen der nichtbindende Leitfaden, den die Europäische Kommission nach Konsultation mit der Critical Entities Resilience Group (CERG) erstellt hat und der die technischen, sicherheitsbezogenen und organisatorischen Resilienzmaßnahmen näher erläutert.

Die lang erwarteten klärenden Bezüge zur NIS-2-Regulierung sind in den Maßnahmen gegeben, zumeist jedoch als Hinweis, dass die Anforderungen unbeschadet und integriert, nicht redundant umgesetzt werden sollen. Konkreteres bleibt abzuwarten (NISG 2026 tritt erst am 1. Oktober 2026 in Kraft).

Dokument

Die Erstellung der Leitfäden erfolgte unter der strategischen Leitung des österreichischen Bundesministeriums für Inneres (BMI) und der operativen Führung der Direktion Staatsschutz und Nachrichtendienst (DSN). Wissenschaftlich begleitet wurde das Projekt durch die Hochschule Campus Wien, sowie Kompetenzpartnern. Im Laufe des Prozesses wurde Expertise von Sicherheitsverantwortlichen vom BMI und Vertretern potenziell Kritischer Einrichtungen aus acht Sektoren eingebracht. Der spätere Fachaustausch zielte auf eine Vernetzung mit Vertretern relevanter Behörden.

Lagebericht des Nachrichtendienstes

Der Schweizer Nachrichtendienst verknüpft in seinem Lagebild (NDB) die strategische Ausrichtung der Cyberbedrohungen mit der immer offensiveren hybriden Kriegsführung Russlands, Chinas, des Irans und Nordkoreas. Er zeichnet folgendes Lagebild:

• Die Hauptbedrohung stellen derzeit staatliche Cyberspionage und nichtstaatliche Ransomware dar.
• Ziele sind sensible Forschungs- und Technologieeinrichtungen sowie kritische Infrastrukturen, insbesondere im Energie- und Telekommunikationssektor.
• Einfallstore sind häufig veraltete Router und Firewalls, oft über Zero-Day-Schwachstellen.

Cybersabotage

Perspektivisch, im Fall eines direkten Konflikts, werden derzeit unwahrscheinliche, aber deutlich schädlichere staatliche Cybersabotage-Angriffe wahrscheinlicher. Verschärft wird dies durch ein zweites Phänomen: die rasanten Fortschritte der künstlichen Intelligenz. Diese geben insbesondere chinesischen Angreifern zunehmend potente, automatisierte Angriffsfähigkeiten an die Hand.

Dokument

Der Lagebericht wird vom Schweizer Nachrichtendienst des Bundes (NDB) herausgegeben, richtet sich an die breite Öffentlichkeit sowie an Entscheidungsträger in Politik und Behörden und ist vollständig öffentlich zugänglich. Er erscheint jährlich. Die aktuelle Ausgabe «Sicherheit Schweiz 2026» wurde am 25. Juli 2026 veröffentlicht.

Besonders relevant für Betreiber ist die differenzierte Analyse von Cyberbedrohungen gegen kritische Infrastrukturen.

Bericht zur Nationalen Risikoanalyse 2025

Der Bericht zur Nationalen Risikoanalyse 2025 verfolgt All-Gefahren-Ansatz, wie auch gemäß EU-CER gefordert. Anders als die zuvor untersuchte österreichische nationale Risikoanalyse veröffentlicht sie eine detaillierte Risikomatrix (Eintrittswahrscheinlichkeit/-plausibilität × Schadensausmaß).

Risiken

Die Top-5 der nicht-mutwilligen Risiken mit jeweils hoher Wahrscheinlichkeit und schwerem Schadensausmaß sind:

• Pandemie
• Strommangellage
• Andrang Schutzsuchender
• Stromausfall
• Trockenheit

Diese Gesamtanalyse ist zwar nicht KRITIS-spezifisch, die differenzierten Auswertungen, etwa zu kaskadierenden Versorgungseinbrüchen (siehe Grafik), bieten Betreibern jedoch eine Orientierungshilfe.

Kaskaden

Schließlich trägt der Risikobericht dem Umstand Rechnung, dass Gefährdungen selten isoliert auftreten, sondern häufig in Wechselbeziehungen zusammenwirken. Er unterscheidet drei Arten:

• Auslösende Beziehungen, bei denen ein Ereignis mehrere andere Gefährdungen verursacht. So wäre ein bewaffneter Konflikt oder ein Hochwasser ein denkbarer Auslöser für einen Stromausfall, der wiederum weitere Kaskaden auslöst.
• Verstärkende Beziehungen, dadurch gekennzeichnet, dass eine Gefährdung das Ausmaß oder die Wahrscheinlichkeit künftiger Gefährdungen erhöht. Hierzu referenziert der Bericht klimatische Phänomene wie Waldbrände, die nachhaltig die Rahmenbedingungen wie z.B. die Bodenbeschaffenheit verschlechtern und so Folgegefahren begünstigen.
• Kumulative Beziehungen, bei denen die kombinierten Auswirkungen größer ausfallen als die Summe der Einzelereignisse. So sind Menschen und Infrastrukturen nach Notlagen besonders verwundbar gegenüber neuen Bedrohungen, und deren Bewältigung ist erheblich erschwert.

Bericht zur nationalen Risikoanalyse, Bundesamt für Bevölkerungsschutz (BABS) Schweiz, Februar 2026

Die Experten identifizierten die tatsächlichen Wechselbeziehungen wie in der Grafik abgebildet (Kreisgrafik). Je dicker eine Linie, desto stärker die Wechselbeziehung; je größer ein Kreis, desto höher das Auslösungs- und Verstärkungspotenzial. Der Bericht plädiert für sektorübergreifende Ansätze als wirksamste Antwort auf Multigefährdungsszenarien.

Dokument

Der Bericht zur nationalen Risikoanalyse wurde vom Schweizer Bundesamt für Bevölkerungsschutz (BABS) herausgegeben und richtet sich an Behörden, Einsatzkräfte und Betreiber kritischer Infrastrukturen Fachstellen und Organisationen im Bereich Risikomanagement im Bevölkerungsschutz. Als zentrales Dokument fasst es Ergebnisse der nationalen Risikoanalyse zusammen, berichtet über die Analysemethodik und thematisiert aktuelle Themen wie Abhängigkeiten und Kaskadeneffekte.

Katalog

Begleitend veröffentlichte das BABS einen Gefährdungskatalog, eine Sammlung aller Gefährdungsdossiers, einen Methodenbericht, eine Risikobroschüre für die breite Öffentlichkeit sowie interaktive Risikomatrizen. Die Analyse wird alle fünf Jahre vom BABS aktualisiert. Bemerkenswert sind die veröffentlichten und illustrativ ansprechend dargestellten Risikobewertungen, die im Delphi-Verfahren mit rund 270 Experten aus unterschiedlichen Bereichen erstellt wurden.

Quellen

1. Nationale Risikoanalyse gem. RKEG 2026, Bundesministerium für Inneres Österreich, 16. Jänner 2026
2. Lagebericht des Nachrichtendienstes der Schweiz 2025, Nachrichtendienst des Bundes (NDB) Schweiz 2025
3. Bericht zur nationalen Risikoanalyse, Bundesamt für Bevölkerungsschutz (BABS) Schweiz, Februar 2026
4. Leitfäden kritische Einrichtungen RKEG, Direktion Staatsschutz und Nachrichtendienst, Österreich 2026