IT-Sicherheit · Branchen-Briefing

Im Jahr 2025 wurden 426 Cybersecurity-Akquisitionen mit einem Gesamtwert von 92,5 Milliarden Dollar angekündigt, ein Anstieg von 82% gegenüber dem Vorjahr. Diese Dynamik setzt sich 2026 fort mit Google's 32-Milliarden-Dollar-Übernahme von Wiz im März und Palo Alto Networks' 25-Milliarden-Dollar-Erwerb von CyberArk im Februar als Flaggschiff-Deals. Bis Mitte Juni 2026 wurden bereits etwa 190 Transaktionen katalogisiert. Drei Faktoren treiben die Zahlen: EU-Compliance-Regime wie die NIS2-Direktive und DORA, die Sicherheit zur rechtlichen Anforderung machen; AI-Sicherheit als Haupttreiber für Käufer-Prämien; und Konsolidierung großer Plattformen, die Capabilities in der Cloud-, Identity-, und Endpoint-Sicherheit akquirieren. Compliance-Regelungen haben sich zum stärksten Nachfragetreiber entwickelt. Die NIS2-Direktive der EU erstreckt sich auf 18 kritische Sektoren mit Transpositionsfrist Oktober 2024; die SEC cyber disclosure rules in den USA verpflichten zur Meldung von Vorfällen auf Form 8-K innerhalb vier Geschäftstagen; und das CMMC-Programm zertifiziert Rüstungslieferanten der USA mit Rollout bis 2028. AI-Sicherheit wird dabei zum schnellsten wachsenden Akquisitionsthema: 94% der befragten Führungskräfte des World Economic Forum nennen AI den signifikantesten Veränderungstreiber; fast die Hälfte des strategischen Tech-Deal-Wertes über 500 Millionen Dollar in 2025 stammte von AI-nativen Unternehmen. Bewertungen stratifizieren 2026 nach Geschäftsmodell: kleine Security-Services-Firmen 3x-5x SDE, Service-Firmen 5x-9x EBITDA, profitable Produkt-Firmen 10x-20x EBITDA, High-Growth-Plattformen auf Revenue-Multiples von etwa 20x ARR für Dragos bis 32x für Wiz.

Österreichs NISG 2026 wurde am 12. Dezember 2025 vom Nationalrat beschlossen und tritt am 1. Oktober 2026 materiell in Kraft, womit ein jahrelanger legislativer Stillstand bei der EU-NIS2-Umsetzung endet. Das Gesetz wird die Zahl der direkt betroffenen Organisationen von etwa 1.000 (altes NISG 2018) auf rund 5.000 plus geschätzte 50.000 Zulieferbetriebe vervielfachen und definiert dabei 18 regulierte Sektoren einschließlich Energie, Telekommunikation, Gesundheit und Finanzdienstleistungen. Die Registrierungsfrist endet am 31. Dezember 2026, Selbstdeklarationen müssen bis 30. September 2027 eingereicht werden, und ab 2028 folgen unterzeichnete Auditberichte. Das neue Gesetz schafft mit dem Bundesamt für Cybersicherheit eine eigenständige Aufsichtsbehörde mit erheblichen Sanktionsbefugnissen: wesentliche Einrichtungen riskieren Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Kernanforderungen nach Artikel 21 der NIS2-Richtlinie umfassen Risikoanalysen, Incident-Handling mit 24-Stunden-Erstmeldung und 72-Stunden-Folgemeldung, Multi-Faktor-Authentifizierung, Supply-Chain-Sicherheit und dokumentierte Risikomanagementmaßnahmen. Der österreichische Cybersicherheitsmarkt, bewertet auf 9,35 Milliarden US-Dollar im Jahr 2025, wird durch die Compliance-Verpflichtungen zusätzlich stimuliert, Marktanalysten erwarten ein Compliance-Servicemarkvolumen von 300–400 Millionen Euro jährlich bis Ende 2027, getrieben durch vCISO-Dienste, Managed Security Service Provider und Auditangebote.

Hong Kong's Securities and Futures Commission hat eine Zirkularschreiben zur Stärkung der Cybersicherheit gegen KI-gestützte Cyberangriffe erlassen, adressiert an lizenzierte Finanzunternehmen. Die Guidance reagiert auf einen Anstieg von Cybersecurity-Vorfällen in Hongkong um 27 Prozent Jahr-zu-Jahr auf über 15.000 Fälle 2025 (gegenüber 12.536 im Jahr 2024). Die Zirkular identifiziert fünf Schwerpunktbereiche: Patch- und Vulnerability Management, Zugriffs- und Privilegienkontrollen, Detection und Monitoring, Third-Party Supply-Chain Risk Management sowie Incident Response und Recovery. Besondere Aufmerksamkeit gilt dem Risiko durch interne KI-Sprachmodelle, die Teil der Angriffsfläche eines Unternehmens darstellen und mit derselben Strenge wie andere Firmensysteme verwaltet werden müssen.