Die nationale Risikoanalyse nach EU CER: In Deutschland mit dem KRITIS-Dachgesetz noch ausstehend, gibt es in Österreich seit Anfang des Jahres die Nationale Risikoanalyse nach RKEG (CER).

Das österreichische Bundesinnenministerium veröffentlichte im Januar 2026 fristgerecht neben der gesamtstaatlichen Resilienzstrategie auch die nationale Risikoanalyse, wie von der EU-CER-Richtlinie und im 2026 in Kraft getretenen Resilienz-kritischer-Einrichtungen-Gesetz (RKEG) gefordert. Auf Basis dieser staatlichen Analyse, die in detaillierter Form den identifizierten Betreibern vertraulich zugeht, sind Betreiber verpflichtet, ihre Risikoanalysen und Resilienzmaßnahmen daran auszurichten.

Insgesamt katalogisiert die nationale Risikoanalyse im Rahmen eines All-Hazard-Ansatzes 113 Risiken natürlicher, technischer und feindlicher Art, denen Kritische Infrastrukturen 2026 ausgesetzt sind. Drei Befunde stechen hervor:

Cyberspionage, Cybersabotage und Cyberkriminalität mit Risikorelevanz in allen 13 Sektoren stellen die drei meistgenannten Gefahren im gesamten Katalog dar

Drohnenangriffe werden für 12 als konkrete Bedrohung identifiziert.

Insgesamt entfallen 37 von 113 Risikoeinträgen auf intentionale Gefahren und damit mehr als auf technische Gefahren (23/113) und Naturgefahren (19/113) zusammen. Diese Verteilung stellt somit ein Abbild der geopolitischen Lageeinschätzung dar.

Erstmals berücksichtigt wurden zudem Risiken mit grenzüberschreitenden Auswirkungen, etwa Ausfälle europäischer Strom- und Gasnetze, Störungen von Cloud-Diensten und Unterbrechungen globaler Lieferketten, sowie Low-Probability/High-Impact-Risiken wie Extremereignisse im Weltraumwetter. Als Emerging Risks erfasst wurden schließlich künstliche Intelligenz, neuartige Cyberbedrohungen und technologisch bedingte Systeminterdependenzen, deren Relevanz oft erst sichtbar wird, wenn bestehende Frühwarnmodelle an ihre Grenzen stoßen.

österreich nimmt mit seiner fristgerechten Veröffentlichung eher eine Vorreiterrolle ein. Deutschland hat seine nationale Risikoanalyse nach §11 KRITIS-DachG noch nicht veröffentlicht, womit KRITIS-Betreibern die staatliche Makrogrundlage für ihre eigenen Analysen fehlt.