Net4You hat das Cyber Trust Austria Platinum-Label erreicht und damit sein Cybersicherheitsniveau weiter ausgebaut. Im Interview spricht CEO Martin Zandonella mit dem CEO von Cyber Trust Services GmbH, Thomas Stubbings, über den Weg von Silber zu Platinum, die Bedeutung des NISG 2026 und darüber, wie Net4You Kunden bei Cybersecurity, Nachweisführung und Lieferkettenanforderungen unterstützt.

Interview: Der Weg vom Silber Label zum Platinum Label Net4You war seit 2024 Träger des Cyber Trust Austria Silber-Labels. Nun hat der IT-Dienstleister aus Kärnten, der unter anderem für die Kärtnermilch, Papyrus Altpapierservice oder das Hilfswerk Kärnten tätig ist, sein Cybersicherheitsniveau auf Platinum angehoben. Wir haben erneut mit Net4You CEO Martin Zandonella gesprochen und uns einen tieferen Einblick über die Beweggründe eingeholt. Net4You ist seit Ende 2024 Träger des Cyber Trust Austria Silber-Labels gewesen. Bevor wir über das Platinum-Label sprechen, welche Auswirkungen hatte das Silber-Label auf Ihr Business rückblickend betrachtet? Das Silber-Label war für uns ein wichtiger Schritt, weil es unsere Arbeit im Bereich Cybersicherheit erstmals in einer standardisierten und nachvollziehbaren Form sichtbar gemacht hat. Für unsere Kunden war das ein klares Signal: Net4You beschäftigt sich nicht nur operativ mit IT-Sicherheit, sondern erfüllt überprüfbare Anforderungen und kann diese auch nachweisen. Rückblickend hat sich dadurch vor allem die Qualität vieler Kundengespräche verändert. Gerade Unternehmen, die selbst vom NISG betroffen sind oder Teil einer kritischen Lieferkette sind, stellen zunehmend konkrete Fragen: Wie sicher ist mein IT-Dienstleister? Welche Prozesse gibt es im Ernstfall? Wie werden Zugriffe geregelt? Wie sieht es mit Backup, Wiederherstellung, Lieferantenmanagement und Dokumentation aus? Mit dem Silber-Label konnten wir zeigen: Diese Themen sind bei uns nicht nur Schlagworte, sondern gelebte Praxis. Das hat Vertrauen geschaffen und vielen Kunden geholfen, auch ihre eigene Lieferantenbewertung besser zu dokumentieren. Gleichzeitig war das Silber-Label für uns intern ein wichtiger Reifegrad-Schritt. Es hat uns geholfen, Sicherheitsmaßnahmen noch strukturierter zu dokumentieren und dort nachzuschärfen, wo Nachweise oder Prozesse noch verbessert werden konnten. Für unsere Kunden ist dabei besonders wichtig: Die Erfahrung, die wir in diesem Prozess gesammelt haben, geben wir direkt weiter. Wir wissen aus eigener Praxis, welche Fragen auf Unternehmen zukommen, welche Nachweise benötigt werden und wo typische Stolpersteine liegen. Genau hier unterstützen wir unsere Kunden, egal ob sie selbst direkt vom NIS-Gesetz betroffen sind oder als Lieferant Anforderungen ihrer Auftraggeber erfüllen müssen. Net4You ist als IT-Dienstleister auch vom neuen NISG 2026 betroffen. War das Platinum-Label also der logische nächste Schritt? Ja, definitiv. Als IT-Dienstleister tragen wir eine besondere Verantwortung. Wir sind nicht nur für unsere eigene Sicherheit verantwortlich, sondern auch Teil der Sicherheitsarchitektur unserer Kunden. Wenn wir Systeme betreiben, Netzwerke absichern, Cloud-Services bereitstellen oder IT-Infrastrukturen betreuen, dann verlassen sich unsere Kunden darauf, dass wir professionell, resilient und nachvollziehbar arbeiten. Mit dem NISG 2026 wird diese Verantwortung noch deutlicher. Unternehmen müssen künftig nicht nur ihre internen Sicherheitsmaßnahmen betrachten, sondern auch ihre Dienstleister, Partner und Lieferanten. Genau deshalb war das Platinum-Label für uns der logische nächste Schritt. Wir wollten unseren Kunden zeigen: Net4You erfüllt nicht nur grundlegende Anforderungen, sondern setzt sich intensiv mit Cybersicherheitsmanagement, Risikobetrachtung, Nachweisführung und Resilienz auseinander. Für Unternehmen, die selbst vom NISG betroffen sind, ist das besonders relevant. Denn sie brauchen Partner, die ihre Anforderungen verstehen und nicht erst bei null anfangen. Wir können unsere Kunden nicht nur technisch unterstützen, sondern auch aus eigener Erfahrung begleiten: von der Standortbestimmung über Maßnahmenplanung und Dokumentation bis hin zur Vorbereitung auf ein eigenes Cyber Trust Label. Das Platinum-Label ist daher für uns auch eine Botschaft an den Markt: Wer sich auf NISG, Lieferantenanforderungen oder Cyber-Trust-Zertifizierungen vorbereitet, findet in Net4You einen Partner, der diesen Weg selbst gegangen ist und die Anforderungen aus der Praxis kennt. Welche Gaps gab es, bei denen Sie von Silber zu Platinum noch Verbesserungen vornehmen mussten? Viele Sicherheitsmaßnahmen waren bei uns bereits vorhanden. Die eigentliche Herausforderung lag darin, diese Maßnahmen noch systematischer zu betrachten, besser miteinander zu verknüpfen und sauberer nachweisbar zu machen. Bei einem höheren Reifegrad reicht es nicht mehr, dass etwas „gemacht wird“. Man muss auch zeigen können, dass es regelmäßig, nachvollziehbar, risikoorientiert und kontrolliert passiert. Verbesserungen gab es vor allem in mehreren Bereichen. Ein Bereich war die Dokumentation. In der Praxis sind IT-Dienstleister oft sehr lösungsorientiert. Viele Dinge sind technisch umgesetzt, Abläufe sind im Team bekannt, Verantwortlichkeiten funktionieren. Für ein höheres Sicherheitsniveau muss das aber auch formal greifbar sein: Richtlinien, Prozesse, Verantwortlichkeiten, Nachweise, Protokolle und regelmäßige Überprüfungen müssen konsistent dokumentiert sein. Ein zweiter Bereich war das Risikomanagement. Wir haben noch stärker darauf geachtet, Risiken nicht nur punktuell zu betrachten, sondern regelmäßig und strukturiert zu bewerten: Welche Risiken betreffen unsere eigenen Systeme? Welche Risiken betreffen Kundensysteme? Welche Abhängigkeiten gibt es zu Lieferanten? Welche Auswirkungen hätte ein Ausfall? Welche Maßnahmen reduzieren diese Risiken tatsächlich? Ein dritter Punkt war die Lieferkette. Als IT-Dienstleister sind wir selbst Lieferant, aber natürlich arbeiten auch wir mit Herstellern, Plattformen, Cloud-Diensten und Partnern zusammen. Der Wechsel zu Platinum hat uns dazu gebracht, diese Abhängigkeiten noch bewusster zu analysieren und Sicherheitsanforderungen an Lieferanten klarer zu betrachten. Außerdem haben wir Themen wie Incident Response, Business Continuity, Backup- und Wiederanlaufprozesse, Awareness, Rollen- und Rechtekonzepte sowie regelmäßige Überprüfungen weiter geschärft. Nicht, weil diese Themen vorher nicht vorhanden waren, sondern weil Platinum eine höhere Intensität verlangt. Zusammengefasst: Die größten Gaps lagen nicht im „Ob“, sondern im „Wie gut, wie regelmäßig und wie nachweisbar“. Genau das ist aus unserer Sicht auch der Unterschied zwischen einer guten technischen Sicherheitsbasis und echter Cyberresilienz. Der Prozess des Platinum Labels ist etwas anders als beim Silber Label. Unter anderem gibt es hier auch eine selektive Evidenzprüfung der validierten Selbstdeklaration. Wie haben Sie diesen Prozess erlebt? Wir haben den Prozess als anspruchsvoll, aber sehr wertvoll erlebt. Gerade die selektive Evidenzprüfung macht aus unserer Sicht den Unterschied. Eine Selbstdeklaration ist wichtig, weil sie Unternehmen dazu zwingt, sich strukturiert mit den Anforderungen auseinanderzusetzen. Aber erst die Evidenzprüfung zeigt, ob die Angaben auch belastbar sind. Für uns war das ein guter Realitätscheck. Man muss nicht nur sagen, dass es einen Prozess gibt, sondern auch zeigen, wie dieser Prozess in der Praxis aussieht. Gibt es Dokumente? Gibt es Nachweise? Gibt es Verantwortliche? Gibt es eine gelebte Umsetzung? Das ist ein anderer Anspruch als eine reine Selbsteinschätzung. Positiv war, dass der Prozess nicht als reine Kontrolle empfunden wurde, sondern als konstruktive Auseinandersetzung mit dem eigenen Sicherheitsniveau. Die Fragen waren praxisnah und haben dazu geführt, dass man manche Themen noch einmal genauer betrachtet. Teilweise merkt man erst im Prüfprozess, wo man zwar inhaltlich gut aufgestellt ist, aber die Nachweisführung noch verbessert werden kann. Besonders wichtig war für uns, dass die Evidenzprüfung kein „Papier um des Papiers willen“ war. Es ging nicht darum, möglichst viele Dokumente zu produzieren, sondern darum, nachvollziehbar zu zeigen, dass Sicherheitsmaßnahmen tatsächlich funktionieren und in der Organisation verankert sind. Wir haben den Prozess daher als Bestätigung, aber auch als Lernschritt gesehen. Er hat uns geholfen, unsere eigene Sicherheitsorganisation noch strukturierter zu betrachten. Und genau das ist aus unserer Sicht der Mehrwert: Ein gutes Label sollte nicht nur bestätigen, was bereits da ist, sondern auch Impulse geben, wie man noch besser werden kann. Sie haben das Platinum Label deutlich über den Mindestanforderungen bestanden – was bedeutet das für Sie und Ihre weitere Arbeit an Ihrer Sicherheitsresilienz? Für uns ist das natürlich eine sehr schöne Bestätigung. Wenn man ein Label nicht nur knapp erreicht, sondern deutlich über den Mindestanforderungen besteht, zeigt das, dass die Arbeit der vergangenen Jahre in die richtige Richtung gegangen ist. Gleichzeitig sehen wir das nicht als Zielgerade, sondern eher als Zwischenstand. Cybersecurity ist kein Projekt, das irgendwann abgeschlossen ist. Die Bedrohungslage verändert sich laufend, Technologien verändern sich, Angreifer werden professioneller, regulatorische Anforderungen steigen, und auch Kunden erwarten zurecht mehr Transparenz und Nachweise. Das Platinum-Label bedeutet für uns daher zweierlei: Es bestätigt unseren aktuellen Reifegrad, aber es verpflichtet uns auch, diesen Reifegrad zu halten und weiterzuentwickeln. Für die weitere Arbeit heißt das konkret: Wir werden unsere Prozesse weiterhin regelmäßig überprüfen, Risiken neu bewerten, technische und organisatorische Maßnahmen weiterentwickeln und das Thema Security Awareness im Unternehmen hochhalten. Auch Übungen, Reviews, Lieferantenbewertungen und die Weiterentwicklung unserer Notfall- und Wiederanlaufprozesse bleiben zentrale Themen. Wichtig ist uns dabei ein pragmatischer Ansatz. Cybersecurity darf nicht nur aus Richtlinien bestehen. Sie muss im Alltag funktionieren. Sie muss für Mitarbeiter verständlich sein, für Kunden nachvollziehbar und technisch wirksam. Genau daran wollen wir weiterarbeiten. Das gute Ergebnis sehen wir daher als Motivation. Es zeigt, dass wir eine starke Basis haben. Aber gerade weil wir deutlich über den Mindestanforderungen liegen, wollen wir diesen Anspruch auch künftig leben: nicht nur Mindeststandard, sondern verlässlicher Sicherheitsstandard für unsere Kunden. Wie haben Ihre Kunden & Partner auf die Auszeichnung reagiert? Die Reaktionen waren sehr positiv. Viele Kunden haben die Auszeichnung als Bestätigung gesehen, dass Net4You Cybersicherheit ernst nimmt und konsequent weiterentwickelt. Besonders interessant ist, dass das Thema mittlerweile fast überall angekommen ist. Lieferanten, Partner und Kunden beschäftigen sich zunehmend mit dem NISG, Lieferkettenrisiken, Sicherheitsfragebögen und Nachweispflichten. Das Platinum-Label ist daher nicht nur eine Auszeichnung, sondern auch ein Gesprächsanlass. Viele Unternehmen fragen sich derzeit: Was bedeutet das für uns? Sind wir direkt betroffen? Müssen wir als Lieferant Nachweise erbringen? Welche Anforderungen kommen auf uns zu? Und wie können wir uns darauf vorbereiten? Genau hier sehen wir eine wichtige Aufgabe für Net4You. Wir wollen nicht nur selbst ein sicherer Partner sein, sondern auch unsere Kunden und Partner auf diesem Weg begleiten. Gerade bei Lieferketten wird Cybersicherheit immer stärker zur gemeinsamen Verantwortung. Wenn ein Unternehmen hohe Anforderungen erfüllen muss, betrifft das oft auch dessen Dienstleister und Zulieferer. Unsere Botschaft ist daher klar: Unternehmen müssen diesen Weg nicht allein gehen. Wir unterstützen sie dabei, ihre aktuelle Situation zu bewerten, Lücken zu schließen, technische und organisatorische Maßnahmen umzusetzen und sich auf ein Cyber Trust Label oder vergleichbare Anforderungen vorzubereiten. Die Auszeichnung stärkt somit unsere Glaubwürdigkeit als Partner für Unternehmen, die ihre Cybersicherheit professionell weiterentwickeln wollen.