Cybersicherheit wird in vielen Unternehmen nicht mehr nur als Schutzfunktion verstanden, sondern als Bestandteil strategischer Wertschöpfung. Laut der EY Global Cybersecurity Leadership Insights Study 2025 kann die frühzeitige Einbindung von Cybersecurity-Verantwortlichen den Wert von Transformations-, Technologie- oder Marktexpansionsinitiativen messbar steigern. Gleichzeitig zeigt die Erhebung eine deutliche Lücke zwischen Potenzial und gelebter Praxis.
Foto: EY/Robert Herbst
Gottfried Tonweber, Leiter Cybersecurity und Data Privacy bei EY Österreich
Foto: EY/Christina Häusler
Bernhard Zacherl Direktor und Experte für Cybersecurity bei EY Österreich
Cybersicherheit entwickelt sich in großen Unternehmen zunehmend zu einem strategischen Faktor – nicht nur zur Abwehr von Angriffen, sondern als Voraussetzung dafür, neue Technologien, Produkte und Geschäftsmodelle schneller und verlässlicher umzusetzen. Zu diesem Schluss kommt die EY Global Cybersecurity Leadership Insights Study 2025. Für die Studie wurden 550 C-Suite- und Cybersecurity-Leader aus 19 Ländern befragt, deren Unternehmen jeweils mehr als 1 Milliarde US-Dollar Umsatz erzielen.
Im Mittelpunkt der Ergebnisse steht die Frage, welchen messbaren Beitrag Cybersecurity-Funktionen zu strategischen Initiativen leisten – etwa zu Digitalisierungsprogrammen, neuen Technologieplattformen oder Projekten zur Verbesserung der Kundenerfahrung. EY beziffert den durchschnittlich geschaffenen Unternehmenswert auf 36 Millionen US-Dollar pro Projekt, wenn Cyberverantwortliche früh eingebunden werden. Damit rückt eine Disziplin, die vielerorts weiterhin als Kostenstelle gilt, näher an die Kernlogik von Transformation und Wachstum.
Die EY-Studie zeigt, dass die Cybersecurity-Funktion im Durchschnitt 11 bis 20 Prozent des Werts strategischer Projekte beiträgt, an denen sie aktiv beteiligt ist. Dabei wird besonders deutlich, dass Timing entscheidend ist: Wert entsteht vor allem dort, wo Sicherheitsverantwortliche nicht nur prüfend am Ende des Projekts eingebunden werden, sondern bereits in der Planungs- und Entscheidungsphase.
Gottfried Tonweber, Partner und Leiter Cybersecurity bei EY Österreich, beschreibt diese Verschiebung in der Rolle der Sicherheitsfunktion klar: „Cybersecurity ist heute ein integraler Bestandteil unternehmerischer Wertschöpfung“. Und weiter: „Unternehmen, die Cybersicherheit als Business-Enabler verstehen und frühzeitig in strategische Entscheidungen einbeziehen, schaffen nicht nur Resilienz, sondern steigern auch den finanziellen und reputativen Wert ihrer Organisation. Vertrauen wird so zu einem messbaren Wirtschaftsfaktor.“
In besonders umsatzstarken Unternehmen wird der Wertbeitrag noch deutlicher. Bei Unternehmen mit einem Jahresumsatz von über 20 Milliarden US-Dollar lag der durch Cybersecurity geschaffene Medianwert laut EY bei rund 154 Millionen US-Dollar pro Initiative. Gleichzeitig zeigt die Studie, dass Cybersecurity-Teams in der Praxis häufig in der operativen Umsetzung präsent sind: In 55 Prozent der Technologie- und Innovationsprojekte sowie in 48 Prozent der Projekte zur Verbesserung der Kundenerfahrung waren sie aktiv beteiligt.
Trotz der ausgewiesenen Wertbeiträge kommt EY zu einem kritischen Befund: Nur 13 Prozent der Chief Information Security Officers werden in frühen Phasen von Entscheidungsprozessen eingebunden. Die Diskrepanz zwischen messbarem Nutzen und tatsächlicher Organisationsrealität ist ein zentraler Befund der Studie.
Die Erhebung zeigt darüber hinaus, dass 59 Prozent der Cyberverantwortlichen bei strategischen Entscheidungen weiterhin nicht konsultiert werden. Gerade in Projekten rund um Cloud-Migration, M&A oder Produktentwicklung würden Sicherheitsfragen häufig erst nachgelagert behandelt. Das erhöht aus Sicht der Studienautoren nicht nur Risiken, sondern kann Projekte verzögern und zusätzliche Kosten verursachen.
Bernhard Zacherl, Direktor im Bereich Cybersecurity bei EY Österreich, betont die Konsequenzen einer späten Einbindung: „Cybersecurity sollte in jeder unternehmerischen Initiative von Beginn an mitgedacht werden – nicht erst, wenn ein Problem auftritt.“ Frühzeitige Beteiligung bedeute demnach „schnellere Umsetzung, höhere Kundenzufriedenheit und bessere Governance“.
Ein weiterer Schwerpunkt der Studie ist die Differenzierung zwischen Unternehmen mit integrierten Cyberstrategien und weniger entwickelten Organisationen. EY bezeichnet erstere als „Secure Creators“, während weniger reife Ansätze als „Prone Enterprises“ klassifiziert werden. Secure Creators schneiden in mehreren Kategorien besser ab: Sie erreichen eine um 16 Prozentpunkte höhere Markenvertrauensrate (72 Prozent gegenüber 56 Prozent) und sind doppelt so häufig zufrieden mit der unternehmensweiten Zusammenarbeit (65 Prozent gegenüber 51 Prozent). Zudem weist EY darauf hin, dass diese Unternehmen die Cybersicherheit nicht als isolierte Abteilung, sondern als Bestandteil von Innovations- und Wachstumsprozessen verstehen.
Neben Governance und Organisation sieht EY KI und Automatisierung als Effizienzhebel. Organisationen, die ihre Cyberlandschaft vereinfachen und automatisieren, erzielen laut Studie jährliche Kosteneinsparungen von durchschnittlich 1,7 Millionen US-Dollar. Gleichzeitig verkürzen sich Erkennungs- und Reaktionszeiten im Mittel um 28 Prozent. Mehr als zwei Drittel der befragten Unternehmen investieren die dadurch frei werdenden Mittel in Innovation, KI-Integration und Produktentwicklung.
Tonweber ordnet diese Entwicklung als strategische Verschiebung ein: „Wir sehen, dass führende Unternehmen ihre Cyber-Architekturen konsequent vereinfachen und damit Raum für Innovation schaffen“. Speziell im Kontext neuer KI-Anwendungen gehe es um Geschwindigkeit und Skalierbarkeit – auf Basis von Vertrauen.
Die Studie zeichnet damit ein Bild, in dem Cybersecurity nicht nur als Schutzschicht verstanden wird, sondern als Faktor, der Projektwert, Kundenzufriedenheit und Markenvertrauen beeinflussen kann. Gleichzeitig macht EY deutlich, dass viele Organisationen strukturell noch nicht darauf eingestellt sind: Der Nutzen wird zwar gemessen, CISOs werden aber weiterhin zu selten frühzeitig eingebunden.
