IT Priorities

Prioritäten entstehen selten aus freier Entscheidung. Drei Punkte haben die Reihenfolge auf den IT-Agenden im Mittelstand innerhalb weniger Monate verändert.

Der Cyber Resilience Act hat seit dem 11. September 2026 die erste harte Frist. Hersteller von Produkten mit digitalen Elementen melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle seitdem nach Artikel 14: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden. Betroffen ist auch, wer ein Produkt unter eigenem Namen in Verkehr bringt oder wesentlich verändert. Für viele Maschinen- und Anlagenbauer ist das die zweite Regulatorik neben NIS2, und sie trifft nicht die IT-Abteilung allein, sondern die Produktentwicklung mit.

KI ist in der Breite angekommen und teurer als kalkuliert. Der Anteil der Unternehmen mit aktivem KI-Einsatz ist laut Bitkom innerhalb eines Jahres von 17 auf 41 Prozent gestiegen, gleichzeitig sagt ein Drittel, dass die Kosten über den Erwartungen liegen. Die offene Frage ist damit nicht mehr, ob KI eingesetzt wird, sondern wer sie betreibt, wo die Daten liegen und wer die Lizenzen verantwortet.

Souveränität ist von der Grundsatzdebatte in die Architektur gewandert. Im Bitkom Cloud Report 2026 nutzen 64 Prozent der Cloud-Anwender eine Private Cloud, 53 Prozent eine Public Cloud. Als größte Hürde beim Anbieterwechsel nennen die Unternehmen Lock-in-Effekte. Die Frage ist selten, ob Cloud, sondern welche Daten wohin gehören und wie teuer ein Rückweg wäre.

Die meisten dieser sieben Themen scheitern nicht an der Technologie, sondern daran, dass sie in der falschen Reihenfolge angefasst werden. Drei Voraussetzungen tauchen in fast jedem Projekt wieder auf:

• Ein aktueller Bestand: welche Systeme, Anwendungen, Lizenzen und Fernzugänge es überhaupt gibt
• Geordnete Identitäten: wer worauf zugreifen darf, und wie dieser Zugriff wieder entzogen wird
• Erkennung: ob ein Vorfall auffällt, bevor ihn jemand von außen meldet

Das klingt unspektakulärer als KI und Souveränität, entscheidet aber darüber, ob beides funktioniert. Ein Sprachmodell auf ungeordneten Berechtigungen macht vorhandene Fehler schneller sichtbar, nicht kleiner. Und 59 Prozent der geschädigten Unternehmen nennen laut Bitkom die unzureichende Erkennung von Sicherheitsvorfällen als Hauptgrund dafür, dass aus einem Angriff ein Schaden wurde.

AVENDIS betreibt diese Grundlagen und die darauf aufsetzenden Themen im laufenden Betrieb, mit definierten SLAs. Was AVENDIS nicht übernimmt, ist die Priorisierung selbst. Welches Thema Ihr Unternehmen zuerst braucht, hängt an Geschäftsmodell, Risikoappetit und Budget. Welche Fragen dahinter stehen, haben wir unter CIO Challenges sortiert.