Die Truesec-Studie basiert auf Tiefeninterviews mit CISOs aus skandinavischen Ländern und offenbart einen Trend, der der globalen Entwicklung deutlich widerspricht. Während 2024 nur 29 Prozent der befragten Sicherheitsleiter von stabilen Vorfallszahlen berichteten und 53 Prozent einen Anstieg verzeichneten, gaben 2026 beeindruckende 91 Prozent an, dass die Anzahl schwerwiegender Cybersecurity-Vorfälle unverändert geblieben ist.
Diese Stabilität ist umso bemerkenswerter, als dass die Bedrohungslandschaft exponentiell gewachsen ist. Die durchschnittliche Zeit bis zur Ausbeutung einer Schwachstelle ist von 53 auf 2,4 Tage gesunken – ein Rückgang um über 95 Prozent, der hauptsächlich auf AI-gestützte Angriffstechniken zurückzuführen ist. Gabriel Winnberg, Senior Security Adviser bei Truesec, führt die erfolgreiche Abwehr auf verbesserte organisatorische Cybersicherheitsmaßnahmen zurück. Ein Schlüsselfaktor ist die verstärkte Zusammenarbeit mit spezialisierten MDR-Dienstleistern, die es ermöglicht, Incidents zu identifizieren und zu bewältigen, bevor sie kritische Auswirkungen entfalten. Auch verbessertes Attack-Surface-Management spielt eine bedeutende Rolle.
Expertin Diana Kelley von Noma Security bestätigt ähnliche Trends auch in den USA: Sicherheitsteams gewinnen in der Früherkennung und Eindämmung von Angriffen, müssen dies aber unter erheblichem Zeitdruck bewältigen. Ein weiterer positiver Faktor ist der kontinuierliche Rückgang von Ransomware-Angriffen, die lange Zeit als dominanteste Bedrohung galten. Künstliche Intelligenz scheint bislang vor allem bei niedriggradigen und mittelschweren Attacken Vorteile gebracht zu haben, nicht aber bei schwerwiegenden Vorfällen.
Bei den organisatorischen Strukturen zeigt sich Stagnation: Die meisten CISOs berichten weiterhin dem CTO, CIO oder CFO. Ein echter Platz im Boardroom bleibt vielen verwehrt. Allerdings hat sich ihre Stimme bei strategischen Entscheidungen gestärkt. Sicherheitsbudgets blieben 2026 stabil (68 Prozent Steigerung, 9 Prozent Kürzung), ähnlich wie 2024 (66 Prozent versus 9 Prozent). Ein neuer Trend: Sicherheitsinvestitionen werden zunehmend in IT-Bereiche verlagert und erscheinen nicht mehr unter dem CISO-Budget.
Die Truesec-Autoren vermerken eine Verschiebung der CISO-Perspektive: von der Sicherung kritischer Systeme zur Protektion von Geschäftsprozessen. Diese geschäftsorientierte Ausrichtung und verbesserte Executive Alignment könnten auch für deutsche Unternehmen ein Vorbild darstellen, um Cyber-Risiken langfristig zu reduzieren.