Cybersicherheit beim ESC 2026

Herr Pils, Sie haben als Head of Cybersecurity die Verantwortung für die IT-Sicherheit des Eurovision Song Contests 2026 in Wien getragen. Was macht dieses Projekt aus Ihrer Sicht so besonders anspruchsvoll?

Martin Pils: Die Absicherung eines Events dieser Größenordnung lässt sich kaum mit dem regulären IT-Tagesgeschäft vergleichen. Auf dem Hallenboden entsteht faktisch eine Smart City auf Zeit: ein hochkomplexes Geflecht aus unterschiedlichsten, teils hybriden Netzwerken, eine enorme Menge an kontinuierlich überwachten IT-Assets und Endgeräten – von der hochsensiblen Sendetechnik über die Bühnensteuerung bis hin zu den mobilen Geräten unzähliger Gäste und Crewmitglieder. Hinzu kommt ein dichtes Ökosystem an internationalen Gewerken und Dienstleistern, dass ich in kürzester Zeit in ein gemeinsames Sicherheitskonzept integrieren musste. Die Komplexität reicht durchaus an kritische Infrastrukturen großer Versorgungsunternehmen heran.

Welche Rolle haben Normen wie die ISO/IEC 27001 oder die IEC 62443 in diesem Projekt gespielt?

Martin Pils: Ein solches Projekt zwingt einen, die eigene Komfortzone zu verlassen. Klassische Normen wie die ISO 27001 oder die IEC 62443 sind absolut unverzichtbar, um überhaupt eine strukturierte Basis und eine gemeinsame Sprache zu haben. Doch die Dynamik eines Live-Events mit Entscheidungen im Minutentakt erlaubt keine zweite Chance. Hier zeigt sich, wie wichtig es ist, Managementsysteme nicht als bürokratischen Selbstzweck zu betrachten, sondern als agiles Werkzeug.

Die Lieferkettensicherheit ist ein Thema, das viele Organisationen vor große Herausforderungen stellt. Wie haben Sie das beim ESC gehandhabt?

Martin Pils: Das weitreichende Netzwerk an Dienstleistern durchlief ein mehrstufiges Security-Onboarding – von automatisierten Risiko-Checks über standardisierte Fragebögen bis hin zu tiefgehenden Vor-Ort-Interviews in der Halle. Genau hier hat mir das methodische Wissen aus der Auditoren-Praxis enorm geholfen. Nur durch diesen strukturierten Prozess ließ sich verifizieren, dass vertragliche Sicherheitsvorgaben auch in der physischen Realität am Hallenboden tatsächlich umgesetzt wurden.

Wie beeinflusst die operative Erfahrung aus einem solchen Projekt Ihre Arbeit als Auditor?

Martin Pils: Als Auditor prüfe ich, ob ein Managementsystem normkonform und wirksam ist. Als Head of Cybersecurity in einem Projekt wie dem ESC bin ich selbst derjenige, der diese Systeme unter den Augen der Öffentlichkeit zum Fliegen bringen muss. Diese beiden Rollen befruchten sich enorm. Das tiefe Normenwissen gibt mir in der Praxis die nötige Struktur. Und die harte operative Realität schärft meinen Blick als Auditor für machbare, pragmatische und wirklich funktionierende Lösungen bei unseren Kunden.

 Was würden Sie einem CISO empfehlen, der ein ähnlich komplexes temporäres Netzwerk absichern muss?

Aus unserer praktischen Erfahrung würde ich vor allem drei Dinge weitergeben:

1. Erstens ist eine klare Aufgabenteilung im Hintergrund sehr hilfreich. Es entlastet die IT-Spezialisten an den Bildschirmen enorm, wenn sie sich voll auf ihre Technik konzentrieren können. Organisatorische Abstimmungen mit dem Management oder Anfragen von außen sollten deshalb bewusst von einer anderen Person übernommen werden. Meine Hauptaufgabe bestand im Grunde genau darin: Die organisatorischen Dinge abzufangen, damit das Fachteam in Ruhe arbeiten konnte.
2. Zweitens sollte man das eigene Kontrollzentrum regelmäßig verlassen. Sicherheit findet nicht nur am Computer statt. Es ist sehr wertvoll, über das Gelände zu gehen, sich die Anschlüsse in den Hallen persönlich anzusehen und freundlich auf die Leute zuzugehen. Wenn man vor Ort präsent ist, wird die Sicherheit sehr schnell zu einem gemeinsamen Anliegen aller Beteiligten.
3. Drittens: Vertrauen Sie auf die Menschen in Ihrem Team. Die Arbeit unter hohem Zeitdruck ist anstrengend. Wenn man als Verantwortlicher einfach nachfragt, wie man unterstützen oder Aufgaben abnehmen kann, entsteht ein tolles Arbeitsumfeld. Wenn Fachkräfte wissen, dass sie Fehler oder offene Fragen jederzeit ohne Sorge ansprechen dürfen, leisten sie eine wirklich herausragende Arbeit.

Was sollten Unternehmen hinsichtlich Managementsysteme im Bereich Security aus Ihrer Sicht befolgen?

Martin Pils: Wer das Risikomanagement für eine Vielzahl internationaler Lieferanten unter extremem Zeitdruck steuert, weiß genau, welche Prozesse echte Sicherheit bringen – und welche lediglich auf dem Papier existieren. Das wichtigste Learning ist vielleicht dieses: Ein Informationssicherheits-Managementsystem darf den Geschäftsbetrieb nicht blockieren. Es muss ihn sicher und verlässlich ermöglichen. Wer das verinnerlicht hat, hat den entscheidenden Schritt gemacht.