Lagebericht 2025

1. Geschäftsverlauf und wirtschaftliche Lage der IT-Services der Sozialversicherung GmbH (im Folgenden „ITSV GmbH“) im Jahr 2025

Die ITSV GmbH steht zu 100% im Eigentum der österreichischen Sozialversicherungsträger, für welche das Unternehmen zentrale IT-Dienstleistungen plant und operativ umsetzt. Die Eigentümer der ITSV GmbH sind somit die wichtigsten Partner:innen und gleichzeitig Kund:innen des Unternehmens.

Übersicht Finanzdaten

Die Umsatzerlöse sanken im Vergleich zum Vorjahr um 0,2% (- 390 TEUR). Dies begründet sich dadurch, dass neben der laufenden Dienstleistungserbringung größere, mehrjährige Softwareprojekte mit 2025 abgeschlossen werden konnten. Die Bilanzsumme liegt mit 64.406 TEUR, um 10.259 TEUR über dem Vorjahreswert. Die Veränderung ergibt sich aus der laufenden Geschäftstätigkeit.

Gemäß Kooperationsvertrag ist die Finanzierung der Gesellschaftsdienstleistungen durch unterjährige Akontozahlungen geregelt, wobei eine Abrechnung der Services jeweils am Jahresende im Zuge des Jahresabschlusses erfolgt. Gemäß Gesellschaftervertrag können die Gesellschafter die Einforderung von Nachschüssen beschließen.

Nicht finanzielle Kennzahlen

Rechenzentrum (RZ)

Im Jahr 2025 stand die wachsende Dynamik rund um Cloud-Technologien sowie KI-/AI-Services im besonderen Fokus des ITSV-Rechenzentrums. Vor diesem Hintergrund wurde ein hybrides Betriebsmodell entwickelt, das den hohen Sicherheits- und Verfügbarkeitsanforderungen des Gesundheitswesens entspricht.

Das neue Architekturkonzept kombiniert einen isolierten, hochgeschützten On-Premise-Bereich des Rechenzentrums mit flexibel skalierbaren Cloud-Ressourcen. Dadurch kann anfallender Workload bedarfsgerecht, effizient und sicher zwischen lokaler Infrastruktur und der Cloud-Umgebung verteilt werden.

Mit dieser modernen und resilienten Basisarchitektur wurde ein zentraler Meilenstein für die Entwicklung KI-gestützter, mobiler Anwendungen für SV-Versicherte erreicht. Sie ermöglicht es, innovative digitale Services künftig schneller, sicherer und ressourceneffizient bereitzustellen.

Parallel dazu wurden Cloud-Compliance-Vorgaben weiterentwickelt und um AI-spezifische Anforderungen erweitert. Bereits rund 150 Cloud-Anwendungsfälle wurden erfolgreich auf sicherheitstechnisch gehärteten Plattformen – u. a. von Microsoft und Amazon Web Services – geprüft. Besonders die „Power“-Suite (Power BI, Power Apps, Power Automate) eröffnet neue Anwendungsmöglichkeiten und hat sich, gestützt durch professionelles Cloud-Management, bereits im produktiven Betrieb bewährt.

Die umfassende Konsolidierung und Vereinheitlichung der Sprachtelefonie der ÖGK über das zentrale Contact Center im ITSV-Rechenzentrum wurde erfolgreich abgeschlossen. Dadurch kann der Kundenservice nun österreichweit – unabhängig vom jeweiligen Arbeitsstandort – Anrufe mit hoher Qualität, Stabilität und Effizienz entgegennehmen und bearbeiten. Mit diesem Meilenstein wurde die Grundlage für eine einheitliche, bundesweite Versicherten-Hotline geschaffen, welche die bisher regional unterschiedlichen Servicenummern vollständig ablösen soll.

Zusätzlich wurde die Collaboration-Plattform „Microsoft Teams“, die unter strikter Einhaltung aller relevanten Cloud-Compliance-Vorgaben betrieben wird, weiter ausgebaut und funktional erweitert. Damit stehen den SV-Mitarbeiter:innen moderne, sichere und leistungsfähige Werkzeuge für die standortübergreifende Zusammenarbeit zur Verfügung. Das SV-Mail-Service wurde in allen Kunden- Domänen mit neuen NIS-2-entsprechenden Sicherheits- und Authentifizierungs-Mechanismen (SPF, DKIM) gegen Phishing- und Domänen-Missbrauch erweitert, Vorbereitungen für die nächste Sicherheitsstufe (DMARC) wurden gesetzt. Die technische Plattform wurde weiter ausgebaut und mit der Erweiterung des Monitorings gestartet, um potenziell kritische Situationen zu vermeiden oder frühzeitig zu erkennen und Gegenmaßnahmen setzen zu können.

Die SAP-PERS-Landschaft, welche zentrale HR-Prozesse der Sozialversicherung (SV) abbildet, wurde erfolgreich und ohne Betriebsunterbrechung auf SAP-HANA transformiert. Dieser Umstellung ging eine mehrmonatige Test- und Planungsphase voraus, einschließlich umfangreicher infrastruktureller und betriebstechnischer Vorbereitungen wie der Migration des Betriebssystems von AIX auf Linux. Im Zuge dieser Arbeiten konnten die Systeme SAP Fiori, SAP Enterprise Portal und SAP SRM nach Überführung der benötigten Funktionalitäten in andere SAP-Module vollständig abgeschaltet werden. Die dadurch freiwerdenden Ressourcen stehen nun anderen Produkten und Geschäftsprozessen zur Verfügung.

Auch die Überwachungsaudits nach ISO/IEC 27001 (Information Security Management System) und ISO/IEC 27701 (Data Protection Management System) wurden erfolgreich abgeschlossen. Zusätzlich wurde das „Friendly Audit“ zur Überprüfung der Anforderungen der EU-Richtlinie NIS-2 positiv bewertet. Die dabei gewonnenen Empfehlungen fließen gezielt in die Weiterentwicklung einzelner Themenfelder ein und dienen der optimalen Vorbereitung auf die nächsten Audits im Q4/2026.

Das SLA-Monitoring-System für laufende Überwachung und Reporting der Kundenservices wurde in Zusammenarbeit mit dem ITSV-Software-Bereich auf moderne RPA-Mechanismen (Robot-Process- Automation) umgestellt. Neben positiven Lizenz- und Betriebskosten-Effekten konnte damit insbesondere die Abhängigkeit von externen Dienstleistern und die Durchlaufzeit bis zur Bereitstellung bei neuen Anforderungen verringert werden.

Das Projekt „Future Infrastructure Technology“ (FIT), das 2023 unter maßgeblicher Mitwirkung des ITSV-Rechenzentrums mit einer umfassenden Erhebungs-, Planungs- und Vorbereitungsphase gestartet wurde, bildet die zentrale technische Grundlage für das ÖGK 2030-Programm. Dieses stellt eines der größten Digitalisierungsprogramme im e-Health-Umfeld in Österreich dar.

Im Jahr 2025 lag der Schwerpunkt von FIT insbesondere auf dem Themenfeld „SV Client Masterplan“, welches die Umstellung der gesamten Client-Infrastruktur auf Windows 11 und Microsoft 365 umfasste. Diese umfangreiche Modernisierung konnte erfolgreich und termingerecht abgeschlossen werden.

Alle im Rahmen des Projekts zu erbringenden Leistungen wurden in einem transparenten Liefer- und Leistungskatalog definiert. Dieser dient nicht nur zur klaren Nachvollziehbarkeit der vereinbarten Arbeitspakete, sondern fungiert auch als zentrales Instrument für die laufende Fortschritts-, Qualitätsund Steuerungskontrolle.

Ein weiterer zentraler Schwerpunkt im Rechenzentrum war die umfassende Migrations- und Betriebsvorbereitung der Zentralen Versicherungsdatei (ZVD). Die ZVD zählt zu den größten und komplexesten Informationssystemen der SV. Sie enthält Versichertendaten bis zurück in das Jahr 1920 und bildet das technologische Kernsystem für zahlreiche zentrale Anwendungen wie Versicherungsstatus, Versicherungsverlauf oder das elektronische Pensionskonto. Im Rahmen der Migration ist ein mehrmonatiger Parallelbetrieb (ab 03/2026) vorgesehen. Während dieser Phase werden die Daten auf beiden Plattformen verarbeitet, systematisch miteinander verglichen und bei Bedarf Optimierungen vorgenommen. Ziel ist es, eine vollständige Datenkonsistenz sicherzustellen, bevor der endgültige Umstieg erfolgt.

Im medizinischen Bereich des RZ wurden in enger Zusammenarbeit mit den Experten der „ÖGK DiGes“ sowie den Herstellern zahlreiche Systeme und Anwendungen auf den neuesten und zukunftsorientierten Stand gebracht sowie die Services im Bereich Zahnmedizin weiter ausgebaut.

Um den steigenden Anforderungen an einen nahezu unterbrechungsfreien Rechenzentrumsbetrieb („Zero Downtime“) gerecht zu werden, wurden die Redundanzen aller zentralen und geschäftskritischen Services gezielt ausgebaut. Davon profitieren insbesondere mobile Anwendungen wie MeineSV, MeineÖGK sowie weitere digitale Services. Durch optimierte Wartungsprozesse – etwa unterbrechungsfreie Produkt-Updates über die „Continuous Delivery Pipeline“ (CDP) – kann eine laufend steigende Zahl von Aktualisierungen im Betrieb durchgeführt werden.

Zusätzlich ermöglicht die Bündelung abhängiger Services in klar definierten, konsolidierten Wartungsfenstern, dass sicherheitsrelevante und technische Arbeiten an Systemen und Infrastruktur ohne Auswirkungen für Kund:innen erfolgen. Damit erhöhen wir nachhaltig sowohl die Stabilität des laufenden Betriebs als auch die Zukunftssicherheit und Weiterentwicklung unseres IT-Serviceportfolios.

 5.649 Betreute Serversysteme (virtuell & physisch)  853 Betreute Datenbanken  17.992 Videokonferenz-Stunden  1.640.171 SMS-Token versendet  9.984 Aktive SMS-Token-Empfänger:innen  4.816.863 ZPV-Zugriffe  14.401 Betreute Clients  30.145 Betreute Mailboxen  5.300 TB Gesamtspeicherkapazität netto  194.978.169 abgewickelte Internet-Mails (ein- und ausgehend)

Software (SW)

Der Bereich Software konzipiert und entwickelt Softwareprodukte und Lösungen für die SV und das österreichische Gesundheitswesen. Die Angebotsvielfalt umfasst die Architektursteuerung, SAP Systeme für die Personal-, Finanz- und Wirtschaftsbereiche der SV-Träger sowie für die Vertragspartnerabrechnung der ÖGK, Services für die Datenerfassung und -analyse und zentrale Anwendungen für Sachbearbeiter:innen der SV-Träger und des Dachverbands der Sozialversicherung (DV).

Die ITSV GmbH setzt auf moderne, zukunftsweisende Technologien wie Artificial Intelligence (AI), Robotic Process Automation (RPA) oder mobile Apps und verfügt über ausgeprägte Methodenexpertise im Bereich moderner Architekturen, agiler Entwicklung und systematischer Tests. Sie unterstützt als Entwicklungspartner der Sozialversicherungsträger deren Softwareentwicklungseinheiten mit Werkzeugen für die Entwicklung. Gemeinsam mit dem ITSV- Rechenzentrum wird eine weitgehend automatisierte Werkzeugkette zur Verfügung gestellt.

Die Schwerpunkte im SAP-Umfeld 2025 lagen bei den Standardprodukten auf der Fertigstellung der H4S4 Umstellung für das STP PERS und der Finalisierung dieser technischen Umstellung für das STP ALVA. Zusätzlich wurde im STP ALVA die Mandantenkonsolidierung für die sonstigen Vertragspartner abgeschlossen. Im Bereich der SAP technischen Querlieger wurde an der Technologie-Roadmap bis 2030 weitergearbeitet. Das durch die ITSV GmbH erarbeitete Grobkonzept für die von der SV genutzten Produkte, wurde in mehreren Arbeitsgruppensitzungen mit den Kund:innen zu einem Feinkonzept ausgearbeitet und in den Gremien der IT-Governance vorgestellt.

Ein konstanter Schwerpunkt ist die Fortführung der Migration des Mainframes im DV (DVSV-Host- Migration). Mit der Ablösung der Zentralen Versichertendatenbank (ZVD) ab 2022 ist sie in die entscheidende Phase getreten. Ab Mitte März 2026 ist ein sechsmonatiger Parallellauf der Änderungsdienste (AED) zwischen Alt- und Neusystem vorgesehen. Die Fertigstellung des neuen Systems ist für Ende 2026 geplant.

Ein weiterer Fokus lag auf der Digitalisierung der extern verfügbaren SV-Services und somit auf jenen Services, die für die SV-Vertragspartner und Versicherten zur Verfügung gestellt werden. Die Einführung von Mamida (Mobile Authentication via ID-Austria) und die Erweiterung der e- Berechtigungen wurden auf allen SV-Apps umgesetzt. Mit der WACA-Zertifizierung der MeineÖGK App wurde ein wichtiger Schritt für den barrierefreien Zugang dieser digitalen Services für die SV- Versicherten gesetzt, sowie Kunden- und Patientenumfragen via App implementiert. Auch für die SV- Vertragspartner wurde mit der Anbindung der Arzt-Software-Hersteller (ASWH) an das CC-SIT das Portfolio an digitalen Services erweitert.

Einige Kennzahlen der Software:

     887.804 Downloads der SV-Apps aus den diversen App-Stores 1.237.500 Abläufe in den Tagesendverarbeitungen (Monatliche Sammelverarbeitungen) im Rahmen wöchentlicher Testzyklen des CC-SIT 36.727 User:innen verwenden unsere Systeme 52 Mio. eingebuchte Rezepte über REGO (Rezeptgebührenobergrenze) Review-Prozess und Abnahme von 18 Systemarchitekturkonzepten

Ferner betreut der Bereich Software laufend eine Vielzahl von SV-Systemen/-Produkten (Quelle:

ITMAP):

      39 Standardprodukte 287 SV-Trägerübergreifende Produkte inkl. technische Querlieger 233 SV-Trägerinterne Produkte 35 Fremdprodukte 508 Applikationen 1180 Informationssysteme

Customer Care Center (CuCC)

Im Jahr 2018 wurde das SV-Servicecenter der ITSV GmbH erstmals nach ISO 18295-1 zertifiziert. Zur Sicherstellung kontinuierlicher Prozess- und Qualitätsoptimierungen unterzieht sich das CuCC, im Rahmen der Re-Zertifizierung alle zwei Jahre einer regelmäßigen Überprüfung der Normerfüllung welche zuletzt 2024 erfolgte und äußerst positiv verlief. Die nächste Überprüfung ist für Ende 2026 vorgesehen. Als Single Point of Contact deckt unser SV-Servicecenter eine Vielzahl an Leistungen, telefonische Auskünfte sowie die schriftliche Bearbeitung diverser Anliegen von Kund: innen ab.

SV-Servicecenter

Derzeit werden im SV-Servicecenter 29 Services in bis zu acht Sprachen von rund 100 Mitarbeiter: innen betreut, darunter beispielsweise die e-card für Versicherte und Vertragspartner, die elektronische Sozialversicherung (eSV-Portal), die Rezeptgebührenobergrenze (REGO), die elektronische Gesundheitsakte (ELGA), der e-lmpfpass und das Brustkrebsfrüherkennungsprogramm (BKFP). Zusätzlich zu den Servicelines werden die ELGA-Widerspruchstelle (WIST), die Clearingstelle sowie das Service EGDA (elektronischer grenzüberschreitender Datenaustausch) betreut.

Im vergangenen Jahr wurden im SV-Servicecenter 317.144 Anrufe entgegengenommen und 186.467 schriftliche Anfragen bearbeitet. In der ELGA-Widerspruchstelle wurden insgesamt 5.646 Willenserklärungen bearbeitet, die Clearingstelle hat 4.535 Clearing-Fälle abgeschlossen, für EGDA wurden 11.029 Kostenforderungen digitalisiert.

SV-Servicedesk

Beim SV-Servicedesk werden die Anliegen der Mitarbeiter:innen der österreichischen Sozialversicherungsträger und des Dachverbands der Sozialversicherung, sowie SV-nachstehenden Organisationen behandelt. Der SV-Servicedesk stellt die erste Anlaufstelle für Kund:innen und deren Anforderungen zu betrieblichen Themen dar. Das Tätigkeitsfeld reicht vom klassischen Client-Enduser- Support bis hin zur Betreuung von zentral betriebenen Services. Eine weitere Facette ist der Support von medizinischen Applikationen für definierte eigene Einrichtungen der ÖGK. Im Jahr 2025 wurden im SV-Servicedesk insgesamt 50.918 Anrufe entgegengenommen und 100.518 Tickets bearbeitet.

Personal (PERS)

2025 lag der Fokus auf der Weiterentwicklung der digitalen Personalverwaltung sowie der Verbesserung interner Prozesse. Die Balance zwischen der Eigenverantwortung der Mitarbeitenden und den betrieblichen Anforderungen wird durch klare und gezielt gesetzte Leitlinien gewährleistet. Ein hohes Maß an Expertise wird durch kontinuierliche Fort- und Weiterbildungsmaßnahmen, eine eigene Lehrlingsausbildung und unternehmensinternes Active Sourcing aufrechterhalten, wodurch zudem der Bedarf für externe Personaldienstleistungen reduziert wird.

Das führende System zur Personalbewirtschaftung (SAP) wurde im vergangenen Jahr weiter ausgebaut und verfeinert. Besonders hervorzuheben ist der erfolgreiche Abschluss des Piloten für das neue Userinterface SAP-FIORI. Nach intensiver Testphase und positiven Rückmeldungen der Nutzer:innen konnte SAP-FIORI nun final ausgerollt werden. Diese Maßnahme ist auch im Hinblick auf die zwingende technische Ablösung von ESS/MSS von großer Bedeutung. Mit dem neuen Produkt erhalten Führungskräfte tagesaktuelle Reports zu ihren Organisationseinheiten. Zudem können Mitarbeitende eine Vielzahl von Anliegen jederzeit im Selfservice erledigen, was die Effizienz im Arbeitsalltag deutlich steigert. Nach Einführung von SAP-FIORI wurden bereits im laufenden Jahr zahlreiche Prozesse und Reports integriert, wie zum Beispiel die Möglichkeit, das Jobticket direkt in FIORI zu beantragen oder detaillierte Statistiken für Führungskräfte und Mitarbeitende.

Weiters wurde im Jahr 2025 der technische Umstieg auf die SAP H4S4 Architektur erfolgreich umgesetzt.

Ebenfalls konnte mit der Einführung des ITSM-Tools als Ablöse für das bisher in Verwendung stehende Anforderungs-Excel eine Lösung für ein zeitgemäßes Ticket-Tool in Umsetzung gebracht werden. Es ermöglicht klare und strukturierte sowie dokumentierte Maßnahmen im Eintrittsprozess interner sowie externer Mitarbeitender.

Ein weiterer Baustein im Ausbau der Personalbewirtschaftung ist der cuSmart SAP Personalakt, der sowohl über die SAP Gui als auch über die Fiori-Oberfläche verfügbar ist. Der digitale Personalakt steht im Zentrum der Digitalisierung und gewährleistet die effiziente Einhaltung der Compliance-Richtlinien, insbesondere zur DSGVO. Sensible Daten werden geschützt, Änderungen werden protokolliert und können im Sinne der Transparenz und Compliance nachverfolgt werden. Nach einer intensiven Planungs- und erfolgreichen gemeinsamen Testphase mit der BVAEB kann der Personalakt nun im Laufe des Jahres ausgerollt und in Betrieb genommen werden. Damit fungiert das System als Hüter des Datenschatzes und unterstützt die Organisation in ihrer digitalen Transformation.

Im Recruiting bzw. Personalmarketing lag der Fokus 2025 weiterhin auf Kostenreduktion. So konnten durch die eingesetzten Maßnahmen (Social Media Recruting, Karriereseite neu, erweitertes Unternehmensprofil auf der Bewertungsplattform kununu etc.) Kosten für die Personaldienstleistung eingespart werden. Das Mitarbeiterempfehlungsprogramm und Social Media Recruiting zahlten ebenfalls auf diese Reduktion ein. Insgesamt konnten 11 Stellen (ST1+ST2 Ausschreibungen) durch interne Empfehlungen besetzt werden. Die Anzahl an besetzten Stellen betrug insgesamt 75. Beim Personal Marketing gab es bei den Social Media- und Jobboardmanagement-Plattformen, neben den bestehenden karriere.at und LinkedIn Unternehmensprofilen, eine Erweiterung um StepStone. Ziel ist die Sichtbarkeit bei den Jobsuchenden, den dadurch entstehenden Talentpool und das Active Sourcing Netzwerk noch weiter auszubauen. Ebenfalls wurden die Messeauftritte und Schulkooperationen fortgesetzt, da damit u. a. die Talente von morgen angesprochen werden können. Insgesamt war die ITSV GmbH 2025 auf sechs Formaten vertreten und achtet dabei stets auf einen guten Mix aus facheinschlägigen (Hoch-) Schulkooperationen und bekannten sowie neuen Formaten außerhalb von Bildungseinrichtungen.

2025 wurden in Summe sechs Lehrlinge (zwei Applikationsentwickler, zwei Bürokaufleute und zwei Systemtechniker) aufgenommen. Der Bereich PERS beobachtet anstehende Pensionsantritte sowie die Fluktuationen in einzelnen Teams und bietet in Zusammenarbeit mit den zuständigen Führungskräften die Möglichkeit, planbare Austritte durch Neuzuwachs mittels teamgezielter Ausbildung durch Lehrlinge teilweise abzufangen. Dabei spielt die Optimierung der aktuellen Lehrlingsausbildung eine große Rolle. Für eine qualitative Ausbildung werden Ausbilderschulungen, die sich auf die Wissensweitergabe und den Umgang mit jungen Menschen richten, ermöglicht. Die Teilnahme an einer Schulmesse führte zum Erhalt einer Anfrage zur Zusammenarbeit. Einige der diesjährig vielen „Berufsschnupperer“ und aktuellen Lehrlingsbewerbenden kommen von dieser Schulveranstaltung.

Das Coaching-Programm „Mental fit in der Arbeit" hat auch 2025 großen Anklang gefunden. Coachingeinheiten können anonym in Anspruch genommen werden. Angebotene Schwerpunkte sind die Bewältigung von Stress, Lösung von Konflikten am Arbeitsplatz und effizientes Zeitmanagement in Zeiten der Hochauslastung. Die Evaluierung des Coaching-Programmes hat gezeigt, dass die Nachfrage seit dem erstmaligen Angebot 2021 kontinuierlich gestiegen ist. Daher hat es sich zu einem laufenden Programm mit starker Nachfrage etabliert.

Die bestehenden Maßnahmen und Leitlinien zum Thema Diversität und Inklusion mit dem Ziel die Diversity-Strategie in der ITSV GmbH zu verankern, haben sich bewährt. Sie wurden 2025 im Arbeitsalltag integriert, da Vielfalt und Chancengleichheit integraler Bestandteil der Unternehmenskultur sind.

2025 wurde die im Jahr 2024 entwickelte Job Architektur weiter konsolidiert. Insgesamt wurden rund 250 bestehende Stellenbezeichnungen den definierten 20 Job Familien zugeordnet. Im Zuge dieser Zuordnung zeigte sich der Bedarf nach unternehmensweit einheitlichen und harmonisierten Stellenbezeichnungen. Vor diesem Hintergrund wurde im Personalbereich ein Vorschlag für neue Stellenbezeichnungen erarbeitet. Dabei wurden insbesondere die Anforderungen an Prägnanz, Aussagekraft, Einheitlichkeit, Verständlichkeit sowie Geschlechtsneutralität berücksichtigt. Die vorgeschlagenen Stellenbezeichnungen wurden mit dem Topmanagement abgestimmt. Für 2026 ist die unternehmensweite Einführung der neuen Stellenbezeichnungen geplant. Die Kommunikation erfolgt unter Einbindung der Führungskräfte, die durch begleitende e-Learning-Formate unterstützt werden, um Handlungssicherheit sowie eine professionelle und einheitliche Kommunikationsqualität sicherzustellen. Die neuen Stellenbezeichnungen sollen bis Mitte 2026 im SAP-System abgebildet und den Mitarbeitenden transparent kommuniziert werden.

Im Jahr 2025 wurde die entwickelte Fachkarriere im Rahmen einer Pilotierung mit sechs Führungskräften evaluiert. Nach Abstimmung mit allen ITSV-Bereichsleitungen werden Teile des bisherigen Konzepts übernommen, andere Teile neu konzipiert.

Die Fachkarriere wird im Laufe des Jahres 2026 neu aufgesetzt und als Projekt mit interner GSUU (Gesundheitswesen, Steuerung und Umsetzung) Projektleitung geführt.

Der Fokus des Projekts Fachkarriere 2026 wird es sein, gezielte Förderung und Bindung von Top- Expert:innen vorzunehmen. Die Erfüllung gesetzlicher Vorgaben (Entgelttransparenzgesetz, Lohn- & Sozialdumping) wird genutzt, um ein transparentes und zukunftsfähiges System zu etablieren. Zudem soll eine Weiterentwicklung der Fachkoordinations-Rolle vorgenommen werden. Diese wird als attraktive Karriereoption gestärkt und weiterentwickelt.

Im Oktober 2025 erfolgte der unternehmensweite Rollout von SAP SuccessFactors Learning. Das moderne Learning-Management-System erleichtert und digitalisiert Lern- und Verwaltungsprozesse und bietet sowohl Mitarbeitenden als auch der Personalentwicklung eine zeitgemäße Unterstützung.

Die 2022 erstmals durchgeführten PERS Gespräche mit allen Führungskräften wurden ab 2023 weiterentwickelt und auch 2025 fortgeführt. Der Fokus lag dabei auf der Analyse von Kennzahlen sowie der Ableitung konkreter PE-Maßnahmen, ergänzt um Themen wie Budget-, Personal- und Nachfolgeplanung.

Die 2023 eigens für die ITSV GmbH entwickelte Upload-Plattform für die Reflexionsgespräche hat sich etabliert.

Der Seminarkompass 2025 stand unter dem Motto „#Lebenslanges Lernen“ und fokussierte gezielt den Aufbau zukunftsrelevanter Kompetenzen. Im Mittelpunkt standen neben technologischen Entwicklungen insbesondere Lernagilität, Kreativität und flexibles Denken als zentrale Erfolgsfaktoren für langfristige Beschäftigungsfähigkeit. Es wurden sieben Themen an 13 Seminartagen mit insgesamt 132 Teilnehmenden erfolgreich umgesetzt.

Insgesamt wurden 2025 49 Teamklausuren organisiert, 24 Inhouse Schulungen fanden statt.

Durch Bündelung von Schulungen, bei denen ein breiter Bedarf innerhalb der ITSV GmbH bestand, konnten große Einsparungen erzielt werden. Beispielsweise wurden kostengünstige Kompetenzen im Bereich Power BI (84 Teilnehmende), Angular Architektur (13 Teilnehmende) und ITIL (21 Teilnehmende) aufgebaut. Dadurch wurden Kosten von € 56.018,88 im Vergleich zu Einzeltrainings eingespart.

Das Angebot der Kinderbetreuung wurde 2025 sehr gut angenommen und wird auch 2026 im bisherigen Umfang und in der gewohnten Qualität weitergeführt.

Anfang 2025 fand im Feld des betrieblichen Gesundheitsmanagements (ArbeitnehmerInnen-Schutz, betriebliche Gesundheitsförderung und Wiedereingliederung) die anonyme Mitarbeitenden- Abschlussevaluierung des Ende 2022 gestarteten BGF-Projekts (inkl. gesetzlicher Evaluierung der psychischen Belastungen) statt. Mitte 2025 wurde daraufhin der Antrag für das BGF-Gütesiegel eingereicht, welches ab 01.01.2026 zuerkannt werden und für den Zeitraum 2026-2028 geführt werden darf.

Das erfolgreiche Jahresprogramm an Gesundheitsmaßnahmen „Gesundheitskompass“ zu den Themen Bewegung, Ernährung, psychische Gesundheit/Entspannung und Suchtprävention wurde aufgrund der positiven Resonanz weiter ausgebaut. Es haben Bewegungskurse, Vorträge bzw. Workshops sowie zahlreiche Gesundheitsmessungen stattgefunden. Zusätzlich wurden wie im Vorjahr 55 Sehtest-Termine für Bildschirmarbeit von der Arbeitsmedizinerin durchgeführt. Aufgrund des großen Interesses wurde auch wieder eine Blutdruckmess-Aktion inkl. ärztlicher Beratung mit 39 konsumierten Terminen angeboten. Basierend auf insgesamt knapp 90 anonymen Antworten zur Zufriedenheit mit den BGF-Angeboten, haben 81 Personen (91 %) angegeben, sehr zufrieden (67) oder zufrieden (13) zu sein. Des Weiteren wurde der monatliche Blog „Gesundheit AHOI!“ weitergeführt, um die Gesundheitskompetenz der Mitarbeitenden zu steigern und Gesundheitsangebote zu bewerben. In regelmäßigen Abständen wurden außerdem sicherheitstechnische und arbeitsmedizinische Begehungen durchgeführt und laufend Maßnahmen umgesetzt.

Recht & Sicherheit (ReSi)

Der Bereich Recht & Sicherheit verantwortet organisationsweit Datenschutz, Arbeitsrecht sowie sonstige allgemeine rechtliche Angelegenheiten (außer Beschaffungswesen, Vergaberecht sowie steuer- und personalverrechnungsrechtliche Agenden). Neben der Servicierung des Business Continuity Managements (BCM) besteht eine weitere Aufgabe des Bereiches in der Steuerung und Weiterentwicklung der Corporate Governance Strukturen der ITSV GmbH (internes Kontrollsystem (IKS) gem. § 22 GmbHG und Risikomanagementsystem (RMS)).

Im Q4/2024 wurde im Rahmen der Unternehmensreorganisation ein eigenes Corporate Governance Team in der Unternehmensorganisationsstruktur etabliert. Das Team „Corporate Governance“ hat zum Ziel – als zentrale Unterstützungseinheit für alle Fachbereiche – die in den Risikomanagementsystemen geführten Risiken und Maßnahmen unter einer Teamleitung laufend abzustimmen, den strukturellen Aufbau des internen Kontrollsystems und ein zielgruppenorientiertes Reporting aus den RMS und dem IKS sicher zu stellen.

Hierzu wurden die bislang auf mehrere Organisationseinheiten verstreute Aufgaben zusammengezogen. Mittels eigener Teamleitung kann die Corporate Governance nunmehr stringenter unter einer einzigen Verantwortung weiterentwickelt werden. Durch die Zentrierung der Corporate Governance Aufgaben in einem Team wurde auch für die Fachbereiche klarer definiert, wo sie für das Management ihrer Risiken Unterstützung bekommen können.

Die Mitarbeitenden wurden 2025 vorwiegend aus den Teams Informationssicherheit (ISMS, ERMS) und Recht (CMS) rekrutiert und im Rahmen einer Ausschreibung eine Teamleitung ernannt, welche aus diesem Expertenkreis stammt. Das neue Team serviciert als organisatorisch klar definierter Ansprechpartner für die Fachbereiche Risikomanagementsysteme (CM(S), ERM(S) und IRM(S) (siehe nachfolgende Abbildung). Ergänzend werden die Fachbereiche zur Sicherstellung ihrer im Rahmen des Risikomanagements definierten Ziele durch Beratung/Vorschläge bei der Etablierung der das Risikomanagementsystem ergänzenden internen Kontrollen unterstützt (IKS).

Neben den unten angeführten Weiterentwicklungen des RMS und IKS wurden organisatorisch im Laufe des Jahres 2025 innerhalb des Teams die Schnittstellen und Aufgabenverteilungen zu den Teams Informationssicherheit und Recht sowie zu den ergänzenden CoGo-Organisationen außerhalb des Bereiches ReSi neu definiert und bestehende Prozesse angepasst (insbesondere betreffend dem im Bereich GSU etablierten Prozessmanagement und der direkt der Geschäftsführung unterstellten Internen Revision).

Im Compliance-Bereich Recht und Sicherheit sind die auch Rollen des Chief Information Security Officers (CISO, Abteilungsleitung ISMS), der Datenschutzbeauftragten (DS-B, Team Recht) sowie des Compliance-Officers (CO, Team CoGo) etabliert.

Strukturelle Corporate Governance Aufbau und Ausbaumaßnahmen im Jahr 2025

Im Bereich Corporate Governance lag der Fokus im Wirtschaftsjahr 2025 auf folgenden Themenbereichen:

• Erstellung eines Gefährdungskatalogs für die Risikoüberarbeitung im Bereich Informationssicherheitsmanagement (Erweiterung und Überarbeitung der bestehenden IT- und Informationssicherheitsrisiken - auch mit Fokus auf das Netz- und Informationssystemsicherheitsgesetz/NISG) • Harmonisierung und Verbesserung der Risiko- und Maßnahmenstruktur über alle drei Risikomanagementsystem (langfristige Maßnahme) • Fortführung der Erhebung, Konkretisierung und Verbesserung des IKS innerhalb der ITSV GmbH (laufende Maßnahme) • Uberarbeitung der Prozesse „Risiko managen“ und „Internes Kontrollsystem betreiben" (jährliche Maßnahme) • Anpassung der Risikomanagementpolitik und Kommunikation im Unternehmen (jährliche Maßnahme) • Überarbeitung einer Corporate Governance Richtlinie (detaillierte Beschreibung des Risikomanagements und des IKS innerhalb der ITSV GmbH) (laufende Maßnahme) • Erstellung und Veröffentlichung des Vorerfassungstemplates für Risiken, Maßnahmen und Kontrollen für die Fachbereiche (zur selbstständigen Einmeldung von potenziellen Risiken, Maßnahmen und Kontrollen) (einmalige Maßnahme) • Fortführung der inhaltlichen Abstimmung und Nachdokumentation aller implementierten, jedoch aktuell nicht formal dokumentierten Maßnahmen, in die bestehende Corporate Governance Struktur (langfristige Maßnahme)

Abseits regelmäßiger, methodischer Risikoanalysen zur Identifikation und Bewertung von Unternehmensrisiken wird im Rahmen des Enterprise-Risikomanagementsystems (ERMS) eine interne Webplattform für das Management von Risiken, Maßnahmen und Kontrollen genutzt. Per 31.12.2025 werden im ERMS 65 Risiken geführt und laufend überwacht. Im Jahr 2025 wurde ein neues Risiko dem Risikokatalog hinzugefügt, 38 neue risikominimierende Maßnahmen aufgenommen und 14 Maßnahmen erfolgreich abgeschlossen.

Im Wirtschaftsjahr 2024 fand eine technische Harmonisierung des bestehenden Risikomanagementtools statt. Leider hat diese technische Neuausrichtung nicht den geforderten und erwünschen Effekt erbracht, weshalb gegen Ende des Wirtschaftsjahres 2025 mit der Evaluierung eines GRC-Tools (Governance-Risk-Compliance Tool) begonnen wurde. Mit diesem neuen, ganzheitlichen Tool sollen die Anforderungen an ein zentrales und unternehmensweite Risikomanagement und IKS (Internes Kontrollsystem), sowie Integration und Interaktion mit dem bestehenden Prozessmanagementtool erfüllt werden.

Compliance-Managementsystem (CMS)

Im Compliance-Managementsystem (CMS) werden prioritär Einzelrisiken betrachtet, um Normverstöße (somit insbesondere auch hohe Verwaltungsstrafen) hintanhalten zu können. Das CMS wurde 2025 operativ betrieben und kontinuierlich erweitert, insbesondere hinsichtlich der Ergänzung und Nachdokumentation von Maßnahmen zu der 2023 aufgebauten Risikostruktur.

Es sind aktuell 413 Einzelrisiken in Bearbeitung bzw. Beobachtung. Diese gliedern sich in die nachfolgenden Themengebiete und wurden bedarfsspezifisch 2025 wie folgt angepasst (2024/2025): Arbeitnehmerschutz 79/79, Arbeitsrecht 116/121, Datenschutz 67/68, Bestellwesen 26/26, Gesellschaftsrecht 11/13, Immaterialgüterrecht 12/12, Korruptionsprävention 25/25, Operative Risiken 27/33, Vergaberecht 36/36

Es liegen 275 Maßnahmenvorschläge zur weiteren Risikoreduktion vor, welche anhand ihrer Kritikalität priorisiert sind. 2025 wurden insbesondere viele neue Maßnahmen im Bereich Arbeitsrecht aufgenommen. Maßnahmenumsetzungsstatus: neu/nicht begonnen 145; in Bearbeitung 62; laufend durchgeführt bzw. erledigt: 68.

Der Fokus bei der Maßnahmenunterstützung lag 2025 auf der Etablierung einer umfassenden KI- Governance-Strukturen gelegt. Die ITSV GmbH hat sich das Ziel gesetzt, einen innovativen Rahmen für KI-Governance zu schaffen, der die Bedürfnisse der modernen Tech-Branche berücksichtigt. Dieser Rahmen umfasst klare Richtlinien für die Datennutzung, der ethischen Entwicklung und Anwendung von KI-Systemen sowie einer nachhaltigen Entscheidungsfindung. Um sicherzustellen, dass KI-Systeme transparent und verantwortungsbewusst entwickelt werden, wurde auf eine robuste Daten-Governance eingeführt.

Um Risiken zu erkennen und zu mindern, hat die ITSV GmbH einen proaktiven Ansatz zur Identifizierung und Bewertung potenzieller Risiken. Diese Strukturen bilden die Grundlage für eine künftige Erweiterung des Risikomanagementsysteme um ein spezifisches KI Risikomanagement und IKS.

Als wesentlicher Meilenstein ist für 2026 die allgemeine Bereitstellung von sicherer, lokal betriebener KI-Lösungen geplant, die auch für die Verarbeitung kritischer Daten der SK2 und 3 geeignet ist. Hier finden unter intensiver Einbindung von Compliance intensive Tests und Vorbereitungen statt, um neben dem Einsatz zur allgemeinen Arbeitsunterstützung auch für spezifische Aufgaben optimierte KI- Lösungen zu entwickeln. Besonders wichtig ist der intensive Erfahrungsaustausch und Wissensaufbau, welcher 2026 strukturiert vorangetrieben werden soll.

Es müssen hier Anpassungsmöglichkeiten der Modelle bzw. KI-Umgebung (RAG-Systeme, Guardrails, Systemprompts etc.) evaluiert werden, um funktionale Ziele zu erreichen aber auch um einen sicheren Betrieb in vielerlei Hinsicht zu ermöglichen. Auch die Fragestellungen der DSGVO werden dabei berücksichtigt. KI-spezifische Angriffsvektoren müssen spezifisch beachtet werden und mehrfache Stufen der Absicherung das Risiko der Nutzung auf ein akzeptables Niveau senken. Stufe 1 ist dabei Ausbildung und Awareness, Stufe 2 technische Systemabsicherungen und Stufe 3 die Möglichkeit der Missbrauchsüberprüfung.

Die AI-Technologien haben sehr hohe Auswirkungen auf die CMS Risikofelder Immaterialgüterrecht, Datenschutz sowie allgemeine Sorgfaltspflichten und Haftungsfragen. In spezifischen Anwendungsfällen ist auch das Thema der Diskriminierungsfreiheit wesentlich. Nur bei enger Verzahnung der rechtlichen und technischen Prüfungen werden untersuchte KI-Services umfassend hinsichtlich ihrer Sicherheit beurteilt werden können.

Das AI Competence Center of Excellence (AICoE als Expertenrunde) nutzt die ausführliche und an den gesetzlichen Vorgaben orientierte Prüfstruktur und identifiziert Maßnahmen, die zur Nutzung von Software oder Services mit AI technisch und rechtlich absichern sollen.

Die Prüfstruktur erlaubt dabei eine Klassifizierung von Systemen gemäß AIA und eine Prüfung der diversen spezifischen Themenstellungen wie Sicherheit, Stabilität, Verlässlichkeit, Transparenz, Diskriminierung und Bias, Copyright und Trainingsdaten, Entwicklung und Weiterentwicklung, Dokumentations- und Hinweispflichten zu adressieren. Ziel ist es, eine umfassende Compliance Kontrolle über AI sicherzustellen, indem Service- und Produktverantwortliche spezifische Vorgaben des AICoE zum Betrieb von Services umsetzen, dies systematisch über das AICoE verifiziert wird und dieser Prüfschritt wiederum durch eine Schlüsselkontrolle des Risikomanagements abgesichert wird.

Die stetigen Anforderungen aus der Gesetzgebung und deren Auswirkungen auf das Unternehmen waren im Jahr 2025 von großer Bedeutung und der Ausblick lässt darauf schließen, dass sich die Anforderungen auch in Zukunft komplex und anfordernd gestalten werden. Zu nennen sind hier insbesondere die im Laufe des Jahres 2026 weiterzuführenden Umsetzungsmaßnahmen zur NIS-2, ESG-Nachhaltigkeitsberichterstattung, EU AI Act (AIA), CRA (Cyber Resiliance Act), Informationsfreiheitsgesetz, Lieferkettengesetz.

Der Bereich ReSi ist auch im „Cloud Centers of Excellence“ der ITSV GmbH mit mehreren Expert:innen beteiligt und lieferte Input aus Informationssicherheits-, Datenschutz- und Risikomanagement-Sicht ein. 2025 wurde eine Vielzahl von Cloud Anwendungen hinsichtlich ihrer Compliance geprüft und auch mit dem Monitoring und Re-Audit der bestehenden Services begonnen. Die allgemeine Awareness rund um Compliance wurde mit verschiedenen Methoden gefördert: Neben e-Learnings zu Datenschutz/Arbeitsrecht/Compliance wurde das face-to-face Schulungsformat für Compliance wieder aufgenommen und mehrere Termine für neue sowie noch nicht geschulte Mitarbeitende abgehalten.

Anfang 2025 wurde mit der Umsetzung eines weiteren Projekts zur Effizienz und Awareness- Verbesserung gestartet. Relevante Information werden dabei in einem AI Sprachmodell abfragbar und damit ein einfacher und schneller Informationszugriff ermöglicht. Dieses System wird 2026 für einen lokalen Betrieb angepasst und für weitere Informationsbereiche bereitgestellt. Dieses System eignet sich sehr gut für Informationsrecherche mittels KI ohne kreative generative Elemente.

Ein Whistleblowing-System ist entsprechend der internen Sicherheitsbestimmungen und des Hinweisgeber:innenschutzgesetzes seit Beginn 2022 in Betrieb. 2025 wurde eine Meldung über die Whistleblowing-Hotline abgegeben. Diese Meldung wurde als allgemeiner Hinweis behandelt, da sie keinen nach der BV Whistleblowing abgedeckten Sachverhalt betroffen hat.

Seit der Einführung bzw. Etablierung eines neuen Prozessmanagementwerkzeugs durch die Bereiche KUOM (Kunden und Produktmanagement) und GSUU (Gesundheitswesen Steuerung und Umsetzung) können künftig die modellierten Prozesse – soweit sie noch nicht tool-gestützt sind – einfach zu einem automatisiert ablaufenden Workflow digitalisiert werden. Dies verbessert die Effizienz der automatisierten Prozesse durch Vermeidung von menschlichen Fehlern im Ablauf und erhöht die Transparenz der derzeit rein organisatorisch (im Rahmen der Prozesslandkarte und ergänzenden Dienstanweisungen/Informationsblättern) implementierten Abläufe. Mit jeder weiteren Etablierung von automatisierten Workflows sollen die Mitarbeitenden keine Dienstanweisungen, Informationsblätter, und Schulungen für diese Prozesse bzw. Abläufe mehr absolvieren müssen. Stattdessen wird durch einen zentral in der Mitarbeitenden-Mappe und an anderen Stellen im Intranet platzierten Link auf den Workflow verwiesen werden. Dies steigert die Nutzerwahrnehmung und die Usability deutlich. Ergänzend fällt auch Aufwand für die Fachabteilungen Awareness-Maßnahmen weg, entsprechende Dienstanweisungen und Informationsblätter für die Mitarbeitenden ständig aktualisieren zu müssen.

Nach der erfolgreichen Umstellung des Prozessmanagementwerkzeugs auf eine moderne Toollandschaft, konnte 2025 der Managementprozess „Compliance-Vorgaben umsetzen“ (ursprünglich „Compliance managen“) erfolgreich in die ITSV Prozesslandkarte aufgenommen werden. Der bereits 2024 konzipierte CMS-Ablauf für den Antrag und die Freigabe von Nebenbeschäftigungen konnte bereits 2025 im Prozessmanagementtool abgebildet werden und muss nur noch freigeschalten werden.

Nach erfolgreicher Freischaltung der Automatisierung der Nebenbeschäftigungsmeldepflichten werden 2026 laufend weitere Abläufe im CMS-Prozess evaluiert und eine Automatisierung konzipiert.

In den CMS-Rechtsbereichen Bestellwesen und Vergaberecht wurden wesentliche Maßnahmen vorangetrieben, um insbesondere die Abläufe und die Datenbasis in den eingesetzten Systemen zu verbessern. Lieferantenmanagement-, Vertragsmanagement- und Lizenzmanagementsysteme wurden weiterentwickelt und das Anforderungsmanagement mit der umfassenden Einführung des Vorhabenskonzepts bei Beschaffungen transparent gemacht.

Das Open Source Management hat den Clearing-Prozess für Open Source Lizenzen 2025 für alle neu entdeckten Lizenztypen durchgeführt und diese entsprechend klassifiziert.

Die Lizenzen der wesentlichen Open Source KI Modelle, eigentlich also „Open Weights Modelle“, sind grundlegend geprüft, müssen aber jeweils gegenüber dem jeweiligen Use Case verifiziert werden. Dies erfolgt durch das AICoE.

Im CMS-Arbeitsrechtsbereich wurde nunmehr mit der Nachdokumentation der zahlreich im Bereich Arbeitsrecht eingerichteten risikoreduzierenden Maßnahmen und Kontrollen, begonnen. 2025 wurde das Impfangebot in Zusammenarbeit mit dem Betriebsrat wieder eingeführt, sodass die aus der Fürsorgepflicht im Zusammenhang mit der Tätigkeit der Mitarbeitenden in Gesundheitszentren und Spitälern bestehenden Pflichtvorgaben nachgekommen werden konnte. Dieses (für die Mitarbeitenden freiwillig nutzbare) Impfangebot wird zur Effizienzsteigerung (Verminderung von krankheitsbedingten Abwesenheiten) um Standardimpfangebote (Grippe, Corona, FSME) ergänzt. Eine vollständige Überarbeitung BV Arbeitszeit CuCC und die BV Teilzeit wurde mit anwaltlicher Unterstützung ausgearbeitet und wird 2026 umgesetzt. Die BV Telearbeit wird laufend adaptiert. Parallel wurden bevorstehende gesetzliche Änderungen, wie die Umsetzung der EU-Lohntransparenzrichtlinie und deren Auswirkungen auf die ITSV GmbH analysiert und Vorarbeiten für deren Umsetzung durchgeführt. Neben der laufend aufgrund neuer Judikatur und Gesetzesnovellen überarbeiteten Mustervorlagen/Vertragsvorlagen für den Bereich Personal, wurde der gesetzlich erforderliche Barrierefreiheitsbeauftragte bestellt. Die ÖGK wurde in der Umsetzung der BV AZ der ÖGK für die Überlassenen MA unterstützt.

Daneben wurden im Rahmen des CMS erneut 24 Arbeitsrecht-, und 14 Gesellschaftsrecht- Schlüsselkontrollen wahrgenommen, um relevante Schadensfälle bei der ITSV GmbH hinzuhalten und den gesetzlichen Anforderungen zu entsprechen. Darunter befinden sich beispielsweise Schlüsselkontrollen zur Einhaltung der Meldepflichten an den Rechnungshof, der Statistik-Austria, dem Register der wirtschaftlichen Eigentümer, Medienkooperationsmeldungen, Qualitätssicherung des Firmenbuchstandes, oder (Neu)-bestellung bzw. geschlechterspezifische Zusammensetzung des Aufsichtsrates. Eine Nichteinhaltung dieser Verpflichtungen würde zu Strafzahlungen führen.

Im CMS-Rechtsbereich Datenschutz wurden seitens der Datenschutzbeauftragten regelmäßige Schlüsselkontrollen durchgeführt, um die datenschutzrechtlichen Risiken zu minimieren. Im Rahmen der Schlüsselkontrolle „Monatliche Prüfung der Beschaffung im Hinblick auf die DSGVO-Relevanz“ wurden aus jedem Monat fünf DSGVO-relevante Bestellungen stichprobenartig geprüft. Im Rahmen der Schlüsselkontrolle „Mitarbeiteraustritte“ werden quartalsweise fünf ausgetretene Mitarbeitende ausgesucht und geprüft, ob die datenschutzrelevanten Maßnahmen beim Austritt durchgeführt wurden. Im Rahmen der Schlüsselkontrolle „DS-Verpflichtungserklärung von externen Mitarbeitern“ werden quartalsweise stichprobenartig 15 externe Mitarbeitende ausgesucht und geprüft, ob für diese eine unterschriebene DS-Verpflichtungserklärung vorhanden ist. Im Rahmen der Schlüsselkontrolle „DSGVO e-Learning“ wird quartalsweise geprüft, ob alle neueingetretenen Mitarbeitenden den DSGVO e-Learning Kurs fristgerecht absolviert haben. Im Rahmen der Schlüsselkontrolle „Wiederholung der DSGVO e-Learning Schulung nach drei Jahren“ wird quartalsweise geprüft, ob alle Mitarbeitenden deren Zertifikat älter als drei Jahre ist, das e-Learning wiederholt haben. Bei allen stichprobenartig geprüften Schlüsselkontrollen sind keine Schwachstellen aufgetreten. Die 2025 eingelangten Betroffenenersuchen wurden im Rahmen der vorgeschriebenen Fristen abgewickelt, sowie zahlreiche Applikationsbeschreibungen aus DS-Sicht bearbeitet.

Das Projekt ÖGK-Projekt SV-Direkt wurde erfolgreich abgeschlossen. Da durch eine Novellierung des Gesundheitstelematikgesetzes Gesundheitsdaten nicht mehr per Fax übermitteln dürfen, wird von der BVAEB SV-Direkt nunmehr auch für die Übermittlung von Gesundheitsdaten zwischen Träger und Gesundheitsdienstanbietern verwendet.

Informationssicherheitsmanagementsystem (ISMS)

2025 blieb die Cybersicherheitslage für die ITSV GmbH (wie bereits in den Vorjahren) anspruchsvoll und dynamisch. Die Bedrohung durch Cyberangriffe auf öffentliche Einrichtungen und insbesondere auf kritische Infrastrukturen war weiterhin hoch. Die ITSV GmbH setzt daher ihren konsequenten Kurs fort, Sicherheitsmaßnahmen laufend zu stärken und die organisatorische wie technische Resilienz weiter auszubauen. Die fortschreitende Digitalisierung und zunehmende Vernetzung führten 2025 zu weiterwachsenden Angriffsflächen. Dies machte eine kontinuierliche Weiterentwicklung und Anpassung der Sicherheitsstrategie notwendig.

Die Ablösung der NIS-1-Richtlinie durch die NIS-2-Richtlinie vom 14. Dezember 2022 hat auch 2025 weiterhin maßgeblichen Einfluss auf die Sicherheitsanforderungen. Die Umsetzung der Richtlinie in österreichisches Recht verzögerte sich. Der Gesetzesentwurf zum „NIS-Gesetz 2024“ wurde am 3. Juli 2024 im Nationalrat abgelehnt. Infolge dieser Verzögerung tritt das neue Gesetz mit 01.10.2026 in Kraft. Im Oktober 2025 wurden das turnusmäßige Überwachungsaudit gemäß den Anforderungen der ISO 27001, sowie der ISO 27701 durch eine akkreditierte Prüfgesellschaft durchgeführt. Im Rahmen des Audits wurden sowohl die Wirksamkeit des bestehenden Informationssicherheits-Managementsystems (ISMS) als auch die Leistungsfähigkeit des Datenschutz-Managementsystems umfassend bewertet.

Zur Sicherstellung der Informationssicherheit und des Datenschutzes wurden im Rahmen des ISMS (Information Security Management System) folgende Aktivitäten durchgeführt:

   Bewertung und Analyse von Cloud Services: 2025 wurden datenschutzrechtliche und informationssicherheitstechnische Anforderungen bewertet und 59 verschiedene Cloud Services eingehend behandelt. Der Bereich ReSi war im „Cloud Centers of Excellence“ der ITSV GmbH neben den Bereichen Informationssicherheit und Datenschutzsicht auch mit den Bereichen Arbeitsrecht und Risikomanagement tätig. Systemarchitektur und Prozesse: 27 Systemarchitekturkonzepte und vier Prozesse wurden analysiert, sowie acht Applikationsbeschreibungen geprüft. Awareness-Maßnahmen: 15 Maßnahmen zur Sensibilisierung wurden umgesetzt, um das Bewusstsein für Informationssicherheit zu stärken.  Wirksamkeitsprüfungen: 45 unterschiedliche Prüfungen wurden durchgeführt, um die Einhaltung der Dienstanweisungen zu verifizieren.  ISMS-Maßnahmen: Über 46 neue Maßnahmen wurden implementiert, um Abweichungen zu beseitigen und das Sicherheitsniveau zu erhöhen.  Qualitätssicherung von Dienstanweisungen: Zwölf unterschiedliche Dienstanweisungen zum Thema Informationssicherheit werden laufend qualitätsgesichert und eine neue Dienstanweisung zum Thema Cloud Sicherheit wurde erarbeitet.

Im Bereich befindet sich auch das Security Operating Center (SOC) der ITSV GmbH. Dieses überwacht die ITSV GmbH Infrastruktur sowohl extern als auch intern regelmäßig und automatisiert auf Schwachstellen. Das Security Information und Event Management System (SIEM) wird kontinuierlich weiterentwickelt. Bisher wurden 228 Anwendungsfälle implementiert und durchschnittlich 324 Analysen pro Monat durchgeführt. Die Ergebnisse werden monatlich in einem Bericht an den CISO der ITSV GmbH, den DVSV und den Kunden SVC übermittelt. Mit der Defender for Endpoint Infrastruktur überwacht das SOC über 16.400 Systeme sowie etwa 45.000 On-Premise Identitäten der ITSV GmbH, des DVSV und der ÖGK. Im Durchschnitt werden monatlich 154 Sicherheitsereignisse generiert, analysiert und entsprechend an die zuständigen Stellen weitergeleitet.

Mitarbeiter:innen des Bereiches unterstützten 2025 den DVSV beim Ausbau der Umsetzung der SV- Sicherheitsrichtlinien, im Krisenmanagement, bei der Koordination der CISO Community (C2), in Belangen des Datenschutzes sowie bei der Durchführung der SV-CERT Aufgaben des DVSV. Mitarbeiter:innen der ITSV GmbH haben in diesem Zusammenhang an sämtlichen Arbeitsgruppen der CISO Community (C2) aktiv teilgenommen.

Das jährliche IT-Audit der Wirtschaftsprüfer im Rahmen der Jahresabschlussprüfung 2025 der ITSV GmbH wurde/wird durch das Team Corporate Governance, im Bereich Recht und Sicherheit koordiniert. Im Weiteren wurde/wird der die ITSV GmbH betreffende Teil der Jahresabschlussprüfungen 2025 der SVS, BVAEB, PVA und ÖGK koordiniert und bedient. Ergänzend wurde das vom Aufsichtsrat beauftragte ISAE 3402 Typ 2 Audit im November 2025 durchgeführt.

2.594 Verdachtsmeldungen (vorrangig E-Mails) wurden vom (in der ITSV GmbH organisatorisch etablierten und im Auftrag des DVSV tätigem) SV-CERT-Team analysiert. Insgesamt wurden acht potenzielle Sicherheitsvorfälle im Zuge von forensischen Analysen analysiert und dokumentiert. Durch etablierte Prozesse und die unmittelbare Reaktion konnte Schaden für die ITSV GmbH abgewendet werden. Das SV-CERT hat im Jahr 2025 122 Infomeldungen, 90 Vorwarnstufen und 47 Warnmeldungen an die entsprechenden Kontakte der jeweiligen SV-Organisationen ausgesendet. Dabei wurden insgesamt 10.387 Medienartikel analysiert. Weiters wurden im Zuge von Penetrationstests sieben Netze der SV-Organisationen und 23 Produkte überprüft. Zusätzlich fand 2025 wieder ein eintägiger SV- CERT-Workshop als hybride Veranstaltung statt. Ereignisse und Entwicklungen des vergangenen Jahres sowie aktuelle und zukünftige Themen rund um das SV-CERT und die Zusammenarbeit mit den SV-Organisationen wurden präsentiert.

Das Business Continuity Management (BCM) wird nach einem einheitlichen Prozess geführt und vom definierten Business Continuity Manager koordiniert. Notfallpläne wurden aktualisiert und die Mitglieder des Krisenstabes einheitlich geschult. 2025 wurden 13 Notfallszenarien bearbeitet. Um einen jederzeitigen Zugriff auf die aktuellen BCM-Dokumente zu gewährleisten und die Kommunikation der Stabstellenfunktionen untereinander zu verbessern, wurde ein MS-Teams Kanal eingerichtet und im Rahmen einer Kommunikationsübung getestet. An der SV-Krisenübung 2025 wurde bereits unter Nutzung der neuen Kommunikationsinfrastruktur teilgenommen.

Internes Kontrollsystem (IKS)

2025 wurde laufend an der Weiterentwicklung und formalisierten Darstellung des IKS gearbeitet. Durch eine personelle Aufstockung im Team Corporate Governance im Q1/2025 konnte die Erfassung und Dokumentation der operativen Kontrollen fortgeführt werden. Durch eine Personaländerung im Q4/2025 mussten jedoch die Anstrengungen im Bereich IKS wieder reduziert werden. Folgende Maßnahmen sind für das Wirtschaftsjahr 2026 sowie laufend geplant:

       Erfassung (Dokumentation) der operativen Kontrollen und Schlüsselkontrollen für die bestehenden ITSV-Prozesse Identifikation und Abstimmung von fehlenden operativen Kontrollen und Schlüsselkontrollen mit den zuständigen Bereichen Regelmäßige Überprüfung der Kontrollen auf ihre Aktualität Regelmäßige Überprüfung der Richtlinien und Vorgaben in Bezug auf das IKS Schulung neuer Mitarbeiter:innen bzw. Ausarbeitung und laufende Qualitätssicherung von speziellen Schulungsunterlagen im Zusammenhang mit IKS Überwachung der Wirksamkeit des IKS Aufbau und Führung eines zielgruppenorientierten Reportings aus dem IKS Zweigniederlassungen

2.

Zweigniederlassungen bestehen nicht.

3. Forschung und Entwicklung

Die IT-Services der Sozialversicherung GmbH hat keinen Bereich Forschung und Entwicklung.

4.

Finanzinstrumente und Risiken

Das Unternehmen verwendet keine derivativen Finanzinstrumente. Die in der Bilanz ausgewiesenen originären Finanzinstrumente sind Gegenstand des allgemeinen Risikomanagements des Unternehmens, welches in den Buchhaltungs- und Bilanzierungsmethoden seinen Niederschlag findet. Außer den bereits im Jahresabschluss adressierten Risiken bestehen keine weiteren Ausfalls-, Liquiditäts- und Cashflow-Risiken. Es besteht kein Währungs- und Zinsrisiko.

5. Voraussichtliche Entwicklung der ITSV GmbH

Die ITSV GmbH ist Osterreichs wegweisende e-Health Gestalterin und treibende Kraft der digitalen Sozialversicherung und wird ihre Rolle durch Entwicklung von state-of-the-art Lösungen und Produkten für ihre Kund:innen kontinuierlich weiter ausbauen. An ganzheitlichen Konzepten zur Effizienzsteigerung sowie an der Umsetzung gesetzlicher Vorgaben wird weiterhin gearbeitet.

Die Digitalisierung des Gesundheitswesens soll aufgrund strategischer Planungen im e-Health-Bereich (siehe aktuelles Regierungsprogramm, österreichische e-Health-Strategie, strategische SV- Programme) weiter forciert werden. Das bietet der ITSV GmbH optimale Rahmenbedingungen, um die Entwicklung von zukunftsorientierten Lösungen maßgeblich voranzutreiben, etwa im Bereich des Digitalisierungsprogramms „OGK 2030", des FIT-Programms, der trägerspezifischen mobilen Apps (z.B. Einführung weiterer Funktionalitäten wie der digitalen e-Card) sowie im Bereich von weiterführenden technischen Innovationen (z.B. Al, Cloud-Services).

Aufgrund der Vielzahl dieser Vorhaben wird 2026 von unterjährigen Zusatzaufträgen ausgegangen und somit von einem tendenziell leicht erhöhten Ergebnis im Gegensatz zu 2025.

Wien, am 12. Mai 2026

Die Geschäftsführer:

Erwin Fleischhacker

h

Hubert Wackerle