IT-Sicherheitsrecht & Cyberresilienz: NIS2, Cyber Resilience Act und die Verantwortung der Geschäftsleitung

Cyberresilienz ist die Fähigkeit eines Unternehmens, Cyberangriffe zu verhindern, ihnen standzuhalten, den Betrieb schnell wiederherzustellen und aus Vorfällen zu lernen. Rechtlich wird sie über das BSI-Gesetz in der Fassung des NIS2UmsuCG, den Cyber Resilience Act (Verordnung (EU) 2024/2847) und die Sorgfaltspflichten der Geschäftsleitung verbindlich.

NIS-2 erfasst mittlere und große Unternehmen in 18 als besonders wichtig oder wichtig eingestuften Sektoren — von Energie, Verkehr und Gesundheit über digitale Infrastruktur und IT-Dienstleister bis zu Lebensmitteln, Chemie und verarbeitendem Gewerbe. Als Schwellenwerte gelten in der Regel 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme. Auch wer nicht direkt betroffen ist, kann über Lieferketten mittelbar in die Pflicht genommen werden. Wir prüfen Ihre konkrete Betroffenheit rechtssicher und dokumentieren das Ergebnis nachvollziehbar.

Bei besonders wichtigen Einrichtungen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, bei wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 %. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und kann für Versäumnisse persönlich haften. Neben den finanziellen Sanktionen drohen aufsichtsrechtliche Anordnungen und erhebliche Reputationsschäden.

ISO 27001 ist ein international anerkannter Standard für Informationssicherheits-Managementsysteme. TISAX baut auf diesen Prinzipien auf, ist aber der branchenspezifische Prüf- und Austauschmechanismus der Automobilindustrie und wird häufig vertraglich von Herstellern und Zulieferern verlangt. Rechtlich betrachtet ist TISAX regelmäßig eine vertragliche Voraussetzung für die Zusammenarbeit, während ISO 27001 eine freiwillige, allgemeine Zertifizierung ist. In der Praxis lassen sich beide Ansätze gut miteinander verzahnen — wir sorgen dafür, dass die vertraglichen und regulatorischen Anforderungen zusammenpassen.

Sichern Sie zunächst Beweise und dokumentieren Sie den Vorfall, isolieren Sie betroffene Systeme und aktivieren Sie Ihren Notfallplan. Parallel sind die rechtlichen Meldepflichten zu prüfen: Nach § 32 BSIG gilt eine Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung nach einem Monat, bei Betroffenheit personenbezogener Daten zusätzlich die 72-Stunden-Frist der DSGVO. Frühzeitige rechtliche Begleitung hilft, Haftungsrisiken zu begrenzen, Fristen einzuhalten und die Kommunikation mit Behörden, Betroffenen und ggf. Angreifern professionell zu steuern.