NIS2 & DORA: Führungskräfte haften für Cybersicherheit

Einführung

Die Haftung von Führungskräften im Zusammenhang mit unentdeckten Cybersicherheitsvorfällen in Europa unterliegt unterschiedlichen rechtlichen Rahmen frameworks, die je nach Land und Branche variieren können. NIS2 (Richtlinie über Netz- und Informationssicherheit 2) und DORA (Gesetz über digitale Operative Resilienz ) sollen nun die spezifischen Rechts framework en und Vorschriften auf europäischer Ebene vereinheitlichen und neue Leitlinien für das Management von Cyberrisiken in Unternehmen, die Meldung von Angriffen, aber auch für die Haftung von Führungskräften im Falle von Cybersicherheitsverletzungen vorgeben.

Die Richtlinie „ NIS2 “ muss noch in die jeweiligen Rechtsvorschriften der verschiedenen EU-Mitgliedstaaten umgesetzt werden, wobei für jeden Mitgliedstaat eine andere Frist gilt, damit sie für die betroffenen Unternehmen rechtsverbindlich wird.

Im Gegensatz zu NIS2 handelt es sich bei DORA um eine EU-Verordnung, die als solche nicht in das nationale Recht der EU-Mitgliedstaaten umgesetzt werden muss, um rechtswirksam zu werden. Sie trat am 17. Januar 2025, zwei Jahre nach ihrem Inkrafttreten, vollständig in Kraft.

Gemäß beiden Richtlinien können Manager und Führungskräfte für Verstöße gegen die Cybersicherheit zur Verantwortung gezogen werden, wenn festgestellt wird, dass sie es versäumt haben, angemessene Maßnahmen zur Verhinderung oder Eindämmung solcher Vorfälle zu ergreifen oder geeignete Cybersicherheitsrichtlinien undrisikobasierte Programme zur Bewältigung von Schwachstellen in Netzwerken, Ressourcen und assets umzusetzen. Der Umfang der Haftung hängt von Faktoren wie der Art und Schwere des Verstoßes, der Branche und der jeweiligen Rechtsordnung ab.

Verpflichtungen und Haftung der Geschäftsführung, die sich ergeben aus NIS2

Künftig fallen Unternehmen in verschiedenen neuen Branchen – die nun durch NIS2 erweitert wurden – unabhängig von ihrer Größe unter die „ Umfang “ von NIS2, darunter beispielsweise Transport, Finanzmarktinfrastruktur, Pharmazeutika und Medizintechnik, Chemie, öffentliche Verwaltung und viele weitere. Die Erweiterung von Umfang ist darauf zurückzuführen, dass NIS2 Unternehmen danach klassifiziert, ob sie „systemrelevant“ (z. B. Energie, Transport, Bankwesen und Gesundheitswesen) oder „wichtig“ (z. B. Post- und Kurierdienste, Abfallwirtschaft usw.) eingestuft, wodurch mehr Branchen und Dienstleistungen erfasst werden.

Was die Haftung von Führungskräften für unentdeckte Cybersicherheitsvorfälle betrifft, können Führungskräfte rechtlich zur Verantwortung gezogen werden, wenn nachgewiesen wird, dass sie ihre Sorgfaltspflicht in Bezug auf die Cybersicherheit ihres Unternehmens verletzt haben. Dies kann beispielsweise durch eine unzureichende Umsetzung von Sicherheitsmaßnahmen, eine unzureichende Risikobewertung oder das Fehlen von Notfallplänen geschehen: NIS2 verlangt von der Unternehmensleitung, das Cybersicherheits-Risikomanagement ständig zu überprüfen und gegebenenfalls anzupassen sowie dessen Umsetzung und die internen Abläufe zu überwachen compliance.

Dies setzt voraus, dass die Unternehmensleitung sich ausreichende Kenntnisse über Cyberrisiken aneignet, um die vorgeschlagenen Maßnahmen zu bewerten und vor allem das Schadenspotenzial – auch über die eigenen Unternehmensgrenzen hinaus – genau einzuschätzen. Eine ständige und enge Kommunikation mit den Teams der „ IT “ ist in diesem Zusammenhang von entscheidender Bedeutung, zumal sich Cyberrisiken ständig verändern und Anpassungen im Cybersicherheits-Risikomanagement erfordern.

Abstimmung zwischen der Geschäftsleitung und IT

Dabei sind zwei wesentliche Verpflichtungen der Verwaltung zu beachten:

1. Zum einen sind betriebliche und organisatorische Maßnahmen zum Management von Sicherheitsrisiken im Zusammenhang mit Netz- und Informationssystemen sowie Präventionsmaßnahmen zur Minimierung möglicher Auswirkungen erforderlich.

2. Zweitens müssen die zuständigen Behörden unverzüglich über jede Daten Vorfall in informiert werden, die den Betrieb des Unternehmens oder die erbrachten Dienstleistungen erheblich beeinträchtigt. Gegebenenfalls müssen die Institutionen auch die Dienstleistungsempfänger über jedes wesentliche Ereignis informieren, das sich negativ auf die Erbringung der (kritischen) Dienstleistung auswirken könnte.

Strenge Sanktionen

Die Richtlinie „ NIS2 “ schreibt vor, dass Netzwerk- und Informationssysteme sowie deren physische Umgebung vor Vorfällen geschützt werden müssen. Unternehmen müssen mindestens interne Richtlinien zur Risikoanalyse und zur Sicherheit von „IT “ festlegen, z. B. zum Umgang mit „ Vorfall “, zur Notfallwiederherstellung, zur Sicherheit von „Lieferkette “, zu Netzwerk- und Informationssystemen im Beschaffungswesen, zu Zugriffskontrollen und zum Zugriffsmanagement usw.

Verstöße gegen die Anforderungen der Verordnung zur Sicherheit von Netz- und Informationssystemen ( NIS2 ) führen zu nationalen Strafen, Geldbußen und Sanktionen gemäß den Artikeln 34, 35 und 36. In kritischen Sektoren können die Strafen für Verstöße gegen Artikel 21 oder 23 (in Bezug auf Cybersicherheitsmaßnahmen und Meldungen) bis zu einem Höchstbetrag von mindestens 10 Millionen Euro oder 2 % des weltweiten Umsatzes betragen. Für wichtige Sektoren können die Strafen für Verstöße gegen Artikel 21 oder 23 bis zu einem Höchstbetrag von mindestens 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes betragen.

Die Richtlinie „ NIS2 “ führt zudem eine bedeutende Neuerung ein, indem sie den „Leitungsgremien“ direkte Verpflichtungen auferlegt, um ein hohes Maß an Rechenschaftspflicht hinsichtlich der Einhaltung der Cybersicherheitsanforderungen ( compliance ) zu gewährleisten. Obwohl in der Richtlinie „ NIS2 “ nicht eindeutig definiert ist, wer als Mitglied eines „Leitungsgremiums“ gilt, fallen Vorstandsmitglieder und bestimmte Führungskräfte wahrscheinlich unter deren Geltungsbereich ( Umfang).

Warum Manager für „ NIS2 “ haftbar sind: im Detail

Die Leitungsgremien wesentlicher und bedeutender Unternehmen müssen die Umsetzung der gemäß dem Gesetz zur Bekämpfung von Cyber Vorfall en ( NIS2 ) vorgeschriebenen Maßnahmen zum Cybersicherheitsrisikomanagement genehmigen und überwachen und können persönlich haftbar gemacht werden, wenn das Unternehmen diese Maßnahmen nicht einführt und einhält. Wesentliche und bedeutende Unternehmen sind verpflichtet, die zuständige Behörde zu benachrichtigen und gegebenenfalls ihre Dienstleistungsempfänger über jeden Cyber mit erheblichen Auswirkungen zu informieren.

Es handelt sich hierbei um Vorfälle, die der „ Entität “ erhebliche betriebliche Störungen oder finanzielle Verluste verursacht haben oder verursachen könnten oder die anderen (natürlichen oder juristischen) Personen erheblichen materiellen oder immateriellen Schaden zugefügt haben oder zufügen könnten.

Die Fristen für die Meldung von Vorfällen umfassen eine „ Frühwarnung “, die innerhalb von 24 Stunden nach Bekanntwerden des Vorfalls bei der zuständigen Behörde eingereicht werden muss ( Vorfall), einen detaillierteren und formelleren „ Vorfall “-Bericht innerhalb von 72 Stunden sowie einen Abschlussbericht einen Monat nach Einreichung des genannten „ Vorfall “-Berichts.

Darüber hinaus müssen die Einrichtungen auf Aufforderungen der Behörde reagieren, Statusaktualisierungen zu übermitteln und/oder Fortschrittsberichte vorzulegen. Die zuständige Behörde kann die Einrichtung zudem dazu verpflichten, die Öffentlichkeit über die wesentlichen Vorfall zu informieren oder eine öffentliche Erklärung dazu abzugeben.

Infolgedessen können Führungskräfte wie der Vorstandsvorsitzende für Verstöße gegen Cybersicherheitsvorschriften persönlich haftbar gemacht werden, wodurch sie erheblichen potenziellen Sanktionen ausgesetzt sind. Obwohl solche Sanktionen den Vorschriften der einzelnen EU-Mitgliedstaaten unterliegen, sieht die Verordnung ( NIS2 ) vor, dass sie „wirksam, verhältnismäßig und abschreckend“ sein müssen. Eine mögliche Sanktion könnte sogar der Ausschluss aus dem Vorstand sein.

DORA

Branchenspezifische Cybersicherheitsvorschriften für die Branche „ Finanzdienstleistungen “:

Ähnlich wie NIS2 zielt DORA darauf ab, einen hohen gemeinsamen Standard für digitale Resilienz zu schaffen, indem einheitliche Kriterien für die Sicherheit von Netzwerken und Informationssystemen festgelegt werden. Dazu gehören Aspekte wie die Einrichtung eines Risikomanagement- framework , das „ein wirksames und umsichtiges Management der sich rasch entwickelnden Bedrohung Umgebung gewährleistet“, die Meldung wesentlicher ICT-bezogener Vorfälle, nennenswerter Betriebs- oder Sicherheitsvorfälle im Zusammenhang mit Zahlungen, Tests zur digitalen Operative Resilienz sowie Bestimmungen für vertragliche Vereinbarungen zwischen Drittanbieter ICT Anbietern und Finanzinstituten.

Insbesondere legt die „ DORA “ auch Anforderungen an Anbieter von „ Drittanbieter “ fest, die beispielsweise „ cloud “-Dienste für Finanzinstitute anbieten.

Zwar wird in „ DORA “ nicht ausdrücklich festgelegt, inwiefern die Geschäftsleitung gemäß den Vorschriften haftet, doch liegt die Verantwortung für die Umsetzung eines standardisierten Risikomanagement framework s sowie für die Einrichtung von Prozessen zur Erkennung, Bearbeitung und Meldung von Vorfällen oder für Audits durch Dritte bei der Geschäftsleitung.

Die „ Umfang “ ( DORA ) wird von den Behörden durch die namentliche Nennung von Unternehmen und verantwortlichen Personen überwacht, gegen die im Falle von Verstößen Sanktionen verhängt werden. Die Überwachung dieser Maßnahmen soll durch die Aufsichtsbehörden erfolgen und durch Maßnahmen wie die öffentliche Nennung von Unternehmen und gegebenenfalls der verantwortlichen Personen durchgesetzt werden.

Wie kann ich mich und mein Unternehmen vor Sanktionen schützen? Welche Schritte sollte ich unternehmen?

• Unternehmen müssen unbedingt jetzt prüfen, ob sie in den Geltungsbereich der Richtlinie „ Umfang “ ( NIS2 ) oder der Verordnung „ DORA “ fallen. Ist dies der Fall, sollten sie durch die Umsetzung vereinbarter Cybersicherheitsmaßnahmen sicherstellen, dass sie die Anforderungen der Richtlinien erfüllen ( compliance ).
• Machen Sie sich mit den für Sie geltenden Anforderungen vertraut und nehmen Sie eine Analyse der aktuellen Situation vor.
• Ernennung eines Cybersicherheitsbeauftragten auf Managementebene. Da die Geschäftsleitung im Falle einer Inspektion die Verantwortung trägt, ist es entscheidend, diese Verantwortung auf dieser Ebene zu übertragen.
• Verfolgen Sie einen strukturierten Ansatz beim Risikomanagement. Dazu gehört die systematische Behandlung von Themen wie Geschäftskontinuität, Krisenmanagement und Lieferkette Sicherheit. Entwickeln Sie Richtlinien und Verfahren für Maßnahmen zum Cybersicherheits-Risikomanagement.
• Richten Sie ein gut strukturiertes Managementsystem für „ Vorfall “ ein, um sicherzustellen, dass Sie die Anforderungen hinsichtlich der Erkennung, der Einleitung geeigneter Maßnahmen und der Meldung von Vorfällen innerhalb der vorgegebenen Fristen erfüllen können.
• Durchführung der erforderlichen Ausbildungsverfahren und Sicherstellung, dass die Mitarbeiter auch entsprechend geschult werden.
• Durchführung einer umfassenden Bewertung der Risiken für die Sicherheit der Netzwerke und Informationssysteme, die von der „ Entität “ für ihre Geschäftstätigkeiten oder die Erbringung ihrer Dienstleistungen genutzt werden.
• Durchführung jährlicher Audits zur Cybersicherheit.
• Lagern Sie Ihr Risiko an einManaged- Security Operations -Centeraus, falls Ihnen intern das entsprechende Fachwissen fehlt.
• Umsetzung von Sicherheitsmaßnahmen zum Schutz der Netzsicherheit und der Informationssysteme.
• Netzwerkerkennung und -reaktion als wichtiges Instrument für eine effektive Netzwerküberwachung gemäß NIS2 und DORA.

Viele Vorschriften, eine effiziente Lösung

Um den Anforderungen von „ NIS2 “ und „ DORA “ gerecht zu werden und die Sicherheit sowie die Ausfallsicherheit ihrer Netzwerke und Informationssysteme zu gewährleisten, bieten NDR-Lösungen Organisationen, die „ compliance “ sicherstellen müssen, verschiedene Vorteile, darunter:

1. Sichtbarkeit: NDR-Lösungen bieten einen umfassenden Einblick in den Netzwerkverkehr und ermöglichen es Unternehmen, potenzielle Bedrohungen und Schwachstellen zu erkennen, bevor sie ausgenutzt werden können.
2. Erkennung:Durch die kontinuierliche Überwachung des Netzwerkverkehrs können NDR-Lösungen verdächtige Aktivitäten wie unbefugte Zugriffsversuche erkennen und die Unternehmen darauf Warnmeldung ieren oder Datenexfiltration.
3. Antwort:NDR-Lösungen ermöglichen es Unternehmen, schnell und effektiv auf potenzielle Bedrohungen zu reagieren, indem sie „ Vorfall “-Reaktionsmaßnahmen einleiten.
4. Compliance: NDR-Lösungen unterstützen Unternehmen bei der Einhaltung der Meldepflichten gemäß den Vorschriften „ NIS2 “ und „ DORA “, indem sie detaillierte Protokolle und Berichte über Netzwerkaktivitäten und Vorfälle bereitstellen.

Zusammenfassung

Die Haftung von Führungskräften für unentdeckte Cybersicherheitsvorfälle variiert in Europa je nach Rechts framework n und Branche. Um eine einheitliche Regelung zu schaffen, wurden die Richtlinie „ NIS2 “ und das Gesetz „Digital Operative Resilienz “ (DORA) eingeführt, die konkrete Vorschriften für Führungskräfte im Falle von Cybersicherheitsverletzungen festlegen.

Führungskräfte können für Verstöße persönlich haftbar gemacht werden, und die Sanktionen können Geldstrafen und/oder Einschränkungen ihrer Führungsbefugnisse umfassen. Unternehmen sollten geeignete Maßnahmen ergreifen, darunter Schulungen, Risikobewertungen, die Umsetzung von Cybersicherheitsmaßnahmen und die Meldung von Vorfällen an die Vorfall , um die Einhaltung der Vorschriften zu gewährleisten compliance. Dies ist besonders wichtig, da die Nichteinhaltung der Vorschriftencompliance zu erheblichen Geldstrafen führen kann.

Um sich vor Sanktionen im Rahmen des „ NIS2 “ zu schützen, sollten Unternehmen die „ Umfang “ prüfen, einen Cybersicherheitsbeauftragten ernennen, einen risikobasierten Ansatz verfolgen, Sicherheitsmaßnahmen umsetzen, ein „ Vorfall “-Managementsystem einführen und einen strukturierten Ansatz für das Risikomanagement verfolgen. Laden Sie unseren Leitfaden und unsere Checkliste „ compliance “ herunter, um eine Schritt-für-Schritt-Anleitung dazu zu erhalten!