Cybersicherheit und digitale Resilienz als Organpflicht

Cybersicherheit wird zur persönlichen Leitungsverantwortung

§§ 43 Abs. 1 GmbHG, 93 Abs. 1 S. 1 AktG verlangen von Organmitgliedern die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters. Diese Sorgfaltspflicht erstreckt sich auch auf die Cybersicherheit. Die Geschäftsleitung muss daher angemessene Maßnahmen zur Prävention und Abwehr von Cyberbedrohungen veranlassen.

Gemäß § 91 Abs. 2 AktG hat der Vorstand ein Überwachungssystem zur Früherkennung bestandsgefährdender Entwicklungen einzurichten. § 91 Abs. 3 AktG verlangt darüber hinaus bei börsennotierten Gesellschaften ein angemessenes und wirksames internes Kontroll- und Risikomanagementsystem. Hierzu zählt auch die Erkennung und Überwachung von Cyberrisiken.

Die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2-Richtlinie) schafft einen europaweit einheitlichen Rechtsrahmen für Cybersicherheit in bestimmten Sektoren. In Deutschland wurden die Vorgaben durch das am 06.12.2025 in Kraft getretene NIS2-Umsetzungsgesetz in das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz, BSIG) überführt. Betroffene Unternehmen müssen sich registrieren, Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG umsetzen und deren Einhaltung dokumentieren. Die Umsetzung und Überwachung obliegen gem. § 38 Abs. 1 BSIG der Geschäftsleitung; § 38 Abs. 2 BSIG regelt die Haftung bei Pflichtverletzungen.

Ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst ist, richtet sich insbesondere nach Tätigkeit und Größe. Art. 20 und 21 NIS2 sowie §§ 30 und 38 BSIG stellen Leitungspflichten und Risikomanagement in den Vordergrund. Die Geschäftsleitung muss technische Maßnahmen zwar nicht selbst ausführen, trägt jedoch die Verantwortung für deren Umsetzung und Überwachung.

Art. 32 der Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen beim Umgang mit personenbezogenen Daten zu geeigneten technischen und organisatorischen Sicherheitsmaßnahmen. Führt ein Cyberangriff zu einer Verletzung des Schutzes personenbezogener Daten, kann eine Meldepflicht nach Art. 33 DSGVO bestehen.

Die Verordnung über die digitale operationale Resilienz im Finanzsektor (Digital Operational Resilience Act – DORA) enthält für den Finanzsektor besondere Vorgaben zur digitalen operationalen Resilienz und zum Management von IT-Risiken. Für erfasste Finanzunternehmen ist das Verhältnis zu den speziellen BSIG-Pflichten zu beachten.

Organhaftung und unternehmerischer Entscheidungsspielraum

Die Verletzung organschaftlicher Pflichten kann eine persönliche Haftung nach §§ 43 Abs. 2 GmbHG, 93 Abs. 2 S. 1 AktG auslösen. Nicht jeder erfolgreiche Cyberangriff begründet jedoch eine Haftung. Erforderlich sind insbesondere eine konkrete Pflichtverletzung, ein Schaden und die weiteren gesetzlichen Voraussetzungen. § 38 Abs. 2 BSIG knüpft an die gesellschaftsrechtlichen Haftungsregeln an. Die Business Judgment Rule (§ 93 Abs. 1 S. 2 AktG) schützt unternehmerische Entscheidungen auf angemessener Informationsgrundlage zum Wohl der Gesellschaft; vergleichbare Grundsätze gelten für die GmbH. Zwingende gesetzliche Sicherheitsanforderungen dürfen jedoch nicht aus Kostengründen übergangen werden.

Stehen zwei fachlich geeignete und rechtlich zulässige Sicherheitskonzepte zur Auswahl, darf die Geschäftsleitung Kosten und Nutzen abwägen. Werden dagegen bekannte erhebliche Sicherheitsmängel ohne angemessene Prüfung ignoriert, kann dies eine Pflichtverletzung darstellen. Allein aus einem späteren Schaden folgt jedoch noch nicht zwangsläufig, dass die frühere Entscheidung pflichtwidrig war.

Risikomanagement und praktische Umsetzung der gesetzlichen Pflichten

Voraussetzung digitaler Resilienz ist eine systematische IT-Risikoanalyse. Die Unternehmensleitung muss ermitteln, welche Systeme für den Fortbestand des Betriebs unverzichtbar, welche Daten besonders schutzwürdig und welche Abhängigkeiten von Dienstleistern kritisch sind. Daraus sind Schutzprioritäten abzuleiten. Regelmäßige aussagekräftige Cyber-Risiko-Berichte unterstützen die Überwachung.

Technische Maßnahmen umfassen insbesondere Sicherheitssoftware, Schwachstellenanalysen, Sicherheitsprüfungen, getestete Backups und Wiederherstellungsverfahren, Zugriffskontrollen, Multi-Faktor-Authentifizierung und Patch-Management. Organisatorisch bedarf es eines wirksamen IT-Compliance-Managements mit verbindlichen Sicherheitsstandards, klaren Zuständigkeiten und regelmäßigen Kontrollen. Die Unternehmensleitung muss ausreichende Ressourcen bereitstellen und kann beispielsweise einen Chief Information Security Officer (CISO) einsetzen. Die Dokumentation der Maßnahmen ist für den Nachweis pflichtgemäßer Organisation wesentlich.

Sicherheitsmängel bei Cloud-Diensten, Softwareanbietern oder ausgelagerten IT-Prozessen können die eigene Betriebsfähigkeit gefährden. Solche Abhängigkeiten gehören daher in die Risikoanalyse. Dienstleister sind risikoorientiert auszuwählen und vertraglich auf angemessene Sicherheitsstandards, Meldewege, Unterstützungsleistungen und Datensicherung zu verpflichten. Die Auswahl- und Überwachungsverantwortung der Geschäftsleitung bleibt auch bei Auslagerung bestehen, das wird nach wie vor oft noch übersehen.

Ein wirksames Krisenmanagement setzt einen Incident Response Plan mit klaren Handlungsanweisungen voraus. Er sollte technische Sofortmaßnahmen, betriebliche Prioritäten, rechtliche Prüfungen sowie die Kommunikation mit Behörden, Kunden und Geschäftspartnern regeln. Zu prüfen sind ferner Datenschutzverletzungen, Meldepflichten und vertragliche Informationspflichten. Eine sorgfältige Dokumentation ermöglicht die spätere Beurteilung, ob die ergriffenen Maßnahmen angemessen waren.

Für erhebliche Sicherheitsvorfälle sieht § 32 BSIG grundsätzlich eine frühe Meldung spätestens innerhalb von 24 Stunden und eine weitere Meldung spätestens innerhalb von 72 Stunden nach Kenntniserlangung vor. Weitere Berichte folgen nach den gesetzlichen Vorgaben. Zuständigkeiten und Meldewege müssen daher bereits vor einem Vorfall feststehen.

Schulungspflicht und ihre Bedeutung für die Organhaftpflichtversicherung

Cybersicherheit hängt auch von einer guten Informationsvermittlung ab. Regelmäßige Mitarbeiterschulungen und Awareness-Trainings zu Phishing, Social Engineering und sicherem Umgang mit IT-Systemen können menschliche Fehlhandlungen reduzieren. Ebenso wichtig ist die Fortbildung der Geschäftsleitung.

§ 38 Abs. 3 BSIG verpflichtet Geschäftsleitungen erfasster Einrichtungen zu regelmäßigen Schulungen. Diese sollen sie befähigen, Cyberrisiken und geeignete Maßnahmen zu beurteilen. Ein Teilnahmezertifikat belegt zunächst nur den Besuch der Schulung. Daraus folgt weder automatisch ein tatsächlicher Kenntniserwerb noch das Bewusstsein einer späteren konkreten Pflichtverletzung.

Das ist auch für die Directors-and-Officers-Versicherung (D&O-Versicherung), eine Vermögensschaden-Haftpflichtversicherung für Organmitglieder relevant. Manche Verträge enthalten einen Wissentlichkeitsausschluss. Der BGH hat mit Urteil vom 19. November 2025 (IV ZR 66/25) für die dort vereinbarte Klausel hervorgehoben, dass sich die Wissentlichkeit auf die haftungsbegründende Pflichtverletzung beziehen muss. Das Urteil betrifft nicht die NIS2-Schulungspflicht. Es verdeutlicht jedoch, weshalb Schulungsnachweise, tatsächliches Wissen und bewusste Pflichtverletzungen rechtlich auseinanderzuhalten sind.

Fazit

Cybersicherheit und digitale Resilienz müssen als Organpflichten organisiert, überwacht und dokumentiert werden. Vollständige Sicherheit ist nicht erreichbar. Wer Risiken aber systematisch erfasst, angemessene Maßnahmen ergreift und deren Wirksamkeit kontrolliert, stärkt die digitale Widerstandsfähigkeit seines Unternehmens und schafft eine belastbare Grundlage zur Beurteilung der eigenen Leitungsverantwortung.