09 Okt. Vorstandshaftung bei Cyberrisiken: Was NIS2, DORA und AI Act fordern
Cybersicherheit war lange eine technische Angelegenheit, die man getrost der IT-Abteilung überlassen konnte. Diese Zeiten sind vorbei. Mit dem Inkrafttreten neuer europäischer Regulierungswerke wie NIS2, DORA und dem AI Act ist die Cybersicherheit endgültig in den Sitzungssälen der Unternehmensführungen angekommen – und zwar als handfeste Haftungsfrage. Vorstände und Geschäftsführer stehen nun in der Pflicht, nicht nur Budgets freizugeben, sondern aktiv Aufsicht zu übernehmen, klare Zuständigkeiten zu definieren und im Ernstfall lückenlose Nachweise über ihr Handeln vorzulegen.
Von der Ermessenssache zur Pflichtaufgabe
Lange galt Cybersicherheit in vielen Unternehmen als eine Art freiwilliger Zusatzleistung – man investierte, so viel man für angemessen hielt, und ließ die technischen Experten entscheiden. Diese Herangehensweise ist mit den neuen europäischen Regelwerken nicht mehr haltbar. NIS2, DORA und der AI Act verlangen explizit, dass die Unternehmensführung Verantwortung übernimmt. Es reicht nicht mehr aus, ein IT-Sicherheitsbudget zu genehmigen und sich anschließend nicht weiter darum zu kümmern.
Die Regulierungen schaffen eine neue Realität: Cybersicherheit wird zur Prüfungsfrage. Das bedeutet, dass Aufsichtsbehörden, Wirtschaftsprüfer und im Schadensfall auch Gerichte genau hinschauen werden, ob und wie die Unternehmensleitung ihrer Aufsichtspflicht nachgekommen ist. Wer im Ernstfall nicht belegen kann, dass er aktiv hingeschaut und steuernd eingegriffen hat, riskiert persönliche Haftungsfolgen.
Was NIS2, DORA und der AI Act konkret verlangen
Die drei Regelwerke haben unterschiedliche Schwerpunkte, zielen aber in dieselbe Richtung: Sie verlangen von der Unternehmensführung klare Strukturen, dokumentierte Prozesse und nachweisbare Aufsicht über sicherheitsrelevante Themen.
NIS2 – die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit – weitet den Kreis der betroffenen Unternehmen erheblich aus und verpflichtet die Geschäftsleitung direkt zur Übernahme von Verantwortung für das Risikomanagement. Konkret müssen Vorstände Cybersicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und können bei Verstößen persönlich zur Rechenschaft gezogen werden. Schulungen zur Cybersicherheit für Führungskräfte sind ausdrücklich vorgesehen.
DORA – der Digital Operational Resilience Act – richtet sich primär an den Finanzsektor und stellt sicher, dass Banken, Versicherungen und andere Finanzinstitute digitale Betriebsstabilität gewährleisten können. Auch hier steht die Leitungsebene in der Pflicht: Sie muss IKT-Risiken verstehen, bewerten und in die gesamte Unternehmensstrategie integrieren. Die Verantwortung für das IKT-Risikomanagement kann nicht einfach delegiert werden.
Der AI Act schließlich bringt für Unternehmen, die KI-Systeme einsetzen oder entwickeln, neue Governance-Anforderungen mit sich. Hochrisiko-KI-Systeme erfordern klare Verantwortlichkeiten, Dokumentationspflichten und interne Kontrollmechanismen – Themen, die zwingend auf Vorstandsebene verankert sein müssen.
Nachweispflicht: Der entscheidende Unterschied
Ein zentrales Element aller drei Regelwerke ist die Nachweispflicht. Es genügt nicht, die richtigen Maßnahmen ergriffen zu haben – man muss auch belegen können, dass man sie ergriffen hat. Das stellt viele Unternehmen vor erhebliche organisatorische Herausforderungen. Denn in der Praxis fehlen oft genau diese Dokumentationen: Wer hat wann welche Risiken bewertet? Welche Entscheidungen wurden auf Basis welcher Informationen getroffen? Wie wurde die Umsetzung von Sicherheitsmaßnahmen überwacht?
Diese Fragen werden im Ernstfall – also nach einem Sicherheitsvorfall, bei einer behördlichen Prüfung oder in einem Haftungsstreit – entscheidend sein. Unternehmen, die hier keine klaren Antworten liefern können, geraten schnell in die Defensive. Die Beweislast liegt faktisch beim Unternehmen: Es muss zeigen, dass die Führungsebene nicht nur formal zuständig war, sondern tatsächlich aktiv Aufsicht ausgeübt hat.
Das erfordert neue Strukturen: regelmäßige Berichte an den Vorstand über den Stand der Cybersicherheit, dokumentierte Beschlüsse, klare Eskalationswege und eindeutige Zuständigkeiten. Kurz gesagt: Cybersicherheit muss als Governance-Thema behandelt werden, nicht nur als technisches Problem.
Klare Zuständigkeiten als Fundament
Eine der wichtigsten Lehren aus den neuen Regulierungen ist, dass unklare Zuständigkeiten ein erhebliches Risiko darstellen. Wenn im Ernstfall niemand genau sagen kann, wer für welche Aspekte der Cybersicherheit verantwortlich war, wird die Haftungsfrage schnell zur Haftungsfalle. Deshalb ist es unerlässlich, die Verantwortlichkeiten klar zu definieren und schriftlich festzuhalten.
Das bedeutet nicht, dass der Vorstand alle technischen Details kennen muss. Es bedeutet aber, dass er verstehen muss, welche Risiken das Unternehmen im Bereich der Cybersicherheit eingeht, welche Maßnahmen dagegen ergriffen werden und wie die Effektivität dieser Maßnahmen überprüft wird. Dafür braucht es geeignete Berichtsformate, die komplexe technische Sachverhalte in entscheidungsrelevante Informationen übersetzen.
Viele Unternehmen etablieren zu diesem Zweck inzwischen dedizierte Ausschüsse auf Vorstandsebene, die sich regelmäßig mit Cybersicherheitsthemen befassen. Andere setzen auf die Position eines Chief Information Security Officer (CISO), der direkt an den Vorstand berichtet. Entscheidend ist, dass die Informationsflüsse funktionieren und dass Entscheidungen nachvollziehbar dokumentiert werden.
Fazit: Hinschauen reicht nicht – es muss beweisbar sein
Die neuen europäischen Regulierungswerke markieren einen Wendepunkt in der Geschichte der Unternehmensführung. Cybersicherheit ist keine rein technische Disziplin mehr, sondern ein zentrales Governance-Thema mit direkten Konsequenzen für die persönliche Haftung von Vorständen und Geschäftsführern. NIS2, DORA und der AI Act verlangen aktive Aufsicht, klare Zuständigkeiten und lückenlose Nachweise.
Unternehmen, die diese Entwicklung ernst nehmen und jetzt die notwendigen Strukturen aufbauen, sind nicht nur regulatorisch auf der sicheren Seite – sie stärken auch ihr Vertrauen bei Kunden, Partnern und Investoren. Wer dagegen weiterhin darauf setzt, dass schon nichts passieren wird, riskiert im Ernstfall nicht nur den Betrieb, sondern auch die persönliche Haftung der Führungsebene. Die Botschaft ist klar: Hinschauen allein reicht nicht mehr. Es muss auch beweisbar sein, dass man hingeschaut hat.
Quelle: Cybersicherheit wird für Vorstände zur Haftungsfrage