Cyberrisiken gehören inzwischen zu den zentralen Leitungsfragen in Unternehmen. Sie betreffen nicht nur Gesellschaften mit ausgeprägter IT-Ausrichtung oder Betreiber großer Dateninfrastrukturen, sondern ebenso mittelständische und kleinere Unternehmen, die digitale Dienste, vernetzte Systeme oder externe IT-Leistungen nutzen. Die fortschreitende Digitalisierung, der Einsatz künstlicher Intelligenz sowie geopolitische Spannungen erhöhen sowohl die Angriffsmöglichkeiten als auch die Anforderungen an Schutz- und Reaktionsstrukturen.
Für Vorstände und Geschäftsführungen rückt damit die Frage in den Vordergrund, welche Pflichten sie bei der Organisation von Cybersicherheit treffen. Maßgeblich sind neben den allgemeinen gesellschaftsrechtlichen Organisations- und Sorgfaltspflichten insbesondere spezialgesetzliche Vorgaben, vor allem das BSIG in der Fassung der NIS-2-Umsetzung, DORA für den Finanzsektor und die NIS-2-Durchführungsverordnung für bestimmte digitale Dienste.
Cyberrisiken als Leitungsaufgabe der Unternehmensführung
Ökonomische Bedeutung von Cyberangriffen
Erhebungen aus dem Jahr 2025 zeigen, dass ein erheblicher Teil deutscher Unternehmen Cyberangriffe als existenzielle Gefahr wahrnimmt. Nach einer Bitkom-Erhebung sahen sich 59 Prozent der Unternehmen durch Cyberattacken in ihrer Existenz bedroht. In den Vorjahren lagen die Werte bei 65 Prozent im Jahr 2024, 52 Prozent im Jahr 2023 und 9 Prozent im Jahr 2021.
Gleichzeitig ging nur etwa die Hälfte der befragten Unternehmen davon aus, auf Cyberangriffe gut vorbereitet zu sein. Eine große Mehrheit erwartete für die kommenden zwölf Monate eine Zunahme der Angriffe. Eine globale PWC-Studie ordnete Cyberrisiken im Jahr 2025 ebenfalls als besonders prioritäres Risiko für Unternehmensleitungen ein.
Die in Studien bezifferten Schäden bewegen sich in sehr hoher Größenordnung. Die Regierungsbegründung zum NIS-2-Umsetzungsgesetz verweist auf Schäden von 202,7 Milliarden Euro im Jahr 2022, 205,9 Milliarden Euro im Jahr 2023 und 266,6 Milliarden Euro im Jahr 2024. Dabei ist zu beachten, dass die zugrunde liegende Bitkom-Studie analoge und digitale Angriffe wie Datendiebstahl, Industriespionage und Sabotage gemeinsam erfasst.
Von der für 2025 genannten Schadenssumme von 289,2 Milliarden Euro entfielen nach der Studie rund 70 Prozent auf Cyberattacken im engeren Sinne. Als besonders schadensträchtige Angriffsarten wurden unter anderem Ransomware, Distributed-Denial-of-Service-Angriffe, Malware, Phishing und Passwortangriffe genannt. Die Bedeutung einzelner Angriffsmuster verändert sich dabei vergleichsweise schnell.
Cyberresilienz und Marktstandard
Unternehmen reagieren auf diese Entwicklung mit unterschiedlichen Maßnahmen zur Erhöhung ihrer Cyberresilienz. Genannt werden insbesondere der Einsatz von künstlicher Intelligenz, Cloud-Security, Threat-Management, Datenschutzmaßnahmen, Netzwerksicherheit, Endpoint-Security, Identitäts- und Zugriffsmanagement sowie Lieferketten- und Drittparteienrisikomanagement.
Solche Erhebungen können rechtlich mittelbar Bedeutung erlangen, weil sie Anhaltspunkte für den jeweils aktuellen Marktstandard liefern können. Für Leitungsorgane kann dies relevant werden, wenn zu beurteilen ist, ob die Organisation der Cybersicherheit im konkreten Unternehmen noch vertretbar war. Parallel steigt der Anteil der IT-Sicherheitsbudgets am gesamten IT-Budget deutlich.
Gesetzgeberische Reaktion auf wachsende Cybergefahren
NIS-2-Umsetzung und Inkrafttreten
Ein wesentlicher Teil der Vorgaben zur Cybersicherheit von Unternehmen beruht unmittelbar oder mittelbar auf Unionsrecht. Die NIS-2-Richtlinie baut auf der früheren NIS-Richtlinie auf und verfolgt das Ziel eines hohen gemeinsamen Cybersicherheitsniveaus in der Europäischen Union. Der deutsche Gesetzentwurf lief unter der Bezeichnung NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz.
Der Bundestag beschloss das NIS-2-Umsetzungsgesetz am 13. November 2025. Das Gesetz wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet und trat am 6. Dezember 2025 in Kraft. Übergangsfristen waren nicht vorgesehen, sodass die Pflichten mit Inkrafttreten grundsätzlich sofort galten.
Das Bundesamt für Sicherheit in der Informationstechnik begleitet die Umsetzung als zuständige Behörde. Nach der Reform beaufsichtigt das BSI rund 29.500 Einrichtungen; zuvor waren es etwa 4.500. Die Gesetzesbegründung ging für die Wirtschaft von rund 8.250 besonders wichtigen und rund 21.600 wichtigen Einrichtungen aus.
DORA, NIS-2-Durchführungsverordnung und weitere Regelwerke
Neben dem BSIG bestehen besondere Vorgaben für einzelne Sektoren. Für Kredit- und Finanzinstitute gilt seit dem 17. Januar 2025 die Verordnung über die digitale operationale Resilienz im Finanzsektor, DORA. Für bestimmte digitale Dienste mit besonderem grenzüberschreitendem Bezug konkretisiert die NIS-2-Durchführungsverordnung technische und methodische Anforderungen.
Hinzu kommen branchenspezifische Regelungen, etwa im Telekommunikationsrecht und im Energiewirtschaftsrecht. § 165 TKG enthält Anforderungen an technische und organisatorische Schutzmaßnahmen, darunter Systeme zur Angriffserkennung. Für Energieversorgungsunternehmen bestehen vergleichbare besondere Pflichten im EnWG.
Flankierend trat das KRITIS-Dachgesetz vom 11. März 2026 in Kraft; es wurde bereits durch Gesetz vom 21. Juli 2026 geändert. Es setzt die EU-CER-Richtlinie um und schafft sektorenübergreifende Mindestvorgaben für den physischen Schutz kritischer Anlagen. Politisch wurden NIS-2-Umsetzung, KRITIS-Dachgesetz und Bevölkerungsschutz im Bundestag als zusammenhängender Schutzrahmen beschrieben.
Anwendungsbereich des BSIG nach der NIS-2-Umsetzung
Betreiber kritischer Anlagen
Das BSIG wurde durch die NIS-2-Umsetzung erheblich ausgeweitet. Eine besonders pflichtenintensive Kategorie bilden Betreiber kritischer Anlagen. Eine kritische Anlage ist eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist.
Kritische Dienstleistungen betreffen die Versorgung der Allgemeinheit unter anderem in den Bereichen Energie, Transport und Verkehr, Finanzwesen, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation. Maßgeblich ist, dass ein Ausfall oder eine Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit verursachen würde.
Besonders wichtige und wichtige Einrichtungen
Zu den besonders wichtigen Einrichtungen zählen unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze werden ab 50 Beschäftigten oder bei Überschreiten bestimmter Umsatz- und Bilanzsummenschwellen erfasst.
Für entgeltliche Anbieter von Waren und Dienstleistungen in den Sektoren der Anlage 1 zum BSIG gelten höhere Schwellenwerte. Besonders wichtige Einrichtungen können insbesondere große Unternehmen der Anlage 1 sein, etwa ab 250 Beschäftigten oder ab 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme.
Wichtige Einrichtungen erfassen unter anderem Vertrauensdiensteanbieter sowie kleinere Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze. Außerdem können mittlere Unternehmen der Anlagen 1 und 2 erfasst sein, insbesondere ab 50 Beschäftigten sowie bei Erreichen der maßgeblichen Umsatz- oder Bilanzsummenschwellen. Die in den Anlagen genannten Branchen beschränken sich nicht auf klassische digitale Infrastruktur.
Registrierungspflicht und tatsächliche Registrierung
Betroffene Einrichtungen mussten sich nach § 33 Abs. 1 BSIG binnen drei Monaten registrieren. Für Einrichtungen, die bereits am 6. Dezember 2025 erfasst waren, endete diese Frist am 6. März 2026. Nach Fristablauf wurde eine Nachfrist bis zum 31. Juli 2026 gesetzt.
Zum Ablauf der gesetzlichen Frist im März 2026 waren nach Fachberichten nur rund 38,5 Prozent der registrierungspflichtigen Unternehmen im Portal erfasst. Nach amtlicher BSI-Statistik waren zum 30. Juni 2026 insgesamt 17.729 Unternehmen registriert, darunter 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Zum 30. September 2026 stieg die Zahl der registrierten Einrichtungen auf 20.141; einschließlich Neben- und grenzüberschreitender Niederlassungen ergab sich eine Gesamtzahl von 20.373.
Verstöße gegen Registrierungspflichten können als Ordnungswidrigkeit behandelt werden und Bußgelder auslösen. Der Bußgeldrahmen kann für besonders wichtige Einrichtungen bis zu 10 Millionen Euro und für wichtige Einrichtungen bis zu 7 Millionen Euro betragen. Bei Unternehmen mit mehr als 500 Millionen Euro Umsatz kommen alternativ prozentuale Grenzen von 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes in Betracht.
Inhaltliche Anforderungen an das Cyber-Risikomanagement
Risikomanagementmaßnahmen nach § 30 BSIG
Für Vorstände und Geschäftsführungen sind insbesondere § 30 BSIG und § 38 BSIG von Bedeutung. § 30 Abs. 1 Satz 1 BSIG verpflichtet die erfassten Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Diese sollen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering halten.
§ 30 Abs. 2 BSIG benennt zehn Komponenten, die als Mindestanforderungen einer Cybersicherheitsarchitektur verstanden werden können:
- Konzepte für Risikoanalyse und Sicherheit in der Informationstechnik,
- Maßnahmen zur Bewältigung von Sicherheitsvorfällen,
- Vorkehrungen zur Aufrechterhaltung des Betriebs, etwa Back-up-Management,
- Maßnahmen zur Lieferkettensicherheit,
- Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen,
- Konzepte und Verfahren zur Wirksamkeitsbewertung von Risikomanagementmaßnahmen,
- grundlegende Verfahren der Cyberhygiene und Schulungen,
- Konzepte und Verfahren für Kryptografie und Verschlüsselung,
- Sicherheitskonzepte für Personal, Zugriffskontrolle und Anlagenmanagement,
- Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Kommunikationssysteme.
§ 30 Abs. 1 Satz 2 BSIG enthält ein Verhältnismäßigkeitsgebot. Bei der Bewertung sind insbesondere Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie gesellschaftliche und wirtschaftliche Auswirkungen zu berücksichtigen. Diese Kriterien begrenzen die Reichweite der Anforderungen, ohne den gesetzlichen Mindestcharakter der genannten Maßnahmen für erfasste Einrichtungen aufzuheben.
Meldepflichten nach § 32 BSIG
§ 32 BSIG sieht für erhebliche Sicherheitsvorfälle ein gestuftes Meldeverfahren vor. Die frühe Erstmeldung hat binnen 24 Stunden zu erfolgen, die Folgemeldung mit Bewertung binnen 72 Stunden und die Abschlussmeldung spätestens nach einem Monat. Bei andauernden Vorfällen ist eine Fortschrittsmeldung zu übermitteln.
Die 24-Stunden-Frist knüpft an die Kenntnis vom erheblichen Sicherheitsvorfall an. Sie hängt nicht davon ab, ob die Einrichtung ihre Registrierung bereits vorgenommen hat. Für nicht registrierte Einrichtungen besteht ein gesonderter Online-Meldeweg beim BSI.
Pflichten der Geschäftsleitung nach § 38 BSIG
§ 38 BSIG regelt die Pflicht der Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Außerdem enthält die Vorschrift Aussagen zur Organhaftung und zu Schulungspflichten. Ein Haftungsverzicht der Geschäftsleitung für Pflichten aus § 38 BSIG durch Gesellschaftsvertrag oder Satzung ist gesetzlich ausgeschlossen.
Die Haftung nach § 38 BSIG besteht gegenüber der eigenen Einrichtung. Eine Haftung unmittelbar gegenüber außenstehenden Dritten wird dadurch nicht begründet. Für die konkrete Haftungsfolge verweist das BSIG im Grundsatz auf die nach der jeweiligen Rechtsform geltenden gesellschaftsrechtlichen Regeln.
Spezialgesetzliche Vorgaben außerhalb des BSIG
DORA für Finanzunternehmen
DORA enthält in Kapitel II detaillierte Anforderungen an das IKT-Risikomanagement von Finanzunternehmen. Art. 5 DORA richtet sich unmittelbar an Leitungsorgane und ist insoweit konkreter als § 38 Abs. 1 BSIG. Das Leitungsorgan definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen.
Art. 5 Abs. 2 DORA benennt einzelne Verantwortungsbereiche. Dazu gehören unter anderem Leitlinien zur Aufrechterhaltung von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten, klare Zuständigkeiten für IKT-bezogene Funktionen, angemessene Governance-Regelungen, die Strategie für digitale operationale Resilienz und die Festlegung einer angemessenen Toleranzschwelle für IKT-Risiken.
Ferner umfasst die Verantwortung des Leitungsorgans die Genehmigung, Überwachung und Überprüfung von IKT-Geschäftsfortführungsleitlinien, Reaktions- und Wiederherstellungsplänen sowie internen IKT-Revisionsplänen. Auch Budgetfragen, Leitlinien zur Nutzung von IKT-Dienstleistungen und Meldekanäle auf Unternehmensebene werden ausdrücklich angesprochen.
Diese Aufgaben sind nicht in dem Sinne delegierbar, dass die Verantwortung auf nachgeordnete Stellen übertragen werden könnte. Unterstützungsleistungen durch Mitarbeitende bleiben möglich. Die Pflicht zur Schulung zu IKT-Risiken nach Art. 5 Abs. 4 DORA ist von Mitgliedern der Leitungsorgane persönlich zu erfüllen.
Ressortzuständigkeit nach DORA
Art. 5 Abs. 3 DORA ermöglicht die Benennung eines Mitglieds der Geschäftsleitung, das für die Überwachung der mit IKT-Drittdienstleistern verbundenen Risikoexposition und die entsprechende Dokumentation verantwortlich ist. Eine organinterne Sonderzuständigkeit für andere Aspekte der Cybersicherheit ist in Art. 5 DORA nicht ausdrücklich geregelt, aber auch nicht ausgeschlossen.
Eine Ressortzuweisung innerhalb des Vorstands kann daher grundsätzlich in Betracht kommen. Für die in Art. 5 Abs. 2 DORA genannten Aufgaben bleibt jedoch die Gesamtverantwortung des Leitungsorgans bestehen. Die besondere Zuständigkeit eines einzelnen Mitglieds hebt diese Gesamtverantwortung nicht auf.
NIS-2-Durchführungsverordnung
Die NIS-2-Durchführungsverordnung konkretisiert technische und methodische Anforderungen für bestimmte digitale Dienste mit grenzüberschreitendem Charakter. Zu den erfassten Diensten gehören unter anderem DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienste, Rechenzentrumsdienste, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter.
Die Verordnung ist auch über ihren unmittelbaren Anwendungsbereich hinaus von Interesse, weil sie detaillierte Aussagen zur Organisation von Netz- und Informationssicherheit enthält. Das Sicherheitskonzept ist mindestens jährlich sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen zu überprüfen und zu aktualisieren. Verantwortlichkeiten, Weisungsbefugnisse und Berichtslinien gegenüber Leitungsorganen werden ausdrücklich geregelt.
Auffällig ist, dass die Pflichten der Leitungsorgane in der NIS-2-Durchführungsverordnung nicht vollständig mit den Vorgaben nach DORA übereinstimmen. Daraus folgt, dass die jeweiligen Regelwerke nach ihrem spezifischen Anwendungsbereich und Regelungszweck zu betrachten sind.
Ausstrahlungswirkung spezialgesetzlicher Pflichten
Keine analoge Anwendung auf alle Unternehmen
Eine zentrale Frage ist, ob spezialgesetzliche Anforderungen an Cybersicherheit auch für Unternehmen gelten können, die nicht in den jeweiligen Anwendungsbereich fallen. Eine analoge Anwendung der Vorgaben aus BSIG oder DORA auf sämtliche Kapitalgesellschaften ist abzulehnen. Es fehlt regelmäßig an einer planwidrigen Regelungslücke.
Die Gesetzgebung hat die Anwendungsbereiche der einschlägigen Regelwerke bewusst und detailliert festgelegt. Wenn bestimmte Pflichten nur bestimmten Branchen, Einrichtungen oder Größenklassen auferlegt werden, spricht dies grundsätzlich dagegen, dieselben Pflichten über eine Analogie auf andere Unternehmen zu erstrecken. Das gilt insbesondere für branchenspezifische Regelwerke wie DORA, EnWG und TKG.
Leitbildfunktion von § 30 BSIG
Unabhängig von einer Analogie kann § 30 BSIG eine Leitbildfunktion für allgemeine gesellschaftsrechtliche Organisationspflichten entfalten. Ausgangspunkt sind § 93 Abs. 1 Satz 1 AktG, § 43 GmbHG sowie für Aktiengesellschaften § 91 Abs. 2 AktG und für börsennotierte Gesellschaften § 91 Abs. 3 AktG. Cyberrisiken können in diesen Rahmen einzubeziehen sein, wenn sie für das Unternehmen erheblich oder potenziell existenzgefährdend sind.
Bei Aktiengesellschaften können organisatorische Cybersicherheitsvorkehrungen nach § 91 Abs. 2 AktG geboten sein, wenn Cyberrisiken bestandsgefährdende Entwicklungen auslösen können. Bei börsennotierten Gesellschaften gehören Cyberrisiken zu den Risiken, die im internen Kontroll- und Risikomanagementsystem identifiziert, bewertet und gesteuert werden müssen. Auch allgemeine Sorgfaltspflichten können je nach Bedeutung der Risiken Maßnahmen der Geschäftsleitung verlangen.
Die Leitbildfunktion bedeutet jedoch keine unmittelbare und uneingeschränkte Verbindlichkeit der BSIG-Mindestanforderungen außerhalb des Anwendungsbereichs. Maßgeblich ist die Nähe des jeweiligen Unternehmens zu einem BSIG-Anwendungstatbestand. Je näher Branche, Größe und Risikoprofil an einer besonders wichtigen oder wichtigen Einrichtung liegen, desto eher können die in § 30 Abs. 2 BSIG genannten Maßnahmen als Orientierung in die Gesamtbewertung einfließen.
Organisation der Cybersicherheit im Unternehmen
Zuständigkeit innerhalb der Unternehmensorganisation
Für den Vorstand stellt sich zunächst die Frage, welcher Organisationseinheit die Verantwortung für Cybersicherheitsmaßnahmen zugeordnet wird. In Betracht kommen insbesondere IT-Abteilung, Risikomanagement, Compliance-Funktion, Rechtsabteilung oder eine eigene Einheit für Cybersicherheit. Die Wahl hängt von Struktur, Größe, Risikoprofil und vorhandenen Ressourcen des Unternehmens ab.
Viele Cybersicherheitsmaßnahmen weisen Bezüge zum Risikomanagement auf. Zugleich können Cyberangriffe erhebliche Rechtsfragen auslösen, etwa bei der Behandlung von Lösegeldforderungen, beim Schutz von Geschäftsgeheimnissen oder bei kapitalmarktrechtlichen Veröffentlichungspflichten börsennotierter Unternehmen. Verstöße gegen bußgeldbewehrte Pflichten des BSIG weisen zudem einen Compliance-Bezug auf.
Dem Vorstand ist bei der organisatorischen Zuordnung grundsätzlich ein weiter unternehmerischer Entscheidungsspielraum zuzubilligen. Praktisch bedeutsam sind klare Zuständigkeitsabgrenzungen und funktionsfähige Schnittstellen zwischen den beteiligten Bereichen. Dies gilt sowohl für präventive Strukturen als auch für die Reaktion auf einen konkreten Sicherheitsvorfall.
„Ob“ und „Wie“ der Umsetzung nach § 30 BSIG
Bei Unternehmen, die unmittelbar dem BSIG unterfallen, besteht hinsichtlich des „Ob“ der Umsetzung der in § 30 Abs. 2 BSIG genannten Maßnahmen kein unternehmerisches Ermessen. Die Vorschrift bildet insoweit einen gesetzlichen Mindeststandard. Der Vorstand kann daher nicht einzelne Maßnahmen durch andere, aus seiner Sicht geeignetere oder wirtschaftlichere Maßnahmen ersetzen, wenn dadurch gesetzlich vorgeschriebene Bestandteile entfallen.
Anders ist die Frage des „Wie“ der Umsetzung zu beurteilen. Die konkrete Ausgestaltung der Maßnahmen verlangt Kenntnisse über Strukturen, Abläufe, Systeme und Risiken des jeweiligen Unternehmens. Insoweit spricht viel dafür, dass dem Vorstand ein gerichtlich nur eingeschränkt überprüfbares Organisationsermessen zusteht.
Die Business Judgement Rule nach § 93 Abs. 1 Satz 2 AktG kann auf diese Ausgestaltung Anwendung finden. Gesetzlich vorgegeben ist etwa, dass Konzepte und Verfahren für Kryptografie und Verschlüsselung bestehen müssen; welche konkreten Verfahren und Konzepte gewählt werden, bleibt im Rahmen der gesetzlichen Grenzen eine unternehmerische Entscheidung. Der Gestaltungsspielraum endet dort, wo zwingende gesetzliche Vorgaben nicht erfüllt werden.
Gesamtverantwortung und Delegation
Horizontale Delegation innerhalb des Vorstands
Die Organisation der Cybersicherheit erfordert regelmäßig technisches und organisatorisches Fachwissen. Innerhalb des Vorstands oder der Geschäftsführung kann daher eine Ressortzuständigkeit für Cybersicherheit vorgesehen werden. Eine solche horizontale Delegation entspricht den allgemeinen Grundsätzen zulässiger Arbeitsteilung im Geschäftsleitungsorgan.
Eine Pflicht zur Ressortzuweisung besteht jedoch nicht ohne Weiteres. Ob und in welchem Umfang eine solche Zuweisung erfolgt, liegt grundsätzlich im Organisationsermessen des Vorstands beziehungsweise, soweit zuständig, des Aufsichtsrats. Sinnvoll kann insbesondere eine Zuordnung zu einem IT-nahen Ressort sein.
Die wesentlichen Elemente der Cybersicherheitsarchitektur verbleiben gleichwohl in der Gesamtverantwortung des Vorstands. Das gilt insbesondere für Entscheidungen, die den Kernbereich der Leitungsverantwortung betreffen. DORA und die NIS-2-Durchführungsverordnung können hierbei Orientierung bieten, ohne dass ihre Vorgaben auf nicht erfasste Unternehmen eins zu eins übertragen werden könnten.
Überwachungspflichten nicht zuständiger Vorstandsmitglieder
Auch Vorstandsmitglieder ohne besondere Cybersicherheitszuständigkeit behalten Kontroll- und Überwachungspflichten. Die eigene Pflicht zur Aufgabenwahrnehmung wandelt sich insoweit in eine Pflicht zur Überwachung des zuständigen Vorstandsmitglieds. Dabei dürfen die übrigen Mitglieder grundsätzlich auf ordnungsgemäße Information vertrauen, solange keine gegenteiligen Anhaltspunkte bestehen.
Bei erkennbaren Schwierigkeiten, wiederholten Sicherheitslücken oder offenkundigen Defiziten kann dieses Vertrauen eingeschränkt sein. Dann müssen auch nicht primär zuständige Vorstandsmitglieder auf Abhilfe hinwirken. Bleiben Initiativen erfolglos, kann die Befassung des Gesamtvorstands und gegebenenfalls des Aufsichtsrats erforderlich werden.
Vertikale Delegation an nachgeordnete Stellen
Besondere Bedeutung hat die vertikale Delegation, also die Übertragung von Aufgaben auf Mitarbeitende, Beauftragte oder spezialisierte Einheiten unterhalb der Geschäftsleitung. Der Wortlaut von § 38 Abs. 1 BSIG spricht von „umsetzen“, während Art. 20 Abs. 1 der NIS-2-Richtlinie von Billigung und Überwachung der Maßnahmen durch Leitungsorgane ausgeht. Diese Abweichung hat zu Diskussionen geführt.
Aus dem Wortlaut des § 38 Abs. 1 BSIG folgt jedoch keine Sperre für die Delegation. Ein Verbot der Beauftragung nachgeordneter Stellen wäre praktisch kaum sachgerecht und stünde im Widerspruch zu anerkannten Grundsätzen ordnungsgemäßer Unternehmensorganisation. Auch die Gesetzesbegründung geht von einer Letztverantwortung bei Einschaltung von Hilfspersonen aus.
Bei vertikaler Delegation verschiebt sich die Pflicht der Geschäftsleitung auf Delegationssorgfaltspflichten. Dazu gehören Auswahl, Instruktion, Zuständigkeitsklärung und Überwachung der beauftragten Personen oder Einheiten. Die Gesamtverantwortung der Geschäftsleitung entfällt dadurch nicht.
Einbindung von IT, Risikomanagement und Compliance
Koordination mehrerer Funktionen
Cybersicherheit berührt regelmäßig mehrere Unternehmensfunktionen. Die IT-Abteilung verfügt typischerweise über den Überblick über Hardware, Software, Netzwerke und sonstige Infrastruktur. Das Risikomanagement ist für Identifikation, Bewertung und Steuerung wesentlicher Risiken von Bedeutung.
Compliance- und Rechtsfunktionen können insbesondere bei gesetzlichen Meldepflichten, Bußgeldrisiken, kapitalmarktrechtlichen Fragen oder dem Umgang mit rechtswidrigen Angriffen relevant sein. Wenn mehrere Abteilungen einbezogen sind, müssen Kommunikationswege und Entscheidungsstrukturen hinreichend klar sein. Unklarheiten darüber, wer wen informiert und wer unterhalb des Vorstands für bestimmte Maßnahmen verantwortlich ist, können Organisationsrisiken begründen.
Cyber-Security-Governance, Notfallorganisation und Angriffssimulation
In größeren oder besonders cyberexponierten Unternehmen kann eine differenzierte Organisation sachgerecht sein. Unterscheiden lassen sich insbesondere eine langfristig ausgerichtete Risikovorsorge und eine Notfallorganisation zur zeitnahen Reaktion auf Angriffe. Die Risikovorsorge dient der Einrichtung und Pflege von Schutzsystemen.
Eine Response- oder Notfallorganisation hat die Aufgabe, Angriffe abzuwehren, Zugriffe zu unterbinden und beeinträchtigte Systeme möglichst rasch in einen ordnungsgemäßen Betrieb zurückzuführen. Als weitere Funktion kommen Angriffssimulationen in Betracht, um Schwachstellen frühzeitig zu erkennen. Dabei kann eine organisatorische Trennung notwendig sein, damit Tests realitätsnah durchgeführt werden können.
§ 30 Abs. 2 Nr. 6 BSIG spricht insoweit Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen an. DORA enthält für Finanzunternehmen noch deutlichere Aussagen zur regelmäßigen Prüfung von IKT-Systemen und Mitarbeitenden mit IKT-bezogenen Verantwortlichkeiten. Ziel ist die Erkennung und Beseitigung potenzieller Schwachstellen.
Haftung der Geschäftsleitung bei Cyberrisiken
Innenhaftung gegenüber der Gesellschaft
Verletzt der Vorstand oder die Geschäftsführung Organisationspflichten zum Schutz des Unternehmens vor Cyberangriffen, kommt eine Haftung im Innenverhältnis in Betracht. § 38 Abs. 2 BSIG verweist auf die nach der Rechtsform anwendbaren gesellschaftsrechtlichen Haftungsregeln. Für Aktiengesellschaften ist insbesondere § 93 Abs. 2 Satz 1 AktG, für GmbHs § 43 GmbHG maßgeblich.
Bei der Haftungsbeurteilung ist die Unterscheidung zwischen dem „Ob“ und dem „Wie“ zentral. Erfüllt eine unmittelbar vom BSIG erfasste Einrichtung die Mindestanforderungen des § 30 Abs. 2 BSIG nicht, kann dies eine Verletzung der Legalitätspflicht begründen. Bei der konkreten Ausgestaltung ordnungsgemäß vorgesehener Maßnahmen spricht hingegen viel für einen unternehmerischen Entscheidungsspielraum.
Die Business Judgement Rule kann eine Haftung ausschließen, wenn die Entscheidung auf angemessener Informationsgrundlage, frei von Sonderinteressen und zum Wohl der Gesellschaft getroffen wurde. Dies betrifft jedoch nicht die Entscheidung, zwingende gesetzliche Mindestanforderungen überhaupt nicht umzusetzen. Dort endet der unternehmerische Spielraum.
Keine deliktische Außenhaftung aus § 823 Abs. 2 BGB in Verbindung mit § 30 BSIG
Zu prüfen ist außerdem, ob § 30 BSIG ein Schutzgesetz im Sinne von § 823 Abs. 2 BGB darstellt. Dafür könnte sprechen, dass § 30 BSIG auch gesellschaftliche und wirtschaftliche Auswirkungen von Sicherheitsvorfällen berücksichtigt und Bußgeldtatbestände bestehen. Im Ergebnis ist eine persönliche Außenhaftung des Vorstands gegenüber Dritten wegen fehlerhafter Umsetzung der BSIG-Vorgaben jedoch abzulehnen.
§ 30 BSIG ist nicht als drittschützende Norm im Sinne des Deliktsrechts einzuordnen. Die Vorschrift dient in erster Linie einer ordnungsrechtlichen und sicherheitsbezogenen Steuerung der betroffenen Einrichtungen. Die gesetzliche Haftungsordnung spricht für eine Verantwortung der Geschäftsleitung gegenüber der eigenen Einrichtung, nicht für einen Haftungsdurchgriff zugunsten außenstehender Dritter.
Diese Einordnung entspricht auch der Wertung zu anderen aufsichtsrechtlichen Organisationspflichten, etwa § 25a KWG. Solche Vorschriften erfüllen regelmäßig eine ordnungspolitische Funktion; ein individueller Schadensersatzanspruch Dritter ergibt sich daraus nicht ohne Weiteres. Auch die Rechtsprechung zu § 130 OWiG stützt eine zurückhaltende Anerkennung als Schutzgesetz.
Wesentliche Ergebnisse für Vorstände und Geschäftsführungen
Cyberkriminalität ist zu einem erheblichen Risiko für Unternehmen unterschiedlicher Größen und Branchen geworden. Die gesetzlichen Anforderungen an Cybersicherheit wurden mit der NIS-2-Umsetzung, der Neufassung des BSIG, DORA, der NIS-2-Durchführungsverordnung und weiteren Spezialregelungen deutlich verdichtet. Für Leitungsorgane steht dabei die Organisation eines angemessenen Cyber-Risikomanagements im Mittelpunkt.
§ 30 BSIG enthält für besonders wichtige und wichtige Einrichtungen zwingende Mindestanforderungen. Diese reichen von Risikoanalyse und Sicherheitskonzepten über Notfallbewältigung, Betriebsfortführung, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung bis zur Bewertung der Wirksamkeit. DORA formuliert für Finanzunternehmen nochmals detailliertere Vorgaben, insbesondere mit Blick auf Leitungsorgane.
Eine analoge Anwendung dieser Spezialpflichten auf nicht erfasste Unternehmen ist abzulehnen. Gleichwohl kann § 30 BSIG eine Leitbildfunktion für allgemeine Organisations- und Sorgfaltspflichten entfalten. Maßgeblich bleibt die Nähe des jeweiligen Unternehmens zu einem BSIG-Anwendungstatbestand sowie das konkrete Risikoprofil.
Bei der organisatorischen Verortung der Cybersicherheit verfügt der Vorstand grundsätzlich über ein weites Organisationsermessen. Hinsichtlich des „Ob“ gesetzlich vorgeschriebener Maßnahmen besteht dieses Ermessen für erfasste Einrichtungen nicht. Das „Wie“ der konkreten Umsetzung bleibt dagegen grundsätzlich unternehmerische Entscheidung.
Horizontale und vertikale Delegation sind möglich, entbinden die Geschäftsleitung aber nicht von Gesamtverantwortung, Überwachung und Delegationssorgfalt. Im Innenverhältnis kann eine Haftung nach den gesellschaftsrechtlichen Regeln bestehen. Eine deliktische Außenhaftung gegenüber Dritten aus § 823 Abs. 2 BGB in Verbindung mit § 30 BSIG ist hingegen abzulehnen.
Häufige Fragen
§ 30 BSIG Vorstand Cyberrisiken: Welche Pflichten treffen die Geschäftsleitung?
Für erfasste Einrichtungen verlangt § 30 BSIG technische und organisatorische Risikomanagementmaßnahmen, deren Umsetzung und Überwachung nach § 38 BSIG in der Verantwortung der Geschäftsleitung liegt. Das „Ob“ der gesetzlichen Mindestmaßnahmen steht nicht im Ermessen, während das „Wie“ der Ausgestaltung grundsätzlich unternehmerisch geprägt bleibt.
NIS-2-Umsetzungsgesetz praktische Folgen für Unternehmen: Was änderte sich ab 6. Dezember 2025?
Mit Inkrafttreten des NIS-2-Umsetzungsgesetzes galten die neuen Pflichten ohne Übergangsfrist. Betroffene Einrichtungen mussten sich registrieren, Risikomanagementmaßnahmen beachten und erhebliche Sicherheitsvorfälle nach § 32 BSIG fristgebunden melden.
DORA Leitungsorgan IKT-Risiko: Kann der Vorstand seine Verantwortung delegieren?
DORA erlaubt Unterstützung durch nachgeordnete Stellen, belässt die letztendliche Verantwortung für das IKT-Risikomanagement aber beim Leitungsorgan. Einzelne Zuständigkeiten können intern zugewiesen werden, ohne dass die Gesamtverantwortung entfällt.
Gesellschaftsrechtliche Einordnung von Cyberrisiken
Cyberrisiken betreffen die Leitung und Organisation von Unternehmen unmittelbar. Die Abgrenzung zwischen zwingenden gesetzlichen Pflichten, unternehmerischem Ermessen, Ressortzuständigkeit, Delegation und Haftung erfordert eine sorgfältige gesellschaftsrechtliche Bewertung des konkreten Unternehmens und seines Risikoprofils. MTR Legal Rechtsanwälte unterstützt Unternehmen, Investoren und vermögende Privatpersonen bei entsprechenden Fragen; weitere Informationen finden Sie unter Rechtsberatung im Gesellschaftsrecht.
