Dr. Kristina Schreiber, RAin, und Pauline Brinke, wiss. Mit.

Geschäftsführerhaftung im neuen Informationssicherheitsrecht: Kommt der Cyber-Vorstand? Auswirkungen der Umsetzung der NIS2-Richtlinie auf die Pflichten der Leitungsebene

Das Informationssicherheitsrecht in Deutschland steht durch die Umsetzung der NIS2-Richtlinie (EU) 2022/2555 vor einer fundamentalen Novellierung: Neben der erheblichen Ausdehnung des Adressatenkreises und neuen materiellen Pflichten wird eine ausdrückliche Inpflichtnahme der Geschäftsleitung eingeführt: Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen Risikomanagementmaßnahmen für eine angemessene Cybersicherheit in ihren Unternehmen umsetzen und dies überwachen. Ob damit eine neue Managementpflicht geschaffen oder aber lediglich auf bestehende Pflichten hingewiesen wird, ist umstritten.

I. Verschärfung des Informationssicherheitsrechts

Cyberattacken haben in den vergangenen Monaten und Jahren stark zugenommen. Im Jahr 2023 erfolgten schätzungsweise bei rund 58 % deutscher Unternehmen Cyberangriffe. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) konstatiert in seinem Lagebericht 2023, dass die Bedrohung im Cyberraum so hoch ist, wie nie zuvor. Mit einer weiteren Steigerung der Fälle wird gerechnet.