NIS2 und DORA: Manager haften für Cybersecurity

16. Dezember 2024

Die Managerhaftung im Zusammenhang mit unentdeckten Cybersecurity-Vorfällen in Europa unterliegt verschiedenen rechtlichen Rahmenbedingungen, die je nach Land und Branche variieren können. NIS2 (Network and Information Systems Directive 2) und DORA (Digital Operational Resilience Act) sollen nun die spezifischen rechtlichen Rahmenbedingungen und Vorschriften auf europäischer Ebene vereinheitlichen und neue Richtlinien für das Managen von unternehmerischen Cyberrisiken, die Meldung von Attacken aber auch für die Haftung von Managern im Falle von Cybersecurity-Verstössen geben.

Sowohl die NIS2-Richtlinie als auch DORA traten offiziell am 17. Januar 2023 in Kraft. Damit die NIS2-Richtlinie für die betroffenen Unternehmen rechtsverbindlich wird, müssen sie noch in die jeweilige Gesetzgebung der EU-Mitgliedstaaten aufgenommen werden, die Frist hierfür ist der 17. Oktober 2024.

Im Gegensatz zu NIS2 ist DORA eine EU-Verordnung und muss als solche nicht erst in das nationale Recht der EU-Mitgliedstaaten umgesetzt werden, um vollstreckbar zu werden. Sie wird am 17. Januar 2025, zwei Jahre nach ihrem Inkrafttreten, vollständig durchsetzbar sein.

Bei beiden Richtlinien können Manager und Führungskräfte für Cybersecurity-Verstösse zur Rechenschaft gezogen werden, etwa wenn festgestellt wird, dass sie keine angemessenen Massnahmen ergriffen haben, um solche Vorfälle zu verhindern oder abzumildern oder die Implementierung angemessener Cybersecurity-Richtlinien, und risikobasierter Programme zur Verwaltung von Sicherheitslücken in Netzwerken, Ressourcen und Assets unterlassen haben. Die Haftung wird hierbei je nach Faktoren wie Art und Schwere des Verstosses, Branche und lokaler Rechtsprechung innerhalb der Länder variieren.

Verpflichtungen und Haftung des Managements aus NIS2

Unternehmen verschiedener –durch NIS2 nun erweiterter– Sektoren, fallen in Zukunft, unabhängig von ihrer Grösse, unter den Anwendungsbereich von NIS2 etwa die Branchen Transport, Finanzmarktinfrastruktur, Pharma und Medtech, Chemie, öffentliche Verwaltung u.v.m. Die erweiterte Gültigkeit liegt daran, dass NIS2 die Entitäten danach klassifiziert, ob sie „wesentlich“ (z. B. Energie, Verkehr, Banken und Gesundheitswesen) oder „wichtig“ (z.B. Post- und Kurierdienste, Abfallwirtschaft usw.) sind. Dadurch werden mehr Sektoren und Dienstleistungen im Vergleich z.B. zu NIS1 oder Kritis einbezogen.

In Bezug auf die Managerhaftung für unentdeckte Cybersecurity-Vorfälle können Manager von Unternehmen rechtlich verantwortlich gemacht werden, wenn nachgewiesen wird, dass sie ihre Sorgfaltspflicht in Bezug auf die Cybersecurity ihres Unternehmens vernachlässigt haben. Dies kann etwa durch eine unzureichende Umsetzung von Sicherheitsmassnahmen, eine unzureichende Risikobewertung oder das Fehlen von Notfallplänen eintreten: NIS2 verlangt vom Management der Unternehmen, das Cybersecurity-Risikomanagement ständig zu überprüfen und bei Bedarf anzupassen sowie dessen Umsetzung und Einhaltung zu überwachen. Dies fordert die Führungsetage auf, ausreichende Kenntnisse über Cyber-Risiken erwerben, um die vorgeschlagenen Massnahmen zu bewerten und vor allem den potenziellen Schaden genau zu bestimmen – und das sogar über die eigenen Unternehmensgrenzen hinaus. Eine ständige und enge Kommunikation mit den IT-Teams ist in diesem Kontext entscheidend, insbesondere da Cyber-Risiken ständig im Wandel sind und Anpassungen im Cybersecurity-Risikomanagement erfordern.