{"id":3603,"date":"2024-05-16T13:40:47","date_gmt":"2024-05-16T11:40:47","guid":{"rendered":"https:\/\/www.secida.com\/?p=3603"},"modified":"2024-08-20T17:32:54","modified_gmt":"2024-08-20T15:32:54","slug":"secida-im-mai-2","status":"publish","type":"post","link":"https:\/\/www.secida.com\/en\/secida-im-mai-2\/","title":{"rendered":"secida im Mai"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Herzlich Willkommen zu unserem Newsletter!<\/h4>

Hier geben wir hier einen \u00dcberblick \u00fcber geplante Aktivit\u00e4ten und beleuchten jeden Monat einen Aspekt sicherer Digitalisierung.<\/p>

Interessante Aktivit\u00e4ten im Mai:<\/h5>

LinkedIn-Livestream am Dienstag, den 21.05.2024, 12:00h: \u201eBastian Helms: Effektive Umsetzung von Cybersicherheit als Entscheider\u201c <\/strong>– mit Bastian Helms<\/a> , erfahrener IT-Projektleiter mit Fokus auf Cybersicherheit und IT-Transformation, und Sonna Barry, VP Business Development & Strategy. Melden Sie sich hier<\/a> an.<\/p>

Sichere Digitalisierung im Mai: Cybersicherheit aus juristischer Perspektive<\/h5>

Sie bevorzugen ein Video zum Thema? Unseren 30-Minuten-Talk zum Thema mit Dr. Julian Zaudig<\/a> finden Sie hier<\/a>.<\/p>

Aktuell handelt es sich beim Themenbereich Cybersicherheit juristisch um altes Recht, das neu ausgelegt wird. Bis heute ist IT-Sicherheit eher ein technisches Thema und die besten L\u00f6sungen f\u00fcr Unternehmen sind vorherrschend technologischer Natur. Der Fokus der Gesch\u00e4ftsf\u00fchrung liegt eher auf dem Management von Cyber-Risiken, die aktiven Entscheidungen dar\u00fcber, wie genau Cybersicherheit umgesetzt wird, sind eher an die IT delegiert. Dies liegt daran, dass nach altem Recht gesetzliche Normen bestehen, die den Umgang der Gesch\u00e4ftsf\u00fchrung mit Unternehmensrisiken regeln. Sie definieren, wo Entscheider hinsehen, wann sie etwas unternehmen und wie sie entscheiden m\u00fcssen. Im Kern geht es rechtlich um Folgendes: Gibt es einen Dialog mit dem Betrieb und basieren getroffene IT-Sicherheitsentscheidungen auf diesen Gespr\u00e4chen? Wenn die Gesch\u00e4ftsf\u00fchrung auf der genannten Basis entscheidet, hat sie ihre Pflicht erf\u00fcllt, auch wenn sich die Entscheidung sp\u00e4ter als falsch herausstellen sollte.<\/p>

Wenn es bis dato in Unternehmen zu Verfehlungen im Kontext Cybersicherheit kam, waren diese aus juristischer Perspektive bisher innerbetrieblich zu l\u00f6sen. Bei Problemen mit der IT-Sicherheit im Betrieb lag es bei der Gesch\u00e4ftsf\u00fchrung zu entscheiden, ob gegen\u00fcber dem Verantwortlichen Disziplinarma\u00dfnahmen eingeleitet werden sollten, ganz im Sinne der zentrale Aufgabe von Entscheidern, Risiken f\u00fcr das Unternehmen zu beurteilen und zu minimieren. Au\u00dferdem konnte die verantwortliche Gesch\u00e4ftsf\u00fchrung durch Gesch\u00e4ftsf\u00fchrer oder Aktion\u00e4re abberufen oder in Haftung genommen werden. Beh\u00f6rden kamen bis dato h\u00f6chst selten ins Spiel, wenn \u00fcberhaupt, spielten sie in regulierten Bereichen (z.B. Finanzwesen) eine Rolle. Durch die neuen IT-Sicherheitsgesetze \u00e4ndert sich diese Situation: Entscheidungen \u00fcber Cybersicherheit sind nicht mehr nur auf den Betrieb fokussiert, sondern m\u00fcssen die Interessen der Allgemeinheit (z.B. Abnehmer, Verbraucher und B\u00fcrger) ber\u00fccksichtigen. Der Gesetzgeber vertritt nun den Standpunkt, dass IT-Sicherheit auch der Katastrophenvorsorge dient. Dadurch wird die Fragestellung, wie man mit den zusammenh\u00e4ngenden Risiken umgeht, normativ verankert und somit auch eine Rechtsfrage.<\/p>

Was \u00e4ndert sich juristisch?<\/p><\/blockquote>

Fr\u00fcher ging es f\u00fcr die Gesch\u00e4ftsf\u00fchrung darum, sich mit Aktion\u00e4ren oder Gesellschaftern gut zu stellen und den eigenen Standpunkt ihnen gegen\u00fcber sinnvoll darlegen zu k\u00f6nnen. Bei Verfehlungen lag es in der Hand von Aktion\u00e4ren oder Gesellschaftern \u00fcber Sanktionen oder andere Ma\u00dfnahmen gegen\u00fcber der Gesch\u00e4ftsleitung zu entscheiden. Durch die neuen Gesetze liegt diese Entscheidungsgewalt f\u00fcr das Thema Cybersicherheit nicht mehr innerhalb der Betriebs: Es existiert eine externe, unabh\u00e4ngige Aufsichtsbeh\u00f6rde, die ggf. auch gegen den Willen von Aktion\u00e4ren oder Gesellschaftern mit Sanktionen oder Anordnungen eingreifen kann. Noch bleiben Bu\u00dfgeldbescheide selbst bei gr\u00f6\u00dferen Verfehlungen aus. Allerdings m\u00fcssen sich Unternehmen nach Dr. Zaudigs Meinung perspektivisch darauf einstellen, dass Cybersicherheits-Verfehlungen genauso wie in regulierten Bereichen wie Bankenwesen oder Versicherungen ab jetzt immer auch ein Thema der Aufsicht durch das BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik) werden. F\u00fcr Unternehmen ist es jetzt wichtig bei Auditierung oder Pr\u00fcfung darlegen zu k\u00f6nnen, dass s\u00e4mtliche betriebsrelevanten Prozesse und Systeme in der Unternehmens-IT bekannt sind, sie regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden und es Mechanismen gibt, die es der Gesch\u00e4ftsf\u00fchrung erm\u00f6glichen, im Fall entstehende Risiken schnell und effektiv zu mitigieren.<\/p>

IT-Sicherheit verl\u00e4sst die betrieblich gesch\u00fctzte Sph\u00e4re.<\/p><\/blockquote>

Bestandsgef\u00e4hrdende Cybersicherheits-Risiken musste die Gesch\u00e4ftsf\u00fchrung rechtlich schon vor NIS1 und NIS2 auf dem Schirm haben. Doch die rechtliche Sph\u00e4re hat sich durch NIS2 nun deutlich ver\u00e4ndert: Die Rechtsgrundlage bewegt sich weg vom Aktiengesetz (Paragraf 91, Abs. 2 AG), wo dieser Themenbereich in den Pflichten der Gesch\u00e4ftsleitung verortet ist. Hier ist die Gesch\u00e4ftsf\u00fchrung als Treuh\u00e4nder des Betriebsverm\u00f6gens definiert und verwaltet das Verm\u00f6gen der Aktion\u00e4re. Dementsprechend muss die Gesch\u00e4ftsleitung darlegen k\u00f6nnen, dass sie keinesfalls blind bestandsgef\u00e4hrdende Risiken eingeht, die dieses Verm\u00f6gen gef\u00e4hrden. Diese Norm aus dem Aktiengesetz gilt auch in der GmbH: Hier ist es f\u00fcr die Gesch\u00e4ftsf\u00fchrung unter anderem verpflichtend, aus der IT-Sicherheit entstehende betriebsgef\u00e4hrdende Risiken zu kennen und entsprechend zu mitigieren.<\/p>

Unternehmen m\u00fcssen bestehende Cybersicherheits-Workflows so anpassen, dass sie den neuen rechtlichen Vorgaben gerecht werden. Mit dem Bundesamt f\u00fcr Sicherheit in der Informationswirtschaft (BSI) gibt es nun eine Aufsichtsbeh\u00f6rde, die grunds\u00e4tzlich schon heute die M\u00f6glichkeit hat, Bu\u00dfgelder zu verh\u00e4ngen oder Anordnungen zu erlassen.<\/p>

Was hei\u00dft das f\u00fcr die Gesch\u00e4ftsf\u00fchrung? Sp\u00e4testens jetzt sollte all das umgesetzt werden, was schon heute gesetzlich vorgegeben ist. Die Gesch\u00e4ftsf\u00fchrung ist auch nach altem Recht verpflichtet, bestandsgef\u00e4hrdende Entwicklungen zu erkennen. Jetzt, da Cyberkriminalit\u00e4t zur Alltagskriminalit\u00e4t geworden ist und Angriffe jeden treffen k\u00f6nnen, sind auch Cyberattacken als bestandsgef\u00e4hrdend zu definieren. Dr. Zaudig, juristischer Experte f\u00fcr IT-Sicherheit, empfiehlt Entscheidern dringend folgende Schritte umzusetzen und bereits bestehende IT-Sicherheitsma\u00dfnahmen entsprechend zu pr\u00fcfen:<\/p>