Cyberresilienz – Pflichten der Geschäftsleitung – Cyberversicherung

Prof. Dr. Hans-Peter Schwintowski (Humboldt Universität Berlin) |

I. Cyberresilienz

Cyberresilienz, so die These dieser Überlegungen, ist notwendiger Bestandteil einer modernen, zukunftsweisenden gesellschaftsrechtlichen Organisationsverfassung. Darauf weist Möslein unter dem Stichwort „Corporate Digital Responsibility“ immer wieder und zutreffend hin. <1< Die Gewichte verschieben sich in Richtung einer Unternehmensverantwortung für Cyberrisiken. Insbesondere die europäischen Rechtsquellen verdichten sich faktisch zu einer generellen Organisationspflicht der Geschäftsleitung, Cyberrisiken zu erkennen und abzusichern.

Stichworte sind die VO(EU) 2022/2554 (DORA) <2>; die VO (EU) 2024/2847 (CRA) <3> mit Sicherheitsanforderungen für digitale Produkte; die Stärkung der Cybersicherheit für (besonders) wichtige Einrichtungen (NIS2/BSIG) <4>, die VO(EU) 2023/1230 (Cybersicherheit in Maschinen) <5>. Parallel gilt die DSGVO und vor allem § 1 StaRUG verpflichtet die Unternehmensleitungen bereits seit dem 01.01.2021 ein Frühwarnsystem einzurichten, um Schieflagen im Unternehmen so früh zu erkennen, dass Insolvenzen vermieden werden. <6>

Dieses System verlangt von den Geschäftsleitungen aller Unternehmen (kleine, mittlere und große) organisationsverfassungsrechtlich Cyberrisiken als