EU-Richtlinie NIS-2 nimmt Vorstände bei Cybersecurity in die Pflicht

Die Gefahren durch Cyberattacken sind groß. Mehr als 200 Milliarden Euro jährlich beträgt laut dem Branchenverband Bitkom der Schaden, welcher der deutschen Wirtschaft durch Cyberangriffe entsteht. Treffen kann es jeden. Der Batteriekonzern Varta etwa musste die Veröffentlichung eines Geschäftsberichts wegen einer Cyberattacke verschieben, die Wochen zuvor die Systeme lahmgelegt hatte. Evotec musste seine Gewinnprognose kassieren – Grund war auch hier ein Cyberangriff. Thyssenkrupp, Rheinmetall, Deutsche Leasing, Sixt, Continental, die Zahl der Unternehmen, die von Cyberkriminellen angegriffen worden sind, ist hoch, die Dunkelziffer nach Angaben des Branchenverbands wahrscheinlich noch deutlich höher. Selbst Kanzleien wie die Insolvenzrechtler von Schultze & Braun sind vor Cyberangriffen nicht gefeit. „Cyberkriminelle greifen nicht nur gezielt bestimmte Unternehmen an, sondern nutzen auch Schwachstellen in weitverbreiteten, öffentlich zugänglichen Systemen, um Angriffe durchzuführen – ohne die betroffenen Unternehmen explizit anzuvisieren“, erläuterte Mathias Schick, Business Manager Security beim IT-Dienstleister Bechtle, beim jüngsten FINANCE Roundtable zum Thema „Security ist Chefsache“. „Dies kann in sehr seltenen Fällen sogar dazu führen, dass Angreifer zurückrudern, wenn beispielsweise ein Krankenhaus angegriffen wurde.“ Doch auf solch eine Reaktion sollten weder Unternehmen noch Krankenhäuser hoffen. NIS-2: Vorstände haften mit Privatvermögen Spätestens, wenn im Oktober 2024 die zweite „Network and Information Security (NIS) Directive“ der Europäischen Union in deutsches Recht gegossen wird, sollten Vorstände und Geschäftsleitungen sich Gedanken über die Cybersicherheit ihres Unternehmens machen und wie sie diese sicherstellen. Unterlassen sie das, drohen empfindliche Geldbußen von bis zu zehn Millionen Euro oder zwei Prozent des Jahresumsatzes, wobei der höhere Betrag maßgeblich ist. Nach dem Entwurf des Bundesinnenministeriums sollen Geschäftsleitungen zudem auch mit ihrem Privatvermögen haften. Die Höhe der Bußgelder variiert je nach Art und Größe des Unternehmens. Fest steht aber: Unter die NIS-2 sollen ab Oktober mittlere und große Unternehmen fallen, die mindestens 50 Beschäftigte oder einen Umsatz von mehr als 43 Millionen Euro haben. Der gesamte Vorstand ist in der Haftung Und: Nach der NIS-2 haftet der Vorstand gemeinsam für die Cybersicherheit. „Man kann es weder nach unten in die IT delegieren, noch an einen CISO. Der Vorstand ist gemeinsam verantwortlich für die Cybersicherheit und hängt im Falle eines Vorfalls gemeinsam am Haken“, warnt Daniel Pauly, Partner und Leiter der deutschen TMT-Praxis bei Linklaters. „Wegducken ist nicht mehr möglich, jeder muss sich damit beschäftigen.“ Unternehmen, die beim Thema IT-Sicherheit noch ganz am Anfang stehen, rät Security-Berater Schick im ersten Schritt dazu, den eigenen Standort zu bestimmen. „Cyberresilienz ist kein Buzzword, sondern ergänzt im Wesentlichen klassisch präventive IT-Security Ansätze um Aspekte der Detektion und Reaktion“, erklärt der Berater. Es gehe darum, Angriffe früh zu erkennen, möglichst schadlos zu überstehen und in kritischen Situationen den Betrieb aufrechtzuerhalten. „Risiken müssen identifiziert, klassifiziert und gezielt minimiert werden.“ Unternehmen brauchen klare Richtlinien für Cybersecurity Ohne seine Empfehlung zu kennen, hat CFO Sophia Eltrop bereits genau das getan, als sie im Oktober 2022 die Verantwortung für Finanzen, IT und Personal bei dem Ökostrom-Lieferanten Naturstrom übernommen hat. Die Finanzvorständin hat dafür einen externen Experten hinzugezogen und darauf aufbauend für den Düsseldorfer Stromversorger maßgeschneiderte Risikokategorien für das IT-Security-Konzept entwickelt. Infolgedessen setzt Naturstrom zum Beispiel separate Laptops für die operative Technik ein, die nicht an das Firmennetzwerk angebunden sind. „So minimieren wir die potenziellen Schäden, wenn unser Netz gehackt werden sollte.“ Sharepoints nutzen die Düsseldorfer gar nicht, der Zugang zu Cloud-Lösungen ist strengstens reglementiert. Back-ups wurden in der Vergangenheit zwar gemacht, jedoch „eher stiefmütterlich“, so Eltrop. Das hat sich inzwischen geändert. Jetzt gibt ein Zweijahresplan der IT konkrete einzelne Maßnahmen vor, deren Einhaltung sich überprüfen lässt. Phishing-Mails an die eigenen Mitarbeiter Die größte Fehlerquelle – den Faktor Mensch – stellt Eltrop regelmäßig auf die Probe. Der Vorstand versendet selbst erstellte Phishing-Mails, um zu testen, ob die Mitarbeiter Angriffe erkennen. Damit diese das können, werden sie in regelmäßigen Schulungen über die Risiken von Cyberattacken und den Umgang mit Sicherheit aufgeklärt. Einmal im Monat stehen die drei Vorstandsmitglieder den fast 500 Mitarbeitern zudem Rede und Antwort. „Das kostet kein Geld, nur etwas Engagement vom Vorstand“, sagt Eltrop. In diesen Runden hält sie die Mitarbeiter zudem an, mögliche Fehlklicks zu melden, auch wenn diese bereits Monate zurückliegen sollten. Damit ist Naturstrom auf dem Weg, die NIS-2-Richtlinien zu erfüllen. „Der Vorstand muss präventiv selbst an Schulungen teilnehmen, Risikomanagementmaßnahmen bewilligen und deren Umsetzung überwachen“, legt der Cyberrechts-Anwalt Pauly dar. „Außerdem muss er seine Mitarbeiter zu Schulungen auffordern und mit den Behörden kooperieren.“ Wichtige Fristen bei Meldepflichten Letzteres greift insbesondere im Ernstfall einer Cyberattacke. „Innerhalb von 24 Stunden müssen die angegriffenen Unternehmen die Erstmeldung abgeben, nach 72 Stunden eine erste Analyse, und binnen eines Monates einen Abschlussreport“, fasst Security-Berater Schick zusammen. „Das ist verdammt kurz“, warnt auch Pauly. „Bei 24 Stunden sind es schon Verdachtsmeldungen, die sofort rausgehen müssen“, betont der Jurist. Immerhin kann der Anwalt erklären, warum die Frist so kurz ist: „Der Gesetzgeber bezweckt einen schnellen Informationsaustausch, um schnell reagieren und andere warnen zu können. Das ist sinnvoll.“ David Thornewill, Berater und ehemaliger CISO der Deutschen Post/ DHL Group weiß, ab wann die 24-Stunden-Frist zu laufen beginnt: „Man muss erst einmal feststellen, dass es kein menschlicher oder technischer Fehler, sondern ein Cybervorfall ist. Ab dem Moment, in dem das klar ist, fängt die Frist an zu laufen.“ Meldefrist setzt besonders KMU unter Druck Für einen Mittelständler wie Naturstrom bleibt diese Frist dennoch eine Herausforderung. „Ein 24-Stunden-Notfallmanagement ist bei unserer Größe und mit unseren Mitteln nicht sinnvoll darstellbar“, sagt CFO Eltrop. Deshalb hat sich der Energieversorger externe Unterstützung gesucht. „Das kostet uns zwar mehr als 100.000 Euro im Jahr, aber ich bin davon überzeugt.“ Um zu einer Einschätzung zu gelangen, welche Ausgaben in Cybersicherheit sich lohnen, rät Thornewill dazu, das Thema Cybersicherheit kaufmännisch zu betrachten und die Risiken in Euro zu bewerten. Danach sollte man diese in eine Reihenfolge bringen und mit anderen Risiken der Firma vergleichen. Aber: „Cyberangriffe sind die größte Bedrohung für Unternehmen“, ist Linklaters-Partner Pauly überzeugt. „Mehr als 50 Prozent der Unternehmen sehen sich durch Cyberangriffe in ihrer Existenz bedroht.“ Diese Zahl basiert auf einer Studie des Branchenverbands Bitkom. Alles zum Thema Cybercrime Ob Hacker-Attacke oder Angriff mit Schadsoftware: Finanzabteilungen sind regelmäßig von Cybercrime bedroht. FINANCE hat zusammengetragen, welche Strategien die Angreifer nutzen und wie CFOs ihre Daten vor Attacken schützen können. Mehr lesen Thornewill: Pflicht zum Wettbewerbsvorteil ausbauen Thornewill rät neben Schulungen und Notfall-Teams auch dazu, die Reaktion der Mitarbeiter auf Cyberattacken in Simulationen regelmäßig zu testen. „Niemand würde zu einem Tennisturnier gehen und erst am Vorabend ein Buch über Tennis lesen. Man trainiert, und das jahrelang.“ Die Notfallpläne sollten nicht nur der Vorstand und die IT kennen, sondern alle Mitarbeiter, vom Einkauf bis hin zu HR. Doch wie beim Tennis gelte auch bei der Cybersicherheit: „Ist es nur Pflicht oder kann es auch Kür sein?“ Denn einerseits zwingt die NIS-2 in gewissem Maße die Unternehmen und ihre Vorstände dazu, sich mit dem Thema auseinanderzusetzen, aber sie könnte auch helfen, neue Sichtweisen auf das Thema zu etablieren. Ein transparenter Umgang mit der Information, dass ein Unternehmen im Umgang mit Cybersicherheitsmaßnahmen auf dem Stand der Dinge ist, kann dieses für Kunden wie Investoren attraktiver machen. Eltrop jedenfalls glaubt, dass es für Naturstrom von Vorteil ist, bei der Cybersicherheit gut aufgestellt zu sein.

Der Fall Benko: Ganz ohne goldenes Dachl

Polnische Commerzbank-Tochter MBank stellt Dividende in Aussicht

CFO-News: Lanxess, Siemens, Board

Deloitte wächst schwächer als PwC

EU-Richtlinie NIS-2 nimmt Vorstände bei Cybersecurity in die Pflicht

Aktuelle Artikel

Der Fall Benko: Ganz ohne goldenes Dachl

Polnische Commerzbank-Tochter MBank stellt Dividende in Aussicht

FINANCE Daily

Weitere Inhalte zum Thema

CFO-Job: 3 neue Skills sind gefragt

23 Millionen Euro verloren durch Deepfake-CFO

IT-Security ist Chefsache

FINANCE Multiples-Blog

Multiples im E-Commerce: KI und faire Preise locken Investoren

Die neuen Multiples für November 2025 sind da!

Zu Hohenlohe will mit PE-Geld den Beratungsmarkt aufmischen

Nachrichten

Themen

Unternehmen

FINANCE TV

FINANCE Köpfe

FINANCE Podcast

FINANCE Magazin

FINANCE Multiples

Research

Events

Newsletter

Abonnements

Mediadaten

Redaktion

Stellenmarkt

Partner

Kontakt