Von Prof. Dr. Hans-Peter Schwintowski,
Cyberresilienz ist notwendiger Bestandteil einer modernen, zukunftsweisenden gesellschaftsrechtlichen Organisationsverfassung. Darauf weist auch Möslein (RDi 11/2021, Editorial) unter dem Stichwort „Corporate Digital Responsibility“ zutreffend hin. Die Gewichte verschieben sich immer stärker in Richtung einer Unternehmensverantwortung für Cyberrisiken. Insbesondere die europäischen Rechtsquellen verdichten sich faktisch zu einer generellen Organisationspflicht der Geschäftsleitung, Cyberrisiken zu erkennen und abzusichern. Stichworte sind die VO(EU) 2022/2554 (DORA) für den Finanzsektor; die VO(EU) 2024/2847 (CRA) mit Sicherheitsanforderungen für digitale Produkte; die Stärkung der Cybersicherheit für (besonders) wichtige Einrichtungen (NIS2/BSIG) und die VO(EU) 2023/1230 (Cybersicherheit in Maschinen). Parallel gilt die DS-GVO und vor allem § 1 StaRUG verpflichtet die Unternehmensleitungen bereits seit dem 1.1. 2021 ein Frühwarnsystem einzurichten, um Schieflagen im Unternehmen so früh zu erkennen, dass Insolvenzen vermieden werden.
Der Grund für die Notwendigkeit Cyberresilienz in der unternehmerischen Organisationsverfassung als Baustein zu verankern, liegt darin, dass Unternehmen heute Teil einer digitalen Cloud-Community sind. Die Unternehmen sind weitgehend vom Internet und damit von digitalen Dienstleistungen abhängig. Das betrifft nicht nur das buchhalterische Controlling, die Bilanzierung, die Kommunikation, den Zahlungsverkehr, das Risiko- und Forderungsausfallmanagement, sondern auch das gesamte Marketing, sämtliche Lieferketten und die Beziehung zu allen Märkten auf der Welt. Durch die Digitalisierung sind die Unternehmen nicht nur gläsern geworden, sondern sie sind auch miteinander vernetzt. Die Unternehmen bilden quasi eine Cybergemeinschaft. Die Cybergemeinschaft überwölbt die einzelnen Unternehmen und verbindet sie in einem digitalen Cybernetz. Rechtlich heißt dies, dass die Geschäftsleitungen für Cyberresilienz im Unternehmen sorgen müssen. Sie haben keine Wahlfreiheit. Das liegt an der Grundentscheidung, ihre Geschäftsprozesse über das Internet abzuwickeln. Infolgedessen müssen die Geschäftsleitungen damit rechnen, dass die Geschäftsprozesse von anderen gehackt werden. Diese strukturelle Angreifbarkeit ist Teil der Geschäftsprozesse des Unternehmens selbst. Einbezogen müssen auch die Lieferketten sein, weil ein Unternehmen auch dann angreifbar ist, wenn es aus der Lieferkette angegriffen wird. Cyberresilienz ist somit eine Systemaufgabe, die dazu führen sollte, dass alle Unternehmen ein gemeinsames Konzept zur Gewährleistung von Cybersicherheit entwickeln.
Schließlich gehört zu den notwendigen Bausteinen von Cyberresilienz auch eine angemessene Cyberversicherung, die möglichst Schäden, die trotz aller Vorsichtsmaßnahmen eintreten ohne Wenn und Aber kompensieren, so wie es heute eine Krankenversicherung tut. Die Unternehmen und ihre Verbände sollten über die Gründung eines Cyberversicherungspools nachdenken nach dem Vorbild des Luftfahrt- oder des Atompools.
Prof. Dr. Hans-Jürgen Schwintowski ist geschäftsführender Direktor des Instituts für Energie- und Wettbewerbsrecht in der kommunalen Wirtschaft (EWeRK) e. V., Humboldt-Universität zu Berlin