Cyber Risks

Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen. Betreiber kritischer Infrastrukturen treffen daher hinsichtlich der IT-Sicherheit  besondere Pflichten nach den §§ 8a, 8b BSIG. Wir prüfen mit Ihnen gemeinsam, ob Ihr Unternehmen als kritische Infrastruktur einzuordnen ist.

Zudem beraten wir Sie als Betreiber einer kritischen Infrastruktur zu den Ihr Unternehmen betreffenden besonderen IT-sicherheitsrechtlichen Pflichten, wie der Benennung einer Kontaktstelle gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI), der Meldung von IT-Störungen, der Umsetzung des „Stands der Technik“ in der IT-Sicherheit und dem Nachweis gegenüber dem BSI in einem Zeitabstand von zwei Jahren.

Anbieter digitaler Dienste treffen nach § 8c BSIG besondere Pflichten zur IT-Sicherheit. Erfasst als digitale Dienste sind Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste. Wir prüfen mit Ihnen, ob Ihr Unternehmen als digitaler Dienst einzuordnen ist, und beraten Sie hinsichtlich der Einhaltung der besonderen Anforderungen für digitale Dienste.

Die Datenschutz-Grundverordnung (DS-GVO) und die Datenschutzgesetze des Bundes und der Länder regeln nicht nur den Datenschutz, sondern auch die IT-Sicherheit. Datenschutz und IT-Sicherheit gehen Hand in Hand.

Wir beraten Ihr Unternehmen bei der Anpassung von Datenschutzorganisation und -management sowie bei der Anpassung der Datenschutzdokumentation an die Anforderungen der DS-GVO bzw. der Datenschutzgesetze des Bundes und der Länder. Relevant sind insbesondere Datenschutzverträge, Betriebsvereinbarungen, Datenschutzorganisationsrichtlinien, interne Datenschutzrichtlinien, Einwilligungserklärungen und Betroffeneninformationen. Wir konzipieren, strukturieren und implementieren mit Ihnen die Datenschutzorganisation und ein Datenschutzmanagementsystem in Ihrem Unternehmen, Ihrem Konzern oder Ihrer Behörde.

Um den Schaden durch einen Cyberangriff so gering wie möglich zu halten, ist es von entscheidender Bedeutung, dass alle potenziell involvierten Personen so gut wie möglich vorbereitet sind und genau wissen, welche Maßnahmen in einem Ernstfall zu ergreifen sind.

Dazu gehört zunächst ein funktionierender, auf das jeweilige Unternehmen zugeschnittener Notfallplan. Dieser enthält eine Beschreibung der Abläufe im Krisenfall, Kommunikationswege, Kontaktinformationen wichtiger interner und externer Ansprechpartner, Aufgabenzuweisungen an die verantwortlichen Personen, Regelungen für Wochenenden, Urlaub und Feiertage sowie Vorlagen für ggf. erforderliche Meldungen und Dokumentation.

Ein Notfallplan auf dem Papier alleine hilft allerdings kaum, da in der Krisensituation, die ohnehin schon eine besondere Belastung für alle Beteiligten darstellt, rein theoretisch vorhandenes Wissen nicht angewendet werden kann. Daher ist es essenziell für die Schadensminimierung im Ernstfall, den Notfallplan in der Praxis auf seine Bewährung zu testen. Basierend auf dem Notfallplan, der Mitarbeiterstruktur, der Branche und den Besonderheiten Ihres Unternehmens erarbeiten wir ein maßgeschneidertes Trainingsprogramm.

Viele IT-Dienstleister bieten unter dem Begriff „Penetration Test“ oder „Legal Hacking“ Maßnahmen zur Überprüfung der Sicherheit von IT-Systemen an. Es handelt sich hierbei um mit dem Unternehmen abgestimmte fingierte Angriffe, mit denen die IT-Sicherheit des Unternehmens auf die Probe gestellt wird. Das Ziel ist es, dem Unternehmen zu ermöglichen, im Nachgang seine Schwachstellen besser analysieren zu können.

Solche Tests sind zweifellos sinnvoll. Was Dienstleister aber nicht anbieten, ist eine rechtliche Begleitung solcher Tests. So führt ein Penetration Test regelmäßig zu einem Zugriff des Dienstleisters auf Daten Dritter, insbesondere von Lieferanten oder Kunden, mit denen ein solcher Test in der Regel nicht abgestimmt ist. Hier können vertragliche Geheimhaltungsabreden verletzt werden. Auch setzen solche Tests datenschutzrechtliche Zustimmungen oder dokumentierte Abwägungen voraus. All dies erfordert sorgfältige Vorbereitung.

Wir unterstützen Sie beim Aufsetzen, bei der Vorbereitung und der Durchführung solcher Penetration Tests, um hierdurch die IT-Sicherheit zu erhöhen und gerade nicht durch den Test Schaden für das Unternehmen zu verursachen.

Kritische Infrastrukturen decken sich weitgehend mit regulierten Industrien. In diese Branchen greift der Gesetzgeber vielfach noch zusätzlich durch Spezialgesetze regulierend ein. Richtlinien zur IT-Sicherheit sind deshalb teilweise in die bereits existierenden Spezialgesetze für regulierte Industrien wie TMG, TKG, EnWG, AtomG, KWG und VAG integriert worden. Wir beraten Sie hinsichtlich der IT-sicherheitsrechtlichen Anforderungen für regulierte Industrien.

Bisher sind Ausschlüsse in den D&O-Policen für Cyberangriffe nicht üblich. Daher sollten die Geschäftsleitungen präventiv ihrer Sorgfaltspflicht entsprechende Maßnahmen ergreifen. Diese hängen von der Sensibilität der Unternehmen ab. Soweit Betreiber kritischer Infrastrukturen betroffen sind, bestehen detaillierte Vorgaben. Aber auch andere Unternehmen werden sich in abgestufter Form an diesen Leitlinien orientieren müssen, damit ihre Geschäftsleitung sich nicht den Vorwurf sorgfaltspflichtwidriger Organisation machen lassen muss. Wesentlich ist für die Geschäftsleitung, dass diese Aufgabe – wieder abhängig von der möglichen Betroffenheit durch Cyberangriffe – zu den Leitungspflichten zählen dürfte und in ihrem Kerngehalt nicht delegierbar ist. Ein Versäumnis beträfe also nicht den für Informationstechnik zuständigen Vorstand oder Geschäftsführer, sondern das Gremium als Ganzes.

Zur Absicherung gegen Haftungsrisiken nach Cyberangriffen gehört auch, die Verträge mit IT-Dienstleistern auf ihre Sicherheits- und Haftungsregelungen zu prüfen. Häufig konzentrieren sich die vertraglichen Vereinbarungen mit Dienstleistern auf die Regelung der Leistungsbestandteile wie etwa Leistungsumfang, Verfügbarkeit und Reaktionszeit. Regelmäßig wird der Dienstleister nur eine vertragliche Pflicht zur Wartung vage nach „Stand der Technik“ haben. Auch wird die Haftung zudem häufig – jedenfalls bei größeren Outsourcing-Verträgen – individualvertraglich auf absolute Haftungsobergrenzen oder prozentuale Haftungsanteile beschränkt sein.

Üblicherweise können IT-Dienstleister daher kaum erfolgreich in Anspruch genommen werden, wenn es um große Schäden nach Cyberangriffen geht. Die Verträge sollten daher daraufhin geprüft werden, welche Anforderungen im Einzelnen einzuhalten sind und wer das Risiko nach Vertragsschluss eintretender Änderungen trägt.

Auch wenn die Absicherung des eigenen Unternehmens gegen Cyberangriffe schon eine große Herausforderung ist, bedeutet dies noch nicht das Ende des Pflichtenkatalogs. Je nach Branche kann es notwendig sein, dafür Sorge zu tragen, dass Ihre gesamte Lieferkette Schutzmaßnahmen trifft und einen gewissen Sicherheitsstandard einhält.

Wir unterstützen Sie bei der Erarbeitung der für Ihre Lieferkette maßgeblichen Standards und der rechtlichen Gestaltung zu deren Umsetzung. Dabei ist vor allem die rechtssichere Formulierung von Vertragsbedingungen, technischen Spezifikationen und Audit-Rechten von Bedeutung. Aber auch die ganz praktische Gestaltung entsprechender Dokumentation, das Aufsetzen von Übermittlungsprozessen und schließlich die Archivierung im eigenen Unternehmen stellen Herausforderungen dar.

Die von Unternehmen üblicherweise unterhaltenen (Industrie-)Versicherungs­produkte sichern den Versicherungsnehmer nicht gegen alle bei einem Cybervorfall regelmäßig entstehenden Schäden und Aufwendungen ab. Hier schließt insbesondere die zunehmend auf dem Markt angebotene Cyberversicherung wichtige Deckungslücken. Sie bietet weitergehenden Versicherungsschutz für bestimmte aus einem Cyberangriff resultierende Haftpflichtschäden, Eigenschäden (wie z.B. Betriebsunterbrechung) und die mit einem solchen Angriff einhergehenden Kosten, z.B. für IT-Forensik und Datenwiederherstellung. Bei Abschluss einer Cyberversicherung muss das Unternehmen prüfen, welche konkreten Risiken abgedeckt sind. Beispielsweise sind nicht unter allen angebotenen Produkten auch alle Varianten einer Denial-of-Service-Attacke versichert. Generell sind verdeckte Deckungsausschlüsse zu beachten. Gleiches gilt hinsichtlich Fehler von Mitarbeitern, einem in der Praxis relativ häufigen Fall. Zudem ist vor Abschluss zu prüfen, welcher Schutz bereits über die konventionellen, vom Unternehmen unterhaltenen Versicherungen besteht.