Latest / frag.hugo – Compliance für Chefs / NIS2-Haftung: Was Geschäftsführer persönlich trifft

Transcript

NIS2-Haftung: Was Geschäftsführer persönlich trifft · frag.hugo – Compliance für Chefs

• 0:04
  Hugo: Paragraf achtunddreißig des Gesetzes über das BSI richtet sich nicht an das Unternehmen, sondern an die Geschäftsleitung selbst.
• 0:10
  Hugo: Das haben viele Chefs noch nicht auf dem Schirm.
• 0:13
  Katrin: Ich dachte, NIS2 ist ein Thema für unsere IT.
• 0:16
  Katrin: Was hat das mit mir persönlich zu tun?
• 0:19
  Hugo: Drei Dinge.
• 0:20
  Hugo: Sie müssen die Sicherheitsmaßnahmen umsetzen und überwachen, Sie müssen sich regelmäßig schulen lassen, und Sie haften für schuldhaft verursachte Schäden.
• 0:28
  Katrin: Haften heißt: mit meinem Privatvermögen?
• 0:31
  Hugo: Im schlimmsten Fall ja, gegenüber dem eigenen Unternehmen.
• 0:34
  Hugo: Wann das droht und wie Sie es vermeiden, klären wir heute an drei typischen Fällen.
• 0:38
  Katrin: Was weiß ich nach dieser Folge, was ich jetzt nicht weiß?
• 0:41
  Hugo: Welche Pflichten Sie selbst erfüllen müssen, wann Sie persönlich zahlen und welche Unterlagen Sie im Ernstfall schützen.
• 0:47
  Katrin: Gilt das für jede Firma?
• 0:49
  Hugo: Nur für die Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen.
• 0:53
  Hugo: Ob Ihr Unternehmen dazugehört, war das Thema von Folge eins.
• 0:57
  Katrin: Wir sind mit hundertachtzig Leuten im Maschinenbau eine wichtige Einrichtung.
• 1:01
  Katrin: Wer zählt bei uns als Geschäftsleitung?
• 1:04
  Hugo: Jede Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag die Geschäfte führt und das Unternehmen vertritt.
• 1:09
  Hugo: In der GmbH sind das die Geschäftsführer, in der Aktiengesellschaft der Vorstand.
• 1:14
  Katrin: Bei uns kümmert sich der IT-Leiter um die Sicherheit, zusammen mit einem externen Dienstleister.
• 1:19
  Katrin: Reicht das nicht?
• 1:20
  Hugo: Für die Arbeit ja, für die Verantwortung nein.
• 1:23
  Hugo: Die Gesetzesbegründung sagt: Auch wenn Sie Hilfspersonen einschalten, bleibt die Geschäftsleitung letztverantwortlich.
• 1:29
  Katrin: Was heißt das praktisch?
• 1:31
  Katrin: Ich kann nicht jede Firewall-Regel selbst prüfen.
• 1:34
  Hugo: Müssen Sie auch nicht.
• 1:35
  Hugo: Laut Begründung müssen Sie die konkreten Maßnahmen als geeignet billigen und ihre Umsetzung laufend überwachen.
• 1:42
  Katrin: Billigen heißt was genau?
• 1:43
  Katrin: Eine Unterschrift unter ein Konzept?
• 1:46
  Hugo: Eine bewusste Entscheidung.
• 1:47
  Hugo: Sie lassen sich die Risikoanalyse und die geplanten Maßnahmen vorlegen, fragen nach und beschließen sie in der Geschäftsführung.
• 1:54
  Hugo: Gemeint sind die Maßnahmen nach Paragraf dreißig, etwa Notfallplanung mit Backups, Zugriffskontrolle, Mehr-Faktor-Anmeldung und die Sicherheit der Lieferkette.
• 2:03
  Hugo: Den Beschluss halten Sie schriftlich fest.
• 2:05
  Katrin: Und überwachen?
• 2:06
  Katrin: Reicht einmal im Jahr ein Bericht?
• 2:09
  Hugo: Das Gesetz nennt keinen Takt.
• 2:11
  Hugo: Praktikabel ist ein kurzer Bericht in jedem Quartal: Was ist umgesetzt, was ist offen, welche Vorfälle gab es?
• 2:17
  Katrin: Und wenn mein IT-Leiter sagt, alles im grünen Bereich, und ich das nicht beurteilen kann?
• 2:22
  Hugo: Dann fragen Sie nach Belegen statt nach Ampelfarben.
• 2:25
  Hugo: Etwa nach dem letzten Test der Rücksicherung, dem Anteil der Konten mit Mehr-Faktor-Anmeldung und den offenen Punkten aus der letzten Prüfung.
• 2:32
  Katrin: Wir sind zwei Geschäftsführer, mein Kollege macht die Technik und ich das Kaufmännische.
• 2:37
  Katrin: Bin ich damit raus?
• 2:38
  Hugo: Nein.
• 2:38
  Hugo: Die Pflichten treffen jedes Mitglied der Geschäftsleitung, das betont das BSI ausdrücklich für die Schulung.
• 2:45
  Hugo: Und im GmbH-Gesetz steht, dass Geschäftsführer, die ihre Pflichten verletzen, solidarisch haften.
• 2:51
  Hugo: Also nebeneinander, jeder grundsätzlich auf den ganzen Schaden.
• 2:55
  Katrin: Dann muss ich mich auch schulen lassen.
• 2:57
  Katrin: Wie lange und wie oft?
• 2:59
  Hugo: Laut Gesetzesbegründung gelten Schulungen als regelmäßig, wenn sie mindestens alle drei Jahre stattfinden.
• 3:04
  Hugo: Für die Kostenschätzung hat der Gesetzgeber eine halbtägige Schulung angenommen, also vier Stunden.
• 3:10
  Hugo: Das BSI hält vier Stunden aber in den allermeisten Fällen für zu wenig.
• 3:14
  Hugo: Und das Mindestintervall von drei Jahren in den seltensten Fällen für ausreichend.
• 3:18
  Katrin: Woran soll ich mich dann orientieren?
• 3:20
  Hugo: An Ihrem Risiko und Ihrem Vorwissen, sagt das BSI.
• 3:23
  Hugo: Gleichen Sie die Inhalte eines Angebots mit der Handreichung des BSI zur Schulung von Geschäftsleitungen ab.
• 3:29
  Katrin: Kann ich die Schulung aufteilen, zum Beispiel jedes Jahr ein Stück?
• 3:33
  Hugo: Ja, das BSI hält eine Aufteilung grundsätzlich für möglich.
• 3:36
  Hugo: Wichtig ist, dass Sie danach Risiken erkennen und bewerten können.
• 3:40
  Katrin: Und wenn ich die Schulung einfach nicht mache?
• 3:43
  Katrin: Gibt es dafür ein Bußgeld?
• 3:44
  Hugo: Im Bußgeldkatalog des Paragrafen fünfundsechzig fehlt die Schulungspflicht, doch bei Hinweisen auf Mängel kann das BSI sie prüfen und anordnen.
• 3:52
  Hugo: Wer eine solche Anordnung missachtet, riskiert ein Bußgeld.
• 3:56
  Hugo: Dazu kommt die Haftung.
• 3:57
  Hugo: Ohne Schulung wird es schwer zu belegen, dass Sie die Maßnahmen sachkundig gebilligt haben.
• 4:02
  Katrin: Was soll ich also diese Woche tun?
• 4:04
  Hugo: Legen Sie per Beschluss fest, wer Ihnen über Informationssicherheit berichtet, und lassen Sie sich die Maßnahmen zur Billigung vorlegen.
• 4:10
  Hugo: Planen Sie dann für jedes Mitglied der Geschäftsleitung eine Schulung ein.
• 4:14
  Hugo: Und bewahren Sie Beschluss, Berichte und Teilnahmebescheinigungen geordnet auf.
• 4:18
  Katrin: Nehmen wir an, wir werden verschlüsselt, zwei Wochen Stillstand und zwei Millionen Euro Schaden.
• 4:24
  Katrin: Wer zahlt?
• 4:25
  Hugo: Zuerst das Unternehmen.
• 4:26
  Hugo: Dann stellt sich die Frage, ob die Geschäftsführung ihre Pflichten verletzt hat.
• 4:31
  Hugo: Paragraf achtunddreißig, Absatz zwei verweist dafür auf das Gesellschaftsrecht Ihrer Rechtsform.
• 4:37
  Hugo: Bei der GmbH ist das Paragraf dreiundvierzig des GmbH-Gesetzes.
• 4:41
  Katrin: Und was steht da?
• 4:42
  Hugo: Geschäftsführer müssen die Sorgfalt eines ordentlichen Geschäftsmannes anwenden.
• 4:46
  Hugo: Wer seine Pflichten verletzt, haftet der Gesellschaft für den entstandenen Schaden.
• 4:50
  Katrin: Also hafte ich für jeden Angriff?
• 4:52
  Katrin: Hundertprozentige Sicherheit gibt es doch nicht.
• 4:55
  Hugo: Nein.
• 4:55
  Hugo: Das Gesetz verlangt einen schuldhaft verursachten Schaden, und ein Angriff allein beweist noch keine Pflichtverletzung.
• 5:02
  Hugo: Kritisch wird es, wenn bekannte Lücken offen blieben.
• 5:04
  Hugo: Etwa wenn der Dienstleister die fehlende Mehr-Faktor-Anmeldung gemeldet hat und niemand entschieden hat.
• 5:10
  Katrin: Wer würde mich überhaupt in Anspruch nehmen?
• 5:12
  Katrin: Das Unternehmen bin ja irgendwie ich.
• 5:14
  Hugo: In der GmbH beschließen die Gesellschafter, ob Ersatzansprüche gegen Geschäftsführer geltend gemacht werden.
• 5:20
  Hugo: So steht es in Paragraf sechsundvierzig des GmbH-Gesetzes.
• 5:23
  Hugo: Denkbar ist das etwa nach einem Verkauf an neue Eigentümer, in der Insolvenz oder bei Streit unter Gesellschaftern.
• 5:29
  Katrin: Und wenn mich die Gesellschafter am Jahresende entlasten?
• 5:32
  Katrin: Ist die Sache dann erledigt?
• 5:34
  Hugo: Auch die Entlastung beschließen die Gesellschafter.
• 5:36
  Hugo: Ein ausdrückliches Verbot, auf solche Ansprüche zu verzichten, enthält das deutsche Gesetz über das BSI nicht.
• 5:42
  Hugo: Ob eine Entlastung auch Ansprüche aus den NIS2-Pflichten erfasst, ist Stand heute nicht abschließend geklärt.
• 5:48
  Hugo: Verlassen Sie sich deshalb nicht darauf.
• 5:50
  Katrin: Wie lange hängt so etwas über mir?
• 5:52
  Hugo: Ansprüche nach Paragraf dreiundvierzig verjähren in fünf Jahren.
• 5:56
  Hugo: Bewahren Sie Ihre Unterlagen also mindestens so lange auf.
• 5:59
  Katrin: Wir sind eine GmbH.
• 6:00
  Katrin: Was wäre bei einer Aktiengesellschaft anders?
• 6:03
  Hugo: Dort gilt Paragraf dreiundneunzig des Aktiengesetzes.
• 6:06
  Hugo: Ist die Sorgfalt streitig, muss der Vorstand beweisen, dass er sorgfältig gehandelt hat.
• 6:11
  Hugo: Zugleich schützt ihn eine Regel.
• 6:13
  Hugo: Keine Pflichtverletzung liegt vor, wenn er bei einer unternehmerischen Entscheidung annehmen durfte, auf Grundlage angemessener Information zum Wohl der Gesellschaft zu handeln.
• 6:22
  Katrin: Angemessene Information heißt also wieder: dokumentieren.
• 6:26
  Hugo: Ja.
• 6:26
  Hugo: Halten Sie fest, welche Risiken Ihnen vorlagen, welche Möglichkeiten es gab und warum Sie sich so entschieden haben.
• 6:32
  Hugo: Dann ist auch eine bewusste Entscheidung nachvollziehbar, etwas erst später umzusetzen.
• 6:38
  Hugo: Für die GmbH steht diese Regel nicht im Gesetz, die Dokumentation hilft Ihnen trotzdem.
• 6:43
  Katrin: Und meine Manager-Haftpflichtversicherung?
• 6:46
  Katrin: Die zahlt doch.
• 6:47
  Hugo: Prüfen Sie das im Vertrag, nicht nach Gefühl.
• 6:49
  Hugo: Fragen Sie Ihren Versicherungsmakler, ob Pflichtverletzungen aus dem Gesetz über das BSI gedeckt sind und welche Ausschlüsse gelten.
• 6:56
  Hugo: Für Vorstände einer Aktiengesellschaft schreibt das Aktiengesetz außerdem einen Selbstbehalt vor.
• 7:01
  Hugo: Mindestens zehn Prozent des Schadens, bis mindestens zum Eineinhalbfachen der festen Jahresvergütung.
• 7:07
  Katrin: Was ist mit Rechtsformen, für die das Gesellschaftsrecht gar keine solche Haftung kennt?
• 7:11
  Hugo: Für die gibt es eine Auffangregel.
• 7:13
  Hugo: Dann haftet die Geschäftsleitung direkt nach Paragraf achtunddreißig, Absatz zwei.
• 7:19
  Katrin: Neben dem Schadenersatz gibt es Bußgelder.
• 7:21
  Katrin: Zahle ich die selbst?
• 7:23
  Hugo: Das Bußgeld nach Paragraf fünfundsechzig richtet sich in erster Linie gegen das Unternehmen.
• 7:27
  Hugo: Für fehlende Maßnahmen, Dokumentation oder Meldungen sind es bei wichtigen Einrichtungen bis sieben Millionen Euro.
• 7:34
  Hugo: Bei besonders wichtigen Einrichtungen bis zehn Millionen Euro.
• 7:37
  Hugo: Bei mehr als fünfhundert Millionen Euro weltweitem Umsatz sind es bis eins Komma vier Prozent davon bei wichtigen, bis zwei Prozent bei besonders wichtigen Einrichtungen.
• 7:46
  Katrin: Und mich persönlich kann es nicht treffen?
• 7:48
  Hugo: Doch, möglicherweise.
• 7:49
  Hugo: Das Ordnungswidrigkeitengesetz kennt die Aufsichtspflichtverletzung in Paragraf hundertdreißig.
• 7:54
  Hugo: Wer als Inhaber die erforderliche Aufsicht unterlässt und es dadurch zu einem Verstoß kommt, handelt selbst ordnungswidrig.
• 8:01
  Hugo: Über Paragraf neun desselben Gesetzes kann das auch Geschäftsführer treffen.
• 8:05
  Katrin: Ist das bei NIS2 schon so entschieden worden?
• 8:08
  Hugo: Wie das bei Verstößen gegen das Gesetz über das BSI gehandhabt wird, ist Stand heute nicht abschließend geklärt.
• 8:14
  Hugo: Rechnen Sie damit, dass es möglich ist.
• 8:16
  Katrin: Was heißt Aufsicht in meinem Fall?
• 8:18
  Hugo: Laut Gesetz gehören dazu auch Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.
• 8:23
  Hugo: Also: Wen haben Sie mit der Sicherheit betraut, und kontrollieren Sie, ob die Arbeit erledigt wird?
• 8:29
  Katrin: Reicht es, wenn ich einen Beauftragten für Informationssicherheit benenne?
• 8:33
  Hugo: Das ist eine sinnvolle Aufsichtsperson, ersetzt aber nicht Ihre eigene Überwachung.
• 8:38
  Hugo: Lassen Sie sich berichten, und reagieren Sie nachweisbar auf die Hinweise.
• 8:42
  Katrin: Ich habe gelesen, man kann Geschäftsführern sogar die Arbeit verbieten.
• 8:46
  Katrin: Stimmt das?
• 8:47
  Hugo: Das gibt es, aber eng begrenzt.
• 8:49
  Hugo: Paragraf einundsechzig, Absatz neun gilt nur für besonders wichtige Einrichtungen.
• 8:54
  Hugo: Befolgt eine solche Einrichtung Anordnungen des BSI trotz Frist nicht, kann die zuständige Aufsichtsbehörde als letztes Mittel eingreifen.
• 9:02
  Hugo: Sie kann unzuverlässigen Geschäftsleitungen ihre Tätigkeit vorübergehend untersagen.
• 9:07
  Hugo: Das gilt nur, bis die Anordnung befolgt ist.
• 9:09
  Hugo: Für wichtige Einrichtungen wie Ihre sieht der Wortlaut des Gesetzes diese Maßnahme nicht vor.
• 9:14
  Katrin: Wie kommt das BSI überhaupt dazu, bei uns genauer hinzuschauen?
• 9:18
  Hugo: Bei besonders wichtigen Einrichtungen kann es Audits und Prüfungen auch ohne Anlass anordnen.
• 9:23
  Hugo: Bei wichtigen Einrichtungen wird es tätig, wenn Tatsachen auf Mängel hindeuten.
• 9:27
  Katrin: Wo kann ich im Ernstfall am schnellsten etwas falsch machen?
• 9:30
  Hugo: Bei der Meldung.
• 9:31
  Hugo: Die frühe Erstmeldung eines erheblichen Sicherheitsvorfalls ist unverzüglich fällig, spätestens nach vierundzwanzig Stunden.
• 9:38
  Hugo: Wer gar nicht, falsch oder zu spät meldet, riskiert denselben Bußgeldrahmen wie bei fehlenden Maßnahmen.
• 9:43
  Katrin: Wer entscheidet dann bei uns nachts, ob gemeldet wird?
• 9:46
  Hugo: Das legen Sie vorher fest, mit Vertretung.
• 9:48
  Hugo: Die Meldung darf nicht davon abhängen, dass ausgerechnet Sie erreichbar sind.
• 9:52
  Katrin: Und wenn wir uns noch gar nicht beim BSI registriert haben?
• 9:55
  Hugo: Dann holen Sie das sofort nach.
• 9:57
  Hugo: Eine versäumte Registrierung kann bis fünfhunderttausend Euro kosten.
• 10:01
  Katrin: Und danach ist das erledigt?
• 10:02
  Hugo: Nicht ganz.
• 10:03
  Hugo: Ändern sich Ihre Angaben, etwa die Kontaktdaten oder die öffentlichen IP-Adressbereiche, melden Sie das dem BSI unverzüglich, spätestens innerhalb von zwei Wochen.
• 10:13
  Katrin: Was nehme ich aus dieser Folge mit?
• 10:15
  Hugo: Erstens: Sicherheit lässt sich delegieren, die Verantwortung nicht.
• 10:19
  Hugo: Billigen Sie die Maßnahmen per Beschluss und lassen Sie sich regelmäßig berichten.
• 10:24
  Hugo: Zweitens: Jedes Mitglied der Geschäftsleitung muss sich schulen lassen.
• 10:28
  Hugo: Mindestens alle drei Jahre, laut BSI meist öfter und länger als vier Stunden.
• 10:33
  Hugo: Drittens: Dokumentieren Sie Risiken, Entscheidungen und Berichte.
• 10:37
  Hugo: Im Haftungsfall belegen nur diese Unterlagen, dass Sie sorgfältig gehandelt haben.
• 10:42
  Katrin: Und wenn ich unsicher bin, ob das bei mir reicht?
• 10:45
  Hugo: Diese Folge ersetzt keine Rechtsberatung im Einzelfall.
• 10:48
  Hugo: Klären Sie Ihre Rechtsform mit Ihrem Anwalt und Ihre Versicherung mit Ihrem Makler.
• 10:52
  Hugo: Einen ersten Baustein für Ihre Schulung nach Paragraf achtunddreißig, online und mit Teilnahmebescheinigung, finden Sie bei frag.hugo.