Aktuelles, Branche, Studien - geschrieben von dp am Freitag, Februar 7, 2025 0:20 - ein Kommentar
Dennis Weyel erinnert im NIS-2-Kontext daran: Firmenleitung haftet bei Cyber-Attacken!
Laut aktueller Manager-Umfrage ist sich nur knapp die Hälfte ihrer Verantwortung für Cyber-Sicherheit bewusst
[datensicherheit.de, 07.02.2025] Die Verantwortung für die Cyber-Sicherheit der Unternehmen ist häufig beim IT-Management ansiedelt, selten indes im Vorstand oder bei der Geschäftsführung – dies ist demnach eine Erkenntnis aus dem aktuellen „Cyber Security Report DACH“ des Sicherheitsunternehmens Horizon3.ai. Dennis Weyel, dessen „International Technical Director“ mit Zuständigkeit für Europa, zeigt sich verwundert: „Den meisten Vorständen oder Geschäftsführern scheint gar nicht klar zu sein, dass sie ohne Wenn und Aber persönlich in der Haftung stehen, wenn es durch einen ernsthaften Cyber-Angriff etwa zu einer Betriebsunterbrechung kommt, personenbezogene Daten entwendet werden oder schlimmstenfalls sogar Insolvenz angemeldet werden muss!“
Oberste Leitungsebene über alle Branchen hinweg sollte regelmäßig die Cyber-Resilienz ihrer Einrichtungen überprüfen
Angesichts von täglich mehr als 4.000 Attacken allein auf deutsche Unternehmen, wie es aus dem letzten Lagebericht des Bundesamtes für Informationssicherheit (BSI) hervorgehe, sei diese „Blindheit gegenüber der Verantwortung“ als „grob fahrlässig“ einzustufen.
Er empfiehlt daher der Obersten Leitungsebene über alle Branchen hinweg Weisung zu geben, mindestens einmal im Monat oder sogar wöchentlich durch sogenannte Penetrationstests („Pentest“) – im Finanzsektor von der EZB als „Stresstest“ bezeichnet – die Cyber-Resilienz ihrer Firmen überprüfen zu lassen.
Laut „Cyber Security Report DACH“ liege die Verantwortung für die IT-Sicherheit in den Unternehmen beim – in dieser Reihenfolge – „Chief Technology Officer“ (CTO, 24% der Firmen), „Chief Information Officer“ (CIO, 18%) bzw. IT-Einkaufsleiter (18%), Leiter der Abteilung „Digitales“ (15%), „Chief Information Security Officer“ (CISO, 13%) oder Manager für „Risiko und Compliance“ (7%). Ein knappes Zehntel (9%) habe den Verantwortungsbereich „IT-Sicherheit“ an eine externe Beratungsfirma gegeben. „In Wahrheit liegt die Verantwortung im Fall der Fälle aber bei allen Vorständen oder allen Geschäftsführern!“, unterstreicht Weyel nachdrücklich.
2024 über 200 Milliarden Euro Schaden durch Cyber-Kriminalität
„In der Umfrage erklärte beinahe die Hälfte (48%), dass sie sich der persönlichen Haftung auf Top-Managementebene bewusst seien. Ein Drittel gab sich von dieser Rechtsposition überrascht, zwölf Prozent behaupteten, von dieser Haftung ,noch nie gehört’ zu haben“, berichtet Weyel. Den mit Cyber-Kriminalität verbundenen Schaden habe ein gutes Drittel (34%) auf 100 bis 200 Milliarden Euro allein in Deutschland geschätzt – 28 Prozent seien von 200 bis 300 Milliarden Euro Schadenshöhe ausgegangen, 22 Prozent von 50 bis 100 Milliarden Euro, und 15 Prozent von weniger als 50 Milliarden Euro. Damit lägen knapp zwei Drittel der Befragten in der Größenordnung richtig: „Der IT-Branchenverband geht von etwas über 200 Milliarden Euro Schadenssumme im letzten Jahr aus.“
„Obgleich dem Gros der Führungskräfte das Gefahrenpotenzial und ihre persönliche Haftung bewusst sind, gehen sie vergleichsweise lax damit um“, kommentiert Weyel und spekuliert: „Möglicherweise gehen viele Top-Manager davon aus, dass ihre ,D&O’-Versicherung zusammen mit einer Cybercrime-Versicherung schon für alle eventuellen Schäden aufkommen werden. Doch wenngleich beide Versicherungen sinnvoll sind, ist eine Schadensregulierung im Fall der Fälle mitnichten per se gegeben!“
Eine ausreichende Absicherung vor Hacker-Angriffen und der Nachweis, dass Cyber-Attacken tatsächlich ins Leere laufen, stellten in der Regel eine wesentliche Grundlage für derartige Versicherungen dar. Spätestens bei möglichen Compliance-Verstößen etwa gegen die Netzwerk- und Informationssicherheitsrichtlinie der Europäischen Union (NIS-2) sei die Assekuranzfrage sicherlich alles Andere als geklärt.
NIS-2 betrifft Cyber-Sicherheit der gesamten Lieferkette
Rund 30.000 Unternehmen in Deutschland seien nun von den NIS-2-Bestimmungen betroffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) habe eigens eine Website eingerichtet, auf der Firmen prüfen könnten, ob sie darunter fallen. Weyel gibt zu bedenken: „Daher umfasst NIS-2 die gesamte Lieferkette. Fällt nur ein einziges Unternehmen in einer solchen Kette unter die NIS-2-Regelungen, dann gelten diese im Grunde für alle Firmen innerhalb der Kette.“ Er gibt hierzu ein Beispiel: „Wenn eine Firma ein Krankenhaus auf der Kundenliste stehen hat, dann ist sie betroffen, weil die Klinik als Kritische Infrastruktur eingestuft wird.“
Das deutsche Gesetz zur Umsetzung der Revision der Netzwerk- und Informationssicherheitsrichtlinie („NIS-2UmsuCG“) unterscheide zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“. Zur ersten Kategorie gehörten die Betreiber versorgungskritischer Anlagen ab einer bestimmten Versorgungsgröße wie beispielsweise große Telekommunikationsnetzbetreiber und Teile der Bundesverwaltung. Unter die zweite Kategorie fielen Firmen ab einer gewissen Mindestgröße aus den Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur und Weltraum sowie zusätzlich Unternehmen der Abfallwirtschaft, der Chemieindustrie, der Lebensmittelwirtschaft, bestimmte Produkthersteller wie für Medizinprodukte oder IT-Geräte, Maschinen- und Fahrzeugbauer sowie Forschungseinrichtungen.
Weyel warnt: „Wer meint, dass nur die jeweils betriebskritischen IT-Systeme betroffen sind, irrt gewaltig!“ Er verweist abschließend darauf, dass in der Gesetzesbegründung ausdrücklich festgelegt sei, dass darunter „sämtliche Aktivitäten der Einrichtung, für die IT-Systeme eingesetzt werden“ fielen, also beispielsweise auch der übliche Bürobetrieb oder die Buchhaltung.
Weitere Informationen zum Thema:
statista in Kooperation mit bitkom
Schäden durch Datendiebstahl, Industriespionage oder Sabotage in Deutschland im Jahr 2024
Bundesamt für Sicherheit in der Informationstechnik
NIS-2-Betroffenheitsprüfung
datensicherheit.de, 20.01.2025
NIS-2: Veeam-Umfrage in Deutschland kündet von vielen Baustellen der KRITIS-Betreiber / Nur 37 Prozent der Befragten tatsächlich konform zur NIS-2-Richtlinie
datensicherheit.de, 29.11.2024
NIS-2: EU leitet Vertragsverletzungsverfahren gegen Deutschland ein / Inzwischen ist mit einer NIS-2-Umsetzung nicht vor Herbst 2025 zu rechnen
datensicherheit.de, 25.11.2024
Offener Brief an Bundestag: TeleTrusT mahnt NIS-2-Umsetzung noch in laufender Legislaturperiode an / Ende der „Ampel“-Koalition darf nicht zur weiteren Verzögerung führen
ein Kommentar
Dennis Weyel erinnert im NISKontext daran: Firmenleitung haftet bei Cyber-Attacken!
Kommentieren
Aktuelles, Experten - Juli 14, 2025 13:27 - noch keine Kommentare
Windows 10: BSI warnt vor zunehmender Unsicherheit und rät zum Wechsel
weitere Beiträge in Experten
- Stärkung der Cybersicherheit in Bund und Ländern: BSI und Baden-Württemberg kooperieren
- Leibniz-Center for Industrial Security: CISPA fokussiert auf Zukunft der Cybersicherheit
- KI-Modelle: BfDI hat öffentliches Konsultationsverfahren gestartet
- Bitkom-Transparenzbericht 2025 veröffentlicht
- Urlaubsfotos in Sozialen Medien: Nur fünf Prozent machen Kindergesichter unkenntlich
Aktuelles, Branche, Studien - Juli 14, 2025 14:13 - noch keine Kommentare
KI-Waffe Deepfake: Betrug, Identitätsdiebstahl und Angriffe auf Unternehmen
weitere Beiträge in Branche
- Ameos Kliniken: Seit 7. Juli 2025 erhebliche IT-Ausfälle an allen deutschen Standorten
- Fragmentierte Cybersicherheit verursacht deren Schwächung
- Urlaub mit Social Media: Öffentliches WLAN nur geschützt nutzen
- Ambivalente Ransomware-Bedrohung: Sophos meldet weniger Attacken aber mehr Lösegeldzahlungen
- Check Point deckt neue Phishing-Domains von Scattered Spider auf
Aktuelles, Branche, Umfragen - Juli 9, 2025 19:03 - noch keine Kommentare
DigiCert-Umfrage: Manuelle Zertifikatsprozesse führen zu Ausfällen, Compliance-Fehlern und hohen Verlusten im Unternehmen
weitere Beiträge in Service
- Threat Hunting: Bedeutung und Wertschätzung steigt
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
[…] Jump to article: http://www.datensicherheit.de/dennis-weyel-erinnerung-nis-2-kontext-firmenleitung-haftung-cyber-attacken […]