Rechtsanwalt für Cybersecurity – NIS-2, Incident Response & Haftung
Für Unternehmen mit Sicherheitspflichten – NIS-2-Umsetzung, Vorfallbewältigung und Haftungsfragen bei Cyberangriffen.
Cybersecurity und IT-Sicherheitsrecht für Unternehmen: Vorfälle, Leitungspflichten und belastbare Sicherheitsorganisation
ITMR Rechtsanwälte berät Unternehmen im IT-Sicherheitsrecht und bei Cybersecurity zu Sicherheitsvorfällen, NIS-2, Leitungspflichten, Lieferkette und Sicherheitsverträgen.
Cybersecurity wird zum Rechts- und Führungsthema, sobald Sicherheitsvorfälle, NIS-2-Druck, Großkunden, Versicherer, Aufsicht und Dienstleister zusammenkommen. Dann muss die Sicherheitsorganisation auch rechtlich und organisatorisch tragen. Entscheidend ist, ob Vorfallswege, Leitungsfreigaben, Nachweise, Lieferantenpflichten und Krisenreaktionen im Ernstfall funktionieren.
In Deutschland gilt seit dem 06.12.2025 das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (BSIG 2025) (öffnet in neuem Tab). Es setzt die europäische NIS-2-Richtlinie (EU) 2022/2555 (öffnet in neuem Tab) um.
Fachlich verantwortlich: Jean Paul P. Bohne, Fachanwalt für IT-Recht, KI-Beauftragter (DEKRA), geprüft am 23.10.2026
Schneller Einstieg: Worum geht es bei Ihnen?
Sicherheitsvorfall oder Datenpanne
Ransomware, kompromittierter Dienstleister oder Datenabfluss: Lagebild, Fristen und Meldewege zuerst ordnen.
Der Check gibt eine erste Orientierung zu Einrichtungskategorie und Registrierungspflicht nach BSIG 2025.
NIS-2 im Unternehmen umsetzen
Risikomanagement, Meldeprozess, Registrierung und Leitungsschulung als Umsetzungsplan aufsetzen.
Hersteller von Produkten mit digitalen Elementen prüfen mit dem CRA-Check, ob die Verordnung greift.
Banking-Betrug im Unternehmen
Unautorisierte Überweisung nach Phishing oder Fake-Anruf: Bankhaftung, Authentifizierung und Beweise prüfen und Rückforderung vorbereiten.
Rechtliche Risiken erfassen, Maßnahmen priorisieren und Nachweise für Leitung, Audit und Aufsicht strukturieren.
Ihr Ansprechpartner: Dr. Alexander Pleh
Partner und Fachanwalt für IT-Recht. Gemeinsam mit Jean Paul P. Bohne, Fachanwalt für IT-Recht.
Nach Ihrer Anfrage melden wir uns an Werktagen innerhalb von 24 Stunden. Sie werden ausdrücklich informiert, bevor Kosten entstehen.
- Kurze Beschreibung genügt. Schildern Sie kurz Lage, betroffene Systeme und Dienstleister sowie bekannte Zeitpunkte. Hilfreich sind Vorfallnotizen, Sicherheitsanhänge der Verträge und vorhandene Richtlinien.
- Eingang und Vorsortierung. Wir ordnen die Anfrage anhand des geschilderten Vorhabens, der Unterlagen und des erkennbaren Ziels fachlich ein. Fristen und Termine sollten direkt erkennbar sein.
- Passender Einstieg und Kostenrahmen. Wir klären, ob Erstberatung, Leistungspaket oder konkrete Mandatsaufnahme der nächste Schritt ist.
Kurz gesagt
Für besonders wichtige und wichtige Einrichtungen laufen nach § 32 BSIG Meldefristen von 24 Stunden, 72 Stunden und einem Monat. Die Geschäftsleitung muss Risikomanagement umsetzen, überwachen und sich regelmäßig schulen lassen.
Typische Fälle aus unserer Beratung zur Cybersecurity
Die folgenden Konstellationen begegnen uns regelmäßig. Sie sind abstrahiert und vereinfacht. Welche Pflichten greifen, hängt von Sektor, Größe, Vertragslage und Vorfallbild ab.
NIS-2Großkunde verlangt NIS-2-Nachweise
- Ausgangslage
- Ein SaaS-Anbieter erhält einen umfangreichen Sicherheitsfragebogen eines Großkunden mit Auditrecht und kurzer Antwortfrist.
- Entscheidende Schwierigkeit
- Das Unternehmen weiß nicht sicher, ob es selbst unter das BSIG 2025 fällt. Die vorhandenen Richtlinien sind technisch gut, aber nicht von der Geschäftsleitung freigegeben.
- Unsere Arbeit
- Wir prüfen die Betroffenheit nach § 28 BSIG, bereiten Freigaben nach § 38 BSIG vor und stimmen die Antworten mit der Vertragslage ab.
- Arbeitsergebnis
- Belastbare Antworten an den Kunden, ein Freigabeprotokoll der Leitung und eine klare Linie zur Registrierung.
Beispiel vereinfacht.
VertragCloud-Vertrag ohne Auditrechte
- Ausgangslage
- Ein Unternehmen lagert zentrale Prozesse in eine Cloud-Plattform aus. Der Standardvertrag enthält keine Auditrechte und keine Fristen für Vorfallmeldungen.
- Entscheidende Schwierigkeit
- Für die eigene Lieferkettensicherheit nach § 30 BSIG braucht das Unternehmen Informations- und Mitwirkungsrechte gegenüber dem Anbieter.
- Unsere Arbeit
- Wir priorisieren die Vertragslücken, formulieren einen Sicherheitsanhang und bereiten die Verhandlung vor.
- Arbeitsergebnis
- Sicherheitsanhang mit Auditrechten, Meldefristen, Unterauftragnehmerregeln und Exit-Unterstützung.
Beispiel vereinfacht.
Arbeitsprobe
Ransomware beim Managed-Service-Dienstleister
Ein mittelständischer Hersteller stellt fest, dass sein IT-Dienstleister kompromittiert wurde. Eigene Systeme sind teilweise verschlüsselt. Die eigentliche Schwierigkeit: Unklar ist, ob das Unternehmen als wichtige Einrichtung meldepflichtig ist und ob zugleich eine Datenschutzverletzung vorliegt. Der Vertrag mit dem Dienstleister regelt Vorfallmeldungen nur allgemein. Wir ordnen die Pflichtenlage nach § 32 BSIG und Art. 33 DSGVO, sichern Beweise und Fristen und steuern die Kommunikation mit Dienstleister, Versicherer und Kunden. Ergebnis unserer Arbeit: Dokumentiertes Lagebild, fristgerechte Meldungen und eine Grundlage für spätere Regressfragen gegenüber dem Dienstleister.
Die Konstellation ist anonymisiert und vereinfacht; sie beschreibt unsere Arbeitsweise, nicht den Ausgang eines bestimmten Verfahrens.
Die Grundmatrix im IT-Sicherheitsrecht
Belastbare Cybersecurity entsteht dort, wo Vorfall, Leitung, Vertrag und Nachweis zusammenpassen. Bleibt eine dieser Ebenen unscharf, wird aus einem Sicherheitsproblem schnell ein Aufsichts-, Haftungs-, Kunden- oder Versicherungsproblem.
Cybersecurity ist deshalb mehr als Technik und kein Sammelbegriff für alles Digitale. Im Mittelpunkt stehen Vorfallsteuerung, IT-Sicherheitsrecht, Leitungspflichten, NIS-2, Lieferkette, Sicherheitsverträge, Dokumentation und die Frage, wie ein Unternehmen Sicherheitsrisiken wirtschaftlich beherrschbar hält.
1. Was ist die konkrete Lage?
Ransomware, Systemausfall, kompromittierter Dienstleister, auffällige Logdaten oder eine Störung mit noch unklarer Sicherheitsdimension.
NIS-2-Betroffenheit, Kundenfragebogen, Versicherer, Due Diligence oder Registrierungs- und Nachweisfragen.
Vertrag / Lieferkette
Cloud-, Hosting-, SaaS-, Plattform- oder Outsourcing-Verträge bilden Sicherheitsanforderungen operativ nicht durchsetzbar ab.
Leitungspflichten, Freigaben, Schulungen, Berichtswege und Dokumentation bleiben hinter dem Risikoprofil des Unternehmens zurück.
2. Wo liegen die typischen Rechts- und Projektrisiken?
Meldewege, Informationspflichten, Kundenkommunikation, Versicherer, Aufsicht und vertragliche Eskalation.
Ressourcen, Freigaben, Zuständigkeiten, Berichtswege, Überwachung, Schulung und Haftungsnähe.
Audit-Rechte, Reaktionsfristen, Vorfallpflichten, Unterauftragnehmerlogik, Exit und Beweiszugang.
Ob Maßnahmen freigegeben, umgesetzt, überwacht, geschult und dokumentiert sind. Der Nachweis muss auch für Dritte belastbar sein.
Praktische Konsequenz: Ein gutes technisches Sicherheitsniveau ist wichtig. Die entscheidenden juristischen Fragen beantwortet es allein noch nicht. Maßgeblich ist, ob Vorfallswege, Leitungsentscheidungen, Lieferantenpflichten und Nachweise im Konflikt, im Audit und gegenüber Dritten tragfähig zusammenlaufen.
Die drei tragenden Fallachsen
Cybersecurity wird in Unternehmen selten wegen einer Definition mandatsrelevant. Ausschlaggebend ist meist eine Lage, in der technische Unsicherheit in eine Führungs-, Aufsichts-, Vertrags- oder Haftungsfrage umschlägt.
Systemstörung, Ransomware, kompromittierter Dienstleister oder ein Ereignis, das intern noch nicht sauber zwischen Sicherheitsvorfall, Vertragsstörung und Datenschutzverletzung getrennt ist. Hier zählen juristische Triage, Fristen, Beweissicherung und die richtige Reihenfolge der Kommunikation.
NIS-2-Betroffenheit, Auditvorbereitung, Kundenfragebögen, Versicherer oder Registrierungsfragen zeigen, ob Maßnahmen freigegeben, geschult, überwacht und dokumentiert wurden. Eine erste Einschätzung zur Betroffenheit und Registrierungspflicht liefert unser NIS-2-Betroffenheitscheck.
Vertrag und Lieferkette
Sicherheitsanforderungen bleiben oft weich, weil Verträge, Sicherheitsanhänge, Audit-Rechte, Vorfallmeldungen, Unterauftragnehmer und Exit-Regeln nicht zusammenpassen. Gute Technik ohne durchsetzbare Vertragslage bleibt in Krisen häufig zu kurz.
Für die Geschäftsleitung sofort prüfbar
- Wer entscheidet im Vorfall und wer spricht extern?
- Welche Melde- und Informationswege können bereits anlaufen?
- Welche Dienstleister, Verträge und Drittkomponenten sind betroffen?
- Welche Entscheidungen müssen später gegenüber Aufsicht, Kunden, Versicherern oder Gesellschaftern nachvollziehbar bleiben?
Was in den ersten 72 Stunden zählt
Im Sicherheitsvorfall entscheidet die Reihenfolge. Das sauberste Lagebild schützt später besser gegen Haftung, Widersprüche und vermeidbare Eskalation als die schnellste externe Aussage.
- betroffene Systeme, Prozesse, Daten und Dienstleister identifizieren
- interne Zuständigkeiten und Freigabewege festziehen
- Vorfallbild, Zeitpunkte, Logs, Kommunikationsstände und erste Maßnahmen dokumentieren
- Vertragslage, Versicherer und mögliche regulatorische Schnittstellen mitziehen
- keine vorschnellen Schuldzuweisungen oder belastbaren Zusagen nach außen
- keine isolierte Technik-Kommunikation ohne juristische Triage
- keine Melde- oder Kundenkommunikation auf unsauberem Sachverhalt aufbauen
- keine Beweislage durch ungeordnete Bereinigung oder Dokumentationslücken schwächen
- welche Pflichtenlage tatsächlich mitläuft
- ob Datenschutz, Cybersecurity, Vertrag oder Aufsicht den Schwerpunkt bildet
- welche Fristen und Eskalationswege relevant werden können
- welche Verträge, Sicherheitsanhänge und Dienstleister sofort mitzudenken sind
- welche Kommunikationslinie intern und extern trägt
- wie BSI, Kunden, Versicherer, Investoren oder Vertragspartner adressiert werden
- welche Nachbereitung später Regress, Verteidigung oder Vertragsumbau ermöglichen soll
- welche Leitungsentscheidungen dokumentationsfest vorbereitet werden müssen
Wiederkehrender Fehler: Teuer wird die Lage meist durch die Kombination aus unklarer Zuständigkeit, schwacher Dokumentation, vertraglicher Lücke und verspäteter Leitungseinbindung. Diese Architekturfehler treiben Folgekosten und Haftungsdruck stärker als der einzelne technische Defekt.
NIS-2 und BSIG 2025: Fristen und Pflichten im Überblick
Das BSIG 2025 unterscheidet nach § 28 BSIG (öffnet in neuem Tab) besonders wichtige Einrichtungen und wichtige Einrichtungen. Maßgeblich sind Sektor, Mitarbeiterzahl sowie Umsatz und Bilanzsumme. Für beide Gruppen gelten Risikomanagement, Meldepflichten, Registrierung und Leitungspflichten.
| Schritt | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntnis | Verdacht auf rechtswidrige oder böswillige Handlung, mögliche grenzüberschreitende Auswirkungen |
| Meldung | unverzüglich, spätestens 72 Stunden nach Kenntnis | Bestätigung oder Aktualisierung, erste Bewertung von Schweregrad und Auswirkungen |
| Zwischenmeldung | auf Ersuchen des BSI | relevante Statusaktualisierungen |
| Abschlussmeldung | spätestens einen Monat nach der Meldung | ausführliche Beschreibung, Ursache, Abhilfemaßnahmen. Dauert der Vorfall an, zunächst Fortschrittsmeldung |
Neben den Meldungen verlangt § 30 BSIG (öffnet in neuem Tab) geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Nach § 33 BSIG (öffnet in neuem Tab) müssen sich betroffene Einrichtungen spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren. Personenbezogene Daten lösen daneben eigene Pflichten nach Art. 33 DSGVO aus. Diese europäische Meldung an die Datenschutzaufsicht läuft getrennt von der Meldung an das BSI.
Kurz gesagt
Die BSIG-Meldung an das BSI und die DSGVO-Meldung an die Datenschutzaufsicht sind zwei getrennte Wege mit eigenen Fristen. Beide sollten aus einem gemeinsamen Lagebild gespeist werden.
Wann Technik ohne Vertragsumbau nicht reicht
Immer dann, wenn Sicherheitsanforderungen nicht im eigenen Haus enden. Bei Cloud-, SaaS-, Hosting-, Plattform-, Support- und Outsourcing-Modellen entscheidet der Vertrag oft darüber, ob Sicherheit im Ernstfall wirklich durchsetzbar bleibt.
- Audit-Rechte und belastbare Informationsrechte
- Vorfallmeldungen, Reaktionsfristen und Unterstützungsleistungen
- Unterauftragnehmerlogik und Weitergabepflichten
- Beweiszugang, Log-Zugriff und Mitwirkungspflichten
- Exit-Unterstützung und Krisenkooperation
Typische Vertragslücken
- allgemeine Sicherheitsversprechen ohne operative Rechte
- fehlende Eskalationsmechanik im Vorfall
- unklare Zuständigkeit bei Managed Services und White-Label-Strukturen
- Unterauftragnehmer ohne echte Kontroll- oder Durchgriffslogik
- fehlender Zugang zu Nachweisen und Protokollen
- kritische Cloud- und Hosting-Modelle
- SaaS- und Plattformbetrieb mit hohem Ausfall- oder Vorfalldruck
- Support- und Notfalllogiken in ausgelagerten Strukturen
- Lieferketten mit Open-Source- und Fremdkomponenten
- Verträge, die Security nur deklarieren und nicht steuerbar machen
Vertiefungen: IT-Vertrag / Softwarevertrag · Vertragsmanagement · Open Source Recht · Open Source Compliance: Open-Source-Compliance-Audit für Software
Leitungspflichten, Freigaben und Nachweise
Spätestens wenn Sicherheitsrisiken die Leitungsebene erreichen, wird Cybersecurity zur Führungs- und Haftungsfrage. Relevant sind neben den Maßnahmen auch Freigaben, Zuständigkeiten, Schulungen, Berichtswege, Budgetentscheidungen und dokumentierte Sicherheitsentscheidungen.
Für besonders wichtige und wichtige Einrichtungen regelt § 38 BSIG (öffnet in neuem Tab) diese Pflichten ausdrücklich. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach dem Gesellschaftsrecht der jeweiligen Rechtsform. Außerdem muss sie regelmäßig an Schulungen teilnehmen.
- dass wesentliche Risiken adressiert und nicht ignoriert wurden
- dass angemessene Ressourcen, Freigaben und Berichtswege bestanden
- dass Maßnahmen geschult, überwacht und nachgehalten wurden
- dass Entscheidungen auch organisatorisch dokumentiert wurden
Wo Haftungsnähe typischerweise entsteht
- bei sichtbarem Auseinanderfallen von Risikoprofil und Sicherheitsorganisation
- bei fehlender Eskalation trotz Warnsignalen
- bei formalen Policies ohne tragfähige Umsetzung
- bei Audit- und Aufsichtslagen ohne belastbare Nachweise
Leitungsnaher Prüfpunkt: Entscheidend ist, ob das Unternehmen später zeigen kann, dass Schutzmaßnahmen freigegeben, umgesetzt, überwacht und dokumentiert wurden. Genau dort wird aus Security häufig ein Organisationsproblem.
Die wichtigsten Abgrenzungen und Schnittstellen
Cybersecurity trägt eigenständig die Fragen rund um Sicherheitsvorfälle, NIS-2, Leitungspflichten, Lieferkette, Sicherheitsverträge und Nachweislogik. Je nach Schwerpunkt greifen benachbarte Spezialmaterien vertieft ein.
Datenschutzrecht und Datenpannen
Wenn personenbezogene Daten, Aufsichtsbehörden, Betroffenenrechte oder konkrete DSGVO-Meldepflichten den Schwerpunkt tragen, führen Datenschutzrecht und Hilfe bei Datenpannen näher an den eigentlichen Kern.
IT-Compliance und Rechtskataster
Prägt die übergreifende Steuerung digitaler Pflichten, Policies, Auditprogramme und Rollenmodelle den Fall, liegt der Schwerpunkt regelmäßig bei IT-Compliance & Rechtskataster.
IT-Recht und Vertragsarchitektur
Wenn die Hauptfrage im einzelnen Software-, Cloud-, Plattform- oder Outsourcing-Vertrag liegt, führt die Vertiefung über IT-Recht und IT-Vertrag / Softwarevertrag weiter.
Datenrecht und Interoperabilität
Wenn Datenzugang, Interoperabilität, Cloud-Wechsel und der wirtschaftliche Umgang mit Nutzungs- oder Produktdaten den Fall tragen, sind Datenrecht und Data Act umsetzen die näherliegenden Schwerpunkte.
Praxisrelevante Eingrenzung: Die Seite konzentriert sich auf sicherheitsnahe Mandatslagen mit Vorfallsdruck, Leitungsnähe, NIS-2, Lieferkette, Vertragsarchitektur und Nachweis. Sie ist bewusst keine allgemeine Datenschutz-, Daten- oder Compliance-Sammelseite.
Konstellationen, in denen Cybersecurity sofort wirtschaftlich relevant wird
Besonders heikel sind Situationen, in denen Sicherheitslage, Leitung, Nachweis und Vertragswirklichkeit gleichzeitig tragen müssen.
Technisch ist der Vorfall erkannt, aber unklar bleibt, welche juristischen Pflichten, Verträge, Meldewege und Kommunikationslinien sofort mitlaufen müssen.
Kunden, Konzernvorgaben, Versicherer oder Regulierung verlangen eine belastbare Sicherheitsorganisation, obwohl Rollen, Freigaben und Nachweise noch nicht tragfähig strukturiert sind.
Cloud-, SaaS-, Hosting- oder Outsourcing-Verträge tragen Sicherheit nicht
Audit-Rechte, Vorfallmeldungen, Reaktionsfristen, Unterstützungsleistungen, Unterauftragnehmerlogik und Exit-Pflichten sind rechtlich zu schwach oder praktisch nicht durchsetzbar.
Berichtswege, Budgetfreigaben, Schulungen, Zuständigkeiten und dokumentierte Entscheidungslinien reichen nicht aus, um Leitung und Organisation belastbar aufzustellen.
Lieferkette, Fremdsoftware oder Managed Services erzeugen Druck
Drittkomponenten, Open-Source-Bausteine, Managed Services und Unterauftragnehmer sind technisch eingebunden, aber nicht sauber in Nachweis-, Haftungs- und Sicherheitslogik integriert.
Datenschutz, Compliance und Security greifen ungeordnet ineinander
Es ist unklar, ob der Fall primär sicherheits-, datenschutz-, compliance- oder vertragsgetrieben ist und welcher regulatorische oder wirtschaftliche Schwerpunkt jetzt wirklich trägt.
Wie wir Unternehmen bei Cybersecurity unterstützen
In der Praxis scheitern Sicherheitslagen selten an einer einzelnen Maßnahme. Kritisch wird es, wenn ein Vorfall juristisch falsch eingeordnet wird, Verträge nicht durchgreifen oder die Geschäftsleitung Entscheidungen nicht sauber freigibt. Unsere Schwerpunkte sind Sicherheitsvorfälle und Incident Response, Leitungspflichten und Organhaftungsnähe, NIS-2, Audit und Aufsicht, Verträge und Lieferkette, Nachweis- und Dokumentationslogik sowie Governance an der Security-Schnittstelle.
| Leistung | Konkretes Ergebnis | Nächster Schritt |
|---|---|---|
| Vorfallbegleitung | Lagebild, Fristenplan und abgestimmte Meldungen | Vorfall kurz schildern und Zeitpunkte nennen |
| NIS-2-Betroffenheit | Einordnung nach § 28 BSIG und Linie zur Registrierung | Sektor, Mitarbeiterzahl und Umsatz übermitteln |
| NIS-2-Umsetzung | Maßnahmenplan nach § 30 BSIG mit Rollen und Nachweisen | Vorhandene Richtlinien senden |
| Leitungsfreigaben und Schulung | Freigabeprotokoll und Schulungskonzept nach § 38 BSIG | Termin mit der Geschäftsleitung abstimmen |
| Sicherheitsverträge | Sicherheitsanhang mit Auditrechten und Meldefristen | Dienstleisterverträge zur Prüfung senden |
| Produktsicherheit nach CRA | Einordnung von Produkten mit digitalen Elementen | Produktliste übermitteln |
Zentrale Begriffe im IT-Sicherheitsrecht
- Besonders wichtige Einrichtung
- Einrichtungskategorie nach § 28 Abs. 1 BSIG, etwa Betreiber kritischer Anlagen oder große Unternehmen bestimmter Sektoren.
- Wichtige Einrichtung
- Einrichtungskategorie nach § 28 Abs. 2 BSIG mit Risikomanagement-, Melde- und Registrierungspflichten.
- Erheblicher Sicherheitsvorfall
- Sicherheitsvorfall, der die Meldepflichten nach § 32 BSIG auslöst.
- Frühe Erstmeldung
- Erste Meldung an die gemeinsame Meldestelle spätestens 24 Stunden nach Kenntnis (§ 32 Abs. 1 Nr. 1 BSIG).
- Risikomanagementmaßnahmen
- Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach § 30 BSIG.
- Registrierungspflicht
- Pflicht zur Registrierung beim BSI spätestens drei Monate nach Eintritt der Betroffenheit (§ 33 BSIG).
- Incident Response
- Geordneter Prozess zur Erkennung, Eindämmung, Dokumentation und Nachbereitung eines Sicherheitsvorfalls.
- Lieferkettensicherheit
- Sicherheit in den Beziehungen zu Dienstleistern und Lieferanten als Teil des Risikomanagements.
Die Begriffe folgen dem BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes. Im Einzelfall kommt es auf Sektor, Größe und Dienst an.
Normen und Quellen
Deutsches Recht (DE) und Unionsrecht (EU) sind getrennt gekennzeichnet. Für Unternehmen gilt in Deutschland unmittelbar das BSIG 2025, die NIS-2-Richtlinie richtet sich an die Mitgliedstaaten.
| Norm | Inhalt | Bedeutung in der Praxis |
|---|---|---|
| § 28 BSIG (öffnet in neuem Tab) | Besonders wichtige und wichtige Einrichtungen | DE. Bestimmt, wer unter die Pflichten fällt. |
| § 30 BSIG (öffnet in neuem Tab) | Risikomanagementmaßnahmen | DE. Technische und organisatorische Maßnahmen einschließlich Lieferkette. |
| § 32 BSIG (öffnet in neuem Tab) | Meldepflichten | DE. 24 Stunden, 72 Stunden und ein Monat. |
| § 33 BSIG (öffnet in neuem Tab) | Registrierungspflicht | DE. Spätestens drei Monate nach Eintritt der Betroffenheit. |
| § 35 BSIG (öffnet in neuem Tab) | Unterrichtungspflichten | DE. Information betroffener Empfänger in bestimmten Sektoren. |
| § 38 BSIG (öffnet in neuem Tab) | Pflichten der Geschäftsleitung | DE. Umsetzung, Überwachung, Haftung und Schulung. |
| § 65 BSIG (öffnet in neuem Tab) | Bußgeldvorschriften | DE. Sanktionen bei Pflichtverstößen. |
| Richtlinie (EU) 2022/2555 (NIS-2) (öffnet in neuem Tab) | Mindestharmonisierung der Cybersicherheit | EU. Richtet sich an die Mitgliedstaaten. |
| Art. 33 DSGVO (öffnet in neuem Tab) | Meldung von Datenschutzverletzungen | EU. Gilt parallel bei personenbezogenen Daten. |
| Cyber Resilience Act (öffnet in neuem Tab) | Cybersicherheit von Produkten mit digitalen Elementen | EU. Verordnung mit gestaffelten Geltungsfristen. |
Quelle zur Lagebild-Grafik: Bundeskriminalamt: Statistiken und Lagebilder (öffnet in neuem Tab).
Häufige Fragen aus Unternehmen
Die folgenden Antworten geben eine belastbare Erstorientierung. Für die genaue Linie im Einzelfall bleiben Geschäftsmodell, Sektor, Vertragslage, Vorfallbild, technische Architektur und Dokumentationsstand entscheidend.
Wann wird aus IT-Sicherheit ein Organhaftungsthema?
Das Thema wird organschaftsnah, wenn bekannte Sicherheitsrisiken nicht adressiert, Warnsignale ignoriert oder angemessene Ressourcen nicht bereitgestellt werden. Gleiches gilt, wenn Pflichten aus Sicherheitsgesetzen oder Verträgen nicht strukturiert umgesetzt oder wesentliche Entscheidungen nicht dokumentiert werden. Besonders sensibel ist die Lage, wenn Sicherheitsorganisation, Leitungsfreigaben und Berichtslinien sichtbar hinter dem Risikoprofil zurückbleiben. ITMR Rechtsanwälte bereitet Freigaben und Dokumentation für die Leitung vor.
Wann reicht Technik ohne Vertragsumbau nicht?
Immer dann, wenn Sicherheitsanforderungen nicht im eigenen Haus enden. Bei Cloud-, SaaS-, Hosting-, Support- und Outsourcing-Modellen entscheidet der Vertrag oft darüber, ob Audit-Rechte, Vorfallmeldungen, Reaktionsfristen und Unterstützungspflichten durchsetzbar sind. Dasselbe gilt für Unterauftragnehmerkontrolle, Exit-Unterstützung und belastbare Nachweise. ITMR Rechtsanwälte prüft und verhandelt diese Sicherheitsanhänge.
Wann ist eher IT-Compliance als Cybersecurity einschlägig?
Dann, wenn die übergreifende Steuerung digitaler Pflichten im Unternehmen im Mittelpunkt steht und weniger die konkrete Sicherheits- oder Vorfalllage. Typische Signale sind Rechtskataster, Policy-Landschaften, Auditprogramme, Rollenmodelle und Schulungsmatrizen. Hinzu kommt die Frage, wie Datenschutz, Security, Künstliche Intelligenz und Verträge organisatorisch zusammengeführt werden. ITMR Rechtsanwälte ordnet den Schwerpunkt im Erstgespräch ein.
Ist Cybersecurity dasselbe wie Datenschutz?
Nein. Datenschutz ist ein wichtiger Teilbereich, sobald personenbezogene Daten betroffen sind. Cybersecurity geht darüber hinaus und umfasst auch Verfügbarkeit, Resilienz, Systemintegrität, Lieferkettensicherheit, Beweissicherung, Vorfallsteuerung und Leitungspflichten. Deshalb sollte der Schwerpunkt nicht vorschnell auf Datenschutz verengt werden. ITMR Rechtsanwälte verbindet beide Prüfungen.
Was muss nach einem erheblichen Sicherheitsvorfall zuerst stehen?
Zuerst braucht das Unternehmen einen belastbaren Sachverhalt. Geklärt werden müssen betroffene Systeme, Prozesse, Daten, Dienstleister, Verträge, laufende Fristen und mögliche Melde- oder Informationspflichten. Für meldepflichtige Einrichtungen läuft die frühe Erstmeldung nach § 32 BSIG spätestens 24 Stunden nach Kenntnis. Erst auf dieser Grundlage sollten Behördenkontakte, Vertragspartnerkommunikation, Versicherungsfragen und Regressschritte abgestimmt werden. ITMR Rechtsanwälte unterstützt an Werktagen kurzfristig bei dieser Triage.
Muss jedes Unternehmen wegen NIS-2 sofort gleich tief einsteigen?
Nein. Zunächst muss bestimmt werden, ob und warum das Unternehmen betroffen ist. Möglich ist eine unmittelbare Betroffenheit kraft Sektor und Größe nach § 28 BSIG, eine mittelbare über Konzernvorgaben oder eine vertragliche über Kundenanforderungen. Die richtige Tiefe ergibt sich erst aus dieser Betroffenheit. Das Thema bis zum ersten Audit oder Vorfall liegen zu lassen, ist fast nie sinnvoll. ITMR Rechtsanwälte klärt die Betroffenheit mit Ihnen.
Welche Pflichten hat die Geschäftsleitung nach dem BSIG 2025?
Nach § 38 BSIG muss die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach Gesellschaftsrecht. Zusätzlich muss sie regelmäßig an Schulungen teilnehmen. ITMR Rechtsanwälte bereitet Freigaben und Schulungen für die Leitung vor.
Akut reagieren oder Sicherheitsorganisation vorsorglich tragfähig aufsetzen
Sie möchten direkt mit einem IT-Fachanwalt sprechen? Ob akuter Vorfall oder Prävention, wir ordnen Vorfall, Auditdruck, Pflichtenlage und Vertragslage und bauen Leitungspflichten, Nachweise und Lieferkettenlogik so auf, dass spätere Audit-, Aufsichts- oder Vorfalllagen nicht erst im Krisenmodus sichtbar werden.
Cybersecurity verlangt häufig Beratung an mehreren Schnittstellen zugleich: IT-Sicherheitsrecht, Vertragsarchitektur, Governance, Datenschutz, Lieferkette und Sicherheitsorganisation. Ob Ihr Produkt mit digitalen Elementen unter den Cyber Resilience Act fällt, können Sie mit dem CRA-Check vorab einschätzen.
Dr. Alexander Pleh
Partner und Fachanwalt für IT-Recht. Besonders naheliegend bei Cybersecurity, IT-Sicherheitsrecht, NIS-2, Sicherheitsvorfällen, Vertragsarchitektur und technisch geprägten IT-Mandaten.
Jean Paul P. Bohne, LL.M., MM
Partner und Fachanwalt für IT-Recht. Besonders naheliegend, wenn Cybersecurity stark in Governance, Rechtskataster, Datenschutz-Compliance oder unternehmensweite Organisationsfragen übergeht.
Sinnvolle interne Vertiefungen bei ITMR
Rechtsstand: 23.10.2026. Die Darstellung gibt eine erste Orientierung und ersetzt keine Prüfung des konkreten Falls.
Cybercrimein Deutschland
Interaktive Lagebild-Grafik zu Cybercrime-Fallzahlen, Auslandsbezug, Inlandsbezug, Ransomware, DDoS, Hacktivismus, KMU-Betroffenheit und Erpressungsrisiken.
Cybercrime bleibt ein strukturelles Unternehmensrisiko
Das aktuelle Lagebild weist knapp 334.000 bekannt gewordene Cybercrime-Delikte aus. Der überwiegende Teil wird mit Auslandsbezug eingeordnet.
Statische Auswertung
Was zeigt die Cybercrime-Lagebild-Grafik?
Die Visualisierung ordnet zentrale Kennzahlen und Risikofelder des Cybercrime-Lagebilds in eine unternehmensnahe Legal-Response-Struktur ein. Sie zeigt, warum Angriffe aus dem Ausland, Ransomware, DDoS, Hacktivismus, KMU-Betroffenheit und Erpressungsmechaniken rechtlich zusammen gedacht werden müssen.
Für ITMR-relevante Mandate ist die Auswertung besonders nutzbar, weil sie technische Vorfälle mit Datenschutz, IT-Verträgen, Versicherungen, Meldepflichten, Beweissicherung, Strafanzeige, Kommunikation gegenüber Kunden und regulatorischer Verteidigung verbindet.
Wichtige Erkenntnisse
- Knapp 334.000 Cybercrime-Delikte wurden im aktuellen Lagebild bekannt.
- Rund 202.000 Fälle werden dem Auslandsbezug und rund 131.000 dem Inlandsbezug zugeordnet.
- Ransomware und erpressungsbezogener Datendiebstahl stiegen auf 1.041 gemeldete Fälle.
- Etwa 90 % der Ransomware-Angriffe richteten sich gegen kleine und mittlere Unternehmen.
- Politisch motivierte Hacktivismus-Attacken wurden mit einem starken Anstieg berichtet.
Datengrundlage als HTML-Tabelle anzeigen
| Risikofeld | Kennzahl | Einordnung | Legal-Relevanz |
|---|
Zuständiger Rechtsanwalt für Cybersecurity bei ITMR
Dr. Alexander Pleh
Rechtsanwalt | Partner
- Fachanwalt für IT-Recht
- AI Officer | KI-Beauftragter [DEKRA]
- Externer Datenschutzbeauftragter
Experte Cybersecurity bei ITMR
T: +49 211 737547-70
E: pleh@itmr-legal.de
Aktuelles & Fachartikel
Bleiben Sie auf dem Laufenden mit unseren aktuellen Artikeln und Fachinformationen
Weiterführende Inhalte
Aktuelle Beiträge
- Crowdstrike: Weltweite IT-Störung bei MicrosoftBeitrag vom 23.07.2024
- Meltdown und Spectre: die ersten Klagen sind rechtshängigBeitrag vom 10.01.2018