Cyber-Sorgfaltspflicht

Definition

Die Cyber-Sorgfaltspflicht ist die moderne Ausprägung der Sorgfaltspflicht des Verwaltungsrats im Bereich Informationssicherheit und digitale Resilienz. Sie verpflichtet den VR, Cyberrisiken systematisch zu identifizieren, ein angemessenes Cybersicherheitsmanagement zu etablieren, die Reaktion auf Vorfälle vorzubereiten und die Folgen unzureichender Sicherheit zu antizipieren. Sie hat keine eigenständige Rechtsgrundlage, leitet sich aber aus der allgemeinen Sorgfaltspflicht, der Organisationspflicht und spezialgesetzlichen Vorgaben ab.

Cyber-Sorgfalt ist keine reine IT-Aufgabe mehr, sondern eine zentrale Governance-Frage. Cyberangriffe haben heute existenzbedrohendes Potenzial, sowohl finanziell als auch reputativ. Der VR kann sich nicht mehr darauf zurückziehen, dass Cyber Sache der Geschäftsleitung und der IT-Abteilung sei.

Rechtsgrundlage

OR Art. 716a Abs. 1 Ziff. 2 zur Organisationspflicht verpflichtet den VR, eine der Grösse und Komplexität der Gesellschaft angemessene Cyber-Organisation sicherzustellen. OR Art. 717 zur Sorgfaltspflicht verlangt das aktive Risikomanagement im Cyberbereich. OR Art. 754 sanktioniert Verstösse.

Das revidierte DSG, in Kraft seit September 2023, hat die Datenschutz- und Datensicherheitsanforderungen verschärft. DSG Art. 8 verlangt angemessene technische und organisatorische Massnahmen, DSG Art. 24 die Meldung von Datenschutzverletzungen an den EDÖB. Bei Verletzungen drohen Bussen gegen verantwortliche natürliche Personen bis CHF 250000.

Bei Finanzinstituten gelten zusätzlich FINMA-Rundschreiben, namentlich zu operationellen Risiken und Cyberresilienz. Für kritische Infrastrukturen ist das Bundesgesetz über die Informationssicherheit relevant. Der ICT-Minimalstandard des Bundes bietet eine Orientierungshilfe, die in mehreren Branchen als faktischer Mindeststandard gilt.

Praxis Schweiz

In der Schweizer Praxis hat sich eine Cyber-Governance-Architektur etabliert, die mehrere Ebenen umfasst. An der Spitze steht die Cyberrisiko-Strategie des VR, die Risikobereitschaft, Investitionsrahmen und Schutzziele definiert. Darunter liegt das Informationssicherheits-Management-System, häufig zertifiziert nach ISO 27001 oder ausgerichtet am NIST Cybersecurity Framework.

Auf operativer Ebene sind Penetration Tests durch externe Spezialisten, Vulnerability Scans, Endpoint Detection and Response, Security Operations Center und Mitarbeiterschulungen zentrale Bausteine. Phishing-Simulationen testen die Wirksamkeit der Schulungen. Bei grösseren Gesellschaften berichtet der Chief Information Security Officer mindestens quartalsweise an den VR, in der Regel über das Audit Committee oder einen Risiko-Ausschuss.

Der Incident Response Plan ist kein Schubladendokument, sondern wird regelmässig in Tabletop-Exercises geprobt. Kritische Szenarien wie Ransomware, Lieferanten-Kompromittierung oder Daten-Exfiltration werden durchgespielt. Externe Forensik-Partner sind vorab vertraglich gebunden, damit im Ernstfall keine Zeit für Beauftragungen verloren geht.

Cyber-Versicherungen sind zu einem Standardbaustein geworden, decken aber nicht alles. Lösegeldzahlungen, Reputationsschäden und Verantwortlichkeitsklagen werden je nach Police unterschiedlich abgedeckt. Der VR muss die Police mit gleicher Sorgfalt wie andere wesentliche Verträge prüfen und auf Branchenangemessenheit achten.

Häufige Fehler

Der häufigste Fehler ist die Delegation des Cybersicherheits-Themas an die IT-Abteilung mit dem Hinweis, dass dies eine technische Frage sei. Cybersicherheit ist Risikomanagement, und das ist VR-Verantwortung. Ohne aktive Auseinandersetzung mit Cyberrisiken auf VR-Ebene fehlt die strategische Steuerung.

Ein zweiter Fehler ist die fehlende Cyber-Kompetenz im VR selbst. Viele VR-Gremien haben kein Mitglied mit einschlägigem Hintergrund. Bei börsenkotierten und stark digitalisierten Unternehmen ist dies kaum noch verteidigbar. Externe Beratung kann zwar punktuell helfen, ersetzt aber nicht die fortlaufende Auseinandersetzung im Gremium.

Weiter wird die Lieferantenkette oft vernachlässigt. Viele schwere Cybervorfälle der letzten Jahre erfolgten über kompromittierte Lieferanten oder Cloud-Anbieter. Die VR-Sorgfalt verlangt, dass auch Drittparteien sicherheitstechnisch beurteilt werden und entsprechende Vertragsklauseln vorhanden sind. Schatten-IT, also nicht autorisierte Tools und Services in der Organisation, bleibt oft unerkannt und untergräbt die Sicherheitsarchitektur.

Ein weiterer Schwachpunkt ist die Reaktionsfähigkeit. Wenn ein Vorfall eintritt, läuft viel Zeit verloren mit der Klärung von Zuständigkeiten, der Beauftragung externer Berater und der Abstimmung mit der Kommunikation. Vorbereitete Pläne, vorab mandatierte Spezialisten und geprobte Abläufe reduzieren den Schaden erheblich.

Abgrenzung

Die Cyber-Sorgfaltspflicht ist Teil der allgemeinen Sorgfaltspflicht, hat aber eigene Konturen wegen der technischen und organisatorischen Spezifika. Sie ist abzugrenzen von der Compliance mit konkreten Datenschutzpflichten, die sich aus DSG, DSGVO oder branchenspezifischen Regelungen ergeben. Cyber-Sorgfalt ist breiter und umfasst auch nicht datenschutzrelevante Risiken wie Betriebsunterbrüche, Ransomware oder geistigen Eigentumsdiebstahl.

Sie ist auch zu unterscheiden von der reinen Informationssicherheits-Funktion innerhalb der Organisation. Diese ist operativer Natur und liegt typischerweise beim CISO. Die VR-Cyber-Sorgfaltspflicht ist die strategische Steuerung und Aufsicht über diese Funktion.

Schliesslich grenzt sich die Cyber-Sorgfaltspflicht von der Business-Continuity-Pflicht ab. Beide überschneiden sich, da viele Business-Continuity-Szenarien heute durch Cybervorfälle ausgelöst werden. Business Continuity ist aber breiter und umfasst auch nicht-digitale Krisen wie Pandemien, Naturkatastrophen oder Lieferengpässe.