Die Praxis
„Cyberangriff? Keine Sorge, das regelt unser IT-Mitarbeiter.“
Das ist für viele Unternehmer beim Thema Cybersecurity noch immer der erste Gedanke. Verständlich, denn Firewalls, Back-ups und Passwörter wirken schnell wie rein technische Themen. Doch seit der neuen Cybergesetzgebung ist das nicht mehr die ganze Wahrheit.
Stellen Sie sich vor: Sie kommen am Montagmorgen ins Büro, öffnen Ihren Computer und stellen fest, dass nichts mehr funktioniert. Keine E-Mails, keine Systeme, keine Kundendaten. Sie rufen die IT-Abteilung an.
„Ja… wir wurden gehackt.“
Dann geht es nicht mehr nur um die Frage, wie schnell die IT das Problem lösen kann. Die Frage ist auch: Wusste die Geschäftsleitung, welche Risiken bestanden, wurden ausreichende Maßnahmen getroffen und war im Voraus klar festgelegt, wer bei einem Cybervorfall was tut?
Der rechtliche Punkt
Genau deshalb ist der 15. August 2026 ein Datum, das Unternehmer nicht einfach übergehen können. An diesem Tag sind das Cyberbeveiligingswet (Cbw), das Wet weerbaarheid kritieke entiteiten (Wwke) und das Cyberbeveiligingsbesluit (Cbb) in Kraft getreten. Die Bezeichnungen klingen technisch, doch die Kernaussage ist einfach: Cyberresilienz wird auch zu einer Verantwortung der Geschäftsleitung.
Auch wenn Cybersecurity zunächst nach einem Thema für die IT-Abteilung klingt, ist die Botschaft der neuen Gesetzgebung klar: Das Thema gehört auch auf den Tisch der Geschäftsleitung.
Die Dringlichkeit ist real. Internationale Berichte der Europäischen Kommission und von Aufsichtsbehörden weisen bereits seit Längerem darauf hin, dass Cyberangriffe in Zahl und Schwere zunehmen. Auch niederländische Unternehmen sind betroffen: Im Jahr 2020 waren 22 % der großen niederländischen Unternehmen Opfer eines Cyberangriffs, und 2021 stieg die Zahl der Meldungen von Datenschutzverletzungen infolge von Cyberangriffen um 88 %.
Was bedeutet das für Unternehmer?
Cybersecurity ist nicht mehr ausschließlich ein IT-Thema
Damit verschiebt sich die Frage von der Technik zur Unternehmensführung. Cybersecurity betrifft nicht nur Firewalls, Passwörter und Back-ups, sondern auch Kontinuität, Entscheidungsprozesse und Aufsicht. Gerade deshalb gehört das Thema nicht nur zum IT-Mitarbeiter, sondern auch zum Unternehmer und zur Geschäftsleitung.
Noch wichtiger ist vielleicht: Die Geschäftsleitung erhält eine aktivere Rolle. Ein Geschäftsleiter muss kein Hacker werden und nicht selbst die Firewall konfigurieren. Er muss jedoch verstehen, welchen Cyberrisiken das Unternehmen ausgesetzt ist, welche Maßnahmen dagegen ergriffen werden und ob diese Maßnahmen tatsächlich wirken.
Mit anderen Worten: Sie müssen nicht genau wissen, wie der Server technisch abgesichert wird. Sie müssen aber erklären können, warum die gewählten Sicherheitsmaßnahmen ausreichend sind. Dadurch wird Cybersecurity plötzlich zu einer unternehmerischen Frage.
„Wir haben doch Antivirus-Software?“ Vielleicht. Aber die Frage ist inzwischen breiter geworden. Was passiert, wenn ein wichtiges System ausfällt? Wie groß ist das Risiko für die Kontinuität des Unternehmens? Wer trifft Entscheidungen während eines Vorfalls? Sind die Mitarbeitenden ausreichend geschult? Wie wird mit Risiken bei Lieferanten und anderen Dritten umgegangen?
Das Cyberbeveiligingsbesluit konkretisiert die Sorgfaltspflicht weiter. Dabei geht es unter anderem um Risikomanagement, Vorfallbearbeitung, Geschäftskontinuität und Krisenmanagement, Sicherheit der Lieferkette, Zugriffsverwaltung, Cyberhygiene, Schulungen und Kryptografie.
Das klingt vielleicht wie eine lange IT-Checkliste. Für einen Unternehmer geht es im Kern aber um eine andere Frage: Können wir unser Unternehmen weiterführen, wenn der digitale Teil morgen teilweise ausfällt?
Und dann ist da noch der Geschäftsleiter
Das Cyberbeveiligingswet macht Cybersecurity ausdrücklich zu einem Bestandteil der Verantwortung der Geschäftsleitung.
Für die betroffenen Mitglieder der Geschäftsleitung gilt außerdem eine Schulungspflicht. Sie müssen über ausreichende Kenntnisse und Fähigkeiten verfügen, um Cyberrisiken und Sicherheitsmaßnahmen beurteilen zu können. Neue Geschäftsleiter haben ab ihrer Bestellung zwei Jahre Zeit, um diese Schulungspflicht zu erfüllen; für bereits amtierende Geschäftsleiter gilt eine vergleichbare Frist ab Inkrafttreten der Gesetzgebung.
Aber eine Schulung zu besuchen und das Zertifikat anschließend in eine Schublade zu legen, ist nicht die ganze Geschichte. Von Geschäftsleitern wird erwartet, dass sie tatsächlich eingebunden sind. Sie müssen Maßnahmen genehmigen, sich inhaltlich damit befassen und die Umsetzung sowie Wirksamkeit überwachen. Cybersecurity wird damit auch Teil guter Unternehmensführung.
Bedeutet das, dass Sie als Geschäftsleiter nun persönlich haften?
Nein, nicht automatisch. Das Cyberbeveiligingswet führt kein völlig neues System der Geschäftsführerhaftung ein. Bestehende verwaltungsrechtliche und zivilrechtliche Rahmenbedingungen bleiben der Ausgangspunkt. Das bedeutet aber nicht, dass ein Geschäftsleiter das Thema ignorieren kann.
Je stärker Cybersecurity als Teil guter Unternehmensführung betrachtet wird, desto eher kann das Ignorieren von Cyberrisiken unter Umständen rechtliche Folgen haben.
Die Frage lautet dann nicht mehr nur: „Haben wir eine IT-Abteilung?“, sondern vor allem: „Hat die Geschäftsleitung ausreichend getan, um die Cyberrisiken des Unternehmens zu beherrschen?“
Was ist also zu tun?
Für Unternehmer, die unter die neue Gesetzgebung fallen, ist der 15. August 2026 kein beliebiges Datum. Es ist ein Ausgangspunkt und ein guter Moment, möglichst bald in der Geschäftsleitung einige einfache Fragen zu stellen.
Welchen Cyberrisiken sind wir ausgesetzt? Welche Maßnahmen haben wir getroffen? Wer überwacht diese Maßnahmen? Sind Geschäftsleitung und Mitarbeitende ausreichend geschult? Und wissen wir, was zu tun ist, wenn tatsächlich etwas schiefgeht?
Denn vielleicht ist genau das die wichtigste Veränderung der neuen Cybergesetzgebung.
Cybersecurity ist nicht mehr nur die Frage, ob jemand Ihre Systeme hacken kann. Es ist auch die Frage, ob Sie als Unternehmer nachweisen können, dass Sie alles getan haben, was vernünftigerweise von Ihnen erwartet werden durfte.
Deshalb ist jetzt der richtige Zeitpunkt, nicht nur Ihren IT-Mitarbeiter zu fragen, ob die Systeme sicher sind, sondern auch innerhalb der Geschäftsleitung festzulegen, wer verantwortlich ist, welche Maßnahmen getroffen wurden, wie Vorfälle gemeldet werden und wie überprüft wird, ob das Unternehmen tatsächlich widerstandsfähig ist.
Rechtlich scharf – Praxistipp für Unternehmer
Legen Sie fest, wer innerhalb Ihres Unternehmens für Cyberresilienz verantwortlich ist, welche Maßnahmen getroffen wurden und wie Sie im Falle eines Vorfalls handeln. So verhindern Sie, dass Cybersecurity erst dann auf den Tisch der Geschäftsleitung kommt, wenn bereits etwas schiefgegangen ist.
