Unternehmensrisiken
Die kontinuierliche Beobachtung und Bewertung von Unternehmensrisiken durch ein weitgefächertes Instrumentarium und Informationsquellen kann systematisch unter dem Begriff Risikomanagement zusammen gefasst werden.
Dabei unterscheiden sich die Risikopotentiale erheblich und reichen vom unsanktionierten Regelverstoß bis zum Existenzverlust des Unternehmens. Im folgenden haben wir verschiedenen Risikogruppen dargestellt. Außerdem finden Sie die Rechtsgrundlagen die bei nicht beachten zur Anwendung kommen.
Konkrete Pflichten zur Gewährleistung der IT-Sicherheit lassen sich aus dem Aktien- und dem GmbH-Gesetz ableiten. Hier der Gesetzestext:
§ 91 Abs. 2 AktG1: „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.“
Wenn das Topmanagement dieses unterlässt, finden die nachfolgenden Vorschriften Anwendung:
§ 93 Akt-Gesetz: Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder
(1)Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden.
(2) Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet. Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.
Und auch der GmbH-Geschäftsführer muss IT-Sicherheit gewährleisten nach folgender Vorschrift im GmbH-Gesetz:
§ 43 GmbH-Gesetz:
(1) Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes
(2) Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.
Aus den gesetzlichen Vorschriften ergibt sich die konkrete Verpflichtung, ein angemessenes IT-Sicherheitsniveau im eigenen Unternehmen zu gewährleisten. Bestimmte Berufsgruppen wie Ärzte, Anwälte, Steuerberater, Wirtschaftsprüfer, etc. unterliegen noch höheren Anforderungen, die teils sogar im Strafgesetzbuch (§ 203 StGB) verankert sind. Bei all dem gilt: Bereits ein fahrlässiger Umgang mit der Informationstechnik, etwa Verwendung eines Laptops ohne Virenschutz oder ohne Verschlüsselung, kann einen Straftatbestand erfüllen.
1 eingeführt durch KontraG Art. I Ziff. 9 c