Cyber-Vorfall — die ersten 72 Stunden für die Geschäftsleitung

1. Worum es geht — der Vorfall ist da

Du hast den Anruf erhalten. Der CISO meldet: Ein Teil der Systeme ist nicht erreichbar. Ein Dienstleister sieht ungewöhnliche Datenbewegungen. Die IT spricht von Verschlüsselung, lateral movement oder kompromittierten Admin-Konten. Noch ist unklar, ob es ein technischer Fehlalarm, ein begrenzter Sicherheitsvorfall (Incident) oder ein erheblicher Sicherheitsvorfall im Sinne des BSIG ist.

Für die Geschäftsleitung beginnt in diesem Moment nicht die technische Forensik. Es beginnt die akut aktivierte Organisations- und Überwachungsverantwortung der Geschäftsleitung: Die Krise muss rechtlich, organisatorisch und kommunikativ geführt werden, ohne dass die Geschäftsleitung die technischen Einzelmaßnahmen selbst ausführen muss. Die IT darf technisch arbeiten. Externe Forensik (Digital Forensics) darf sichern, analysieren und eindämmen. Die Geschäftsleitung muss aber dafür sorgen, dass die richtigen Entscheidungen getroffen, dokumentiert, priorisiert und fristgerecht gemeldet werden.

Dieser Pillar gibt die Karte für die ersten 72 Stunden. Er ist kein technisches Wiederherstellungshandbuch. Er erklärt nicht, wie ein Speicherabbild gezogen, ein Domain Controller isoliert oder ein Backup-Restore validiert wird. Solche operativen Schritte gehören in Reaktionspläne (Incident Response Plans), Wiederanlaufpläne (Business Continuity Plans), Forensik-Playbooks und Schulungsprogramme. Dieser Artikel beantwortet die Geschäftsleitungsfrage: Was ist jetzt rechtlich und organisatorisch zu tun, damit die Einrichtung handlungsfähig bleibt und die Geschäftsleitung später erklären kann, warum sie so entschieden hat?

Die ersten 72 Stunden haben drei Fenster:

1. 0 bis 24 Stunden: Eindämmung, Klassifizierung, Cyber-Krisen-Stab, frühe Erstmeldung nach § 32 Abs. 1 Satz 1 Nummer 1 BSIG [N-BSIG-32], soweit ein erheblicher Sicherheitsvorfall vorliegt.
2. 24 bis 72 Stunden: Bestätigung oder Aktualisierung der Meldung, erste Bewertung von Schweregrad und Auswirkungen, parallele Prüfung der DSGVO [EU-DSGVO]-Meldepflicht und der Kommunikation mit Aufsichtsgremien, Versicherern, Kunden und Lieferanten.
3. 72 Stunden bis ein Monat: Recovery, Abschlussmeldung oder Fortschrittsmeldung, Umgang mit Anordnungen und Auskunftsverlangen der Aufsicht, Aufarbeitung für Innenhaftung, Versicherung und Governance.

In der Praxis laufen diese Fenster nicht sauber nacheinander. Die frühe Erstmeldung kann vorbereitet werden, während die Eindämmung noch nicht abgeschlossen ist. Die DSGVO-Prüfung kann parallel zur BSIG-Meldung laufen. Die Frage nach Lösegeld kann schon in Stunde 6 auf dem Tisch liegen, obwohl die Insolvenzreife erst später beurteilt werden kann. Gerade deshalb braucht die Geschäftsleitung eine einfache Struktur: Welche Pflicht ist ausgelöst? Wer arbeitet zu? Wer entscheidet? Wer dokumentiert? Wer meldet? Wer kommuniziert?

Die Antwort dieses Pillars ist bewusst nüchtern: Die ersten 72 Stunden sind keine Heldengeschichte. Sie sind eine Dokumentations-, Fristen- und Priorisierungsaufgabe unter Unsicherheit. Wer sie sauber führt, reduziert nicht automatisch jedes Risiko. Er schafft aber die Grundlage dafür, dass spätere Behörden-, Aufsichtsrats-, Versicherungs- und Innenhaftungsfragen nicht auf einem chaotischen Aktenbestand aufsetzen.

Die Meldepflicht nach § 32 BSIG wird im Satelliten BSI-Meldepflicht (§ 32 BSIG) vertieft. Die parallele DSGVO-Datenpanne wird in DSGVO-Datenpanne (Art. 33 / 34) eigenständig behandelt. Die Lösegeld-Entscheidung im Cyber-Krisen-Stab wird in Lösegeld — ja oder nein? mit Insolvenz-/Zahlungsverbot, Strafrecht, Sanktions-/Zahlungsweg und Versicherungsbezug (vier Risikospuren) vertieft. Die Innenhaftung der Geschäftsleitung ist in Innenhaftung der Geschäftsleitung als eigener Haftungssatellit dargestellt.

2. Die sechs Pflichten-Stränge in der Krise

Ein Cyber-Vorfall aktiviert nicht eine einzige Pflicht. Im BSIG-Regelfall außerhalb der Bereichsausnahmen und Nichtanwendungsfälle nach § 28 Abs. 5, Abs. 6, Abs. 7 und Abs. 8 BSIG laufen in einer besonders wichtigen Einrichtung oder wichtigen Einrichtung mehrere Stränge nebeneinander. Vor Nutzung der Tabelle ist deshalb zuerst zu prüfen, ob Telekommunikations-/Energiewirtschafts-, DORA [EU-DORA]-/Telematik- oder bestimmte öffentliche Sonderfälle die hier dargestellten BSIG-Pflichten ganz oder teilweise verdrängen und welche Melde-/Governance-Schiene stattdessen führt. Sie haben unterschiedliche Auslöser, unterschiedliche Empfänger und unterschiedliche Beweisfragen. Für die Geschäftsleitung ist entscheidend, sie nicht zu vermischen.

Diese sechs Stränge sind keine Rangfolge. Die technische Eindämmung ist in den ersten Stunden häufig dringlicher als die vollständige juristische Durchdringung. Das bedeutet aber nicht, dass die juristische Dokumentation warten darf. Für die spätere Entlastungs-Dokumentation zählt, ob die Geschäftsleitung ab Stunde 0 erkennbar ein geeignetes Verfahren eingerichtet hat: Vorfallserkennung (Threat Detection), Klassifizierung, Fristen, Verantwortlichkeiten, externe Expertise, Lagebild, Entscheidungen, Kommunikation.

Die häufigste Fehlerquelle ist eine falsche Verengung auf die 24-Stunden-Frist. § 32 BSIG kennt nicht nur eine 24-Stunden-Meldung. Die Norm baut eine Meldekaskade: frühe Erstmeldung binnen 24 Stunden, bestätigende oder aktualisierende Meldung binnen 72 Stunden, Zwischenmeldung auf Ersuchen und Abschlussmeldung spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß § 32 Absatz 1 Satz 1 Nummer 2 BSIG [N-BSIG-32], vorbehaltlich der Fortschrittsmeldung bei andauerndem Vorfall. Der EU-Anker dieser Architektur ist Artikel 23 Absatz 4 der Richtlinie (EU) 2022/2555 [EU-NIS2]: Frühwarnung binnen 24 Stunden, Meldung des Sicherheitsvorfalls binnen 72 Stunden, Zwischenbericht über relevante Statusaktualisierungen auf Ersuchen eines CSIRT oder gegebenenfalls der zuständigen Behörde, Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung; bei andauerndem Sicherheitsvorfall zu diesem Zeitpunkt ist ein Fortschrittsbericht vorzulegen, und der Abschlussbericht folgt innerhalb eines Monats nach Bearbeitung des Sicherheitsvorfalls. Die DSGVO [EU-DSGVO] läuft daneben und folgt einer eigenen Logik.

Für die Geschäftsleitung bedeutet das: Es genügt nicht, dass „die IT das BSI informiert“. Die Geschäftsleitung muss nachvollziehen können, ob der Vorfall unter § 32 BSIG fällt, ob personenbezogene Daten betroffen sein können, ob die Risikomanagementmaßnahmen nach § 30 BSIG [N-BSIG-30] tatsächlich aktiviert wurden, ob die Behörde kooperationsfähig adressiert wird und ob das Aufsichtsgremium in geeigneter Form informiert ist.

Dieser Überblick verbindet den Akut-Pillar mit der Fünf-Schichten-Verantwortungs-Karte aus Haftung und Sanktionen — Überblick. Dort geht es um Sanktionen und Haftung. Hier geht es um die Krisenführung, die später zur Beweisgrundlage dieser Haftungsfragen wird.

3. Stunde 0 bis Stunde 4 — die Eindämmung

3.1 Erkennen und Klassifizieren

Die erste juristische Arbeitsfrage lautet nicht: „Sind wir gehackt?“ Sie lautet: Gibt es Tatsachen, die eine Arbeitsklassifizierung als möglicher erheblicher Sicherheitsvorfall und die Vorbereitung der § 32-BSIG-Meldeschiene verlangen? Die technische Ursache kann noch unklar sein. Der gesetzliche Fristbeginn ist davon zu trennen: Die § 32-BSIG-Frist läuft nach dem gesetzlichen Anknüpfungspunkt „Kenntniserlangung der Einrichtung“. Für die Krisenakte darf deshalb nicht allein auf persönliche Kenntnis der Geschäftsleitung vertraut werden: Sobald belastbare Informationen bei CISO, Incident-Response-Funktion, Service Desk, Datenschutz, Leitstelle oder einem vertraglich eingebundenen Dienstleister eingehen, ist zu dokumentieren, wer wann welche Tatsachen kannte, wann eskaliert wurde und warum die Einrichtung zu diesem Zeitpunkt noch nicht oder bereits Kenntnis von einem erheblichen Sicherheitsvorfall angenommen hat. Bloße Anhaltspunkte sind davon zu trennen: Sie lösen noch nicht automatisch die § 32-Frist aus, verlangen aber bei plausibler Relevanz eine interne Prüf- und Dokumentationsroutine. Die Relevanz kann sich insbesondere aus Quellenqualität, betroffenen Diensten, Datenabflussverdacht, Wiederholung, Lieferkettenbezug, Kundenauswirkungen oder Hinweisen auf böswillige Handlungen ergeben.

Der Ausgangspunkt ist die Definition im BSIG:

§ 2 Nummer 11 BSIG — erheblicher Sicherheitsvorfall
„erheblicher Sicherheitsvorfall“ ein Sicherheitsvorfall, der
a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder
b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann,
sofern durch die Rechtsverordnung nach § 56 Absatz 5 keine konkretisierende Begriffsbestimmung erfolgt;

CyberSchutzEngel-Hinweis zum Verweisungsbruch: § 2 Nummer 11 BSIG [N-BSIG-2-11] verweist amtlich auf eine „Rechtsverordnung nach § 56 Absatz 5“ — die Erheblichkeits-Konkretisierungs-Rechtsverordnung steht jedoch materiell in § 56 Absatz 4 BSIG [N-BSIG-56] („wann ein Sicherheitsvorfall... als erheblich im Sinne von § 2 Nummer 11 anzusehen ist“). Der amtliche Wortlaut wird zitiert; der Bruch ist transparent ausgewiesen.

Der Wortlaut ist wichtig, weil er nicht nur eingetretene Schäden erfasst. Er spricht auch von Betriebsstörungen oder finanziellen Verlusten, die verursacht werden können, und von Beeinträchtigungen anderer Personen, die eintreten können. Die Geschäftsleitung darf deshalb nicht warten, bis der Schaden endgültig beziffert ist. Sie muss ein vorläufiges Lagebild erstellen lassen und dieses Lagebild fortschreiben.

Für die ersten vier Stunden reicht keine endgültige forensische Wahrheit. Erforderlich ist eine belastbare Arbeitsklassifizierung: Was ist betroffen? Welche Dienste sind gestört? Besteht Datenabflussverdacht? Sind Lieferketten, Kunden, Patienten, Versicherte, Versorgungsleistungen oder kritische Dienste berührt? Gibt es Hinweise auf rechtswidrige oder böswillige Handlungen? Können grenzüberschreitende Auswirkungen bestehen?

Die Vorfallsklassifizierung sollte in einem Krisenvermerk dokumentiert werden. Der Vermerk muss nicht literarisch sein. Er sollte Datum, Uhrzeit, Quelle der Meldung, erste technische Tatsachen, betroffene Systeme, mögliche Auswirkungen, Annahmen, offene Punkte und die Entscheidung enthalten, ob die § 32-BSIG-Meldeschiene vorbereitet oder ausgelöst wird.

Die Geschäftsleitung muss dabei zwei Extreme vermeiden. Das erste Extrem ist Panik: Jede Anomalie wird als erheblicher Sicherheitsvorfall behandelt, ohne dass eine ernsthafte Klassifizierung stattfindet. Das zweite Extrem ist Verdrängung: Die Einrichtung wartet auf vollständige technische Gewissheit und verliert die Fristenarchitektur. Die richtige Mitte ist eine vorläufige, dokumentierte und aktualisierbare Klassifizierung.

3.2 Krisenstab konstituieren

Der Cyber-Krisen-Stab (Crisis Response Team) ist kein dekoratives Gremium. Er ist die Arbeitsform, in der technische, rechtliche, kommunikative und geschäftliche Entscheidungen zusammengeführt werden. In den ersten vier Stunden sollte klar sein, wer den Stab leitet, wer protokolliert, wer zur Geschäftsleitung berichtet, wer mit Behörden spricht, wer den Datenschutz prüft, wer die externe Forensik steuert und wer die Kommunikation freigibt.

Typische Kernrollen sind: Geschäftsleitung oder ein benanntes Mitglied der Geschäftsleitung, CISO oder IT-Leitung, Datenschutzbeauftragter, Legal/Compliance, Kommunikation, Finance/Treasury, HR, Einkauf/Lieferkette, externer Forensik-Dienstleister, externer Rechtsberater und gegebenenfalls Versicherungsmakler oder Deckungsanwalt. Wird externe Forensik eingeschaltet, sollte der Krisenstab zusätzlich Mandats-/Auftragsumfang, Vertraulichkeit, Zugriff auf personenbezogene Daten, DSGVO [EU-DSGVO]-Rollenprüfung (Art. 28 nur bei Auftragsverarbeitung; sonst Verantwortlichen-/gemeinsame Verantwortlichkeits- oder berufsrechtliche Sonderrolle prüfen), Drittland-/Fernzugriffe, Chain of Custody, anwaltliche Mandatierung und Freigabe von Forensikberichten als eigene Entscheidungspunkte führen. Nicht jede Einrichtung braucht jede Rolle in jeder Lage. Aber jede Einrichtung braucht eine klare Entscheidungs- und Dokumentationsstruktur.

Der Beauftragten-Begriff aus § 9 OWiG [N-OWiG-9] ist dabei für die Risikostruktur relevant, wenn Aufgaben in eigener Verantwortung übertragen werden:

§ 9 OWiG — Handeln für einen anderen
(1) Handelt jemand

1. als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs,
2. als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft oder
3. als gesetzlicher Vertreter eines anderen,
   so ist ein Gesetz, nach dem besondere persönliche Eigenschaften, Verhältnisse oder Umstände (besondere persönliche Merkmale) die Möglichkeit der Ahndung begründen, auch auf den Vertreter anzuwenden, wenn diese Merkmale zwar nicht bei ihm, aber bei dem Vertretenen vorliegen.
   (2) Ist jemand von dem Inhaber eines Betriebes oder einem sonst dazu Befugten
4. beauftragt, den Betrieb ganz oder zum Teil zu leiten, oder
5. ausdrücklich beauftragt, in eigener Verantwortung Aufgaben wahrzunehmen, die dem Inhaber des Betriebes obliegen,
   und handelt er auf Grund dieses Auftrages, so ist ein Gesetz, nach dem besondere persönliche Merkmale die Möglichkeit der Ahndung begründen, auch auf den Beauftragten anzuwenden, wenn diese Merkmale zwar nicht bei ihm, aber bei dem Inhaber des Betriebes vorliegen. Dem Betrieb im Sinne des Satzes 1 steht das Unternehmen gleich. Handelt jemand auf Grund eines entsprechenden Auftrages für eine Stelle, die Aufgaben der öffentlichen Verwaltung wahrnimmt, so ist Satz 1 sinngemäß anzuwenden.
   (3) Die Absätze 1 und 2 sind auch dann anzuwenden, wenn die Rechtshandlung, welche die Vertretungsbefugnis oder das Auftragsverhältnis begründen sollte, unwirksam ist.

Für die Geschäftsleitung folgt daraus keine einfache Formel „Delegation befreit“ oder „Delegation ist verboten“. Operative Umsetzung kann und muss in der Krise delegiert werden. Niemand erwartet, dass ein Geschäftsführer selbst Logfiles auswertet. Die Organverantwortung liegt aber darin, geeignete Personen auszuwählen, Zuständigkeiten zu klären, Berichte einzufordern, Entscheidungen zu treffen und die Umsetzung zu überwachen. Die Pflichtarchitektur nach NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) bleibt deshalb auch in der Krise aktiv.

3.3 Eindämmungs-Entscheidungen

In Stunde 0 bis Stunde 4 geht es operativ um Eindämmung: kompromittierte Konten sperren, Zugänge begrenzen, betroffene Segmente isolieren, Fernzugriffe prüfen, Beweissicherung vorbereiten, Kommunikationskanäle absichern, Wiederanlaufpfade schützen. Dieser Pillar beschreibt diese Schritte nicht technisch. Für die Geschäftsleitung ist entscheidend, dass die Maßnahmen rechtlich und geschäftlich priorisiert werden.

Die zentrale BSIG-Pflicht der Geschäftsleitung lautet:

§ 38 Absatz 1 BSIG — Geschäftsleitungspflicht
(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

Der Satz enthält zwei Verben: umzusetzen und zu überwachen. Er verlangt nicht, dass die Geschäftsleitung technische Einzelmaßnahmen selbst ausführt. Er verlangt aber, dass die Einrichtung die nach § 30 BSIG [N-BSIG-30] zu ergreifenden Risikomanagementmaßnahmen tatsächlich aktiviert und dass die Geschäftsleitung deren Umsetzung überwacht.

In der Krise bedeutet das: Die Geschäftsleitung muss nicht entscheiden, welcher Hashwert in welchem Tool zu blockieren ist. Sie muss aber entscheiden, ob die Produktion heruntergefahren wird, ob ein kritischer Dienst temporär abgeschaltet wird, ob ein externer Forensiker mandatiert wird, ob Notfallkommunikation aktiviert wird, ob Lieferanten informiert werden, ob ein Lösegeldkontakt abgebrochen oder fortgeführt wird und ob Meldepflichten ausgelöst werden.

Der CISO ist in der Krise fachlich zentral. Er ersetzt aber nicht die Geschäftsleitung. Der Satz „Die IT macht das“ ist keine Entlastungs-Dokumentation. Ein belastbarer Krisenvermerk lautet anders: Welche Lage wurde berichtet? Welche Optionen standen zur Wahl? Welche Risiken hatten die Optionen? Welche Entscheidung wurde getroffen? Wer setzt sie um? Wann wird berichtet? Welche Annahmen werden überprüft?

3.4 Dokumentation ab Sekunde Null

Die Entlastungs-Dokumentation beginnt nicht nach dem Vorfall. Sie beginnt in der ersten Besprechung. Später fragt niemand, ob die Krise angenehm war. Später fragt man, ob die Geschäftsleitung mit den Informationen, die zu diesem Zeitpunkt verfügbar waren, ein angemessenes Verfahren eingerichtet und vertretbare Entscheidungen getroffen hat.

Die Dokumentation muss deshalb drei Ebenen trennen:

• Tatsachen: Was wurde wann festgestellt? Welche Systeme waren betroffen? Welche Meldungen kamen von IT, Dienstleistern, Behörden, Kunden oder Angreifern?
• Bewertungen: Welche rechtliche oder technische Einschätzung wurde auf dieser Tatsachengrundlage vorgenommen? Was war sicher, was war offen, was war nur Verdacht?
• Entscheidungen: Wer hat entschieden? Welche Alternativen wurden erwogen? Warum wurde eine Option gewählt oder verworfen? Welche Wiedervorlage wurde gesetzt?

Diese Trennung schützt vor Rückschaufehlern. Zusätzlich sollte der Krisenstab festlegen, welche Dokumente als sachlicher Incident Log geführt werden, welche rechtliche Bewertungen enthalten, wer Verteiler und Ablage kontrolliert, wie externe Forensik-Berichte mandatiert und verteilt werden und welche Informationen für Behörden-, Versicherungs-, Kunden- oder Prozesszwecke freigegeben werden. Ziel ist nicht weniger Dokumentation, sondern eine kontrollierte Dokumentationsarchitektur. Ein späterer Innenhaftungs-Prozess fragt nicht nur nach dem Ergebnis. Er fragt nach Pflichtverletzung, Verschulden, Schaden und Kausalität. Die Grundlagen der Innenhaftung der Geschäftsleitung nach § 38 Abs. 2 BSIG [N-BSIG-38], § 43 GmbHG [N-GmbHG-43] und § 93 AktG [N-AktG-93] sind in Innenhaftung der Geschäftsleitung vertieft. Für A4-01 genügt: Ohne saubere Krisendokumentation ist die spätere persönliche Enthaftung schwieriger.

4. Stunde 4 bis Stunde 24 — die frühe Erstmeldung

4.1 § 32 Absatz 1 Satz 1 Nummer 1 BSIG — Wortlaut

Die frühe Erstmeldung ist der erste sichtbare Meldepunkt im BSIG. Der Wortlaut lautet:

§ 32 Absatz 1 Satz 1 Nummer 1 BSIG — frühe Erstmeldung
(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden:

1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;

§ 32 Absatz 1 Satz 2 BSIG — Beginn der Meldepflicht ab Einrichtung des Meldewegs
Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs.

Drei Elemente sind für die Geschäftsleitung entscheidend. Erstens: Die Meldung ist unverzüglich, spätestens jedoch innerhalb von 24 Stunden zu machen. Zweitens: Der Fristbeginn knüpft an die Kenntniserlangung von einem erheblichen Sicherheitsvorfall an. Drittens: Die frühe Erstmeldung verlangt nicht die vollständige Ursachenanalyse. Sie fragt insbesondere, ob der Verdacht rechtswidriger oder böswilliger Handlungen besteht oder grenzüberschreitende Auswirkungen bestehen könnten.

Die Geschäftsleitung sollte deshalb in Stunde 4 bis Stunde 24 keine perfekte Meldung suchen. Sie sollte eine korrekte frühe Erstmeldung vorbereiten, die den Kenntnisstand sauber begrenzt. „Derzeit unbekannt“, „noch in Prüfung“ und „vorläufige Einschätzung“ sind keine Schwäche, wenn sie sachlich zutreffen. Gefährlich ist nicht die Vorläufigkeit. Gefährlich ist die nicht dokumentierte Vorläufigkeit.

Für die Praxis empfiehlt sich ein Meldevermerk mit vier Bausteinen: Zeitpunkt der Kenntniserlangung, bisherige Tatsachen, vorläufige Einordnung als erheblicher Sicherheitsvorfall oder Nicht-Erheblichkeit, Entscheidung über Abgabe oder Nicht-Abgabe der frühen Erstmeldung. Wird noch nicht gemeldet, muss der Grund dafür dokumentiert und eng überprüft werden.

4.2 Inhalt der Meldungen nach § 32 Absatz 4 BSIG

§ 32 Abs. 4 BSIG [N-BSIG-32] regelt nicht selbst jeden konkreten Formularinhalt. Er ordnet die Ausgestaltung des Meldeverfahrens und die Konkretisierung der Meldungsinhalte dem Bundesamt zu:

§ 32 Absatz 4 BSIG — Ausgestaltung des Meldeverfahrens
(4) Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Meldeverfahrens und zur Konkretisierung der Meldungsinhalte nach Anhörung der betroffenen Betreiber und der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest, soweit sie möglichen Durchführungsrechtsakten der Europäischen Kommission nicht widersprechen. Die Informationen nach Satz 1 werden durch das Bundesamt auf dessen Internetseite veröffentlicht.

§ 32 Absatz 3 BSIG — Zusätzliche Angaben für Betreiber kritischer Anlagen
(3) Betreiber kritischer Anlagen sind zusätzlich verpflichtet, Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung zu übermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte.

Für die Geschäftsleitung folgt daraus: Der Gesetzestext gibt die Meldekaskade vor. Die konkrete operative Meldemaske folgt den veröffentlichten BSI-Vorgaben. Diese Unterscheidung ist wichtig. Wer im Artikel behauptet, ein bestimmtes Formularfeld sei selbst Gesetzeswortlaut, verwechselt Schicht 1 mit behördlicher Ausgestaltung.

In der frühen Erstmeldung müssen jedenfalls die Angaben aus § 32 Abs. 1 Satz 1 Nummer 1 abgebildet werden: erheblicher Sicherheitsvorfall, Verdacht rechtswidriger oder böswilliger Handlungen, mögliche grenzüberschreitende Auswirkungen. Weitere Felder können sich aus dem Meldeverfahren ergeben. Sie sollten sachlich ausgefüllt werden, ohne technische Hypothesen als Gewissheit darzustellen.

4.3 Wo wird gemeldet — MUK-Portal und Meldeweg

Das BSI stellt für Meldungen ein Meldeportal bereit. Die BSI-Informationen zum Unternehmenskonto beschreiben „Mein Unternehmenskonto“ (MUK [B-BSI]) als Zugang, der eine Organisationsidentität und Authentifizierung ermöglicht. Für die Krise bedeutet das: Der Meldeweg darf nicht erst in Stunde 20 gesucht werden. Registrierung, Berechtigungen, ELSTER-Organisationszertifikate, Rollen/Rechte, Stellvertretung und ein getesteter Zugang gehören in die präventive Vorbereitung. Zusätzlich sollte der Krisenplan einen Fallback-Vermerk enthalten: Wer dokumentiert eine Portal-/MUK-Störung oder fehlende Zugriffsmöglichkeit, wer kontaktiert das BSI auf einem alternativen Weg, und wie wird die spätere Portal-Nachmeldung konsistent nachgeführt? Eine fehlende interne Portalvorbereitung darf nicht als Fristpuffer missverstanden werden.

Im Akutfall sollte der Cyber-Krisen-Stab drei Fragen sofort klären: Wer hat Zugang zum Meldeportal? Wer darf die Meldung fachlich freigeben? Wer darf sie rechtlich für die Einrichtung abgeben? Ist die primäre Person nicht verfügbar, braucht es eine Stellvertretung. Ein Meldeweg, der an einer einzelnen abwesenden Person hängt, ist selbst ein Compliance-Risiko.

Die Frist wird nicht dadurch einfacher, dass der Meldeweg technisch ungewohnt ist. Deshalb gehört das Meldeportal in die regelmäßigen Krisenübungen. Die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG [N-BSIG-38] wird in Schulungspflicht der Geschäftsleitung eigenständig dargestellt. Für den Vorfall zählt: Wer im Ernstfall zum ersten Mal das Portal sucht, riskiert regelmäßig vermeidbaren Zeitverlust.

4.4 DORA-Sonderfall

Finanzunternehmen können in einer Sonderwelt stehen. § 28 Abs. 6 BSIG [N-BSIG-28] enthält eine Bereichsausnahme für bestimmte Finanzunternehmen und DORA [EU-DORA]-erfasste Unternehmen:

§ 28 Absatz 6 BSIG — Bereichsausnahme DORA und Telematik
(6) Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für

1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,
2. die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.

§ 28 Absatz 7 BSIG — Mittelbare Bereichsausnahme für Betreiber kritischer Anlagen
(7) § 32 gilt nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach Absatz 6 Nummer 1 betreiben.

DORA ist für die regulatorische Vorfallsmeldung dort die Spezialregel, wo das Finanzunternehmen oder die betroffene Betreiberkonstellation tatsächlich unter § 28 Abs. 6 oder Abs. 7 BSIG und Art. 19 DORA fällt. Vor dieser DORA-Prüfung ist im deutschen Anwendungsbereich auch § 28 Abs. 5 BSIG mitzulesen: Für bestimmte Anbieter öffentlicher Telekommunikationsnetze oder öffentlich zugänglicher Telekommunikationsdienste sowie bestimmte EnWG-Konstellationen gelten zentrale BSIG-Pflichten wie §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nicht, soweit keine gesetzliche Rückausnahme eingreift. Zusätzlich kann § 28 Abs. 8 BSIG bei bestimmten landes-/kommunalnahen öffentlichen Einheiten zu einer vollständigen Nichtanwendung des BSIG führen. Für andere Finanzsektor-Nähen, konzernnahe Dienstleister, reine IKT-Drittdienstleister oder Mischkonstellationen bleibt die Anwendbarkeit gesondert zu prüfen. Die DORA-Vorfallsmeldung richtet sich nach Art. 19 DORA, den technischen Standards, der Durchführungsverordnung (EU) 2025/302 [EU-DORA-302] zu Formularen, Vorlagen, Datenfeldern und Verfahrenslogik sowie der nach Art. 46 DORA zuständigen Finanzaufsicht; in Deutschland ist die operative Einreichung über das BaFin-Meldeverfahren/MVP zu prüfen. Für die 72h-Krisenkarte muss die DORA-Spur gesondert geführt werden: Fristen-Architektur nach Delegierter VO (EU) 2025/301 [EU-DORA-301] Art. 5 Abs. 1 bis 6: Erstmeldung nach Art. 5 Abs. 1 Buchst. a; Zwischenmeldung nach Buchst. b; Abschlussmeldung nach Buchst. c; zusätzliche Verzögerungsmitteilung nach Abs. 3, wenn die Frist nicht eingehalten werden kann; Wochenend-/Feiertagsregel nach Abs. 4 nur soweit Abs. 5 und Abs. 6 nicht sperren. Für Kreditinstitute, zentrale Gegenparteien, Betreiber von Handelsplätzen und NIS-2-wesentliche/-wichtige Finanzunternehmen darf die Wochenend-/Feiertagsverschiebung für Erst- und Zwischenmeldung nicht ungeprüft eingeplant werden. Bei der Erstmeldung: so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach Einstufung des IKT-bezogenen Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat. Bei der Zwischenmeldung: spätestens 72 Stunden nach Übermittlung der Erstmeldung, auch wenn sich gemäß Artikel 19 Absatz 4 Buchstabe b der Verordnung (EU) 2022/2554 der Status oder die Handhabung des Vorfalls nicht geändert hat. Die Finanzunternehmen übermitteln unverzüglich etwaige aktualisierte Zwischenmeldungen, in jedem Fall aber, sobald der reguläre Geschäftsbetrieb wiederaufgenommen wurde. Bei der Abschlussmeldung: spätestens einen Monat nach Übermittlung der Zwischenmeldung oder gegebenenfalls nach der letzten aktualisierten Zwischenmeldung. Für § 28 Abs. 6 BSIG tritt die allgemeine § 32-BSIG-Meldeschiene zurück; für Betreiber kritischer Anlagen gilt die Ausnahme nach § 28 Abs. 7 BSIG nur, soweit sie eine Anlage für Unternehmen nach § 28 Abs. 6 Nummer 1 betreiben. Die DSGVO [EU-DSGVO]-, Kunden-, Gremien- und Versicherungsstränge laufen dadurch nicht automatisch weg.

Wichtig ist die Trennung: Die regulatorische Meldezuständigkeit kann sich aus DORA ergeben. Die gesellschaftsrechtliche Grundverantwortung der Geschäftsleitung verschwindet dadurch nicht. Ein Finanzunternehmen sollte deshalb nicht aus „DORA statt BSIG“ ableiten, dass keine Organpflichten bestehen. Die DORA-Abgrenzung wird in DORA oder BSIG? grundlegend und in DORA — Pflichten & Aufsicht vertieft behandelt.

Artikel 19 Absätze 1 bis 4 DORA — Meldung schwerwiegender IKT-bezogener Vorfälle und freiwillige Meldung erheblicher Cyberbedrohungen
(1) Finanzunternehmen melden der nach Artikel 46 jeweils zuständigen Behörde gemäß Absatz 4 schwerwiegende IKT-bezogene Vorfälle.
Unterliegt ein Finanzunternehmen der Aufsicht mehr als einer nach Artikel 46 zuständigen nationalen Behörde, so benennen die Mitgliedstaaten eine einzige zuständige Behörde als einschlägige zuständige Behörde, die für die Wahrnehmung der im vorliegenden Artikel aufgeführten Funktionen und Aufgaben verantwortlich ist.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, melden schwerwiegende IKT-bezogene Vorfälle der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde, die diese Meldung unverzüglich an die EZB weiterleitet.
Für die Zwecke von Unterabsatz 1 erstellen Finanzunternehmen nach Erfassung und Analyse aller relevanten Informationen unter Verwendung der in Artikel 20 genannten Vorlage die Erstmeldung und die Meldungen nach Absatz 4 und übermitteln diese der zuständigen Behörde. Falls es aus technischen Gründen nicht möglich ist, die Erstmeldung unter Verwendung der Vorlage zu übermitteln, teilen die Finanzunternehmen dies der zuständigen Behörde auf anderem Wege mit.
Die Erstmeldung und die Meldungen nach Absatz 4 enthalten alle Informationen, die die zuständige Behörde benötigt, um die Signifikanz des schwerwiegenden IKT-bezogenen Vorfalls zu ermitteln und mögliche grenzüberschreitende Auswirkungen zu bewerten.
Unbeschadet der Meldung gemäß Unterabsatz 1 durch das Finanzunternehmen an die jeweils zuständige Behörde können die Mitgliedstaaten zusätzlich festlegen, dass einige oder alle Finanzunternehmen die Erstmeldung und jede Meldung nach Absatz 4 auch den gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten zuständigen Behörden oder Computer-Notfallteams (computer security incident response teams — CSIRT) unter Verwendung der in Artikel 20 genannten Vorlage zur Verfügung stellen müssen.
(2) Finanzunternehmen können der jeweils zuständigen Behörde auf freiwilliger Basis erhebliche Cyberbedrohungen melden, wenn sie der Auffassung sind, dass die Bedrohung für das Finanzsystem, die Dienstnutzer oder die Kunden relevant ist. Die jeweils zuständige Behörde kann derartige Informationen anderen in Absatz 6 genannten einschlägigen Behörden zur Verfügung stellen.
Kreditinstitute, die gemäß Artikel 6 Absatz 4 der Verordnung (EU) Nr. 1024/2013 als bedeutend eingestuft wurden, können erhebliche Cyberbedrohungen auf freiwilliger Basis der gemäß Artikel 4 der Richtlinie 2013/36/EU benannten jeweils zuständigen nationalen Behörde melden, die diese Meldung unverzüglich an die EZB weiterleitet.
Die Mitgliedstaaten können festlegen, dass die Finanzunternehmen, die auf freiwilliger Basis eine Meldung gemäß Unterabsatz 1 vornehmen, diese Meldung auch an die gemäß der Richtlinie (EU) 2022/2555 benannten oder eingerichteten CSIRT erstatten können.
(3) Wenn ein schwerwiegender IKT-bezogener Vorfall auftritt und Auswirkungen auf die finanziellen Interessen von Kunden hat, unterrichten die Finanzunternehmen, sobald sie hiervon Kenntnis erlangt haben, ihre Kunden unverzüglich über den schwerwiegenden IKT-bezogenen Vorfall und die Maßnahmen, die ergriffen wurden, um die nachteiligen Auswirkungen eines solchen Vorfalls zu mindern.
Im Falle einer erheblichen Cyberbedrohung unterrichten die Finanzunternehmen gegebenenfalls ihre potenziell betroffenen Kunden über angemessene Schutzmaßnahmen, die diese ergreifen könnten.
(4) Finanzunternehmen legen innerhalb der in Artikel 20 Absatz 1 Buchstabe a Ziffer ii festzulegenden Fristen der jeweils zuständigen Behörde Folgendes vor:
a) eine Erstmeldung;
b) nach der Erstmeldung gemäß Buchstabe a eine Zwischenmeldung, sobald sich der Status des ursprünglichen Vorfalls erheblich geändert hat oder sich die Handhabung des schwerwiegenden IKT-bezogenen Vorfalls auf der Grundlage neuer verfügbarer Informationen geändert hat, gegebenenfalls gefolgt von aktualisierten Meldungen, wann immer eine entsprechende Statusaktualisierung vorliegt, sowie auf ausdrücklichen Antrag der zuständigen Behörde;
c) eine Abschlussmeldung, wenn die Ursachenanalyse abgeschlossen ist — unabhängig davon, ob bereits Minderungsmaßnahmen getroffen wurden oder nicht — und sich die tatsächlichen Auswirkungen beziffern lassen und Schätzungen ersetzen.

Für Finanzunternehmen ist die DORA-Meldearchitektur die spezielle Vorfallsmeldewelt; die BSIG-Meldeschiene tritt im DORA-Anwendungsbereich nach § 28 Absatz 6 BSIG zurück.

4.5 Verspätung der 24-Stunden-Frist — § 65 BSIG

Eine verspätete, unrichtige, unvollständige oder unterlassene Meldung ist nicht nur ein Organisationsfehler. § 65 BSIG [N-BSIG-65] enthält den Bußgeldtatbestand:

§ 65 Absatz 2 Nummer 4 und Nummer 5 BSIG — Ordnungswidrigkeit
(2) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig
4. entgegen § 32 Absatz 1 Satz 1 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht,
5. entgegen § 32 Absatz 2 Satz 2 eine Abschlussmeldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt,

Die Bußgeldfolge richtet sich nach § 65 Abs. 5 bis 7 BSIG. Für den in § 65 Abs. 2 Nummer 4 genannten Fall nennt § 65 Abs. 5 Satz 1 Nummer 1 die Bußgeldrahmen für besonders wichtige Einrichtungen und wichtige Einrichtungen:

§ 65 Absatz 5 BSIG — Bußgeldrahmen (Auszug: Fälle des Absatzes 2 Nummer 4 und Nummer 5)
(5) Die Ordnungswidrigkeit kann geahndet werden:

1. in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9,
   a) bei besonders wichtigen Einrichtungen nach § 28 Absatz 1 Satz 1 mit einer Geldbuße bis zu zehn Millionen Euro,
   b) bei wichtigen Einrichtungen im Sinne des § 28 Absatz 2 Satz 1 mit einer Geldbuße bis zu sieben Millionen Euro,

Für große Einrichtungen enthält § 65 Abs. 6 und 7 BSIG eine umsatzbezogene Alternative. Der Gesamtumsatz wird in § 65 Absatz 8 BSIG legaldefiniert:

§ 65 Absatz 8 BSIG — Gesamtumsatz
(8) Gesamtumsatz im Sinne der Absätze 6 und 7 ist die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat. Der Gesamtumsatz kann geschätzt werden.

Der Bußgeldrahmen selbst ist in § 65 Abs. 6 und 7 BSIG geregelt:

§ 65 Absatz 6 und Absatz 7 BSIG — Umsatzbezogene Alternative
(6) Gegenüber einer besonders wichtigen Einrichtung im Sinne des § 28 Absatz 1 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe a, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 2 Prozent des Gesamtumsatzes geahndet werden.
(7) Gegenüber einer wichtigen Einrichtung im Sinne des § 28 Absatz 2 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe b, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 1,4 Prozent des Gesamtumsatzes geahndet werden.

§ 65 Absatz 9 BSIG — Ausschluss der OWiG-Halbierung
(9) § 17 Absatz 2 des Gesetzes über Ordnungswidrigkeiten ist in den Fällen des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7 nicht anzuwenden.

§ 65 Absatz 10 BSIG — Verwaltungsbehörde
(10) Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist

1. in den Fällen des Absatzes 2 Nummer 11 das Bundesministerium des Innern und
2. in den Fällen der Absätze 1, 3 und 4 sowie in den Fällen des Absatzes 2, die nicht in Nummer 1 genannt sind, das Bundesamt.

Damit ist die häufige Verkürzung „2 Prozent des weltweiten Umsatzes“ für jeden Fall falsch. Die umsatzbezogenen Sätze knüpfen an den Gesamtumsatz von mehr als 500 Millionen Euro und an bestimmte Tatbestände an. Außerdem trifft das Bußgeld nach § 65 BSIG die Einrichtung, nicht unmittelbar den Geschäftsführer persönlich. Persönliche Risiken sind davon zu trennen: Sie können über gesellschaftsrechtliche Innenhaftung, Tätigkeitsverbot und gegebenenfalls Straf- oder OWiG-Fragen entstehen; ob eine Verbandsgeldbuße selbst regressfähig ist, bleibt gesondert und offen zu prüfen. Die Bußgeldarchitektur wird im Satelliten Verbandsgeldbuße (§ 65 BSIG) vertieft.

4.6 Parallel: DSGVO-Datenpannen-Frist Art. 33 DSGVO

Viele Cyber-Vorfälle sind zugleich Datenschutzvorfälle. Das ist nicht automatisch der Fall. Aber sobald personenbezogene Daten betroffen sein können, muss die DSGVO-Schiene rollenbezogen parallel geprüft werden: Als Verantwortlicher geht es um Art. 33/34 DSGVO gegenüber Aufsichtsbehörde und Betroffenen; als Auftragsverarbeiter primär um die unverzügliche Meldung an den Verantwortlichen nach Art. 33 Abs. 2 DSGVO und um AVV-/Kundenfristen; bei Mischrollen, gemeinsam Verantwortlichen oder Dienstleisterketten sind getrennte Rollenvermerke zu führen. „Betroffen“ meint dabei nicht nur Datenabfluss oder unbefugten Zugriff: Auch Vernichtung, Verlust, Veränderung oder eine ransomwarebedingte Nichtverfügbarkeit personenbezogener Daten kann eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO sein. Art. 33 DSGVO lautet:

Art. 33 DSGVO — Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde
(1) ►C1 Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der gemäß Artikel 55 zuständigen Aufsichtsbehörde, ◄ es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
(2) Wenn dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, meldet er diese dem Verantwortlichen unverzüglich.
(3) Die Meldung gemäß Absatz 1 enthält zumindest folgende Informationen:
a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
b) den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;
c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
d) eine Beschreibung der von dem Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
(4) Wenn und soweit die Informationen nicht zur gleichen Zeit bereitgestellt werden können, kann der Verantwortliche diese Informationen ohne unangemessene weitere Verzögerung schrittweise zur Verfügung stellen.
(5) Der Verantwortliche dokumentiert Verletzungen des Schutzes personenbezogener Daten einschließlich aller im Zusammenhang mit der Verletzung des Schutzes personenbezogener Daten stehenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation muss der Aufsichtsbehörde die Überprüfung der Einhaltung der Bestimmungen dieses Artikels ermöglichen.

§ 65 Absatz 11 BSIG — DSGVO-Doppelbestrafungs-Verbot
(11) Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 eine Geldbuße, so darf eine weitere Geldbuße für einen Verstoß nach diesem Gesetz, der sich aus demselben Verhalten ergibt wie jener Verstoß, der Gegenstand der Geldbuße nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 war, nicht verhängt werden.

Die DSGVO-Frist ist nicht identisch mit § 32 BSIG. Sie knüpft an die Verletzung des Schutzes personenbezogener Daten und an das Risiko für Rechte und Freiheiten natürlicher Personen an. Der Empfänger ist die Datenschutzaufsicht, nicht die BSIG-Meldestelle. Die Inhalte unterscheiden sich. Die Dokumentationspflicht in Art. 33 Abs. 5 DSGVO ist für die spätere Entlastungs-Dokumentation besonders wichtig.

5. Stunde 24 bis Stunde 72 — die bestätigende oder aktualisierende Meldung

5.1 § 32 Absatz 1 Satz 1 Nummer 2 BSIG — Wortlaut

Die zweite Stufe der BSIG-Meldekaskade ist die bestätigende oder aktualisierende Meldung:

§ 32 Absatz 1 Satz 1 Nummer 2 BSIG — bestätigende oder aktualisierende Meldung
2. unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;

Die 72-Stunden-Meldung ist nicht bloß eine Wiederholung der frühen Erstmeldung. Sie bestätigt oder aktualisiert die Informationen aus Nummer 1 und fügt eine erste Bewertung hinzu. Der Begriff „erste Bewertung“ ist praktisch wichtig. Die Norm verlangt zu diesem Zeitpunkt keine abgeschlossene Abschlussanalyse. Sie verlangt aber mehr als die bloße Nachricht: „Es gibt einen Vorfall.“

Die Geschäftsleitung sollte bis Stunde 72 ein Lagebild verlangen, das mindestens fünf Punkte enthält: Schweregrad, Auswirkungen auf Dienste, mögliche Kompromittierungsindikatoren, bisherige Eindämmungsmaßnahmen und offene Unsicherheiten. Wenn die Forensik noch läuft, wird das klar dokumentiert. Wenn eine Annahme geändert wurde, wird sie als Aktualisierung dargestellt.

5.2 Inhalt der 72-Stunden-Meldung

Die 72-Stunden-Meldung sollte nicht im letzten Moment entstehen. Sie beginnt praktisch in Stunde 4. Gesondert zu dokumentieren ist die Entscheidung, ob und wann Strafverfolgungsbehörden, Cybercrime-Kontaktstellen oder Polizei eingebunden werden. Eine Anzeige ist nicht in jeder Cyber-Krise automatisch geboten; die Entscheidung kann aber für Beweissicherung, Täterkommunikation, Versicherung, Sanktions-/Zahlungsweg-Prüfung und spätere Nachweisführung erheblich sein. Der Krisenstab sollte ein fortlaufendes Meldedossier führen: frühere Angaben, neue Erkenntnisse, Widersprüche, Plausibilisierung, rechtliche Bewertung. Die Geschäftsleitung muss nicht jede technische Einzelheit lesen. Sie muss aber sehen, dass die Meldung durch ein Verfahren entstanden ist.

Typische Inhalte sind: betroffene Dienste, Zeitraum, Art der Störung, Verdacht auf böswillige Handlung, grenzüberschreitende Auswirkungen, erste Schadens- oder Auswirkungsbewertung, Status der Eindämmung, Kommunikationsmaßnahmen, Einschätzung zu personenbezogenen Daten, Kompromittierungsindikatoren, soweit vorhanden und meldereif. Technische Begriffe sollten präzise, aber nicht spekulativ eingesetzt werden.

Der wichtigste Satz für die Entlastungs-Dokumentation lautet häufig: „Auf Grundlage des Kenntnisstands um [Uhrzeit] bewertet der Krisenstab den Vorfall wie folgt.“ Dieser Satz trennt Wissen, Zeitpunkt und Bewertung. Er verhindert, dass spätere Erkenntnisse rückwirkend als damalige Gewissheit erscheinen.

5.3 § 32 Absatz 1 Satz 1 Nummer 3 BSIG — Zwischenmeldung auf Ersuchen

Die dritte Nummer des § 32 Abs. 1 Satz 1 BSIG [N-BSIG-32] ist keine starre Frist, sondern eine Reaktion auf ein Ersuchen des Bundesamtes:

§ 32 Absatz 1 Satz 1 Nummer 3 BSIG — Zwischenmeldung
3. auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen;

Das klingt klein, ist aber organisatorisch anspruchsvoll. Wer eine Zwischenmeldung beantworten muss, braucht ein aktualisiertes Lagebild, eine konsistente Akte und einen klaren Kommunikationskanal. Die Behörde sollte nicht aus verschiedenen Teilen der Einrichtung widersprüchliche Antworten erhalten.

Die Geschäftsleitung sollte deshalb früh einen behördlichen Single Point of Contact bestimmen. Dieser Punkt sammelt technische, rechtliche und organisatorische Informationen, stimmt sie ab und kommuniziert nach Freigabe. Der Zweck ist nicht, die Behörde zu „managen“. Der Zweck ist sachliche, fristgerechte und konsistente Kooperation.

5.4 Stakeholder-Kommunikation

Ab Stunde 24 wird die Krise sichtbar. Mitarbeiter fragen, warum Systeme nicht laufen. Kunden wollen wissen, ob Dienste verfügbar bleiben. Lieferanten fragen nach Schnittstellen. Versicherer erwarten Fristwahrung und Schadenminderung. Parallel sollte eine Vertragsmatrix gezogen werden: Sie erfasst insbesondere Kunden- und Lieferantenverträge, Auftragsverarbeitungs- und Outsourcing-Vereinbarungen, Service-Level-Regime, Audit- und Informationsrechte, öffentliche Auftraggeber, Kredit-/Finanzierungsverträge, Cyber-Police [M-AVB-OFFEN]-, D&O- und Strafrechtsschutzobliegenheiten sowie Zustimmungserfordernisse für Forensik, Wiederanlauf, Vergleich, Lösegeldkommunikation oder externe Kommunikation. Bei Banken und Kreditgebern sind zusätzlich Covenants, Informationspflichten, Events of Default, Drawstop-/Drawdown-Repräsentationen, MAC-/Material-Adverse-Effect-Risiken, Agent-/Syndikatskommunikation und Vertraulichkeit mitzudenken. Bei Großkunden und Einkaufsorganisationen sind Security Addenda, kundenspezifische Incident-Notice-Fristen, Audit-, Step-in- und Kündigungsrechte, Service Credits, Subunternehmerketten, Freigaben für Forensikberichte und abgestimmte Außenkommunikation gesondert zu erfassen. Besonderes Augenmerk verdient die Rolle als IKT-Drittdienstleister für Finanzunternehmen: Das ist regelmäßig ein vertraglicher DORA [EU-DORA]-Back-to-back-Track, keine automatische eigene Art.-19-DORA-Meldepflicht des Dienstleisters. Die Art.-19-Meldeverantwortung bleibt beim Finanzunternehmen, auch wenn Einreichungs- oder Unterstützungsleistungen ausgelagert werden; DORA Art. 19 Abs. 5 erlaubt zwar eine operative Unterstützung oder ausgelagerte Einreichung, belässt die Verantwortung aber beim Finanzunternehmen. Die Durchführungsverordnung (EU) 2025/302 [EU-DORA-302] macht zudem die Template-, Datenfeld-, Drittmelder- und Verfahrensschicht sichtbar. Der Dienstleister muss vertraglich nach Art. 30 DORA insbesondere Unterstützung bei IKT-Vorfällen, Kooperation mit Behörden, Audit-/Zugangsrechte, Reporting und Benachrichtigungen leisten können. Diese Matrix ersetzt keine Rechtsprüfung; sie verhindert aber, dass vertragliche Fristen neben den gesetzlichen Fristen übersehen werden. Aufsichtsgremien brauchen ein entscheidungsfähiges Lagebild.

Für Aktiengesellschaften ist § 90 AktG der zentrale Berichtsausgangspunkt:

§ 90 Absatz 1 AktG — Berichte an den Aufsichtsrat
(1) Der Vorstand hat dem Aufsichtsrat zu berichten über

1. die beabsichtigte Geschäftspolitik und andere grundsätzliche Fragen der Unternehmensplanung (insbesondere die Finanz-, Investitions- und Personalplanung), wobei auf Abweichungen der tatsächlichen Entwicklung von früher berichteten Zielen unter Angabe von Gründen einzugehen ist;
2. die Rentabilität der Gesellschaft, insbesondere die Rentabilität des Eigenkapitals;
3. den Gang der Geschäfte, insbesondere den Umsatz, und die Lage der Gesellschaft;
4. Geschäfte, die für die Rentabilität oder Liquidität der Gesellschaft von erheblicher Bedeutung sein können.
   Ist die Gesellschaft Mutterunternehmen (§ 290 Abs. 1, 2 des Handelsgesetzbuchs), so hat der Bericht auch auf Tochterunternehmen und auf Gemeinschaftsunternehmen (§ 310 Abs. 1 des Handelsgesetzbuchs) einzugehen. Außerdem ist dem Vorsitzenden des Aufsichtsrats aus sonstigen wichtigen Anlässen zu berichten; als wichtiger Anlaß ist auch ein dem Vorstand bekanntgewordener geschäftlicher Vorgang bei einem verbundenen Unternehmen anzusehen, der auf die Lage der Gesellschaft von erheblichem Einfluß sein kann.

Ein erheblicher Cyber-Vorfall kann die Lage, Liquidität, Rentabilität oder Geschäftspolitik berühren. Der Vorstand sollte deshalb nicht warten, bis der Vorfall abgeschlossen ist. Er sollte einen ersten entscheidungsfähigen Lagebericht geben und einen Berichtstakt festlegen. Für die AG-Linie ist ergänzend BGH, Urteil vom 14. Oktober 2025 - II ZR 78/24 [R-II-ZR-78-24] - zu beachten: Die Berichts- und Informationspflichten treffen den Vorstand als dessen Bringschuld; der Aufsichtsrat muss bei unzureichender Berichterstattung durch geeignete Maßnahmen darauf hinwirken, dass er die Informationen erhält, die er für eine sinnvolle Überwachung der Geschäftsführung benötigt. Für Aufsichtsräte ist der geplante Satellit Aufsichtsrats-Haftung relevant, der Aufsichtsrats-Haftung und Cyber-Überwachung vertieft.

Ein erheblicher Cyber-Vorfall kann einen sonstigen wichtigen Anlass im Sinne von § 90 Absatz 1 Satz 3 AktG [N-AktG-90] begründen, wenn er auf Lage, Liquidität, Rentabilität, Geschäftspolitik oder Risikolage der Gesellschaft von erheblichem Einfluss sein kann. Dann ist dem Vorsitzenden des Aufsichtsrats anlassbezogen zu berichten; der Begriff darf nicht mit einer kapitalmarktrechtlichen Ad-hoc-Mitteilung gleichgesetzt werden. Bei kapitalmarktorientierten Emittenten ist daneben ein separater MAR-Track zu eröffnen: Kann der Cyber-Vorfall eine Insiderinformation sein, sind Art. 17 MAR, Aufschubentscheidung, Insiderliste, Vertraulichkeitssicherung und Veröffentlichungskanal eigenständig zu prüfen. § 90-AktG-Bericht und Ad-hoc-Publizität sind nicht identisch, können aber in derselben Krise parallel relevant werden.

Bei GmbHs hängt die formale Aufsichtsgremien-Kommunikation von Gesellschaftsvertrag, Beirat, fakultativem Aufsichtsrat und § 52 GmbHG [N-GmbHG-52] ab. Praktisch gilt auch dort: Wer ein Aufsichtsgremium hat, sollte es nicht aus der Zeitung, von Kunden oder vom Versicherer vom Vorfall erfahren lassen.

Versichererkommunikation gehört ebenfalls in dieses Fenster. Zusätzlich ist die behördliche Kommunikationsspur nach § 36 BSIG [N-BSIG-36] mitzudenken: Nach einer § 32-Meldung können Rückmeldung, Orientierungshilfen oder operative Unterstützung des Bundesamtes nach § 36 Absatz 1 BSIG relevant werden; bei Erforderlichkeit einer Sensibilisierung der Öffentlichkeit oder bei öffentlichem Interesse kann das Bundesamt nach § 36 Absatz 2 BSIG die Einrichtung nach Anhörung verpflichten, die Öffentlichkeit zu informieren, oder die Öffentlichkeit auch selbst informieren. Das ist keine PR-Option der Einrichtung allein, sondern eine mögliche Aufsichts- und Reputationsfolge. Cyber-Police, D&O-Versicherung und Strafrechtsschutz können unterschiedliche Anzeige-, Mitwirkungs- und Zustimmungserfordernisse kennen. Zusätzlich sind policeabhängig insbesondere Schadenminderung, Weisungs-/Freigaberechte, Auskunfts- und Belegpflichten sowie eine Dokumentation des Schadenbildes vor Veränderung zu prüfen. Dieser Pillar nennt keine Marktanbieter und keine Produktdetails. Die Versicherungsarchitektur wird in Cyber-Versicherungs-Architektur dargestellt. In der Krise genügt: Deckungsanzeigen, Schadenminderungs-, Weisungs-, Auskunfts-, Beleg-, Schadenbild- und Zustimmungsfragen sind früh mit den konkreten Police-Dokumenten und dem Makler/Deckungsanwalt abzugleichen. Policeabhängig sind neben der unverzüglichen Schadenanzeige insbesondere kurze Anzeigefristen für drittbezogene Haftungstatsachen, behördliche/gerichtliche Verfahren, Dokumentation vor Veränderung des Schadenbildes und Rechtsfolgen bei Obliegenheitsverletzung zu prüfen.

5.5 Art. 34 DSGVO — Information der Betroffenen

Neben der Meldung an die Datenschutzaufsicht kann eine Information der Betroffenen erforderlich werden. Art. 34 DSGVO [EU-DSGVO] lautet:

Art. 34 DSGVO — Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person
(1) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung.
(2) Die in Absatz 1 genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 33 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen.
(3) Die Benachrichtigung der betroffenen Person gemäß Absatz 1 ist nicht erforderlich, wenn eine der folgenden Bedingungen erfüllt ist:
a) der Verantwortliche geeignete technische und organisatorische Sicherheitsvorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung;
b) der Verantwortliche durch nachfolgende Maßnahmen sichergestellt hat, dass das hohe Risiko für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 aller Wahrscheinlichkeit nach nicht mehr besteht;
c) die Benachrichtigung wäre mit einem unverhältnismäßigen Aufwand verbunden. In diesem Fall hat stattdessen eine öffentliche Bekanntmachung oder eine ähnliche Maßnahme zu erfolgen, durch die die betroffenen Personen vergleichbar wirksam informiert werden.
(4) Wenn der Verantwortliche die betroffene Person nicht bereits über die Verletzung des Schutzes personenbezogener Daten benachrichtigt hat, kann die Aufsichtsbehörde unter Berücksichtigung der Wahrscheinlichkeit, mit der die Verletzung des Schutzes personenbezogener Daten zu einem hohen Risiko führt, von dem Verantwortlichen verlangen, dies nachzuholen, oder sie kann mit einem Beschluss feststellen, dass bestimmte der in Absatz 3 genannten Voraussetzungen erfüllt sind.

Art. 34 DSGVO ist kommunikativ heikel. Zu früh, zu technisch oder zu spekulativ informierte Betroffene können verunsichert werden. Zu spät informierte Betroffene können eigene Schutzmaßnahmen nicht treffen. Die Geschäftsleitung sollte deshalb Legal, Datenschutz, Kommunikation und Forensik gemeinsam entscheiden lassen, welche Betroffenengruppen wann mit welcher Sprache informiert werden. Zusätzlich sollte ein externer Kommunikations- und Offenlegungsregister geführt werden: Welche Tatsachen wurden gegenüber BSI, Datenschutzaufsicht, Betroffenen, Öffentlichkeit, Aufsichtsrat, Versicherer, Kunden, Banken und gegebenenfalls Kapitalmarkt kommuniziert? Welche Aussagen sind vorläufig, welche bestätigt, und welche Fassungen wurden zurückgezogen oder aktualisiert? Dadurch werden widersprüchliche Behörden-, Versicherungs- und Marktkommunikationen vermieden.

6. 72 Stunden bis 1 Monat — die Abschlussmeldung

6.1 § 32 Absatz 1 Satz 1 Nummer 4 BSIG — Wortlaut

Die vierte Stufe der BSIG-Meldekaskade ist die Abschlussmeldung:

§ 32 Absatz 1 Satz 1 Nummer 4 BSIG — Abschlussmeldung
4. spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die Folgendes enthält:
a) eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen;
b) Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat;
c) Angaben zu den getroffenen und laufenden Abhilfemaßnahmen;
d) gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls.

Die Abschlussmeldung ist nicht nur ein Verwaltungsakt am Ende. Sie ist zugleich ein Governance-Dokument. Sie zwingt die Einrichtung, die Bedrohungsart, die wahrscheinliche Ursache, die Auswirkungen und die Abhilfemaßnahmen zusammenzuführen. Diese Zusammenführung ist auch für Aufsichtsrat, Versicherer, Kundenkommunikation und Innenhaftung relevant.

6.2 § 32 Absatz 2 BSIG — Fortschrittsmeldung bei andauerndem Vorfall

Wenn der Vorfall nach einem Monat nicht abgeschlossen ist, sieht § 32 Abs. 2 BSIG [N-BSIG-32] die Fortschrittsmeldung vor:

§ 32 Absatz 2 BSIG — Fortschrittsmeldung
(2) Dauert der Sicherheitsvorfall zum in Absatz 1 Satz 1 Nummer 4 genannten Zeitpunkt noch an, legt die betreffende Einrichtung statt einer Abschlussmeldung zu diesem Zeitpunkt eine Fortschrittsmeldung vor. Die Abschlussmeldung ist dem Bundesamt nach abschließender Bearbeitung des Sicherheitsvorfalls durch die betreffende Einrichtung vorzulegen.

Diese Regel ist realitätsnah. Große Cyber-Vorfälle sind nach einem Monat oft nicht vollständig abgeschlossen. Trotzdem muss die Einrichtung berichten. Die Fortschrittsmeldung sollte offenlegen, was abgeschlossen ist, was noch läuft, welche Maßnahmen umgesetzt wurden, welche Risiken verbleiben und wann die nächste belastbare Aktualisierung möglich ist.

6.3 Wiederanlaufplan-Aktivierung

Zwischen 72 Stunden und einem Monat verschiebt sich der Schwerpunkt. Die erste Eindämmung ist idealerweise erfolgt. Jetzt zählen Wiederanlauf, Stabilisierung, Ursachenanalyse, Nachhärtung, Kommunikationskonsistenz und Nachweise. Der Wiederanlaufplan (Business Continuity Plan) wird nicht erst jetzt geschrieben. Er wird jetzt geprüft.

Die Geschäftsleitung sollte drei Fragen stellen: Welche kritischen Dienste laufen wieder? Welche Dienste laufen nur im Notbetrieb? Welche Rückkehr in den Normalbetrieb wäre riskanter als der Notbetrieb? Ein schneller Wiederanlauf kann geschäftlich attraktiv sein. Er kann aber gefährlich sein, wenn Persistenzmechanismen des Angreifers nicht ausgeschlossen sind oder wenn kompromittierte Identitäten wieder aktiviert werden.

Der Wiederanlauf ist deshalb keine reine IT-Frage. Er ist zusätzlich mit Beweissicherung, Datenschutzakte, Versicherungsakte und Behördenkommunikation zu synchronisieren: Vor Reimage, Restore, Löschung, Token-/Passwort-Reset, Austausch von Hardware oder Rückkehr in den Normalbetrieb ist zu dokumentieren, welche Logs, Images, IOCs, Angreiferkommunikation und Schadenbilder gesichert wurden, wer Abweichungen freigegeben hat und welche Meldungen dadurch aktualisiert werden müssen. Er betrifft Kundenverträge, Versorgungspflichten, Datenschutz, Arbeitsschutz, Lieferketten, Liquidität und Kommunikation. Die Geschäftsleitung muss nicht jeden technischen Schritt freigeben. Sie muss aber die Kriterien freigeben, nach denen Wiederanlauf und Normalbetrieb verantwortet werden.

6.4 Aufsichtsbehördlicher Auskunfts- und Anordnungs-Anschluss

Nach der Meldung kann die Aufsicht nicht nur Informationen entgegennehmen. Für besonders wichtige Einrichtungen enthält § 61 BSIG [N-BSIG-61] Anordnungs- und Nachweisinstrumente; für wichtige Einrichtungen läuft die Aufsichtsschiene über § 62 BSIG [N-BSIG-62], wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 oder § 38 Absatz 3 nicht oder nicht richtig umgesetzt werden. Für die Akutphase besonders wichtiger Einrichtungen sind insbesondere § 61 Abs. 6 und Abs. 7 BSIG relevant:

§ 61 Absatz 6 BSIG — Maßnahmen zur Verhütung oder Behebung
(6) Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen im Benehmen mit der zuständigen Aufsichtsbehörde zur Verhütung oder Behebung eines Sicherheitsvorfalls oder eines Mangels erforderliche Maßnahmen nach § 30 Absatz 1 Satz 1 sowie die Vorlage eines geeigneten Mängelbeseitigungsplanes und eines geeigneten Nachweises über die erfolgte Mängelbeseitigung anordnen. Ein Benehmen mit der zuständigen Aufsichtsbehörde kann entfallen, sofern Gefahr im Verzug besteht. Ferner kann das Bundesamt die Berichterstattung zu den nach Satz 1 angeordneten Maßnahmen innerhalb einer angemessenen Frist verlangen.
§ 61 Absatz 7 BSIG — Umsetzungsanordnungen
(7) Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen im Benehmen mit der zuständigen Aufsichtsbehörde Anordnungen zur Umsetzung der in Absatz 1 genannten Verpflichtungen erlassen. Ein Benehmen mit der zuständigen Aufsichtsbehörde kann entfallen, sofern Gefahr im Verzug besteht. Es kann die Umsetzung von im Rahmen einer Sicherheitsprüfung formulierten konkreten Empfehlungen im Einzelfall innerhalb einer angemessenen Frist anordnen.

§ 61 Absatz 11 BSIG — Unterrichtung der Datenschutzaufsicht durch das BSI
(11) Stellt das Bundesamt im Zuge der Beaufsichtigung einer Einrichtung oder Durchsetzung einer Maßnahme fest, dass ein Verstoß gegen die Verpflichtungen dieses Gesetzes eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 zur Folge haben kann, die gemäß Artikel 33 dieser Verordnung zu melden ist, unterrichtet es unverzüglich die zuständigen Aufsichtsbehörden.

§ 61 Absatz 9 BSIG — Eskalation: Mitteilung an Aufsichtsbehörde, Genehmigungs-Aussetzung, Tätigkeits-Untersagung als letztes Mittel
(9) Sofern besonders wichtige Einrichtungen den Anordnungen des Bundesamtes nach diesem Gesetz trotz Fristsetzung nicht nachkommen, kann das Bundesamt dies der jeweils zuständigen Aufsichtsbehörde mitteilen. Die zuständige Aufsichtsbehörde kann, wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht, als letztes Mittel

1. die dieser Einrichtung erteilte Genehmigung nach dem jeweiligen Fachrecht vorübergehend ganz oder teilweise aussetzen und
2. unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13), vorübergehend untersagen.
   Die Aussetzung nach Satz 2 Nummer 1 und die Untersagung nach Satz 2 Nummer 2 sind nur solange zulässig, bis die besonders wichtige Einrichtung den Anordnungen des Bundesamtes nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurden.

Für die Geschäftsleitung ist das der Übergang von der Meldung zur Aufsichtskooperation. Die Einrichtung sollte Mängelbeseitigungsplan, Nachweise, Maßnahmenstatus, Verantwortlichkeiten und Umsetzungsfristen in einem Dokumentenraum führen. Das ist kein Selbstzweck. Es verhindert, dass die Einrichtung in der Nachphase widersprüchliche Fassungen von Ursachen, Maßnahmen und Zuständigkeiten produziert.

Die detaillierte Kommunikation mit dem BSI nach dem Vorfall wird in BSI-Aufsicht nach der Meldung vertieft. Dieser Pillar hält nur fest: Die 72-Stunden-Architektur endet nicht mit der Meldung. Sie setzt sich in Nachweisen, Anordnungen und Audits fort.

7. Die kritische Entscheidung — Lösegeld zahlen oder nicht?

7.1 Vier Risikospuren zur gleichen Zeit

Die Lösegeldfrage ist der gefährlichste Entscheidungspunkt in vielen Ransomware-Krisen. Sie wirkt operativ einfach: Zahlen oder nicht zahlen. Rechtlich ist sie keine binäre Routineentscheidung. Mindestens vier Risikospuren laufen gleichzeitig.

Erstens kann eine Zahlung nach Eintritt der Zahlungsunfähigkeit oder Überschuldung in die Nähe des Zahlungsverbots nach § 15b InsO [N-InsO-15b] geraten. Dann geht es nicht nur um die Frage, ob die Zahlung wirtschaftlich sinnvoll war, sondern ob sie insolvenzrechtlich zulässig und mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar war.

Zweitens kann eine Zahlung strafrechtliche Risiken berühren, wenn Empfängerstrukturen als kriminelle oder terroristische Vereinigungen einzuordnen sind. Dieser Pillar behauptet ausdrücklich nicht: „Lösegeld zahlen ist immer strafbar.“ Das wäre falsch. Die strafrechtliche Bewertung hängt vom Einzelfall, vom Empfänger, vom Wissen der Handelnden und von der rechtlichen Einordnung ab.

Drittens kann die D&O-Deckung berührt sein. Wissentlichkeitsklauseln, Zustimmungserfordernisse, Schadenminderungsobliegenheiten und Insolvenzklauseln müssen geprüft werden. Viertens ist der Sanktions- und Zahlungsweg gesondert zu prüfen, insbesondere bei EU-Cyber-Sanktionsrecht [EU-CYBERSANKT], weiteren EU-Listungen, US-/OFAC-, UK- oder sonstigem Sanktionsnexus, Zahlungsdienstleistern, Versicherern, Wallet-/Exchange-Strukturen oder US-Dollar-Bezug. Die beiden BGH-Linien zur D&O-Deckung im Insolvenzkontext sind zu trennen: IV ZR 151/23 [R-IV-ZR-151-23] betrifft die insolvenzbezogene AVB-Vertragsbeendigung und die Nachmeldefrist im D&O-Claims-made-Vertrag; IV ZR 66/25 [R-IV-ZR-66-25] betrifft den Risikoausschluss wegen wissentlicher Pflichtverletzung nach Ziffer 6 ULLA. Beide Linien gehören in den Versicherungs- und Haftungskontext, nicht in eine schnelle Krisenparole.

7.2 § 15b InsO — Wortlaut

Der Ausgangspunkt für Zahlungen nach Insolvenzreife ist zweistufig: Zunächst bestimmt § 15a Absatz 1 InsO die Antragspflicht und die Höchstfristen; daran knüpft § 15b InsO mit dem Zahlungsverbot und seinen Ausnahmen an.

§ 15a Absatz 1 InsO — Antragspflicht
(1) Wird eine juristische Person zahlungsunfähig oder überschuldet, haben die Mitglieder des Vertretungsorgans oder die Abwickler ohne schuldhaftes Zögern einen Eröffnungsantrag zu stellen. Der Antrag ist spätestens drei Wochen nach Eintritt der Zahlungsunfähigkeit und sechs Wochen nach Eintritt der Überschuldung zu stellen. Das Gleiche gilt für die organschaftlichen Vertreter der zur Vertretung der Gesellschaft ermächtigten Gesellschafter oder die Abwickler bei einer rechtsfähigen Personengesellschaft, bei der kein persönlich haftender Gesellschafter eine natürliche Person ist; dies gilt nicht, wenn zu den persönlich haftenden Gesellschaftern eine andere Gesellschaft gehört, bei der ein persönlich haftender Gesellschafter eine natürliche Person ist.

Daran schließt § 15b InsO an:

§ 15b Absatz 1 InsO — Zahlungen bei Zahlungsunfähigkeit und Überschuldung
(1) Die nach § 15a Absatz 1 Satz 1 antragspflichtigen Mitglieder des Vertretungsorgans und Abwickler einer juristischen Person dürfen nach dem Eintritt der Zahlungsunfähigkeit oder der Überschuldung der juristischen Person keine Zahlungen mehr für diese vornehmen. Dies gilt nicht für Zahlungen, die mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar sind.
§ 15b Absatz 2 und Absatz 3 InsO — Ordnungsgemäßer Geschäftsgang und Fristverschärfung
(2) Zahlungen, die im ordnungsgemäßen Geschäftsgang erfolgen, insbesondere solche Zahlungen, die der Aufrechterhaltung des Geschäftsbetriebs dienen, gelten vorbehaltlich des Absatzes 3 als mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar. Im Rahmen des für eine rechtzeitige Antragstellung maßgeblichen Zeitraums nach § 15a Absatz 1 Satz 1 und 2 gilt dies nur, solange die Antragspflichtigen Maßnahmen zur nachhaltigen Beseitigung der Insolvenzreife oder zur Vorbereitung eines Insolvenzantrags mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters betreiben. Zahlungen, die im Zeitraum zwischen der Stellung des Antrags und der Eröffnung des Verfahrens geleistet werden, gelten auch dann als mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar, wenn diese mit Zustimmung eines vorläufigen Insolvenzverwalters vorgenommen wurden.
(3) Ist der nach § 15a Absatz 1 Satz 1 und 2 für eine rechtzeitige Antragstellung maßgebliche Zeitpunkt verstrichen und hat der Antragspflichtige keinen Antrag gestellt, sind Zahlungen in der Regel nicht mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar.
§ 15b Absatz 4 InsO — Erstattungspflicht
(4) Werden entgegen Absatz 1 Zahlungen geleistet, sind die Antragspflichtigen der juristischen Person zur Erstattung verpflichtet. Ist der Gläubigerschaft der juristischen Person ein geringerer Schaden entstanden, beschränkt sich die Ersatzpflicht auf den Ausgleich dieses Schadens. Soweit die Erstattung oder der Ersatz zur Befriedigung der Gläubiger der juristischen Person erforderlich ist, wird die Pflicht nicht dadurch ausgeschlossen, dass dieselben in Befolgung eines Beschlusses eines Organs der juristischen Person gehandelt haben. Ein Verzicht der juristischen Person auf Erstattungs- oder Ersatzansprüche oder ein Vergleich der juristischen Person über diese Ansprüche ist unwirksam. Dies gilt nicht, wenn der Erstattungs- oder Ersatzpflichtige zahlungsunfähig ist und sich zur Abwendung des Insolvenzverfahrens mit seinen Gläubigern vergleicht, wenn die Erstattungs- oder Ersatzpflicht in einem Insolvenzplan geregelt wird oder wenn ein Insolvenzverwalter für die juristische Person handelt.

§ 15b Absatz 5 bis Absatz 7 InsO — Beteiligte, organschaftliche Vertreter und Verjährung
(5) Absatz 1 Satz 1 und Absatz 4 gelten auch für Zahlungen an Personen, die an der juristischen Person beteiligt sind, soweit diese zur Zahlungsunfähigkeit der juristischen Person führen mussten, es sei denn, dies war auch bei Beachtung der in Absatz 1 Satz 2 bezeichneten Sorgfalt nicht erkennbar. Satz 1 ist auf Genossenschaften nicht anwendbar.
(6) Die Absätze 1 bis 5 gelten auch für die nach § 15a Absatz 1 Satz 3 und Absatz 2 zur Stellung des Antrags verpflichteten organschaftlichen Vertreter der zur Vertretung der Gesellschaft ermächtigten Gesellschafter.
(7) Die Ansprüche aufgrund der vorstehenden Bestimmungen verjähren in fünf Jahren. Besteht zum Zeitpunkt der Pflichtverletzung eine Börsennotierung, verjähren die Ansprüche in zehn Jahren.

Für die Geschäftsleitung bedeutet das: Die Lösegeldentscheidung darf nicht isoliert als IT-Beschaffungsentscheidung behandelt werden. Sie verlangt eine Liquiditäts- und Insolvenzreifeprüfung. Wenn eine Cyber-Krise die Zahlungsfähigkeit gefährdet, gehört Insolvenzrecht in den Krisenstab. Der Sonderfall Insolvenz und Cyber-Krise wird in Insolvenz in der Cyber-Krise vertieft.

7.3 § 129 Absatz 1 StGB — Wortlaut

Die strafrechtliche Risikospur wird häufig über § 129 StGB [N-StGB-129] diskutiert. Der Grundtatbestand lautet:

§ 129 Absatz 1 StGB — Bildung krimineller Vereinigungen
(1) Mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe wird bestraft, wer eine Vereinigung gründet oder sich an einer Vereinigung als Mitglied beteiligt, deren Zweck oder Tätigkeit auf die Begehung von Straftaten gerichtet ist, die im Höchstmaß mit Freiheitsstrafe von mindestens zwei Jahren bedroht sind. Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer eine solche Vereinigung unterstützt oder für sie um Mitglieder oder Unterstützer wirbt.

§ 129 Absatz 2 StGB — Legaldefinition Vereinigung
(2) Eine Vereinigung ist ein auf längere Dauer angelegter, von einer Festlegung von Rollen der Mitglieder, der Kontinuität der Mitgliedschaft und der Ausprägung der Struktur unabhängiger organisierter Zusammenschluss von mehr als zwei Personen zur Verfolgung eines übergeordneten gemeinsamen Interesses.

§ 129a Absatz 1 StGB — Bildung terroristischer Vereinigungen
(1) Wer eine Vereinigung (§ 129 Absatz 2) gründet, deren Zwecke oder deren Tätigkeit darauf gerichtet sind,

1. Mord (§ 211) oder Totschlag (§ 212) oder Völkermord (§ 6 des Völkerstrafgesetzbuches) oder Verbrechen gegen die Menschlichkeit (§ 7 des Völkerstrafgesetzbuches) oder Kriegsverbrechen (§§ 8, 9, 10, 11 oder § 12 des Völkerstrafgesetzbuches) oder
2. Straftaten gegen die persönliche Freiheit in den Fällen des § 239a oder des § 239b
3. (weggefallen)
   zu begehen, oder wer sich an einer solchen Vereinigung als Mitglied beteiligt, wird mit Freiheitsstrafe von einem Jahr bis zu zehn Jahren bestraft.

§ 129b Absatz 1 StGB — Kriminelle und terroristische Vereinigungen im Ausland; Einziehung
(1) Die §§ 129 und 129a gelten auch für Vereinigungen im Ausland. Bezieht sich die Tat auf eine Vereinigung außerhalb der Mitgliedstaaten der Europäischen Union, so gilt dies nur, wenn sie durch eine im räumlichen Geltungsbereich dieses Gesetzes ausgeübte Tätigkeit begangen wird oder wenn der Täter oder das Opfer Deutscher ist oder sich im Inland befindet. In den Fällen des Satzes 2 wird die Tat nur mit Ermächtigung des Bundesministeriums der Justiz und für Verbraucherschutz verfolgt. Die Ermächtigung kann für den Einzelfall oder allgemein auch für die Verfolgung künftiger Taten erteilt werden, die sich auf eine bestimmte Vereinigung beziehen. Bei der Entscheidung über die Ermächtigung zieht das Ministerium in Betracht, ob die Bestrebungen der Vereinigung gegen die Grundwerte einer die Würde des Menschen achtenden staatlichen Ordnung oder gegen das friedliche Zusammenleben der Völker gerichtet sind und bei Abwägung aller Umstände als verwerflich erscheinen.

Für Lösegeldfälle steht nicht die Gründung oder Mitgliedschaft im Vordergrund, sondern die Frage, ob eine Zahlung als Unterstützung einer solchen Vereinigung bewertet werden könnte. Das hängt von Wissen, Empfängerstruktur, Zweck der Zahlung und Einzelfallumständen ab. Die strafrechtliche Risikoskizze sollte zusätzlich klarstellen, dass § 129 StGB nicht die einzige Prüffrage des Zahlungswegs ist: Geldwäsche-/Kryptotransaktionsfragen, Sanktionslisten, Zahlungsdienstleister, Wallet-/Exchange-Screening und behördliche bzw. strafprozessuale Abstimmung sind gesondert zu dokumentieren. Das ist keine Aussage, dass Lösegeldzahlungen stets strafbar sind; es ist eine Dokumentations- und Prüfspur. Die vertiefte strafrechtliche Einordnung gehört in Strafrechtliche Risiken und die Lösegeld-Spezialanalyse in Lösegeld — ja oder nein?.

7.4 BGH, Urteil vom 19. November 2025 - IV ZR 66/25 - D&O-Wissentlichkeit nach Ziffer 6 ULLA

Für die D&O-Deckung ist die Wissentlichkeitsfrage besonders wichtig. BGH, Urteil vom 19. November 2025 - IV ZR 66/25 - (ECLI:DE:BGH:2025:191125UIVZR66.25.0) hat zu § 64 Satz 1 GmbHG in der Fassung vom 23. Oktober 2008 und Ziffer 6 ULLA den amtlichen Leitsatz formuliert:

BGH, Urteil vom 19. November 2025 — IV ZR 66/25 — amtlicher Leitsatz
Der Ausschluss des Versicherungsschutzes nach Ziffer 6 ULLA setzt voraus, dass gerade die Pflichtverletzung aufgrund gesetzlicher Haftpflichtbestimmungen, wegen der die versicherte Person für einen Vermögensschaden in Anspruch genommen wird, wissentlich erfolgte.

Für den D&O-Deckungsstrang in Cyber- und Lösegeldfällen lässt sich daraus nur übertragen: Bedingter Vorsatz und fahrlässige Unkenntnis reichen für den Risikoausschluss nach Ziffer 6 ULLA nicht aus; auch ein pauschaler Rückgriff auf eine andere Pflichtverletzung, etwa eine Insolvenzantragspflicht oder Krisenbeobachtungspflicht, ersetzt nicht die positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung.

Gegen die amtliche BGH-PDF ist damit verifiziert: Für die Krisenpraxis bleibt nur der vorsichtige deckungsrechtliche Schluss tragfähig. Die Geschäftsleitung sollte in der Lösegeldfrage keine Deckungsannahmen improvisieren. Sie sollte Police, AVB, Anzeigeobliegenheiten, Zustimmungserfordernisse, Insolvenzsituation und die konkrete Pflichtverletzung getrennt prüfen.

Die Versicherungsarchitektur wird in Cyber-Versicherungs-Architektur und die D&O-Tiefe in D&O-Versicherung im Cyber-Kontext behandelt. A4-01 setzt nur den Krisenanker: Keine Lösegeldentscheidung ohne dokumentierte Insolvenz-, Strafrechts-, Sanktions-/Zahlungsweg- und Versicherungsprüfung.

7.5 Konsequenz für die Geschäftsleitung

Die richtige Lösegeldentscheidung ist nicht immer dieselbe. Manchmal kann Nichtzahlung den Betrieb länger lahmlegen. Manchmal kann Zahlung rechtlich, ethisch, sanktionenrechtlich oder kriminalpolitisch unvertretbar sein. Manchmal ist die technische Wiederherstellung trotz Zahlung unsicher. Manchmal ist das eigentliche Risiko nicht die Zahlung, sondern die unerkannte Insolvenzreife.

Die Geschäftsleitung braucht deshalb einen dokumentierten Entscheidungspfad:

1. technische Lage und Wiederherstellbarkeit,
2. Datenabfluss und Kommunikationsfolgen,
3. Liquidität und Insolvenzreife,
4. strafrechtliche und sanktionsrechtliche Prüfung einschließlich Chain-of-Custody, Wallet-/Exchange-Screening, Behördenabstimmung und Dokumentation vor Zahlung oder Veränderung von Beweisartefakten,
5. Versicherungs- und Deckungsprüfung einschließlich policeabhängiger Panel-, Approved-Vendor-, Kostenfreigabe-, Forensikbericht- und Privilege-/Verteilungsfragen,
6. Zustimmungserfordernisse und Gremieninformation,
7. endgültige Entscheidung mit Begründung und Wiedervorlage.

Die Lösegeld-Entscheidung im Cyber-Krisen-Stab wird im Satelliten Lösegeld — ja oder nein? mit den vier Risikospuren Insolvenz-/Zahlungsverbot, Strafrecht, Sanktions-/Zahlungsweg und Versicherung, einschließlich der AVB-Wissentlichkeitslinie nach Ziffer 6 ULLA, vertieft.

8. Die fünf Schichten der Verantwortung in der akuten Krise

Die akute Cyber-Krise ist der Moment, in dem abstrakte Compliance-Schulden sichtbar werden. Was vorher nicht geregelt, nicht geübt, nicht dokumentiert oder nicht entschieden war, erscheint jetzt als Verzögerung. Die Verantwortung der Geschäftsleitung lässt sich in fünf Schichten ordnen.

Schicht 1: Bußgeld gegen die Einrichtung. § 65 BSIG [N-BSIG-65] kann insbesondere bei Meldepflichtverstößen eingreifen. Das Bußgeld trifft die Einrichtung. Die Höhe hängt vom Tatbestand, der Einordnung als besonders wichtige Einrichtung oder wichtige Einrichtung und bei großen Einrichtungen vom Gesamtumsatz ab. Eine Aussage, dass die Verbandsgeldbuße selbst ohne Weiteres regressfähig ist, wird hier nicht getroffen; die Regressfrage bleibt gesondert zu prüfen. Die Vertiefung gehört zu Verbandsgeldbuße (§ 65 BSIG).

Schicht 2: Aufsichtliche Maßnahmen und Tätigkeitsverbot. § 61 BSIG enthält Auskunfts-, Nachweis-, Prüfungs- und Anordnungsinstrumente für besonders wichtige Einrichtungen; bei wichtigen Einrichtungen ist die Aufsichtsschiene über § 62 BSIG [N-BSIG-62] gesondert anzuknüpfen und darf nicht als identischer §-61-Automatismus gelesen werden. Ein Tätigkeitsverbot nach § 61 Absatz 9 Satz 2 Nummer 2 BSIG [N-BSIG-61] setzt im Kern voraus, dass eine besonders wichtige Einrichtung Anordnungen des Bundesamtes nach diesem Gesetz trotz Fristsetzung nicht nachkommt, das Bundesamt dies der jeweils zuständigen Aufsichtsbehörde mitteilt und diese als letztes Mittel einer unzuverlässigen Geschäftsleitung die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13), vorübergehend untersagt; zulässig ist dies nur solange, bis die besonders wichtige Einrichtung den Anordnungen des Bundesamtes nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurden. Die Vertiefung gehört zu Tätigkeitsverbot.

Schicht 3: Innenhaftung der Geschäftsleitung. § 38 Abs. 2 BSIG [N-BSIG-38] knüpft an Pflichtverletzungen aus § 38 Abs. 1 BSIG an und verweist auf die nach der Rechtsform anwendbaren Regeln des Gesellschaftsrechts. In der GmbH führt der Blick zu § 43 GmbHG [N-GmbHG-43], in der AG zu § 93 AktG [N-AktG-93]. Verletzungen der Schulungspflicht nach § 38 Abs. 3 BSIG sind davon getrennt zu prüfen und können nur über die allgemeinen gesellschaftsrechtlichen Sorgfaltsmaßstäbe haftungsrelevant werden. Entscheidend bleiben Pflichtverletzung, Verschulden, Schaden und Kausalität. Die Vertiefung steht in Innenhaftung der Geschäftsleitung.

Schicht 4: Aufsichtsrats-Haftung. Der Aufsichtsrat ist nicht der operative Krisenstab. Er darf aber bei erheblichen Cyber-Risiken nicht passiv bleiben. Die Berichtsarchitektur nach § 90 AktG und die Überwachungspflichten nach § 116 AktG [N-AktG-116] werden im Satelliten Aufsichtsrats-Haftung vertieft.

Schicht 5: Strafrecht und OWiG. Cyber-Krisen können strafrechtliche Schnittstellen berühren: Organisationspflichtverletzungen, Untreuefragen, § 130 OWiG [N-OWiG-130], Lösegeldzahlungen, Datenmanipulation, Sanktionsbezug. Dieser Pillar behandelt nur die Lösegeldspur aus § 129 StGB [N-StGB-129] knapp. Die vertiefte strafrechtliche Karte gehört zu Strafrechtliche Risiken.

Diese fünf Schichten bedeuten nicht, dass jede Cyber-Krise automatisch zu persönlicher Haftung führt. Das wäre eine unzulässige Zuspitzung. Sie bedeuten, dass die Geschäftsleitung in der Krise einen belastbaren Prozess braucht. Persönliche Entlastung wird nicht durch einen Satz im Nachhinein garantiert. Eine prüffähige Krisendokumentation kann die Entlastungs- und Verteidigungsposition der Geschäftsleitung stützen, wenn sie zeigt: Die Geschäftsleitung hat die Lage erkannt, Zuständigkeiten geklärt, Experten eingebunden, Fristen geführt, Entscheidungen dokumentiert und Umsetzung überwacht. Haftungsentscheidend bleiben Pflichtverletzung, Verschulden, Schaden und Kausalität sowie die jeweils anwendbaren gesellschaftsrechtlichen Maßstäbe.

9. Schnittstellen zu anderen Rechtsakten

9.1 DSGVO Art. 33-34

Die DSGVO [EU-DSGVO] läuft neben der BSIG-Meldekaskade. Art. 33 betrifft die Meldung an die Datenschutzaufsicht. Art. 34 betrifft die Information der Betroffenen bei voraussichtlich hohem Risiko. Die Empfänger, Auslöser und Inhalte sind nicht identisch mit § 32 BSIG [N-BSIG-32]. Deshalb sollte der Krisenstab zwei getrennte Prüfvermerke führen: einen für BSIG, einen für DSGVO. § 65 Abs. 11 BSIG ist dabei nicht als pauschale Formel „ein Vorfall = nur eine Sanktion“ zu lesen; die Sperre ist tat- und verhaltensbezogen zu prüfen, während unterschiedliche Pflichten und Verfahren im Einzelfall nebeneinander relevant bleiben können. Die DSGVO-Datenpanne im Cyber-Vorfall wird in DSGVO-Datenpanne (Art. 33 / 34) vertieft.

9.2 DORA Art. 17-20

Für Finanzunternehmen ist DORA [EU-DORA] die Spezialwelt der digitalen operationalen Resilienz. Die Vorfallsschiene beginnt nicht erst bei Art. 19 DORA: Artikel 17 DORA verlangt einen Prozess für die Behandlung IKT-bezogener Vorfälle, Artikel 18 DORA die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, Artikel 19 DORA die Meldung schwerwiegender IKT-bezogener Vorfälle und die freiwillige Meldung erheblicher Cyberbedrohungen, Artikel 20 DORA die Harmonisierung von Inhalt und Vorlagen der Meldungen. Für die konkrete Meldelogik sind neben der Delegierten Verordnung (EU) 2025/301 [EU-DORA-301] auch die Durchführungsverordnung (EU) 2025/302 [EU-DORA-302] als Standardformular-, Vorlagen-, Verfahrens- und Drittmelder-/Datenfeldschicht mitzudenken. § 28 Abs. 6 BSIG [N-BSIG-28] nimmt bestimmte DORA-erfasste Finanzunternehmen von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus. Die Geschäftsleitung darf daraus aber keine allgemeine Organpflichtfreiheit ableiten. DORA verschiebt die regulatorische Meldearchitektur, nicht die Grundfrage ordnungsgemäßer Geschäftsleitung.

9.3 CER-RL (EU) 2022/2557 und KRITIS-Dachgesetz

Die CER-Richtlinie [EU-CER] (EU) 2022/2557 betrifft die Resilienz kritischer Einrichtungen. Das KRITIS-Dachgesetz [N-KRITISDachG] betrifft physische Resilienz kritischer Anlagen. NIS-2/BSIG betrifft die Sicherheit in der Informationstechnik. Beide Welten können sich in einer Krise berühren, etwa wenn ein Cyber-Vorfall physische Versorgung, Anlagenbetrieb oder kritische Dienstleistungen beeinträchtigt. Der EU-Brückenanker ist Artikel 23 Absatz 10 der Richtlinie (EU) 2022/2555 [EU-NIS2]: Die CSIRTs oder gegebenenfalls die zuständigen Behörden stellen den gemäß der Richtlinie (EU) 2022/2557 zuständigen Behörden Informationen über erhebliche Sicherheitsvorfälle, erhebliche Cyberbedrohungen und Beinahe-Vorfälle zur Verfügung, die nach Absatz 1 des vorliegenden Artikels und Artikel 30 von Einrichtungen, die im Sinne der Richtlinie (EU) 2022/2557 als kritische Einrichtungen gelten, gemeldet wurden. Die Abgrenzung KRITIS-Dachgesetz vs. NIS-2 wird in Sondertatbestände + KRITIS vertieft.

9.4 KI-VO Art. 73

Ab dem 2. August 2026 kann bei Hochrisiko-KI-Systemen zusätzlich die Vorfallmeldung nach Artikel 73 KI-VO [EU-KIVO] relevant werden. Die Norm richtet sich primär an Anbieter von in der Union in Verkehr gebrachten Hochrisiko-KI-Systemen; zu melden sind schwerwiegende Vorfälle an die Marktüberwachungsbehörden der Mitgliedstaaten, in denen der Vorfall stattgefunden hat. Für Betreiber im Sinne der KI-VO ist ein eigener Vortrack zu führen: Stellt der Betreiber einen schwerwiegenden Vorfall fest, informiert er nach Art. 26 KI-VO grundsätzlich unverzüglich zunächst den Anbieter und dann Einführer/Händler sowie die zuständige Marktüberwachungsbehörde; kann der Anbieter nicht erreicht werden, gilt Art. 73 entsprechend. Der Begriff „Betreiber“ ist hier ein KI-VO-Rollenbegriff und nicht mit Betreiber kritischer Anlagen nach BSIG oder Netzbetreiberbegriffen gleichzusetzen. Die Meldung erfolgt unmittelbar, nachdem der Anbieter oder gegebenenfalls der KI-VO-Betreiber den kausalen Zusammenhang zwischen dem KI-System und dem schwerwiegenden Vorfall oder die naheliegende Wahrscheinlichkeit eines solchen Zusammenhangs festgestellt hat; sie erfolgt in jedem Fall spätestens 15 Tage nach Kenntnis. Bei einem weitverbreiteten Verstoß oder einem schwerwiegenden Vorfall im Sinne von Art. 3 Nr. 49 Buchst. b beträgt die Höchstfrist zwei Tage; im Todesfall spätestens zehn Tage. Zusätzlich sollte der KI-VO-Track aufnehmen: Wenn rechtzeitige Meldung sonst nicht möglich ist, kann ein unvollständiger Erstbericht mit späterem vollständigem Bericht vorgelegt werden; nach der Meldung darf der Anbieter Untersuchungen nicht so führen, dass eine spätere Ursachenbewertung beeinträchtigt wird, bevor die zuständigen Behörden über solche Maßnahmen unterrichtet wurden. Ein Cyber-Vorfall, der ein KI-System nur technisch mitbetrifft, löst Art. 73 KI-VO nicht automatisch aus.

9.5 CRA-Vorfallmeldung Hersteller

Die Cyberresilienz-Verordnung [EU-CRA] (Verordnung (EU) 2024/2847; Cyber Resilience Act) betrifft Produkte mit digitalen Elementen. Artikel 14 CRA ist eine Herstellerpflicht: Zu melden sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts mit digitalen Elementen auswirken, grundsätzlich gleichzeitig an den als Koordinator benannten CSIRT und an die ENISA über die einheitliche Meldeplattform. Die Stufen sind nicht identisch: Bei aktiv ausgenutzten Schwachstellen gelten 24-Stunden-Frühwarnung, 72-Stunden-Schwachstellenmeldung und Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme; bei schwerwiegenden Sicherheitsvorfällen gelten 24-Stunden-Frühwarnung, 72-Stunden-Vorfallmeldung und Abschlussbericht spätestens einen Monat nach der Vorfallmeldung. Für Bußgelder und Sanktionen ist Artikel 64 CRA maßgeblich; die Höchstrahmen sind jedoch rollenspezifisch und durch Ausnahmen zu lesen. Die Meldepflichten nach Artikel 14 gelten ab 11. September 2026, die Hauptpflichten ab 11. Dezember 2027. Für eine Einrichtung als bloße Betreiberin/Nutzerin eines Produkts mit digitalen Elementen ist der CRA nicht automatisch die eigene Meldegrundlage. Relevant wird der CRA, wenn die Einrichtung zugleich Herstellerin, Importeurin, Händlerin oder sonstige Wirtschaftsakteurin der Produktlieferkette ist; dann sollte die Krisenmatrix zusätzlich Rollenprüfung, Hersteller-/Importeur-/Händlerkontakt, Sicherheitsupdate-/Korrekturmaßnahmen und die Art.-14-Abs.-8-CRA-Nutzerinformation abbilden. Für Hersteller ist ausdrücklich zu prüfen, ob betroffene Nutzer und gegebenenfalls alle Nutzer über Schwachstelle/Sicherheitsvorfall sowie Risikominderungs- und Korrekturmaßnahmen zu informieren sind; bei verspäteter Herstellerinformation kann ein CSIRT die Nutzerinformation übernehmen, wenn dies verhältnismäßig und erforderlich ist.

9.6 Sektor-Sondergesetze

Neben BSIG, DSGVO, DORA, KRITIS-Dachgesetz, KI-VO und CRA können sektorale Normen greifen: Telekommunikationsrecht, Energiewirtschaftsrecht, Gesundheits- und Telematikrecht, Finanzaufsicht, Luftfahrt, Verkehr, Arzneimittelversorgung, eIDAS [EU-eIDAS]/Vertrauensdienste, MiCA [EU-MiCA]-/Krypto-Dienstleistungsbezüge und — nachgelagert — Produkt- und Softwarehaftung nach der Produkthaftungs-Richtlinie [EU-PHRL] (EU) 2024/2853. A4-01 kann diese Sektoren nicht vollständig abbilden. In der Krise bedeutet das: Die erste Rechtsmatrix muss die Branche, die Rolle der Einrichtung, die einschlägigen EU-/DE-Sonderregime und bei KMU-/Größenfragen die jeweils maßgebliche Definitionsebene einschließlich der Empfehlung 2003/361/EG [EU-KMU] enthalten. Ein Krankenhaus, ein Energieversorger, ein Cloud-Dienstleister, ein Vertrauensdiensteanbieter, ein Krypto-Dienstleister und ein Finanzunternehmen haben nicht dieselbe Meldekarte.

10. Kurzantworten auf die 24 Lese-Fragen

1. Worum geht es in den ersten 72 Stunden? Nicht um technische Forensik, sondern um die akut aktivierte Organisations- und Überwachungsverantwortung der Geschäftsleitung: die Krise rechtlich, organisatorisch und kommunikativ führen, Entscheidungen treffen, dokumentieren, priorisieren und fristgerecht melden. Drei Fenster: 0–24 Stunden, 24–72 Stunden, 72 Stunden bis ein Monat.
2. Wann liegt ein „erheblicher Sicherheitsvorfall“ vor? Nach § 2 Nummer 11 BSIG ein Sicherheitsvorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann — sofern keine konkretisierende Rechtsverordnung erfolgt. Erfasst sind ausdrücklich auch Schäden, die eintreten können.
3. Wann beginnt die Meldefrist? Mit Kenntniserlangung der Einrichtung von einem erheblichen Sicherheitsvorfall (§ 32 Abs. 1 Satz 1 Nummer 1 BSIG), nicht erst mit persönlicher Kenntnis der Geschäftsleitung; Kenntnis bei CISO, Incident-Response-Funktion, Service Desk oder eingebundenem Dienstleister ist zu dokumentieren. Die Pflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 Satz 2 BSIG). Bloße Anhaltspunkte lösen die Frist noch nicht aus, verlangen aber eine Prüf- und Dokumentationsroutine.
4. Wie sieht die BSIG-Meldekaskade aus? Vier Stufen nach § 32 BSIG: frühe Erstmeldung unverzüglich, spätestens jedoch innerhalb von 24 Stunden; bestätigende oder aktualisierende Meldung binnen 72 Stunden; Zwischenmeldung auf Ersuchen; Abschlussmeldung spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung — bei andauerndem Vorfall stattdessen Fortschrittsmeldung (§ 32 Abs. 2 BSIG). EU-Anker ist Artikel 23 Absatz 4 der Richtlinie (EU) 2022/2555.
5. Was muss die frühe Erstmeldung enthalten? Sie verlangt keine vollständige Ursachenanalyse, sondern insbesondere die Angabe, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte. „Derzeit unbekannt“ oder „in Prüfung“ ist keine Schwäche, wenn es sachlich zutrifft und dokumentiert ist.
6. Welche Pflichten-Stränge laufen in der Krise parallel? Sechs: die BSIG-Meldepflicht (§ 32 BSIG), die DSGVO-Datenpannen-Meldepflicht (Art. 33 und Art. 34 DSGVO), die Umsetzungs- und Überwachungspflicht (§ 38 BSIG i.V.m. § 30 BSIG), die Aufsichtskooperation (§ 61 BSIG / § 62 BSIG), die Krisen-Berichterstattung an Aufsichtsgremien (§ 90 AktG, bei der GmbH ggf. § 52 GmbHG) und die Unterrichtung der Diensteempfänger samt BSI-Rückkanal (§ 35 / § 36 BSIG). Keine Rangfolge — aber sie dürfen nicht vermischt werden.
7. Was schuldet die Geschäftsleitung selbst? § 38 Absatz 1 BSIG verpflichtet sie, die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen — zwei Verben, keine Pflicht zur technischen Eigenausführung. In der Krise heißt das: ein geeignetes Verfahren einrichten, Zuständigkeiten klären, Experten einbinden, entscheiden, überwachen und dokumentieren.
8. Darf die Geschäftsleitung delegieren? Operative Umsetzung kann und muss in der Krise delegiert werden; § 9 OWiG erfasst die Beauftragten-Konstellation. Die Organverantwortung — geeignete Auswahl, Zuständigkeiten, Berichte einfordern, Entscheidungen treffen, Umsetzung überwachen — bleibt. „Die IT macht das“ ist keine Entlastungs-Dokumentation.
9. Wie ist zu dokumentieren? Ab Sekunde Null und in drei getrennten Ebenen: Tatsachen, Bewertungen, Entscheidungen. Der Krisenvermerk hält Datum, Uhrzeit, Quelle, erste Tatsachen, Annahmen, offene Punkte und die getroffene Entscheidung fest. Ziel ist nicht weniger Dokumentation, sondern eine kontrollierte Dokumentationsarchitektur als spätere Beweisgrundlage.
10. Wie läuft die DSGVO neben dem BSIG? Eigenständig: Art. 33 DSGVO betrifft die Meldung an die Datenschutzaufsicht, Art. 34 DSGVO die Benachrichtigung der Betroffenen bei voraussichtlich hohem Risiko. Empfänger, Auslöser und Inhalte sind nicht identisch mit § 32 BSIG; der Krisenstab sollte zwei getrennte Prüfvermerke führen. Vertiefung in A4-03.
11. Bedeutet ein Vorfall nur eine Sanktion? Nein. § 65 Abs. 11 BSIG ist nicht als pauschale Formel „ein Vorfall = nur eine Sanktion“ zu lesen; die Sperre ist tat- und verhaltensbezogen zu prüfen, während unterschiedliche Pflichten und Verfahren im Einzelfall nebeneinander relevant bleiben können.
12. Was kann die Aufsicht nach der Meldung anordnen? Bei besonders wichtigen Einrichtungen enthält § 61 BSIG Maßnahmen zur Verhütung oder Behebung samt Mängelbeseitigungsplan und Nachweis (Abs. 6), Umsetzungsanordnungen (Abs. 7) und die Unterrichtung der Datenschutzaufsicht durch das BSI (Abs. 11). Bei wichtigen Einrichtungen läuft die Aufsicht über § 62 BSIG, wenn Tatsachen die Annahme einer Pflichtverletzung rechtfertigen — kein identischer § 61-Automatismus.
13. Wann droht ein Tätigkeitsverbot? Nach § 61 Absatz 9 Satz 2 Nummer 2 BSIG nur als letztes Mittel: wenn eine besonders wichtige Einrichtung Anordnungen des Bundesamtes trotz Fristsetzung nicht nachkommt, das Bundesamt dies der zuständigen Aufsichtsbehörde mitteilt und diese einer unzuverlässigen Geschäftsleitung die Tätigkeit vorübergehend untersagt — und nur solange, bis den Anordnungen nachgekommen wird.
14. Wie ist die Lösegeld-Entscheidung rechtlich strukturiert? Sie ist keine binäre Routine. Mindestens vier Risikospuren laufen gleichzeitig: Insolvenz-/Zahlungsverbot (§ 15b InsO), Strafrecht (insbesondere § 129 StGB), D&O-Deckung und Sanktions-/Zahlungsweg. Erforderlich ist ein dokumentierter Entscheidungspfad statt einer schnellen Krisenparole. Vertiefung in A4-04.
15. Was gilt bei Zahlungen nach Insolvenzreife? § 15a Abs. 1 InsO begründet die Antragspflicht (spätestens drei Wochen nach Zahlungsunfähigkeit, sechs Wochen nach Überschuldung); § 15b InsO verbietet grundsätzlich weitere Zahlungen, lässt aber mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbare Zahlungen zu. Verbotswidrige Zahlungen sind erstattungspflichtig (Abs. 4); die Ansprüche verjähren in fünf, bei Börsennotierung in zehn Jahren (Abs. 7). Eine Lösegeldzahlung nach Insolvenzreife ist nicht automatisch unzulässig, aber masseschmälernd und heikel.
16. Macht eine Lösegeldzahlung strafbar? Nicht pauschal. § 129 StGB (kriminelle Vereinigung), § 129a StGB (terroristische Vereinigung) und § 129b StGB (Auslandsvereinigungen) werfen vor allem die Frage auf, ob eine Zahlung als Unterstützung bewertet werden könnte — das hängt von Wissen, Empfängerstruktur, Zweck und Einzelfall ab. Daneben sind Geldwäsche-/Krypto-, Sanktions- und Zahlungsdienstleisterfragen zu prüfen. Es ist eine Prüf- und Dokumentationsspur, keine Aussage „immer strafbar“.
17. Was besagt BGH IV ZR 66/25 zur D&O-Wissentlichkeit? Der Risikoausschluss nach Ziffer 6 ULLA setzt voraus, dass gerade die konkret haftungsauslösende Pflichtverletzung wissentlich erfolgte. Bedingter Vorsatz, fahrlässige Unkenntnis oder der Rückgriff auf eine andere Pflichtverletzung genügen nicht. Die Geschäftsleitung sollte in der Lösegeldfrage keine Deckungsannahmen improvisieren.
18. Warum ist die D&O-Nachmeldefrist relevant (BGH IV ZR 151/23)? D&O-Verträge sind in der Marktpraxis typischerweise Claims-made-Deckungen; für ausgeschiedene Organe ist die Nachmeldefrist zentral. IV ZR 151/23 betrifft die Unwirksamkeit einer insolvenzbezogenen AVB-Klausel über das automatische Vertragsende und die Auslegung der Nachmeldefrist. Der konkrete Police- und AVB-Wortlaut entscheidet im Einzelfall.
19. Was gilt für DORA-Finanzunternehmen? § 28 Abs. 6 BSIG nimmt bestimmte DORA-erfasste Finanzunternehmen von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus; die Meldung richtet sich nach Art. 17–20 DORA. Für Fristen und Formulare sind die Delegierte Verordnung (EU) 2025/301 und die Durchführungsverordnung (EU) 2025/302 mitzudenken. DORA verschiebt die regulatorische Meldearchitektur, nicht die gesellschaftsrechtliche Grundverantwortung der Geschäftsleitung.
20. Welche BSIG-Bereichsausnahmen sind vor der Pflichtenmatrix zu prüfen? § 28 Abs. 5 BSIG nimmt bestimmte Telekommunikations- und Energiewirtschafts-Konstellationen von §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG aus (vorbehaltlich Rückausnahme); § 28 Abs. 6 und Abs. 7 BSIG regeln DORA- und Betreiber-Sonderfälle; § 28 Abs. 8 BSIG kann bei bestimmten landes- oder kommunalnahen öffentlichen Einheiten zu einer vollständigen Nichtanwendung des BSIG führen.
21. Wann werden KI-VO und CRA relevant? Art. 73 KI-VO (ab 2. August 2026) richtet die Vorfallmeldung primär an Anbieter von Hochrisiko-KI-Systemen (Grundfrist 15 Tage, verkürzt zwei beziehungsweise zehn Tage), mit Betreiber-Vortrack nach Art. 26 KI-VO. Art. 14 CRA (Meldepflichten ab 11. September 2026) ist eine Herstellerpflicht (24 Stunden / 72 Stunden / 14 Tage beziehungsweise ein Monat). Beide treffen die bloße Nutzerin oder Betreiberin nicht automatisch, sondern nur in Hersteller-, Anbieter- oder Lieferkettenrollen.
22. Wie verhalten sich CER-Richtlinie und KRITIS-Dachgesetz zum Vorfall? Die CER-Richtlinie (EU) 2022/2557 betrifft die Resilienz kritischer Einrichtungen, das KRITIS-Dachgesetz die physische Resilienz kritischer Anlagen, NIS-2/BSIG die Sicherheit in der Informationstechnik. EU-Brückenanker ist Artikel 23 Absatz 10 der Richtlinie (EU) 2022/2555 (Informationsweitergabe der CSIRTs an die CER-Behörden). Abgrenzung in A1-04.
23. Welche fünf Schichten der Verantwortung gibt es in der Krise? Schicht 1: Bußgeld gegen die Einrichtung (§ 65 BSIG; Regressfrage gesondert zu prüfen). Schicht 2: aufsichtliche Maßnahmen und Tätigkeitsverbot (§ 61 BSIG / § 62 BSIG). Schicht 3: Innenhaftung der Geschäftsleitung (§ 38 Abs. 2 BSIG i.V.m. § 43 GmbHG / § 93 AktG). Schicht 4: Aufsichtsrats-Haftung (§ 90 AktG, § 116 AktG). Schicht 5: Straf- und Ordnungswidrigkeitenrecht (§ 130 OWiG, § 129 StGB). Keine automatische persönliche Haftung — entscheidend bleiben Pflichtverletzung, Verschulden, Schaden und Kausalität.
24. Was sollte die Geschäftsleitung praktisch tun? Vorab festlegen, wer im Cyber-Krisen-Stab entscheidet, meldet, protokolliert und die Geschäftsleitung in welchen Abständen informiert. In der Krise: den Vorfall klassifizieren, die Fristen führen (24h/72h/ein Monat plus DSGVO), die Risikomanagementmaßnahmen aktivieren und überwachen, die Lösegeld-Vier-Spuren prüfen und Entscheidungen samt Annahmen dokumentieren. Das ist keine Haftungsgarantie, schafft aber die Verteidigungs- und Beweisarchitektur für die persönliche Enthaftung.

11. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

11.1 Nationale Normen

• [N-BSIG-2-11] § 2 Nummer 11 BSIG — erheblicher Sicherheitsvorfall. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-36] § 36 BSIG — Rückmeldungen des Bundesamtes. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__36.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-56] § 56 BSIG — Verordnungsermächtigungen (Erheblichkeit, Krankenhaus, kritische Komponenten). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__56.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen; Krankenhaus-Schonfrist (Abs. 3 S. 5), Leitungsuntersagung (Abs. 9). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-OWiG-9] § 9 OWiG — Handeln für einen anderen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__9.html
• [N-OWiG-130] § 130 OWiG — Verletzung der Aufsichtspflicht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__130.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-90] § 90 AktG — Berichte an den Aufsichtsrat. Fundstelle: https://www.gesetze-im-internet.de/aktg/__90.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html
• [N-KRITISDachG] KRITIS-Dachgesetz — BGBl. 2026 I Nr. 66 vom 16.3.2026. Fundstelle: https://www.recht.bund.de/bgbl/1/2026/66/VO
• [N-StGB-129] § 129 StGB — Bildung krimineller Vereinigungen (Abs. 1/2); § 129a terroristische Vereinigungen; § 129b Auslandsvereinigungen, Einziehung. Fundstelle: https://www.gesetze-im-internet.de/stgb/__129.html
• [N-GmbHG-52] § 52 GmbHG — Aufsichtsrat der GmbH. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__52.html

11.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-KIVO] Verordnung (EU) 2024/1689 (KI-Verordnung). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• [EU-CRA] Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, CRA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
• [EU-CER] Richtlinie (EU) 2022/2557 (CER-Richtlinie). Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2557/oj
• [EU-KMU] Empfehlung 2003/361/EG der Kommission (KMU-Definition). Fundstelle: https://eur-lex.europa.eu/eli/reco/2003/361/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); Berichtigung ABl. L 74 vom 4.3.2021. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj
• [EU-PHRL] Richtlinie (EU) 2024/2853 (Produkthaftungs-Richtlinie), ABl. L 2024/2853 vom 18.11.2024. Fundstelle: https://eur-lex.europa.eu/eli/dir/2024/2853/oj
• [EU-DORA-301] Delegierte Verordnung (EU) 2025/301 der Kommission (RTS zur Meldung schwerwiegender IKT-bezogener Vorfälle: Fristen, Erst-, Zwischen- und Abschlussmeldung). Fundstelle: https://eur-lex.europa.eu/eli/reg_del/2025/301/oj
• [EU-DORA-302] Durchführungsverordnung (EU) 2025/302 der Kommission (ITS: Standardformulare, Vorlagen, Verfahren, Datenfelder und Drittmelder-/Einreichungsschicht der DORA-Vorfallmeldung). Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2025/302/oj
• [EU-MiCA] Verordnung (EU) 2023/1114 (Märkte für Kryptowerte, MiCA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2023/1114/oj
• [EU-CYBERSANKT] Verordnung (EU) 2019/796 und Beschluss (GASP) 2019/797 des Rates vom 17.5.2019 über restriktive Maßnahmen gegen Cyberangriffe, die die Union oder ihre Mitgliedstaaten bedrohen. Fundstelle: https://eur-lex.europa.eu/eli/reg/2019/796/oj

11.3 Rechtsprechung

• [R-II-ZR-78-24] BGH, Urteil vom 14.10.2025 — II ZR 78/24 — ECLI:DE:BGH:2025:141025UIIZR78.24.1. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-151-23] BGH, Urteil vom 18.12.2024 — IV ZR 151/23 — ECLI:DE:BGH:2024:181224UIVZR151.23.0 (D&O, insolvenzbezogene AVB-Vertragsbeendigung, Nachmeldefrist im Claims-made-Vertrag). Fundstelle: https://www.bundesgerichtshof.de/

11.4 Behörden und amtliche Praxis

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/
• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)

11.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

11.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

12. CyberSchutzEngel-Hinweis

CyberSchutzEngel ist keine technische Notfallnummer und kein Ersatz für Forensik, Datenschutzberatung oder anwaltliche Einzelfallprüfung. Der praktische Nutzen liegt in der Krisenarchitektur: Vorfallklassifizierung, Fristenkalender, Meldeentscheidungen, Entlastungs-Dokumentation, Gremienkommunikation und Nachbereitung.

Wer die ersten 72 Stunden vorbereitet, reduziert Compliance-Schulden. Wer sie im Ernstfall dokumentiert, schafft die Grundlage für persönliche Enthaftung im Sinne einer Verteidigungs- und Beweisarchitektur — keine garantierte Haftungsfreiheit, sondern eine dokumentierte Reduzierung und Verteidigung von Innenhaftungsrisiken im Einzelfall. Der wichtigste Praxis-Hinweis bleibt schlicht: Lege vor dem Vorfall fest, wer im Cyber-Krisen-Stab entscheidet, wer meldet, wer protokolliert und wer die Geschäftsleitung in welchen Abständen informiert.