Was ist eine Cyberbedrohung?
Eine Cyberbedrohung ist ein möglicher Umstand, ein mögliches Ereignis oder eine mögliche Handlung mit dem Potenzial, Netz- und Informationssysteme, deren Nutzer oder andere Personen zu schädigen, zu stören oder anderweitig zu beeinträchtigen.
Der Normwortlaut
„Cyberbedrohung“ bezeichnet einen möglichen Umstand, ein mögliches Ereignis oder eine mögliche Handlung, der/das/die Netz- und Informationssysteme, die Nutzer dieser Systeme und andere Personen schädigen, stören oder anderweitig beeinträchtigen könnte;
Quelle des Normwortlauts: Artikel 2 Nummer 8 der Verordnung (EU) 2019/881. § 2 Nummer 6 BSIG verweist auf diese Begriffsbestimmung.
Wo gilt der Begriff Cyberbedrohung?
Rechtliche Einordnung: Die Definition gilt unmittelbar für die Zwecke der Verordnung (EU) 2019/881 und aufgrund des Verweises in § 2 Nummer 6 BSIG auch innerhalb des BSIG. Sie bestimmt weder selbst einen Adressatenkreis noch eine eigenständige Pflicht. Adressaten, Auslöser und Rechtsfolgen ergeben sich erst aus der jeweils anwendbaren Einzelnorm.
Wann liegt eine Cyberbedrohung vor?
Auslegung des Normwortlauts: Es genügt, dass ein möglicher Umstand, ein mögliches Ereignis oder eine mögliche Handlung Netz- und Informationssysteme, deren Nutzer oder andere Personen schädigen, stören oder anderweitig beeinträchtigen könnte. Ein erfolgreicher Angriff, ein eingetretener Schaden oder ein Sicherheitsvorfall ist nicht erforderlich.
Wie unterscheidet sich eine Cyberbedrohung von Schwachstelle, Sicherheitsvorfall und erheblicher Cyberbedrohung?
Technische und rechtliche Abgrenzung: Eine Schwachstelle ist eine ausnutzbare Eigenschaft eines IKT-Produkts oder IKT-Dienstes. Ein Sicherheitsvorfall ist dagegen ein Ereignis, das die Verfügbarkeit, Integrität oder Vertraulichkeit von Daten oder Diensten tatsächlich beeinträchtigt. Eine Cyberbedrohung beschreibt bereits mögliches Schädigungspotenzial und setzt keine konkrete Schwachstelle voraus.
Die erhebliche Cyberbedrohung ist die engere gesetzliche Kategorie. Nach § 2 Nummer 10 BSIG muss sie aufgrund ihrer besonderen technischen Merkmale informationstechnische Systeme, Komponenten oder Prozesse erheblich beeinträchtigen können; erheblich ist die Beeinträchtigung nur, wenn dadurch erheblicher materieller oder immaterieller Schaden verursacht werden kann.
Welche Fristen oder Schwellenwerte gelten?
Die allgemeine Definition enthält weder eine Frist noch einen quantitativen Schwellenwert. Eine besondere Rechtsfolge regelt § 35 Absatz 2 BSIG: Einrichtungen aus den dort abschließend genannten Sektoren müssen Empfänger eigener Dienste, die potenziell von einer erheblichen Cyberbedrohung betroffen sind, unverzüglich unterrichten, sofern die gesetzliche Interessenabwägung zugunsten des Empfängers ausfällt. Diese Sonderregel gilt nicht für jede Cyberbedrohung und ist keine allgemeine Melde- oder Kundeninformationsfrist.
Welche gesetzlichen Pflichten hat die Geschäftsleitung?
Gesetzliche Spezialpflicht: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen nach § 38 Absätze 1 und 3 BSIG die von ihrer Einrichtung nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Außerdem müssen sie regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Risikomanagementpraktiken zu erwerben. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung gelten für diese Regelung nicht als Geschäftsleitung. Außerhalb dieses Adressatenkreises entstehen diese Pflichten nicht allein aus der Definition der Cyberbedrohung.
Häufige Fehlannahmen
- „Eine Cyberbedrohung ist bereits ein Sicherheitsvorfall.“ Nein. Die Bedrohung kann potenziell bleiben; ein Sicherheitsvorfall setzt eine tatsächliche Beeinträchtigung voraus.
- „Jede Cyberbedrohung ist eine Schwachstelle.“ Nein. Eine Schwachstelle ist eine ausnutzbare Eigenschaft; eine Cyberbedrohung ist ein möglicher schädigender Umstand, ein Ereignis oder eine Handlung.
- „Jede Cyberbedrohung ist erheblich.“ Nein. Für eine erhebliche Cyberbedrohung müssen zusätzlich die besonderen technischen Merkmale und das erhebliche Schadenspotenzial nach § 2 Nummer 10 BSIG vorliegen.
- „Jede erkannte Cyberbedrohung löst sofort eine allgemeine Melde- oder Kundeninformationspflicht aus.“ Nein. Rechtsfolgen entstehen nur unter den Voraussetzungen einer anwendbaren Einzelnorm; § 35 Absatz 2 BSIG betrifft lediglich seinen besonderen Adressatenkreis und erhebliche Cyberbedrohungen unter zusätzlicher Interessenabwägung.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte dienen der strukturierten Steuerung; soweit keine ausdrücklich genannte Spezialnorm greift, werden sie nicht als eigenständige gesetzliche Pflicht aus der Definition ausgegeben.
- Feststellen, ob die Organisation als besonders wichtige oder wichtige Einrichtung dem Adressatenkreis des § 38 BSIG angehört.
- Bei Anwendbarkeit des § 38 BSIG die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen umsetzen.
- Bei Anwendbarkeit des § 38 BSIG die Umsetzung dieser Risikomanagementmaßnahmen überwachen.
- Für die betroffenen Geschäftsleitungsmitglieder regelmäßige Schulungen zur Risikoerkennung, Risikobewertung und zu Risikomanagementpraktiken einplanen.
- Bei einer möglichen erheblichen Cyberbedrohung gesondert prüfen, ob § 35 Absatz 2 BSIG anwendbar ist, Empfänger eigener Dienste potenziell betroffen sind und deren Interessen die Interessen der Einrichtung überwiegen.
Für die Geschäftsleitung
Der Begriff Cyberbedrohung erfasst potenzielle Beeinträchtigungen weit, löst aber allein keine allgemeine Pflicht aus. Entscheidend ist deshalb zunächst die Abgrenzung zu Schwachstelle, Sicherheitsvorfall und erheblicher Cyberbedrohung und anschließend die Prüfung des eigenen Adressatenkreises sowie der einschlägigen Spezialnorm. Die Definition begründet keine allgemeine Dokumentationspflicht; ob und welche Nachweise erforderlich sind, richtet sich nach der jeweils anwendbaren Einzelnorm.
Quellen
Amtliche Quellen, Rechtsstand 6. August 2026:
- Verordnung (EU) 2019/881, Artikel 2 Nummer 8
- BSIG, § 2, insbesondere Nummern 6, 10, 13, 38 und 40
- BSIG, § 30, Risikomanagementmaßnahmen
- BSIG, § 35 Absatz 2, besondere Unterrichtung bei erheblicher Cyberbedrohung
- BSIG, § 38 Absätze 1 und 3, Pflichten und Schulungen der Geschäftsleitung
