IT-Governance
Der Unternehmenserfolg hängt mehr und mehr von der effektiven Nutzung von IT-Anwendungen ab, was dafür sorgt, dass auch IT-bezogene Fragestellungen in strategische Überlegungen einbezogen werden müssen. Die rasante technische Entwicklung bringt viele Chancen, birgt jedoch auch viele Risiken, die Unternehmen vor neue Herausforderungen stellen. Um eine nachhaltige Absicherung im Kontext IT-bezogener Risiken zu gewährleisten, ist es daher umso wichtiger, IT-Strategien und Unternehmensziele im Rahmen einer guten IT-Governance aufeinander abzustimmen.
Was ist IT-Governance?
Bei dem Bereich der IT-Governance handelt es sich um einen umfassenden Ansatz zur Steuerung und Kontrolle von IT in Unternehmen zur Förderung der Erreichung von Unternehmenszielen. Durch die Umsetzung spezifischer Führungsstrukturen, Organisationsprozesse und interner Richtlinien wird sichergestellt, dass die IT-Infrastruktur und -Ressourcen des Unternehmens optimal zur Unterstützung der Unternehmensziele und -strategie beitragen. IT-Governance zielt darauf ab, IT-bezogene Risiken zu minimieren und den Unternehmenswert durch die effiziente Nutzung der IT zu steigern. IT-Governance erstreckt sich dabei auf mehrere Teilbereiche, wie z.B. die strategische Ausrichtung der IT, die Zuweisung IT-bezogener Verantwortlichkeiten oder die Verteilung und das Management von IT-Ressourcen. Heutzutage ist IT-Governance ein integraler Bestandteil der Unternehmensführung, welcher die Vereinbarkeit von IT-Entscheidungen mit übergeordneten Unternehmenszielen gewährleisten soll.
Welche Vorteile bietet eine gute IT-Governance?
Die Vorteile einer guten IT-Governance für Unternehmen sind zahlreich. Durch die Ausrichtung der IT auf die Ziele des Unternehmens kann sichergestellt werden, dass laufende und zukünftige IT-Projekte zum Unternehmenserfolg beitragen. Dies steigert die Effizienz und Agilität der Organisation und bietet gleichzeitig die Möglichkeit, Kosten zu reduzieren durch den effektiven Einsatz von IT-Ressourcen. Eine gute IT-Governance fördert zudem Transparenz und Kommunikation, indem Rollen und Verantwortlichkeiten klar definiert werden, was zu einer Optimierung der Entscheidungsfindung führen kann. Ein weiterer wichtiger Vorteil ist die Verbesserung des Risikomanagements und der Compliance, was Unternehmen dabei helfen kann, sich vor Datenschutzverstößen und Cyberangriffen zu schützen bzw. auf diese bestmöglich zu reagieren. Gerade das Vorhandensein einer ausreichenden IT-Governance kann im Schadensfall enthaftend für die Führungsebene wirken, sodass für eine Haftung bspw. des Geschäftsführers kein Raum bleibt.
Zusammenfassend lässt sich festhalten, dass Unternehmen durch die Implementierung von IT-Governance-Prozessen ihre Produktivität steigern, ihre Kosten senken und somit letztlich den Unternehmenswert erhöhen können.
Welche Anforderungen stellt das Gesetz?
Die NIS-2-Richtlinie verlangt von Unternehmen in Bereichen wie Energie, Finanzen und Gesundheit etc. sich umfassend gegen Cyberbedrohungen zu schützen. DORA, der Digital Operational Resilience Act, richtet sich speziell an den Finanzsektor und fokussiert auf die Einrichtung eines Risikomanagements beim Einsatz von Informations- und Kommunikationstechnologie („IKT“). Der Cyber Resilience Act (CRA) hingegen stellt klare Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen, um potenzielle Sicherheitslücken frühzeitig zu erkennen und die Integrität digitaler Systeme zu gewährleisten.
Unsere Leistungen im Bereich IT-Governance
- Analyse des IT-Governance-Status
Durch eine ausgiebige Analyse ihrer bisherigen Regelungen zur IT-Infrastruktur identifizieren wir Lücken und Risiken in Ihren Prozessen, die Sie als Unternehmen angreifbar machen. - Prüfung der Betroffenheit durch einzelne Gesetze
Die Abgrenzung, ob ein Unternehmen einzelnen gesetzlichen Regelungen wie NIS-2, DORA, CRA unterliegt, kann mitunter schwierig sein. Gerne nehmen wir eine Betroffenheitsprüfung vor, damit Ihr Unternehmen auf der sicheren Seite ist. - Beratung und Implementierung
Gerne unterstützen wir Sie bei der Einhaltung einschlägiger gesetzlicher Vorgaben und der Implementierung von rechtssicheren IT-Lösungen zur Verbesserung Ihrer IT-Governance. - Definition von Prozessen und Erstellung von Richtlinien
Gerade bei großen Unternehmen ist es wichtig, einzelne Prozesse umfassend definiert und in Richtlinien verschriftlicht zu haben, um einen ganzheitlichen Ausbau der IT-Governance im gesamten Unternehmensumfeld zu gewährleisten und Haftungsrisiken zu minimieren. - Schulungen im Bereich IT-Governance
Da technologischer Wandel auf allen Unternehmensebenen stattfindet, bieten wir im Bereich der IT-Governance, insbesondere in Bezug auf IT-Sicherheitsgesetze, individuelle Schulungen für Führungskräfte und Mitarbeiter an, um eine Sensibilisierung für Risiken zu schaffen. - Laufende Betreuung
Durch eine laufende Betreuung Ihres Unternehmens durch unsere Experten stellen wir sicher, dass Sie stets auf dem neuesten regulatorischen Stand bleiben.
Contact persons
Dirk Koch
Rechtsanwalt | Partner
CEHv11 – Certified Ethical Hacker | Data Protection Risk Manager | CIPP/E
Olga Stepanova
Rechtsanwältin | Partnerin
LL.M. (Berkeley) | CIPP/E | Fachanwältin für gewerblichen Rechtsschutz | Fachanwältin für Informationstechnologierecht | Datenschutzbeauftragte (TÜV)
IT-Governance
IT-Governance bezeichnet die Gesamtheit der Strukturen, Prozesse und Verantwortlichkeiten, mit denen ein Unternehmen den Einsatz von IT rechtskonform, sicher und im Einklang mit den Unternehmenszielen steuert. Dazu gehören klare Zuständigkeiten für IT-Sicherheit, Datenschutz und Compliance ebenso wie dokumentierte Entscheidungsprozesse. Eine funktionierende IT-Governance ist Voraussetzung, um regulatorische Anforderungen aus dem Cybersicherheitsrecht – etwa aus der NIS-2-Umsetzung oder aus DORA – nachweisbar zu erfüllen.
Die Letztverantwortung liegt bei der Geschäftsführung beziehungsweise dem Vorstand, auch wenn operative Aufgaben an IT-Leitung, Datenschutzbeauftragte oder externe Dienstleister delegiert werden. Eine Delegation befreit die Geschäftsleitung nicht von der Pflicht, angemessene Kontroll- und Überwachungsstrukturen einzurichten. Bei Pflichtverletzungen kann eine persönliche Haftung der Geschäftsleitung in Betracht kommen, etwa nach § 43 GmbHG oder § 93 AktG.
Eine ISMS-Zertifizierung, etwa nach ISO/IEC 27001, ist besonders sinnvoll, wenn Informationssicherheit geschäftskritisch ist, Kunden entsprechende Nachweise verlangen oder regulatorische Anforderungen bestehen. Sie schafft klare Verantwortlichkeiten, dokumentierte Sicherheitsprozesse und einen belastbaren Nachweis gegenüber Dritten. Nicht jedes Unternehmen braucht jedoch sofort eine Zertifizierung. Oft ist zunächst der Aufbau eines wirksamen Informationssicherheitsmanagementsystems wichtiger, das zum Risikoprofil und zur Größe des Unternehmens passt. Eine Zertifizierung ersetzt zudem weder die datenschutzrechtliche Prüfung nach Art. 32 DSGVO noch die spezifischen Pflichten aus dem Cybersicherheitsrecht.
NIS-2 verschärft die Anforderungen an das Cybersicherheits- und Risikomanagement betroffener Unternehmen. Verlangt werden insbesondere klare Zuständigkeiten, angemessene Sicherheitsmaßnahmen, ein wirksames Risikomanagement sowie eine Einbindung der Geschäftsleitung. Wichtig ist dabei die rechtliche Einordnung: NIS-2 ist eine Richtlinie und begründet keine unmittelbaren Pflichten für Unternehmen. Verbindlich werden die Anforderungen erst durch das jeweilige nationale Umsetzungsgesetz, in Deutschland durch das NIS-2-Umsetzungsgesetz mit den entsprechenden Änderungen des BSI-Gesetzes. Die Umsetzung in Deutschland ist deutlich verzögert erfolgt und blieb über die europäische Umsetzungsfrist hinaus offen, weshalb Unternehmen den konkreten Pflichtenumfang stets anhand des aktuellen nationalen Gesetzesstands bestimmen sollten. Unabhängig davon empfiehlt es sich, frühzeitig zu prüfen, ob das eigene Unternehmen in den Anwendungsbereich fällt und ob bestehende Strukturen, Prozesse und Dokumentationen ausreichen oder angepasst werden müssen; die materiellen Anforderungen entsprechen ohnehin weitgehend guter IT-Governance-Praxis.
Nach dem Cybersicherheitsrecht, insbesondere nach den Vorschriften des NIS-2-Umsetzungsgesetzes, ist die Geschäftsleitung betroffener Unternehmen verpflichtet, Risikomanagementmaßnahmen im Bereich Cybersicherheit zu billigen und deren Umsetzung zu überwachen; Verstöße können mit einer persönlichen Verantwortlichkeit der Geschäftsleitung verbunden sein. Auch unabhängig von diesen spezialgesetzlichen Vorgaben folgt aus der allgemeinen Organpflicht zur Legalitäts- und Risikokontrolle, dass eine reine Delegation an die IT-Abteilung nicht ausreicht. Ergänzend sind regelmäßige Schulungen der Geschäftsleitung selbst vorgesehen beziehungsweise dringend zu empfehlen.