Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
Die EU-Verordnung Digital Operational Resilience Act (DORA) stellt einen Meilenstein in der Regulierung digitaler Resilienz dar und wird ab Januar 2025 für Unternehmen des Finanzsektors verbindlich. Dabei beschränkt sich ihre Wirkung keinesfalls auf Banken, Versicherer oder Zahlungsdienstleister. Auch IT-Unternehmen, die Softwarelösungen, Cloud-Dienste oder IT-Support für DORA-betroffene Organisationen bereitstellen, sind indirekt von den Anforderungen betroffen – mit weitreichenden vertraglichen, organisatorischen und operativen Implikationen.
Das BSI warnte vor dem Einsatz von Kaspersky-Virenschutz-Software – doch welche vertraglichen Auswirkungen hat diese Warnung auf laufende Verträge? Eine Antwort liegt nun bei
Das Landgericht München I hat am 13. Dezember 2023 im Urteil (Az. 29 O 1152/23) zentrale Fragen zur mietvertraglichen Überlassung von Software, zur Definition von Mängeln bei Software, zur Auswirkung von öffentlich-rechtlichen Sanktionen auf die Nutzung von Software und zum Wegfall der Geschäftsgrundlage behandelt. Das Urteil bietet eine erstmalige umfassende rechtliche Analyse und Argumentation zu diesen komplexen Themen.
Bitte beachten Sie: In der zum Thema behördliche Warnung noch zu berücksichtigenden alten Rechtslage waren behördliche Warnungen dieser Art im Kern in §7 BSIG (aF) – seit Dezember 2025, mit der Umsetzung der NIS2-Richtlinie, hat der Gesetzgeber dies ausdrücklich in § 13 BSIG normiert, wobei neu „Informationen über Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen“ hinzugekommen sind. Daran ist zukünftig eine behördliche Warnung in dem Kontext zu messen.
Die Durchführungsverordnung spezifiziert zudem die Fälle, in denen ein Vorfall als signifikant betrachtet wird, hier für Anbieter von DNS-Diensten, TLD-Name-Registrierungen, Cloud-Computing-Diensten, Datenzentren, Content-Delivery-Netzwerken, Managed Services und Sicherheitsdiensten, Online-Marktplätzen, Suchmaschinen, sozialen Netzwerken und Vertrauensdienste.
Im NIS2-Umsetzungsgesetz sind Regelungen vorgesehen, die gewährleisten sollen, dass das BSI in Fällen erheblicher Gefahren für die IT- und Kommunikationssicherheit auf die erforderlichen Daten zugreifen kann, um die Integrität, Verfügbarkeit und Vertraulichkeit der Kommunikationsdienste zu schützen.
Die Zugriffsrechte sind dabei durch strenge Bedingungen und Abstimmungsverfahren geregelt, um den Datenschutz und die Verhältnismäßigkeit der Maßnahmen sicherzustellen. Im Folgenden ein kurzer Überblick zur Orientierung.
Die neue NIS-2-Richtlinie der EU, die in Deutschland aktuell durch das NIS2-Umsetzungsgesetz in nationales Recht umgesetzt wird, bringt umfassende Regelungen und Anforderungen für die Cybersicherheit in verschiedenen Sektoren. Besonders interessant sind hierbei die spezifischen Regelungen für den Weltraumsektor. Im Folgenden versuche ich einen Überblick über die wesentlichen Punkte zu geben, die in Bezug auf Weltrauminfrastruktur und weltraumgestützte Dienste behandelt werden.
IT-Sicherheitsdienstleistung: Die IT-Sicherheit ist heute – zu Recht – das alles beherrschende Thema und spielte sogar weiterhin eine immer noch gesteigerte Rolle im Alltag. Ein wenig noch aus dem Fokus geraten ist die Frage, wie damit umzugehen ist, wenn Unternehmen externe Dienstleister zur Absicherung ihrer Systeme engagieren.
Dieser Beitrag gibt einen verständlichen und abgekürzten Überblick darüber, was bei der Vertragsgestaltung für eine IT-Sicherheitsleistung berücksichtigt werden sollte, um beide Parteien – Anbieter und Kunde – abzusichern.
Neue Produktsicherheitsverordnung: Die kürzlich verabschiedete EU-Verordnung 2023/988 stellt einen Meilenstein in der Produktsicherheitsgesetzgebung dar. Sie zielt darauf ab, die Gesundheit und Sicherheit der Verbraucher im Binnenmarkt durch strengere Sicherheitsvorschriften und eine bessere Marktüberwachung zu verbessern.
Im Folgenden wird ein detaillierter Überblick über die Produktsicherheitsverordnung, die neuen Pflichten der Wirtschaftsakteure und die spezifischen Anforderungen für den Online-Handel geboten.
欧洲信息技术法对各国信息技术法的影响是多方面的。一方面，它要求成员国将本国法律与欧盟要求相协调。这将使整个欧盟的 IT 法协调一致，从而促进跨境贸易和数据交换。其次，它为规范信息技术服务建立了一个共同的法律框架，为供应商和用户提供了法律确定性。第三，通过鼓励成员国使其立法现代化并适应技术发展，它可以成为国家信息技术立法改革的催化剂。
一名专注于欧洲的 IT 法律师有助于认清全局，并从一开始就对国家法规进行解释，从而避免胜诉。
欧盟范围内的 IT 法–有些东西正向您走来……
IT法律，包括与数字化相关的法律问题，是欧盟在欧洲IT法律议程中的首要议题。您应该做好准备，事后清理比事前处理更耗时（因此也更昂贵）。今天，欧洲 IT 法必须成为每家数字化公司的首要议程–等待已不再是一种选择！
欧盟的数字化政策已变得极为复杂，而您在 IT 法律方面的预期可能只是间接的。我们希望并将至少简要介绍所有重要主题，当然，IT 法律专业律师延斯-费纳（Jens Ferner）将为您提供建议：
Bereits im April 2023 hat die Kommission einen Vorschlag für einen Cyber Solidarity Act („EU-Cyber-Solidaritätsakt“) zur Stärkung der Cybersicherheitskapazitäten in der EU angenommen. Er soll die Erkennung von und das Bewusstsein für Cybersicherheitsbedrohungen und -zwischenfälle fördern, die Abwehrbereitschaft kritischer Infrastrukturen stärken und die Solidarität, das konzertierte Krisenmanagement und die Reaktionsfähigkeit der Mitgliedstaaten verbessern. Hierbei geht es auch um einen „European Cyber Shield“.
Die ENISA hat einen Bericht veröffentlicht, der einen Überblick über die aktuellen Cybersicherheitspraktiken in der Lieferkette gibt, die von großen Organisationen in der EU angewandt werden. Er basiert auf den Ergebnissen einer Studie der ENISA aus dem Jahr 2022, die sich auf die Investitionen der Cybersicherheitsbudgets von Organisationen in der EU konzentrierte.
Weitere Beiträge zum Thema IT-Sicherheit im Unternehmen:
Das Landgericht Tübingen (4 O 193/21) konnte zur Eintrittspflicht einer Cyber-Versicherung feststellen, dass allein der Umstand, dass nicht alle Server mit aktuellen Sicherheitsupdates ausgestattet waren, einen Leistungsanspruch gegen den Versicherer unberührt lässt. Jedenfalls dann nicht, wenn der Cyber-Angriff unter Ausnutzung einer bekannten Windows-Schwachstelle (hier: „Pass-the-Hash„) erfolgte und dadurch die Erlangung von Microsoft-Administratorenrechten für alle Server möglich war.
Denn: Die insoweit in Rede stehende Verletzung einer Anzeigepflicht ist weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der Leistungspflicht ursächlich (Ausnahme: arglistiges Verhalten des Versicherungsnehmers). Die Entscheidung verdeutlicht zugleich, wie wichtig die richtige juristische Handhabe des Schadensfalls ist. Dabei droht eine erhebliche Haftung für die Geschäftsleitung. Update: Die Entscheidung ist angeblich beim OLG Stuttgart (7 U 262/23) in der Berufung.
Es ist so weit: Die NIS2-Richtlinie wird endlich kommen. Schon Ende des Jahres 2020 hatte man erkannt, dass die bisherige NIS-Richtlinie den Anforderungen nicht mehr hinreichend gewachsen ist und es wurde – entsprechend der Mitteilung über die Gestaltung der digitalen Zukunft Europas – die Überprüfung der Richtlinie bis Ende des Jahres 2020 beschleunigt, eine Folgenabschätzung durchgeführt und ein neuer Vorschlag vorgelegt.
Cyber Resilience Act, CRA: In der EU wurde ein Vorschlag für eine Verordnung über Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, das sogenannte Gesetz über Cyberresilienz, vorgelegt. Dies soll die Cybersicherheitsvorschriften stärken, um sicherere Hardware- und Softwareprodukte zu gewährleisten.
Hard- und Softwareprodukte sind aus Sicht der EU mit zwei großen Problemen konfrontiert, die die Kosten für die Nutzer und die Gesellschaft erhöhen:
ein geringes Maß an Cybersicherheit, das sich in weitverbreiteten Schwachstellen und der unzureichenden und inkohärenten Bereitstellung von Sicherheitsaktualisierungen zu deren Behebung widerspiegelt, und
unzureichendes Verständnis und unzureichender Zugang der Nutzer zu Informationen, wodurch sie daran gehindert werden, Produkte mit angemessenen Cybersicherheitseigenschaften auszuwählen oder sie auf sichere Weise zu nutzen.
Die Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vor der Nutzung von Virenschutzsoftware des Unternehmens Kaspersky ist rechtmäßig. Das hat das Oberverwaltungsgericht NRW (4 B 473/22) am 28.4.22 entschieden und in den Leitsätzen der Entscheidung ausgeführt:
Unabhängig davon, inwieweit staatliches Informationshandeln einfachgesetzlicher Normierung zugänglich ist, besteht eine Grundrechtsbindung aus Art. 12 Abs. 1 GG, wenn solches Handeln zwar die Berufstätigkeit nicht unmittelbar berührt, aber Rahmenbedingungen der Berufsausübung verändert und in Zielsetzung und mittelbar-faktischen Wirkungen einem Grundrechtseingriff als funktionales Äquivalent gleichkommt.
Die Grundrechtsbindung hindert staatliche Stellen nicht daran, sich überhaupt zu grundrechtlich geschützten Bereichen – auch kritisch – zu äußern. Grundrechte schützen nicht vor der Verbreitung von inhaltlich zutreffenden und unter Beachtung des Gebots der Sachlichkeit sowie mit angemessener Zurückhaltung formulierten Informationen durch einen Träger der Staatsgewalt.
Angesichts der Vielgestaltigkeit möglicher Risiken für die Sicherheit in der Informationstechnik ist es verfassungsrechtlich unbedenklich, dass der Gesetzgeber den Begriff der Sicherheitslücke im Sinne des § 2 Abs. 6 BSIG gerade als Tatbestandsvoraussetzung für eine amtliche Warnung weit gefasst hat, um bislang unvorhersehbare Fallgestaltungen abzudecken.
Liegen hinreichende Anhaltspunkte dafür vor, dass die Sicherheitsstandards insbesondere zum Schutz der Verfügbarkeit, Integrität und Vertraulichkeit von Informationen (§ 2 Abs. 2 Satz 4 BSIG) nicht mehr gewährleistet werden können, sind zugleich hinreichende Anhaltspunkte dafür gegeben, dass von dem betroffenen Programm oder informationstechnischen System eine Gefahr für die Sicherheit in der Informationstechnik ausgeht.
Ob hinreichende Anhaltspunkte dafür vorliegen, dass von einem Produkt aufgrund einer Sicherheitslücke Gefahren für die Sicherheit in der Informationstechnik ausgehen, ist anhand aller mit vernünftigem Aufwand feststellbaren Umstände oder Ereignisse zu beurteilen, die nachteilige Auswirkungen auf die Sicherheit von Informationssystemen haben können. Mit Blick auf das mit dem BSIG verfolgte Ziel der umfassenden Gewährleistung der Sicherheit der Informationstechnik sind sowohl technische Kriterien als auch staatliche Sicherheitsinformationen einzubeziehen.
Bitte beachten Sie: In der hier noch zu berücksichtigenden alten Rechtslage waren behördliche Warnungen dieser Art im Kern in §7 BSIG (aF) – seit Dezember 2025, mit der Umsetzung der NIS2-Richtlinie, hat der Gesetzgeber dies ausdrücklich in § 13 BSIG normiert, wobei neu „Informationen über Verstöße besonders wichtiger Einrichtungen oder wichtiger Einrichtungen“ hinzugekommen sind. Daran ist zukünftig eine behördliche Warnung in dem Kontext zu messen. Die Entscheidung wird auch mit Blick darauf wegweisend sein, insbesondere in den umfangreichen Ausführungen zu den rechtlichen Grundlagen der BSI-Warnung findet sich sehr viel, was zu einer Ausweitung der Möglichkeit von BSI-Warnungen führt. Speziell zeigt der Beschluss auf, dass man auch über externe Begutachtungen selbst bei eigener Einsichtnahme in den Quelltext hinweggehen darf, wenn Unsicherheiten („weiße Flecken“) bei der Beurteilung verbleiben.
Grundlage der Warnung sind dabei Sicherheitslücken nicht im engeren, sondern im weitesten Sinne, sodass etwa auch die (behördliche) Einflussnahme auf den Hersteller des Produkts eine Rolle spielen darf – wobei Sicherheitspolitische Erwägungen neben tatsächlichen Bedrohungen in die Einschätzung miteinbezogen werden dürfen!
Bisher besteht die NIS-Richtlinie, die aktualisiert werden muss: Der Ausschuss für Industrie, Forschung und Energie (ITRE, „Committee on Industry, Research and Energy“) des EU-Parlaments hat nun am 28. Oktober 2021 den Vorschlag der NIS2-Richtlinie angenommen. Die NIS2-Richtlinie würde den Anwendungsbereich massiv erweitern, drastische Bußgelder einführen, Meldepflichten erhöhen und weitere Mindeststandards setzen.
