Cybersicherheit betrifft Leitung, Beschaffung, Produktentwicklung und Krisenorganisation. Ob besondere Pflichten bestehen, richtet sich nach Unternehmen, Sektor, Produkt und einschlägigem Recht.
Rechtliche Einordnung und Gestaltungsfragen
Unternehmensbezogene Sicherheitsanforderungen und produktbezogene Regeln des Cyber Resilience Act sind auseinanderzuhalten. Ein Vorfall kann daneben Datenschutz- und Vertragspflichten auslösen. Die seit September 2026 anwendbaren CRA-Meldepflichten betreffen bestimmte Schwachstellen und schwere Sicherheitsvorfälle und ersetzen nicht alle weiteren Pflichten.
Leistungsumfang und Verantwortlichkeit
Technische Beschreibungen und Vertragsunterlagen werden gemeinsam betrachtet. Entscheidend ist, welche Leistung geschuldet wird, wer sie kontrolliert und wie Abweichungen festgestellt werden. Anlagen, Servicelevel und Datenschutzvereinbarungen dürfen einander nicht widersprechen. Zuständigkeiten zwischen Kunde, Hauptanbieter und Unterauftragnehmern werden ausdrücklich zugeordnet; gesetzliche Verantwortung lässt sich dabei nicht beliebig durch Vertragsklauseln verschieben.
Störungen, Änderungen und Vertragsende
Ein belastbarer Vertrag regelt nicht nur den Normalbetrieb. Er sollte Änderungen, Sicherheitsvorfälle, Leistungsstörungen und das Ende der Zusammenarbeit praktisch abbilden. Dazu gehören Informationen, Ansprechpartner, Zugang zu benötigten Daten und eine geordnete Übergabe. Bei Streitigkeiten werden technische Protokolle und Vertragsfassungen gesichert, bevor Ansprüche bewertet oder Systeme verändert werden. Ein Wechselplan muss rechtliche Vorgaben und technische Abhängigkeiten zusammenbringen.
Vorbereitung der Beratung
Hilfreich sind Leistungsbeschreibung, Angebot, Vertragsanlagen und eine Übersicht der Systeme und Datenflüsse. Bei einem Vorfall kommen Zeitablauf, Protokolle und bisherige Kommunikation hinzu. Wir klären zuerst, welche Entscheidung ansteht, welche Frist besteht und welche Unterlagen für eine belastbare Bewertung fehlen. Darauf aufbauend werden Verhandlung, Umsetzung oder Rechtsdurchsetzung geplant.
Vier Praxisbeispiele
Die folgenden Beispiele erläutern typische Fragestellungen. Sie beschreiben keine konkreten Mandate und nehmen das Ergebnis einer Einzelfallprüfung nicht vorweg.
Verbundener Sensor
Ein Hersteller entdeckt eine ausgenutzte Schwachstelle. Produktbezug, Meldeweg und Abhilfemaßnahmen werden parallel bewertet.
Ransomware
Ein Dienstleister kann Kundendaten nicht erreichen. Krisenteam, Beweissicherung und vertragliche Informationen werden koordiniert.
Lieferantenprüfung
Ein Unternehmen verlangt Sicherheitsnachweise. Aussagekraft der Nachweise und laufende Kontrollrechte werden vertraglich abgesichert.
Produktupdate
Eine Schwachstelle benötigt einen Patch. Unterstützungsdauer, Veröffentlichung und Kommunikation werden mit der technischen Planung abgestimmt.
Anfrage und weiterführende Themen
Anfrage ohne Pflichtfelder · Medienrecht im Überblick · Rechtsdurchsetzung