Die stille Verschiebung des Jahres 2026 ist kein neues Gesetz, sondern eine Frage der Haftung. In der Schweiz interpretiert die bundesgerichtliche Rechtsprechung Artikel 716a OR zunehmend so, dass Risikomanagement einschliesslich Cyberrisiken Teil der unübertragbaren Oberleitungspflicht des Verwaltungsrats ist. Wer bekannte Risiken ignoriert oder die Relevanz unterschätzt, kann bei einem Vorfall mit dem eigenen Privatvermögen haften. In Deutschland ist die Lage über Paragraf 38 des neuen BSI-Gesetzes noch expliziter. Die Geschäftsleitung muss die Umsetzung der Risikomassnahmen überwachen und haftet für Verstösse. Der fehlende Einbezug des Managements gilt dort ausdrücklich nicht als Entschuldigung, sondern als Fahrlässigkeit.
Delegation löst das Haftungsproblem nicht
Die verbreitete Fehlannahme ist, dass die Delegation an einen CISO oder Dienstleister das Haftungsproblem löst. Das Gegenteil ist der Fall. Die Aufsichtspflicht bleibt beim Verwaltungsrat. Ein Beispiel aus der Praxis zeigt das. Bei einem schweren Einbruch stellte sich heraus, dass der Verwaltungsrat die vierteljährlichen Berichte des Dienstleisters nie validiert oder kontrolliert hatte. Die persönliche Haftung blieb trotz Delegation bestehen.
Eine D&O-Versicherung, die Directors-and-Officers-Versicherung für die persönliche Haftung von Verwaltungsrat und Geschäftsleitung, deckt zwar diese Haftung ab, ersetzt aber nicht die Sorgfaltspflicht. Im Schadensfall prüft der Versicherer, ob der Verwaltungsrat seine Pflichten erfüllt hat. Ohne dokumentierte Beschlüsse und nachweisbare Massnahmen kann der Schutz ins Leere laufen. Die FINMA verschärft seit 2025 zusätzlich die Anforderungen an die Cyber-Governance regulierter Institute, und diese Standards strahlen als Best Practice auch auf nicht regulierte Unternehmen aus.
Reporting wird zum Haftungsschutz
Hier entsteht die eigentliche CISO-Lektion, und sie ist unbequem. Die Business Judgement Rule schützt strategische Entscheidungen nur dann, wenn sie auf einem dokumentierten Prozess beruhen. Das heisst, die Qualität des Cyber-Risiko-Reportings an den Verwaltungsrat ist kein Kommunikationsdetail, sondern der Haftungsschutz des Gremiums. Genau hier scheitern viele CISOs. Sie berichten technische Fülle statt entscheidungsrelevante Klarheit. Der Verwaltungsrat braucht die Gesamtsicht auf das Risikoportfolio mit erkennbaren Abhängigkeiten, nicht eine Metrik-Sammlung. Dass nur rund ein Drittel der europäischen Verwaltungsräte über ausgewiesene Cyber-Expertise verfügt, während die grosse Mehrheit der CISOs regelmässig an Vorstandssitzungen teilnimmt, macht die Übersetzungsleistung zur Kernaufgabe.
Was Sie jetzt tun sollten
Sinnvoll ist ein halbjährliches Verwaltungsrats-Briefing mit wenigen geschäftsrelevanten Kennzahlen, etwa zu gemeldeten Vorfällen, zur mittleren Reaktionszeit und zum Patching-Status. Jede Entscheidung wird in der Sprache der Geschäftsleitung dokumentiert. Nicht als Kür, sondern weil die persönliche Haftung es zur Pflicht macht. Der konkrete nächste Schritt: eine Berichtsvorlage bauen, die auf einer Seite die Portfolio-Gesamtsicht zeigt und die technischen Details nur auf Nachfrage nachliefert.
Präzisierung vom 9. Oktober 2026
- Keine neue Haftung: Die persönliche Haftung des Verwaltungsrats ist nicht neu. Sie ergibt sich aus der Verantwortlichkeit nach Art. 754 OR in Verbindung mit den unübertragbaren Aufgaben nach Art. 716a OR. Gestiegen ist die Erwartung, Cyberrisiken als Teil dieser Oberleitung nachweisbar zu steuern.
- Schweiz: Die Zuordnung von Cyberrisiken zur Oberleitung stützt sich auf die verbreitete Auslegung in Lehre und Praxis, nicht auf einen bekannten Bundesgerichtsentscheid speziell zu Cyberrisiken.
- Deutschland: § 38 BSIG gilt für die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen. Er verpflichtet sie, die Risikomanagementmassnahmen nach § 30 BSIG umzusetzen, ihre Umsetzung zu überwachen und regelmässig an Schulungen teilzunehmen. Die Haftung richtet sich nach Gesellschaftsrecht gegenüber der eigenen Einrichtung. Eine ausdrückliche Einstufung fehlenden Einbezugs als Fahrlässigkeit enthält das Gesetz nicht.
- FINMA: Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» ist seit dem 1. Januar 2024 in Kraft. Für die Sicherstellung der operationellen Resilienz galt eine Übergangsfrist von zwei Jahren. Die Anforderungen gelten damit nicht erst seit 2025, sind aber erst seit 2026 vollständig zu erfüllen.
Quellen: Obligationenrecht (Fedlex) · SECJUR: § 38 BSIG · RA Pöppel: NIS2-Managerhaftung
Autor
Dieser Beitrag stammt von Martin Bischoff, Interim CIO/CISO für regulierte Organisationen in der DACH-Region und Herausgeber von STOP.LI. Für die Umsetzung von Governance-, Turnaround- und Transformationsmandaten steht seine Gesellschaft 4T2 Solutions GmbH zur Verfügung.
Comments are closed