IT-Sicherheitsrecht für KMU: Was aus rechtlicher Sicht zu beachten ist

Es vergeht kaum eine Woche, in der nicht eine neue Meldung über einen Verschlüsselungstrojaner, einen Server-Einbruch oder über ein Datenleck erscheint. Es trifft längst nicht mehr nur die Großen; die Gefahr ist schon längst im KMU-Bereich angekommen.  

Kein Wunder: Die Digitalisierung eröffnet nicht nur neue Chancen durch Effizienzgewinne etc., sondern auch neue Bedrohungen. Die gute Nachricht ist, dass es entsprechende gesetzliche Regelungen gibt bzw. demnächst noch geben wird. Die schlechte Nachricht ist, dass es so viele sind, sodass man hier kaum noch den Überblick behalten kann.  

Bei der Umsetzung der Schutzziele in der Informationssicherheit wird beispielsweise NIS2 eine wichtige Rolle spielen. Die Abkürzung NIS2 steht für “The Network and Information Security (NIS) Directive”. Die NIS2-Richtlinie muss bis zum 17. Oktober 2024 in deutsches Recht umgesetzt werden. Dazu dient das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG). Dieses wird voraussichtlich an die Stelle des IT-Sicherheitsgesetzes treten.

Daneben müssen weitere EU-Richtlinien und -Verordnungen in vielen – teilweise auch eher kleinen Unternehmen – umgesetzt werden, was zu einem nicht unerheblichen Aufwand führen kann.  

NIS2 taucht immer häufiger in den Medien auf, ebenso die kryptische Abkürzung „NIS2UmsuCG“. CRA hat man vielleicht auch schonmal gehört und DORA ist zumindest im Finanzsektor bekannt. Der nachfolgenden Übersicht können Sie die zentralen Regelungen und Komponenten des IT-Sicherheitsrechts auf EU-Ebene und in Deutschland entnehmen. In diesen sind zumindest auch Sicherheitsvorgaben für bestimmte Bereiche enthalten. Nicht alle Vorschriften sind für jede Branche bzw. jedes Unternehmen gleichermaßen einschlägig, manche sehen auch spezielle Ausnahmen für kleine und Kleinstunternehmen vor.

Die Datenschutzgrundverordnung und die darin enthaltenen Pflichten für verantwortliche Stellen sollten inzwischen jedem Unternehmen ein Begriff sein. Das gleiche gilt für die Einhaltung des Geschäftsgeheimnisgesetzes (GeschGehG). Beide gelten für verschiedene Arten von Daten, nämlich solche mit und solche ohne Personenbezug. Aber sowohl DSGVO als auch GeschGehG fordert die Umsetzung von technischen und organisatorischen Maßnahmen, um die mit der Datenverarbeitung verbundenen Risiken zu minimieren. Zudem verpflichtet die DSGVO u.a. auch dazu, bestimmte Verletzungen des Schutzes personenbezogener Daten (Datenpannen) der zuständigen Datenschutzaufsichtsbehörde und ggf. auch den von der Datenpanne betroffenen Personen zu melden. 

ChatGPT, Midjourney, Stable Diffusion, Gemini, Llama & Co. – all diese KI-Tools verzeichnen seit ihrer Verfügbarkeit auf dem Massenmarkt stetig steigende Nutzerzahlen. Sowohl die KI-Verordnung als auch die KI-Haftungsrichtlinie haben zum Ziel, den Umgang mit Künstlicher Intelligenz zu regulieren. Zudem sollen so Haftungsrisiken minimiert werden.  

Die KI-Verordnung richtet sich primär an Hersteller, Importeure, Händler und Anbieter von KI-Systemen. Sie unterscheidet verschiedene Risikoklassen (unannehmbare Risiken/verbotene KI, hohe Risiken, begrenzte Risiken und minimale Risiken). Je höher das Risiko, desto mehr Pflichten treffen die jeweiligen Akteure. Die KI-Haftungsrichtlinie greift zeitlich später, nämlich bei der Frage der Haftung für Schäden, die durch den Einsatz oder bei der Nutzung von KI entstanden sind. Die Richtlinie sieht zwei immens wichtige Aspekte vor:

1. Beweiserleichterung durch Einführung einer Kausalitätsvermutung: Es wird ein direkter Zusammenhang zwischen der Verletzung einer Sorgfaltspflicht und dem entstandenen Schaden vermutet. Dieser kann jedoch vom KI-Hersteller bzw. -Betreiber widerlegt werden. 
2. Verbesserter Zugang zu Beweismitteln für Opfer von Hochrisiko-KI-Systemen: Dadurch besteht ein gerichtlich durchsetzbarer Anspruch auf Offenlegung entsprechender Informationen.

Die Digitale-Inhalte-Richtlinie (DIRL) und auch die Warenkauf-Richtlinie (WKRL) haben zum 01.01.2022 ins deutsche Recht Einzug gehalten. Sie enthalten u.a. Regelungen zur Modernisierung des Gewährleistungsrechts sowie das Recht auf Updates. Dadurch wurde der Verbraucherschutz gestärkt und insbesondere der Umgang mit digitalen Produkten (digitale Inhalte & digitale Dienstleistungen) im Gesetz verankert. Beide finden im Rahmen des IT-Sicherheitsrechts Anwendung.  

Die Maschinenverordnung enthält Anforderungen an die Konstruktion und den Bau von Maschinenprodukten. Darüber hinaus sieht sie Regeln für den freien Warenverkehr von Maschinenprodukten in der Europäischen Union vor.

Der Chips Act sieht hingegen Maßnahmen vor, um etwaigen Versorgungsschwierigkeiten bei Halbleitern entgegenzuwirken. Er soll die Wettbewerbsfähigkeit und Widerstandsfähigkeit der EU im Bereich Halbleitertechnologie und -anwendung stärken. Vor dem Hintergrund der Notwendigkeit von ausreichender Rechenleistung und genügend Speicherplatz für KI-Anwendungen kommt sowohl der Maschinenverordnung als auch dem Chips Act eine wichtige Bedeutung in Bezug auf das IT-Sicherheitsrecht zu.