Sicherheitslücke bei einem IT-Subunternehmer: Wer zahlt die Rechnung?
Cybersicherheit bei Subunternehmern: Ein rechtlicher und praktischer Überblick
Zusammenfassung unseres Webinars mit Marc-Antoine Ledieu
Cybersicherheit ist für Unternehmen zu einer zentralen Herausforderung geworden, insbesondere aufgrund der Risiken durch Subunternehmer. Im Jahr 2025 könnten 45 % der Organisationen Opfer eines Angriffs über einen Subunternehmer werden. Jüngste Beispiele sind Unternehmen wie Coinbase und Adidas, die über ihre Subunternehmer Cyberangriffe erlitten haben.
Die Risiken durch Subunternehmer
Subunternehmer sind ein bedeutender Angriffsvektor. In Frankreich hat sich die Gesetzgebung weiterentwickelt, um Betreiber von vitaler Bedeutung zu regulieren, doch Subunternehmer bleiben oft das schwächste Glied. Cyberangriffe nutzen häufig Schwachstellen in der IT-Lieferkette aus, wie der Fall SolarWinds gezeigt hat.
Konkrete Fälle von Cyberangriffen
Zwei exemplarische Fälle in Frankreich zeigen, wie wichtig Verträge für den Schutz vor Cyberangriffen sind:
Ausgefallener Hosting-Anbieter: Ein Hosting-Anbieter für Buchhaltungsdaten erlitt einen Cyberangriff, wodurch die Daten einen Monat lang nicht zugänglich waren. Die Vertragsklauseln begrenzten die Entschädigung trotz des Ausmaßes der Schäden auf einen Monat kostenlosen Service.
Mangelhafte Beratung: Ein Industrieunternehmen wurde von einem IT-Dienstleister schlecht beraten, was zu einem Cyberangriff führte. Das Berufungsgericht erkannte die mangelhafte Beratung an, doch die Entschädigung wurde auf einen Bruchteil der tatsächlichen Schäden begrenzt.
Der rechtliche Schutz
Verträge mit Subunternehmern müssen detaillierte Anhänge zu Verantwortlichkeiten und Sicherheitsmaßnahmen enthalten. Sicherheitsfragebögen können den Verträgen als Anhang beigefügt werden, um ihre rechtliche Verbindlichkeit zu stärken. Die Entschädigungsklauseln müssen jedoch klar und realistisch sein.
Kommende Regulierungen
Die neuen europäischen Regulierungen wie NIS2 und der CRA werden Software- und Dienstleistungsanbietern strengere Pflichten auferlegen. Die Sanktionen bei Nichteinhaltung umfassen Bußgelder und die Rücknahme unsicherer Produkte vom Markt.
Fazit
Das Management von Risiken durch Subunternehmer erfordert einen proaktiven Ansatz, einschließlich gut formulierter Verträge und einer kontinuierlichen Bewertung der Lieferanten. Unternehmen müssen sich auf die neuen Regulierungen vorbereiten, um die Sicherheit ihrer Daten und Systeme zu gewährleisten.
Weitere Informationen finden Sie in Fachblogs zum Lieferantenrisikomanagement und zu gesetzlichen Entwicklungen im Bereich Cybersicherheit.