Die Bewältigung von rechtlichen, regulatorischen und sicherheitsrelevanten Vorgaben ist eine fortwährende Herausforderung für Unternehmen und ihr Management. Es ist entscheidend, die geschäftsrelevanten Informationen zu verwalten und zu schützen.

Gemäß dem Gesetz zur Stärkung der Finanzmarktintegrität (§ 91 Abs. 3 AktG) sind die Vorstände einer börsennotierten Gesellschaft dazu verpflichtet, zusätzlich zu einem Risikofrüherkennungssystem nach § 91 Abs. 2 AktG, ein geeignetes und effizientes internes Kontroll- und Risikomanagementsystem einzurichten. Dieses System soll in Bezug auf den Umfang der Geschäftstätigkeit sowie die Risikosituation angemessen sein. Dabei sollen die Prinzipien, Verfahren und Maßnahmen, die das interne Kontrollsystem und Risikomanagementsystem umfassen, die Effizienz und Wirtschaftlichkeit der Geschäftstätigkeit sicherstellen. Zudem sollen sie die Ordnungsmäßigkeit der Buchführung und die Einhaltung der relevanten rechtlichen Anforderungen gewährleisten. 

Die Verpflichtung zur Implementierung eines internen Kontrollsystems und eines Risikomanagementsystems kann auch aus den von ihnen beauftragten Sorgfaltspflichten für die gesetzlichen Vertreter nicht börsennotierter Unternehmen resultieren, beispielsweise nach § 93 Abs. 1 AktG oder § 43 Abs. 1 GmbHG.

Mit dem wachsenden Stellenwert des Cyberraums und dem kontinuierlichen Anstieg an Bedrohungen war es nie wichtiger, digitale Infrastrukturen abzusichern. Ein entscheidender Faktor in diesem Zusammenhang stellt das Cyber Security Management System (CSMS) dar. Das CSMS ist ein wesentliches Element der Corporate Governance und somit integraler Bestandteil eines unternehmensweiten internen Kontrollsystems. Insgesamt trägt ein effektives CSMS dazu bei, das Vertrauen in die Fähigkeit des Unternehmens zu stärken, seine digitalen Assets zu schützen und auf Cyber-Bedrohungen zu reagieren.

Prüfung des Cyber Security Management Systems

Das Hauptziel einer CSMS-Prüfung besteht darin, zu bewerten, ob das Unternehmen durch die Implementierung eines CSMS präventive Maßnahmen ergriffen hat. Diese Maßnahmen sollen dazu dienen, wesentliche Cyber Security Risiken, die die Erreichung der strategischen und operativen Ziele des Unternehmens behindern könnten, rechtzeitig zu erkennen, zu bewerten, zu managen und zu überwachen. Eine Prüfung nach erkennt bestehende Restrisiken und schützt ihr Unternehmen so vor den Bedrohungen aus dem Cyberraum und bietet außerdem die Möglichkeit, strukturelle oder prozessuale Schwachstellen innerhalb des CSMS zu identifizieren.

Zudem liefert sie wertvolle Impulse für die Weiterentwicklung bestehender Sicherheitsstrukturen und fördert eine risikoorientierte Unternehmenskultur. In Zeiten zunehmender Digitalisierung und wachsender regulatorischer Anforderungen gewinnt die regelmäßige Überprüfung des CSMS an strategischer Bedeutung – nicht nur zur Risikominimierung, sondern auch als Wettbewerbsvorteil im Markt.

Deloitte kann dazu beitragen, einen objektiven Nachweis für die fehlerfreie Ausübung der Organisations- und Sorgfaltspflichten seitens des Vorstands und des Aufsichtsrats zu liefern.

Kernelemente des Cyber-Security-Managementsystems gemäß des Deloitte Leading Practice Ansatzes

Ein CSMS besteht aus mehreren sich gegenseitig beeinflussenden Elementen, die in die betrieblichen Abläufe integriert werden. Die Gestaltung des CSMS hängt hauptsächlich von den definierten Zielen des CSMS sowie von Art, Umfang und Komplexität der Unternehmensaktivitäten ab.

Warum Deloitte

Bei Deloitte verbinden wir führende Expertise im IT-Management und die Synergien unserer verschiedenen Geschäftsbereiche, um Top-Dienstleistungen im Bereich IT-Audit und Cyber Assurance zu erbringen. Unser interdisziplinäres Team aus IT-Audit und Cyber Assurance-Spezialist:innen bringt umfangreiche technische Kenntnisse mit und verfügt über langjährige Erfahrung in diesen Bereichen. Sie führen tiefgreifende Analysen und Bewertungen Ihrer IT-Systeme und Cyber-Sicherheitsmaßnahmen durch, was uns zu einem zuverlässigen Partner macht.

Zusätzlich zu unseren lokalen Spezialist:innen haben Sie Zugang zu unserem globalen Netzwerk von IT-Audit und Cyber-Assurance-Expert:innen bei Deloitte. Mit einer breiten Palette an Lösungen und branchenübergreifenden Best Practices bereichern sie unser Angebot.

Im Dialog mit unseren Kunden definieren wir den angemessenen Grad an IT-Transparenz und Cyber-Sicherheit. Unser Hauptziel ist es, die betriebliche Effizienz, die Einhaltung von Standards und die Sicherheit von Daten zu verbessern.