Risikomanagement
Risikomanagement im KMU: Was rechtlich gilt und wie Sie starten
Viele Inhaber kleiner und mittlerer Unternehmen fragen sich, ob sie ein formales Risikomanagement überhaupt brauchen. Dieser Beitrag zeigt, wann rechtliche Pflichten greifen, welche Fristen dann gelten und wie ein schlankes System im Betriebsalltag aussehen kann.
Wann Risikomanagement zur Pflicht wird
Risikomanagement bedeutet im Kern, die wichtigsten Gefahren für den Fortbestand des Betriebs zu erkennen, zu bewerten und zu steuern. Eine branchenübergreifende Pflicht zu einem vollständigen Risikomanagementsystem gibt es für alle kleinen und mittleren Unternehmen nicht, die Vorgaben hängen von Rechtsform und Sektor ab. Für Aktiengesellschaften verlangt § 91 Abs. 2 AktG, dass der Vorstand geeignete Maßnahmen trifft und insbesondere ein Überwachungssystem einrichtet, damit bestandsgefährdende Entwicklungen früh erkannt werden. Bei börsennotierten Gesellschaften kommt nach § 91 Abs. 3 AktG ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem hinzu, nachzulesen unter gesetze-im-internet.de/aktg/__91.html.
NIS 2: Welche Unternehmen betroffen sind
Für andere Unternehmen ergeben sich Pflichten vor allem aus sektorspezifischen Regelungen. Dazu gehört die EU-Richtlinie NIS 2, die Anforderungen an die Cybersicherheit sogenannter besonders wichtiger und wichtiger Einrichtungen stellt, etwa in den Bereichen Energie, Verkehr, Gesundheit oder digitale Dienste. Das Bundesamt für Sicherheit in der Informationstechnik (BSI), die zuständige Bundesbehörde für IT-Sicherheit, geht von rund 29.500 betroffenen Einrichtungen in Deutschland aus. Diese müssen sich registrieren, erhebliche Sicherheitsvorfälle melden und Risikomanagementmaßnahmen umsetzen: bsi.bund.de/DE/Themen/…/nis-2-pflichten_node.html.
Schwellenwerte: Betroffenheit kann neu entstehen
Ob ein Unternehmen unter NIS 2 fällt, entscheidet sich an der Sektorzugehörigkeit und an gesetzlich festgelegten Schwellen für Mitarbeiterzahl, Umsatz und Bilanzsumme. Wächst ein Betrieb oder verändert sich sein Geschäft, kann die Betroffenheit also erst später eintreten. Änderungen an Unternehmensgröße oder Betroffenheit sind laut BSI binnen zwei Wochen zu übermitteln. Ein regelmäßiger Abgleich mit den offiziellen Sektorlisten und Kriterien gehört daher in die Zuständigkeit der Geschäftsführung.
Registrierungs- und Meldefristen
Betroffene Einrichtungen müssen sich spätestens drei Monate nach dem erstmaligen oder erneuten Eintritt der Betroffenheit registrieren. Für erhebliche Sicherheitsvorfälle gilt nach Kenntniserlangung eine Frist von 24 Stunden für die frühe Erstmeldung, 72 Stunden für die ausführlichere Meldung und 30 Tage für Abschluss- oder Folgemeldungen. Solche Fristen lassen sich nur mit klaren Zuständigkeiten und Vertretungsregelungen halten, auch bei Urlaub, Krankheit oder beim Einsatz externer Dienstleister.
Zehn Mindestmaßnahmen als inhaltliche Vorgabe
NIS 2 bleibt nicht bei abstrakten Risiken, sondern benennt konkrete Maßnahmen. Das BSI nennt zehn Mindestmaßnahmen: Risikoanalyse, Incident Response, Business-Continuity-Management, Lieferkettensicherheit, sichere Entwicklung und Wartung, Wirksamkeitsprüfung, Schulungen, Kryptographie, Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung. Die Liste zeigt, dass es nicht nur um Technik geht, sondern auch um Organisation, Prozesse und Mitarbeitende. Für kleinere Betriebe ist sie zugleich eine brauchbare Orientierung, selbst wenn keine gesetzliche Pflicht besteht.
Verhältnismäßigkeit: Wie viel Aufwand angemessen ist
Die Maßnahmen müssen nach den Vorgaben geeignet, verhältnismäßig und wirksam sein. Als Kriterien nennt das BSI unter anderem die Risikoexposition, die Größe der Einrichtung, die Kosten sowie Eintrittswahrscheinlichkeit, Schwere und Folgen von Sicherheitsvorfällen. Ein Betrieb mit 30 Beschäftigten muss damit nicht denselben Aufwand betreiben wie ein Konzern. Die eigenen Entscheidungen sollten aber nachvollziehbar begründet und dokumentiert sein.
Finanzsektor: DORA geht vor
Im Finanzsektor gilt ein eigener EU-Rechtsrahmen mit der Bezeichnung DORA, der das Management von Cybersicherheitsrisiken regelt. Nach Angaben des BSI wird DORA seit dem 17. Januar 2025 verbindlich angewendet und hat Vorrang vor NIS 2, soweit es um Cybersicherheitsrisikomanagement und die Meldung erheblicher Sicherheitsvorfälle geht. Adressaten sind unter anderem Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen, Versicherungen und Handelsplätze. Ausgenommen sind unter anderem Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, wenn sie Kleinstunternehmen oder KMU sind: bsi.bund.de/DE/Themen/…/NIS-2-DORA_node.html.
Grundstruktur nach der IHK-Praxischeckliste
Unabhängig von speziellen Gesetzen liefert eine Praxischeckliste der Industrie- und Handelskammer (IHK) eine verwertbare Grundstruktur für KMU. Sie nennt vier Bausteine: Risikoanalyse, Risikobehandlung, internes Kontrollsystem und Frühwarnindikatoren. Als Risikofelder führt die Checkliste unter anderem strategische, operative, finanzielle und regulatorische Risiken auf, dazu Personal-, Datenverarbeitungs-, politische und Managementrisiken. Die Checkliste wird von den Industrie- und Handelskammern bereitgestellt und ist dort unter dem Stichwort Risikomanagement abrufbar.
Frühwarnsystem und Kontrollen im Betriebsalltag
Für das Frühwarnsystem empfiehlt die IHK, zunächst Beobachtungsbereiche und konkrete Frühwarnindikatoren festzulegen und dazu Sollwerte sowie Toleranzgrenzen zu bestimmen. Ebenso müssen Zuständigkeiten für die Aufnahme, Prüfung und Weiterleitung von Warnsignalen definiert werden. Als betriebsinterne Maßnahmen nennt die Checkliste organisatorische Maßnahmen, systematische Kontrollen und das Vier-Augen-Prinzip sowie definierte Berechtigungen und Entscheidungsbefugnisse. Entscheidend ist, dass diese Regeln dokumentiert, regelmäßig überprüft und bei Veränderungen im Geschäft angepasst werden.
Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.
Ersttermin
Ihre Fragen im persönlichen Gespräch klären
Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.
Kostenlosen Ersttermin anfragenDie Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.