Drei Regulierungen, drei Haftungslogiken, ein Governance-Problem
DORA (Digital Operational Resilience Act) Art. 5 begründet eine strikte Managementverantwortung für das Board: Genehmigung, Überwachung und Verantwortung für das ICT-Risiko-Management-Framework.
Das Besondere: DORA verlangt aktive Genehmigung und nicht nur passive Kontrolle. Ein Board, das ein Framework akzeptiert aber nicht verstanden hat, erfüllt die Anforderung nicht.
NIS2 (Network and Information Systems Directive 2) Art. 20 erweitert die Haftung auf alle wesentlichen und wichtigen Entitäten (nicht nur Finanzsektor): Genehmigung von Cybersicherheits-Risikomaßnahmen, Überwachung der Umsetzung, persönliche Haftung. Besonderheit: Trainingsanforderung (Art. 20(2)) – das Board muss auf Cyber-Risiken trainiert sein.
"Verwaltungsräte müssen nach NIS2 nicht nur das Cybersicherheits-Framework genehmigen, sondern aktiv Wissen über die zugeordneten Risiken nachweisen."
NIS2-Haftung ist nicht sektorbeschränkt, sondern abhängig von Kritikalität. Das schafft ein ganz anderes Governance-Problem als DORA.
Der AI Act Art. 26 verlagert die Verantwortung stärker auf die organisatorische Ebene. Deployer von High-Risk-AI-Systemen müssen sicherstellen, dass Human Oversight, Monitoring und Incident Reporting implementiert sind. Die Haftungslogik ist weniger direkt persönlich, stärker organisational und risikoklassifizierungsabhängig.
| Dimension | DORA | NIS2 | AI Act |
|---|---|---|---|
| Wer ist haftbar | Board+Management (Finanzsektor) | Board+Management (alle kritischen Entitäten) | Deployer/Org (gesamte Wirtschaft) |
| Wofür | ICT Framework, Risiko-Governance | Cybersecurity-Maßnahmen, Training | Human Oversight, Monitoring, Compliance |
| Art der Haftung | Persönlich + organisational | Persönlich + organisational | Organisational (mit Delegierungsoption) |
| Sanktion | Geldbuße, Sperre, persönliche Haftung | Geldbuße, persönliche Haftung (national) | Geldbuße 6–7% Umsatz (gestaffelt) |
| Training-Anforderung | Nicht explizit, aber implied | Explizit (Art. 20(2)) | Nur für Human-Oversight-Personal |
| Dokumentation | Framework-Dokumentation, Risiko-Register | Risk-Assessment, Umsetzungsnachweis | Risk-Assessment, Audit-Trail, Incident-Reports |
Viele Verwaltungsräte verstehen nicht, dass sie nicht unter einer, sondern unter mehreren parallelen Haftungsregimen operieren. Ein Finanzunternehmen mit kritischen Infrastrukturfunktionen und KI-Einsatz steht unter DORA und NIS2 und AI Act.
Die Schweiz hat keinen direkten NIS2- oder AI-Act-Äquivalent, aber:
Ein deutsch-schweizer Finanzdienstleister (rund 500 Mitarbeiter, grenzüberschreitend tätig) wird von der deutschen Aufsicht einer Routineauditorischen Überprüfung unterzogen.
Befund 1 (DORA): Das "ICT Risk Management Framework" war schriftlich dokumentiert, aber niemals vom VR formal genehmigt. Die IT-Abteilung hatte es entworfen; das Management bestätigte informell. Das ist nicht DORA-konform. Sanktion: Verwaltungsmaßnahme, Nachbesserung.
Befund 2 (NIS2): Das Unternehmen war als "wichtige Entität" klassifiziert, aber das Board hatte kein strukturiertes Training zu Cybersecurity-Risiken absolviert. Art. 20(2) NIS2 wird verletzt. Frage der Nationalität: der deutsche Staat eröffnet Verfahren.
Befund 3 (AI Act): Das Unternehmen nutzt ein KI-basiertes Bonitäts-Scoring-System (High-Risk nach Art. 26). Die Implementierung hat keinen formalen "Human-Oversight-Prozess" (etwa: Mensch überprüft AI-Entscheidungen bei Grenzfällen). Nicht konforme Dokumentation.
Ergebnis: Drei parallele Verstöße aus einer fehlenden Board-Governance. Nicht drei separate technische Fehler, sondern ein systematisches Governanceproblem: Der VR wusste nicht, dass er unter drei Regimen operierte.
Statt drei separate Compliance-Regimes zu pflegen, sollte der VR eine integrierte Governance-Architektur etablieren, die alle drei Regime unter einem Dach abdeckt:
NIS2 Art. 20(2) expliziert es: Das Board muss trainiert sein. Dasselbe sollte für DORA und AI Act gelten. Empfehlung:
Drei Regimes = drei potenzielle Audits. Die Dokumentation muss wechselseitig sein: