Cyberrisiken im Verwaltungsrat: Haftung und Pflichten in der Schweiz

Der Verwaltungsrat trägt die Oberverantwortung für das Risikomanagement, auch für Cyberrisiken. Bei einem Vorfall kann er persönlich haftbar gemacht werden. Was VR-Mitglieder wissen und tun müssen.

Cyberrisiken sind in der Schweiz Verwaltungsratssache im rechtlichen Sinn: Das Risikomanagement gehört zur unübertragbaren Oberleitung nach Art. 716a OR, und bei Pflichtverletzung haften VR-Mitglieder nach Art. 754 OR persönlich und solidarisch. Legt ein Ransomware-Angriff das Unternehmen für zwei Wochen lahm und kostet der Betriebsunterbruch CHF 800'000, stellt sich in der nächsten VR-Sitzung unweigerlich die Frage: Gab es ein dokumentiertes Risikomanagementsystem, wurden angemessene Schutzmassnahmen beschlossen, und lässt sich beides belegen? Wenn nicht, steht die persönliche Haftung im Raum.

Rechtliche Grundlagen der VR-Haftung

Art. 716a OR weist dem Verwaltungsrat die unübertragbare und unentziehbare Aufgabe der Oberleitung und der Ausgestaltung des Rechnungswesens, der Finanzkontrolle und der Finanzplanung zu. Die bundesgerichtliche Rechtsprechung interpretiert dies zunehmend so, dass das Risikomanagement, einschliesslich Cyberrisiken, Teil dieser Oberleitung ist. Art. 754 OR regelt die Haftung: VR-Mitglieder haften für Schäden, die sie durch Verletzung ihrer Pflichten verursachen. Die Haftung ist persönlich, solidarisch und kann auch bei Delegation bestehen bleiben, wenn die Aufsicht ungenügend war.

Was der VR konkret tun muss

Drei Massnahmen sind das Minimum. Erstens: Lassen Sie sich mindestens halbjährlich über die Cyberrisiko-Lage rapportieren, dokumentiert im VR-Protokoll. Der Bericht sollte die aktuelle Bedrohungslage, den Stand der Schutzmassnahmen, offene Risiken und das Restrisiko umfassen. Zweitens: Beschliessen Sie ein Informationssicherheitsbudget und stellen Sie sicher, dass es im Verhältnis zum Risiko steht. Als Faustregel gelten 5 bis 10% des IT-Budgets für Security. Drittens: Stellen Sie sicher, dass ein Incident-Response-Plan existiert und jährlich getestet wird.

Delegation und Aufsichtspflicht

Der VR kann die operative Umsetzung der Cybersicherheit an die Geschäftsleitung oder einen CISO delegieren. Die Aufsichtspflicht bleibt aber beim VR. Konkret bedeutet das: Der VR muss die Qualifikation der beauftragten Person prüfen, klare Aufträge erteilen, regelmässig kontrollieren und bei erkannten Mängeln handeln. Auch die FINMA verschärft seit 2025 die Anforderungen an die Cyber-Governance: Die Aufsichtsmitteilung 05/2025 verlangt von regulierten Instituten dokumentierte Störungstoleranzen und Stresstests. Diese Standards strahlen als Best Practice auch auf nicht-regulierte Unternehmen aus.

Persönliche Absicherung für VR-Mitglieder

Eine D&O-Versicherung (Directors and Officers) deckt die persönliche Haftung ab, ersetzt aber nicht die Sorgfaltspflicht. Im Schadensfall prüft der Versicherer, ob der VR seine Pflichten erfüllt hat. Dokumentierte Beschlüsse, regelmässige Risikoberichte und nachweisbare Massnahmen sind die beste Absicherung. MilesGuard erstellt für Verwaltungsräte eine Cyber-Governance-Dokumentation: Risikobeurteilung, Massnahmenübersicht, Berichtsvorlagen für VR-Sitzungen und ein jährliches Cyber-Briefing. Damit erfüllen Sie Ihre Sorgfaltspflicht nachweisbar.