“Resilienzmaßnahmen” können einen Vorfall bedeuten
Resilienz bedeutet insbesondere, (Sicherheits-)Vorfälle zu verhindern, sich vor ihnen zu schützen und sachgerecht zu reagieren, um vor allem die Folgen so gering wie möglich zu halten. Ein Vorfall im Sinne des § 2 Nr. 9 KRITISDachG ist ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte und sich damit nachteilig auswirken kann.
Eine zwangsläufig Falschinformationen umfassende Rechtsdienstleistung unter Verstoß gegen das Rechtsdienstleistungsgesetz (RDG) kann sich nachteilig auswirken und damit vorfallsrelevant sein, aber auch eine Handlung, die gefährliche Aus- und Einwirkungen technischer Systeme bedeutet. Wenn eine Beeinträchtigung denkbar ist, besteht Handlungsbedarf.
Dieser besteht für alle Organisationen, nicht nur solche, an die sich das KRITISDachG richtet. Das Etikett “Resilienz” entbindet nicht von kritischer Prüfung.
Im Namen der Resilienz abgeschlossene Verträge überprüfen
Ein Hype dient vor allem einem Zweck: dem Absatz von Produkten und Dienstleistungen. Oft handelt es sich dabei um solche, die ein Ziel verfehlen oder gar schaden können.
Eine anwaltliche Rechtsprüfung in Verbindung mit einem fachkundigen Risk Assessment kann aufzeigen, ob ein Nachteil bzw. Vorfall vorliegt. Eine anwaltliche außergerichtliche Rechtsverfolgung kann bereits helfen, diesen zu beseitigen oder dessen Entstehung zu verhindern. Unter Umständen hat der Gegner die Rechtsverfolgungskosten zu ersetzen.
Anwaltliche Prüfansätze zur Beseitigung von Nachteilen und zur Sicherung von Resilienz sind insbesondere:
Nichtigkeit des zugrundeliegenden Vertrags
Ein Vertrag, der gegen ein gesetzliches Verbot verstößt, ist grundsätzlich nichtig.
Verträge über unerlaubte Rechtsdienstleistungen, vor allem Rechtsberatung zum KRITISDachG ohne die erforderliche Erlaubnis, sind nichtig. Beratenden ohne Erlaubnis fehlt in diesem Fall die Rechtsgrundlage, eine Vergütung zu fordern. Betroffene sind entsprechend nicht verpflichtet, eine Vergütung zu zahlen. Eine gezahlte Vergütung kann zurückgefordert werden.
(Misch-)Verträge über Produkte und Dienstleistungen, die einen Verstoß gegen ein gesetzliches Verbot bedeuten, können ganz oder teilweise nichtig sein. Auch in diesen Fällen hat das Auswirkungen auf die Rechte und Pflichten der Beteiligten. Insbesondere fehlt die Rechtsgrundlage für eine (Teil-)Bezahlung.
Kam es etwa zu einem Irrtum oder wurde gar getäuscht, kommt eine Anfechtung der abgegebenen Vertragserklärung in Betracht. Diese führt zu entsprechender Vertragsnichtigkeit von Anfang an. Damit fehlt auch hier die Rechtsgrundlage für eine Bezahlung.
Eine Anfechtung wegen arglistiger Täuschung muss binnen Jahresfrist erfolgen. Generell sollte schnell gehandelt werden, um z.B. eine Verwirkung auszuschließen.
Vertragsbeendigung und -rückabwicklung
Ein Vertrag, der nicht nichtig ist, kann aus anderen Gründen aus der Welt geschafft werden.
Im Falle von mangelhaften oder unbrauchbaren Leistungen kommt der Rücktritt in Betracht. Je nach Vertragsart ist zudem eine Kündigung möglich, etwa wegen Pflichtverletzung, Vertrauensverlust oder sonstig im Rahmen gesetzlicher Kündigungsrechte.
Die Fristen zur Geltendmachung solcher Rechte sind unterschiedlich kurz, betragen gar nur wenige Wochen. Eine Kündigung eines Dauerschuldverhältnisses aus wichtigem Grund muss innerhalb einer sich nach dem Einzelfall bestimmenden “angemessenen Frist” nach Kenntnis vom Kündigungsgrund erfolgen.
Schadensersatzansprüche
Vorstehende Rechte von KRITIS-Betreibern und anderen Organisationen sind nicht abschließend. Darüber hinaus können insbesondere Schadensersatzansprüche bestehen. Ein ersatzfähiger Schaden kann in vielerlei Gestalt vorliegen.
Bei Täuschungshandlungen, Pflichtverletzungen und unerlaubten Handlungen ergibt sich der Schadensersatzanspruch bereits aus dem Gesetz. Ein Vertrag kann weitere Anspruchsgrundlage sein. Auch die Kosten der außergerichtlichen Rechtsverfolgung können schadensersatzweise verlangt werden.
Resilienz erfordert vor allem Sorgfalt
Die Sorgfaltspflicht von Geschäftsleitenden gebietet, Nachteile zulasten der Organisation zu verhindern bzw. zu beseitigen. Das schließt Schäden infolge von Zahlungen ohne Rechtsgrundlage und die Nichtgeltendmachung von Rechten generell ein.
“Resilienz”-Leistungen vermeintlicher Sicherheitsexperten können nachteilig sein und Vorfälle im Sinne des KRITISDachG bedeuten. Das Gesetz ist eng mit der übrigen Rechtsordnung verzahnt. Der konkrete Vorfallscharakter kann sich daher aus anderen Gesetzen ergeben. Die Pflicht zu Resilienzmaßnahmen zum Schutz vor solchen Vorfällen und zu deren Bewältigung ergibt sich bereits aus der vorgenannten Sorgfaltspflicht. Sie folgt nicht erst aus dem KRITISDachG und gilt mithin für alle Organisationen.
Zu den Resilienzmaßnahmen im Sinne des KRITISDachG gehören daher nicht zuletzt auch die Rechtsberatung und Rechtsverfolgung. Sie ermöglichen allen Organisationen, Nachteile zu verhindern bzw. zu beseitigen.
Sprechen Sie Rechtsanwältin Claudia Otto bei Prüfungs- und Handlungsbedarf gerne an.