Cybersicherheit im Autohaus: Rechtliche Vorgaben für Betriebe

Kurzfassung 1. Die NIS2-Richtlinie wirkt über Lieferketten und Vertragsanforderungen zunehmend auch auf Vertragswerkstätten und Handelspartner der Autobranche. Sie verankert die Verantwortung der Geschäftsleitung für die Umsetzung und Überwachung der Sicherheit. 2. Die DSGVO gilt für praktisch jedes Autohaus, das Kunden-, Fahrzeug- oder Mitarbeiterdaten verarbeitet. 3. Der wichtige erste Schritt ist die Klärung von Verantwortlichkeiten. 4. Ebenso wichtig sind regelmäßige Schulungen für Mitarbeiter. Der Verkauf läuft, in der Werkstatt reihen sich die Termine, im Hintergrund laufen Terminplanung, Auftragsverwaltung und Kundendaten wie gewohnt durch das Dealer-Management-System. Und dann, von einem Moment auf den anderen, geht nichts mehr: Der Zugriff auf Kundendaten ist gesperrt, die Werkstatt-IT reagiert nicht, Termine lassen sich nicht mehr abrufen. Was wie ein technisches Problem beginnt, wird für viele Geschäftsführer schnell zu einer Frage, die weit über die IT-Abteilung hinausreicht. Denn Cybersicherheit ist längst nicht mehr nur eine Frage der Technik. Sie ist eine Frage von Verantwortung, Organisation und rechtlicher Absicherung. Und genau an diesem Punkt setzen die aktuellen gesetzlichen Vorgaben an. Wer als Geschäftsführer weiß, welche Anforderungen gelten und was sie im Betrieb bedeuten, schützt nicht nur Daten, sondern auch die Handlungsfähigkeit des gesamten Unternehmens. Konkrete Pflichten Was früher wie eine abstrakte Regulierung für Großunternehmen klang, wird zunehmend auch für kleinere und mittlere Betriebe im Autohandel konkret. Über Lieferketten, Versicherungsanforderungen oder Herstellervorgaben wirken viele Regelwerke inzwischen indirekt bis in den einzelnen Betrieb hinein. Die Vorgaben bleiben dabei nicht auf dem Papier: Sie lösen konkrete Pflichten für die Geschäftsleitung und die Organisation aus - von der Dokumentation bis zur Meldung von Vorfällen. Wer sich darauf nicht vorbereitet, riskiert im Ernstfall nicht nur einen Betriebsausfall, sondern auch Haftungsfragen und einen spürbaren Vertrauensverlust bei Kunden und Partnern. Welche Vorgaben zählen Im Kern geht es um wenige, aber wichtige Regelwerke - allen voran die NIS2-Richtlinie und die Datenschutz-Grundverordnung (DSGVO). Hinzu kommen der Cyber Resilience Act (CRA), der Hersteller und Anbieter vernetzter Produkte in die Pflicht nimmt, sowie branchennahe Sicherheitsanforderungen, etwa von Herstellern, Importeuren oder Versicherern. Besonders im Blick behalten sollten Geschäftsführer die NIS2-Richtlinie. Sie richtet sich zunächst an Betreiber kritischer und wichtiger Einrichtungen, wirkt über Lieferketten und Vertragsanforderungen aber zunehmend auch auf kleinere Zulieferer, Vertragswerkstätten und Handelspartner der Automobilbranche. Betroffene beziehungsweise mittelbar einbezogene Betriebe müssen unter anderem ein Risikomanagement für ihre IT-Systeme einführen, Sicherheitsvorfälle innerhalb enger Fristen melden (eine erste Meldung binnen 24 Stunden, eine Folgemeldung binnen 72 Stunden) und die Umsetzung der Maßnahmen lückenlos dokumentieren. Entscheidend für Geschäftsführer: NIS2 verankert die Verantwortung der Geschäftsleitung für die Umsetzung und Überwachung der Sicherheitsmaßnahmen. Bei Pflichtverstößen können auch persönliche Haftungsrisiken für Geschäftsführer entstehen, sofern das Unternehmen selbst unter die Regelungen fällt. Ähnlich konkret werden die Anforderungen aus der DSGVO, die für praktisch jedes Autohaus gilt, das Kunden-, Fahrzeug- oder Mitarbeiterdaten verarbeitet. Sind bei einem Sicherheitsvorfall personenbezogene Daten betroffen, muss dieser in der Regel binnen 72 Stunden bei der zuständigen Aufsichtsbehörde gemeldet werden; je nach Risikolage sind zusätzlich die betroffenen Kunden zu informieren. Verstöße können mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden. Für Geschäftsführer bedeutet das: Eine fehlende oder lückenhafte Dokumentation von Schutzmaßnahmen, Verarbeitungsprozessen und Meldewegen wird im Ernstfall unabhängig vom eigentlichen IT-Vorfall schnell zum eigenständigen Haftungsrisiko. Geschäftsführer müssen diese Regelwerke nicht im juristischen Detail auswendig kennen. Entscheidend ist vielmehr, ihre betrieblichen Konsequenzen zu verstehen: Welche Pflichten betreffen die Organisation, welche die Dokumentation, welche die Risikobewertung? Wer muss im Ernstfall informiert werden, und welche technischen Mindestmaßnahmen werden erwartet? Genau diese Fragen entscheiden darüber, ob ein Betrieb im Vorfall handlungsfähig bleibt oder überrascht wird. Was Geschäftsführer tun müssen Der erste Schritt ist die Klärung von Verantwortlichkeiten. Wer entscheidet im Sicherheitsvorfall, wer informiert Kunden und Behörden, wer dokumentiert die getroffenen Maßnahmen? Diese Fragen sollten nicht erst im Ernstfall beantwortet werden, sondern fester Bestandteil eines Notfall- und Krisenmanagements sein. Denn ein IT-Ausfall trifft im Autohaus selten nur ein System: Terminplanung, Ersatzteildisposition und Kundenkommunikation hängen meist zusammen. Ebenso wichtig sind regelmäßige Schulungen. Mitarbeitende, die Phishing-Mails erkennen oder wissen, wie sie im Verdachtsfall reagieren, sind ein wirksamer Teil der Absicherung und aus rechtlicher Sicht Ausdruck der Sorgfaltspflicht, die die Geschäftsleitung zu erfüllen hat. So wird aus Pflicht Praxis Vorgaben entfalten erst dann Wirkung, wenn sie in konkrete Prozesse übersetzt werden - nicht, wenn sie nur in einem Ordner dokumentiert sind. Dazu gehört, Maßnahmen, Zuständigkeiten und technische Schutzmechanismen regelmäßig zu überprüfen und anzupassen, statt sie einmal festzulegen und danach liegenzulassen. Wichtig ist außerdem eine feste Zusammenarbeit mit IT-Dienstleistern und Datenschutzverantwortlichen, die die betrieblichen Abläufe kennen und im Ernstfall schnell reagieren können. Wer zusätzlich externe Unterstützungsangebote wie die "CYBERsicher Notfallhilfe" kennt, hat im Zweifel einen Ansprechpartner, der bei der Einschätzung eines Vorfalls und bei der Suche nach geeigneten Dienstleistern unterstützt. Führungsaufgabe statt Formalismus Rechtliche Vorgaben sind kein Formalismus, den es abzuhaken gilt. Richtig verstanden, sind sie ein Werkzeug, um das eigene Autohaus gegenüber Angriffen genauso wie gegenüber Ausfällen und Haftungsrisiken widerstandsfähiger zu machen. Geschäftsführer, die Cybersicherheit als Führungsaufgabe verstehen und nicht als reines IT-Thema abtun, verschaffen ihrem Betrieb einen entscheidenden Vorsprung. Denn am Ende gilt: Wer vorbereitet ist, bleibt auch im Ernstfall handlungsfähig. Playlist IT-Security Auf AUTOHAUS next finden Sie weiterführende Videokurse, Artikel und Umfragen zum Thema Cybersicherheit in Zusammenarbeit mit der Transferstelle Cybersicherheit im Mittelstand: next.autohaus.de/playlist/107742 Der Autor Marc Dönges ist Projektleiter der Transferstelle Cybersicherheit im Mittelstand. Die Transferstelle Cybersicherheit ist ein gefördertes Projekt des Bundesministeriums für Wirtschaft und Energie und richtet sich mit seinen kostenfreien Angeboten an kleine und mittlere Unternehmen, Handwerksbetriebe und Start-ups.