IT-Sicherheit in NRW - Horst Görtz Institut für IT-Sicherheit - Ruhr ...

2.3 IT-Sicherheit als Pflichtfach der Unternehmensführung gemäß KonTraG
Eine Reihe spektakulärer Unternehmenskrisen 17 und prominenter Betrugsfälle haben
zu massiver Kritik am Risikomanagement deutscher Unternehmen geführt. Nach
Auffassung des Gesetzgebers wurden diese Krisen insbesondere durch fehlendes
Risikobewusstsein und nicht ausreichende Kontroll- und Informationsmechanismen
in den Unternehmen herbeigeführt. 18 Der Gesetzgeber reagierte auf diese
Entwicklung mit dem Gesetz zur Kontrolle und Transparenz im
Unternehmensbereich, das am 6. März 1998 vom Deutschen Bundestag
verabschiedet wurde und am 1. Mai 1998 in Kraft trat. 19
Das KonTraG ist kein selbständiges Gesetz, sondern ein Artikelgesetz, das
verschiedene Gesetze ändert, ergänzt und präzisiert. Das KonTraG enthält nicht nur
Festlegungen für alle börsennotierten Aktiengesellschaften, sondern auch für alle
Kapitalgesellschaften bzw. Unternehmen, die den Vorschriften für
Kapitalgesellschaften unterliegen, und Gesellschaften, die einen Aufsichtsrat haben.
Obwohl die Verpflichtung des Vorstandes zur Einrichtung eines
Überwachungssystems zur Risikofrüherkennung nur im Aktiengesetz geregelt ist, hat
das KonTraG auch Ausstrahlungswirkung auf den Pflichtenrahmen der
Geschäftsleitung anderer Gesellschaftsformen, wie der entsprechenden
Regierungsbegründung entnommen werden kann. Demnach soll für GmbHs je nach
Größe, Komplexität und Struktur auch ohne entsprechende Neuregelung im GmbH-
Gesetz nichts anderes gelten. 20
Konkret werden die Vorstände durch § 91 Abs. 2 AktG verpflichtet, „geeignete
Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit
den Fortbestand der Gesellschaft gefährdende Entwicklungen frühzeitig erkannt
werden“. 21 Des Weiteren fordert der Gesetzgeber im Rahmen des KonTraG die
Einführung eines Risikomanagementsystems, das sich im Wesentlichen aus drei
Subsystemen zusammensetzt: einem Früherkennungssystem, einem
Controllingsystem und einem internen Überwachungssystem, wobei weder der
Gesetzestext noch die Gesetzesbegründung Auskunft über die konkrete
17 Spektakuläre Unternehmenszusammenbrüche waren bspw. die Konkurse der Balsam AG,
COOP AG, Südmilch AG, Metallgesellschaft und der Schneider-Gruppe, vgl. Picot (2001), S. 5.
18 Vgl. Kajüter (2004), S. 12ff.; Schöne (2003), S. 91.
19 Vgl. BGBI. I (1998), S. 786ff.
20 Vgl. BT-Drs. 13/9712, S. 15; von Hohnhorst (2002), S. 91ff..
21 Vgl. § 91 Abs. 2 AktG
7