Cybersicherheitsrecht
und Reaktion auf Cybervorfälle

Rechtliche Cyberrisiko-Karte

Geschäftsmodell, kritische Dienste, Datenarten, IT-Ressourcen, Anbieter und anwendbare Regelungen der Organisation werden gemeinsam geprüft. Bestehende Kontrollen werden nicht nur am Vorhandensein von Dokumenten, sondern an der tatsächlichen Umsetzung und Verantwortungsverteilung gemessen; für Schwachstellen mit hoher Auswirkung wird eine Prioritäts- und Verantwortlichkeitsmatrix erstellt.

Modell der Cyber-Governance im Unternehmen

Die Aufgabengrenzen von Vorstand, Geschäftsleitung, Recht, Informationssicherheit, IT, Risikomanagement, interner Revision, Personalwesen und Kommunikation werden schriftlich festgelegt. Entscheidungs-, Berichts- und Eskalationswege werden an die bestehende Leitungsstruktur angepasst.

Aufsicht durch Vorstand und Geschäftsleitung

Die Behandlung von Cyberrisiken auf der Management-Agenda, ein regelmäßiger Kennzahlensatz, eine Schwelle für kritische Vorfälle, die Dokumentation von Investitionsentscheidungen und die Nachverfolgung von Korrekturmaßnahmen werden strukturiert. Mit Blick auf das Türk Ticaret Kanunu (Türkisches Handelsgesetzbuch), sektorale Regelungen und die interne Zuständigkeitsordnung wird die Aufsichtspflicht geprüft.

Richtlinien- und Verfahrensarchitektur für Cybersicherheit

Zwischen Grundsatzrichtlinie, akzeptabler Nutzung, Zugriffsregeln, Protokollverwaltung, Vorfallbehandlung, Datensicherung, Anbietersicherheit, Schwachstellenmanagement und Dokumenten zur Betriebskontinuität wird eine Hierarchie hergestellt. Es wird sichergestellt, dass die Dokumente untereinander und mit der tatsächlichen technischen Umsetzung nicht im Widerspruch stehen.

Informationssicherheit, Vertraulichkeit und Rollenverteilung

Zwischen dem Informationssicherheitsbeauftragten, dem technischen Betrieb, den Datenschutzverantwortlichen, Recht und interner Revision werden sich überschneidende oder unbesetzte Aufgaben ermittelt. Die Rollenmatrix, die Stellenbeschreibung und der Plan zur Vorfallbehandlung verwenden dieselbe Bezeichnung.

Rechtsgrundlage: Gesetz Nr. 7545 · KVKK-Datensicherheit

Analyse von Anwendungsbereich und Pflichten nach dem Gesetz Nr. 7545

Die Stellung der Organisation im Gesetz wird anhand von Kriterien wie Dienstleistungserbringung, Datenverarbeitung, Verbindung zu kritischer Infrastruktur, Tätigkeit im Bereich Cybersicherheit und Produktlieferung bestimmt. Informationspflichten, Schutzmaßnahmen, Vorfallmeldungen, Aufsicht, Zertifizierung und Übergangsregelungen werden zusammen mit den aktuellen Verordnungen geprüft.

Rechtliche Strukturierung der Prozesse bei USOM und SOME

Die institutionelle oder sektorale SOME-Pflicht, Ansprechpersonen, Meldeverfahren und interne Zuständigkeitswege werden geprüft. Es wird klar geregelt, dass das technische Team und die Rechtsabteilung bei den Inhalten einer Meldung unterschiedliche Verantwortung tragen. Da die über das Nationale Zentrum für Reaktion auf Cybervorfälle (USOM) eingehenden Hinweise und Sicherheitsinhalte an das Präsidium für Cybersicherheit (Siber Güvenlik Başkanlığı) übergehen, werden aktueller Adressat und Kanal bestätigt.

Kritische Infrastruktur und Pflichten für kritische Dienste

Als kritisch eingestufte Dienste, Vermögenswerte und Lieferantenabhängigkeiten werden ermittelt. Hinsichtlich Kontinuität, Tests, Prüfung, Produktbeschaffung, Vorfallberichterstattung und Zugriffsrechten wird ein Compliance-Plan auf Grundlage der besonderen Regelungen erstellt.

Analyse sektoraler Cybersicherheitsvorschriften

Die Bestimmungen zu Informationssystemen aus den Bereichen elektronische Kommunikation, Bankwesen, Zahlungs- und E-Geld-Dienste, Kapitalmarkt, Energie, Gesundheit, Versicherung und anderen regulierten Tätigkeiten werden in einer gesonderten Pflichtentabelle erfasst. Ein allgemeiner Cybersicherheitsplan kann die Sonderregel einer Branche nicht unsichtbar machen.

Rechtsgrundlage: Gesetz Nr. 7545 · Zuständigkeitsänderungen 2026 · Aktueller Meldekanal · Bankaufsicht · Zahlungsdienste

Rechtliche Prüfung des Plans zur Reaktion auf Cybervorfälle

Erfassung des Vorfalls, Klassifizierung, technische Eindämmung, Entscheidungsbefugnis, Meldung, Kommunikation, Protokollführung und Abschlussphasen werden geprüft. Der Plan wird so aufgebaut, dass er auch Szenarien an Wochenenden und nachts, durch Lieferanten verursachte Vorfälle und den Fall abdeckt, dass Verantwortliche nicht erreichbar sind.

Klassifizierung von Vorfällen und Matrix der Schweregrade

Verdächtige Aktivitäten, bestätigte Vorfälle, Verletzungen personenbezogener Daten und kritische Dienstunterbrechungen werden mit getrennten Schwellen definiert. Anhand von Kriterien wie Vertraulichkeit, Integrität, Verfügbarkeit, Anzahl der Betroffenen, Art der Daten, Ausbreitung und Reputationsauswirkung wird eine wiederholbare Entscheidungsstruktur geschaffen.

Rechtliche Unterstützung des Krisenstabs bei Cybervorfällen

Während eines aktiven Vorfalls werden der rechtliche Entscheidungsablauf, das Sitzungsprotokoll, der Meldekalender, die Vertragsprüfung und die Berichterstattung an die Geschäftsleitung in einer einzigen Akte geführt. Eine rechtliche Einschätzung ersetzt keine technische Feststellung; Entscheidungen stützen sich auf verifizierte technische Daten.

Rechtliche Ersteinschätzung in der frühen Phase eines Vorfalls

Mit der Auftragsbestätigung und der Bestätigung der Erreichbarkeit werden Vorfallverantwortliche, entscheidungsbefugte Person, technisches Team und sicherer Kommunikationskanal festgelegt. Sofortmaßnahmen, Sicherung von Aufzeichnungen, Meldefristen, Hinzuziehung externer Dienstleister und erste Notiz für die Geschäftsleitung werden in derselben Kontrollliste verfolgt. Die Planung für die ersten 24 Stunden bedeutet keine ständige Bereitschaft der Kanzlei und keine Zusage eines Eingreifens zu einer bestimmten Uhrzeit.

Rechtsgrundlage: Gesetz Nr. 7545 · KVKK-Verletzungsmeldung

Meldungs-, Berichts- und Kommunikationsmatrix

Für das Präsidium für Cybersicherheit, die zuständige Branchenbehörde, die Datenschutzbehörde, Justizbehörden, Versicherer, Vertragspartner und betroffene Personen werden getrennte Bewertungsspalten angelegt. Frist, Anfangszeitpunkt, verantwortliche Person, Genehmigungsstelle und zu verwendender Kanal werden dokumentiert.

KVKK und Management von Verletzungen personenbezogener Daten

Die Auswirkung des Vorfalls auf personenbezogene Daten sowie die Rollen von Verantwortlichem und Auftragsverarbeiter und die Voraussetzungen der Meldung an die Behörde und an betroffene Personen werden getrennt bewertet. Der Zeitpunkt der Kenntniserlangung wird dokumentiert; die Meldefrist wird nicht durch Warten auf einen endgültigen forensischen Bericht verschoben. Die Pflicht des Auftragsverarbeiters, den Verantwortlichen unverzüglich zu informieren, wird gesondert überwacht.

Rechtliche Prüfung der technischen und organisatorischen Maßnahmen zur Datensicherheit

Die Zusammenhänge mit den gesetzlichen Vorgaben werden geprüft für Zugriffskontrolle, Protokollüberwachung, Überprüfung der Berechtigungen, Datensicherung, Verschlüsselung, Schulung des Personals, Prüfung von Anbietern und Aufbewahrungspraktiken. Die technische Eignungsprüfung wird von den zuständigen technischen Teams durchgeführt; die Kanzlei steuert die Pflicht-, Verantwortungs- und Dokumentationsaspekte.

Erstellung behördlicher Meldungen

Es wird geprüft, ob eine Meldepflicht besteht, wann die Frist beginnt, welcher Mindestinhalt erforderlich ist und ob eine stufenweise Information möglich ist. Bei der ersten Meldung werden nicht verifizierte endgültige Ergebnisse vermieden; für Folgemeldungen und den Abschlussbericht werden Verantwortliche und Zeitplan festgelegt.

Kommunikation mit betroffenen Personen, Kunden und Vertragspartnern

Rechtsgrundlage, Zielgruppe, Inhalt und Zeitpunkt der Kommunikation richten sich nach dem Risiko des Vorfalls. Die Erklärung enthält die Informationen, die betroffene Personen zu ihrem Schutz benötigen, legt aber Ermittlungen, Systemsicherheit und Geschäftsgeheimnisse nicht unnötig offen. Die Meldung an die Datenschutzbehörde, die Benachrichtigung der von der Verletzung betroffenen Personen und die vertragliche Kundenmeldung werden als getrennte Vorgänge erfasst.

Rechtsgrundlage: KVKK-Verletzungsmeldung · Information betroffener Personen · KVKK-Datensicherheit

Sicherung digitaler Aufzeichnungen und Untersuchungsanweisung

Es wird festgelegt, welches Team Protokolle, Festplattenabbilder, E-Mails, Authentifizierungsprotokolle, Alarme, Tickets und Kommunikationsaufzeichnungen wie sichert. Eine schriftliche Anweisung legt fest, dass die Originalquelle unverändert bleibt, Zugriffe protokolliert werden und technische Prüfkopien getrennt gehalten werden.

Rechtliche Koordination der IT-Forensik

Umfang, Befugnis, Vertraulichkeit, Ausgabeform und Übergabeverfahren des fachlich kompetenten technischen Dienstleisters werden vertraglich festgelegt. Die Untersuchung wird in Bezug auf personenbezogene Daten, Privatsphäre von Beschäftigten, Geschäftsgeheimnisse und mögliche Auswirkungen auf Ermittlungen rechtlich gesteuert.

Interne Untersuchung eines Cybervorfalls

Bei der Untersuchung von Ursache, Kontrolllücke, Pflichtversäumnis, Befugnismissbrauch und Auswirkungen durch Lieferanten werden faires Verfahren, Vertraulichkeit und Zweckbindung gewahrt. Befragungen, Protokolle, technische Befunde und Entscheidungen der Geschäftsleitung werden als getrennte Aufzeichnungsarten geführt.

Insider-Bedrohungen und durch Beschäftigte verursachte Vorfälle

Überschreitung von Befugnissen, Kopieren von Daten, Weitergabe von Konten, Nutzung privater Geräte oder behauptete vorsätzliche Schädigung werden innerhalb der Grenzen von Arbeitsrecht, personenbezogenen Daten und Strafrecht geprüft. Der Untersuchungsumfang bleibt verhältnismäßig, und eine Disziplinarentscheidung stützt sich auf verifizierte Aufzeichnungen.

Rechtsgrundlage: Gesetz Nr. 7545 · KVKK-Datensicherheit

Koordination mit Staatsanwaltschaft und Polizei

Anzeigen, Vorlage von Aufzeichnungen, Vertretung, Beschlagnahme oder Ermittlungsanträge bei Vorfällen mit Tatverdacht werden zusammen mit dem Strafrechtsteam gesteuert. Ein Strafverfahren hält Meldungen an Behörden und interne Verbesserungsmaßnahmen nicht von selbst an.

Ransomware und digitale Erpressung

Verschlüsselung, Drohung mit Datenveröffentlichung, Zahlungsforderung und Druck zur öffentlichen Bekanntgabe werden gemeinsam bewertet. Sanktionsrecht, Erlöse aus Straftaten, Versicherung, Zahlung, personenbezogene Daten, Kontinuität des Dienstes und Sicherung von Aufzeichnungen werden berücksichtigt, bevor allein aufgrund der Forderung eine Entscheidung über Zahlung oder Kommunikation getroffen wird.

Kompromittierung von Unternehmens-E-Mails und Zahlungsbetrug

Bei gefälschten Anweisungen, Kontoänderungen, Nachahmung von Führungskräften und unbefugten Überweisungen werden Bank, Lieferant, Versicherer, technisches Team und Ermittlungsbehörden parallel eingeplant. Vertrag, Berechtigungsverfahren und Verhalten der Beschäftigten werden nach dem Vorfall gesondert geprüft.

Unbefugter Zugriff und Kontoübernahme

Die betroffenen Konten, privilegierten Berechtigungen, Sitzungen, abgerufenen Daten und durchgeführten Vorgänge werden ermittelt. Mit der Wiederherstellung der Kontosicherheit wird eine rechtliche Einordnung für Meldungen an Personen, Institutionen und Vertragspartner vorgenommen.

Datenleck und Veröffentlichung im Internet

Zugehörigkeit, Umfang und Aktualität veröffentlichter oder zum Verkauf angebotener Datensätze werden technisch überprüft. Entfernung von Inhalten, Zugriffsbeschränkung, Meldung an Plattformen, personenbezogene Daten, Geschäftsgeheimnisse und Ermittlungsverfahren werden gemeinsam betrachtet. Die Optionen für Entfernung oder Zugriffsbeschränkung richten sich nach Art des Inhalts, zuständiger Behörde und aktuellem Antragsweg.

DDoS und Verfügbarkeit von Diensten

Bei Überlastungsangriffen oder langen Unterbrechungen werden unabhängig vom Datenleck Service-Level-Zusagen, Information der Kunden, Geschäftsverluste, Meldung an die Branche und Schadensersatzansprüche geprüft. Auswirkung, Dauer und ergriffene Maßnahmen der Parteien werden dokumentiert; es wird nicht angenommen, dass eine Unterbrechung automatisch höhere Gewalt darstellt.

Rechtsgrundlage: Gesetz Nr. 7545 · Zuständigkeitsänderungen 2026

Drittanbieter- und Lieferkettenrisiko

Risiken aus Software-Herstellern, Wartungsunternehmen, Callcentern, Buchhaltungsdienstleistern, Zahlungspartnern oder sonstigen Lieferanten werden kartiert. Prüfung, Vorfallmeldung, Unterauftragnehmer, Datenzugriff, Geschäftskontinuität und Kündigungsregeln werden gemeinsam geregelt.

Prüfung von Cloud, SaaS und Rechenzentren

Geprüft werden das Modell der geteilten Verantwortung, Administratorzugriff, Verfügbarkeit von Protokollen, Datensicherung, Datenstandort, Unterdienstleister, Vorfallmeldung und Exitplan. Ein Standard-Sicherheitsdokument des Dienstleisters beseitigt nicht die eigene Pflicht des Unternehmens. Für Fernzugriff und Prüfung aus dem Ausland werden die Übermittlungsgrundlage, der Zugriffsumfang und die Weitergabe von Aufzeichnungen gesondert bewertet.

Verträge über verwaltete Sicherheits- und Technikdienste

Der Umfang von SOC, Überwachung, Vorfallbehandlung, Penetrationstests, Schwachstellenscans und IT-Forensik wird ausdrücklich festgelegt. Service-Level, Notrufe, Aufzeichnungshoheit, Vertraulichkeit, Befugnisgrenzen, Berichtslieferung und Haftungsregeln werden anhand von Vorfallszenarien geprüft.

Cybersicherheitsklauseln in Handelsverträgen

Mindestkontrollen, Konformitätserklärungen, Meldefrist bei Vorfällen, Zusammenarbeit, Prüfung, Kostenverteilung, Haftungsbegrenzung und Kündigungsrechte werden entsprechend der Verarbeitung geregelt. Ein allgemeiner Satz wie „es werden die erforderlichen Sicherheitsmaßnahmen getroffen“ schafft keine messbare Verteilung der Verantwortung.

Rechtsgrundlage: KVKK-Datensicherheit · KVKK-Übermittlung ins Ausland · Zahlungsdienste

Rechtlicher Rahmen für Geschäftskontinuität und Notfallwiederherstellung

Kritischer Dienst, maximal tolerierbare Unterbrechungsdauer, alternative Arbeitsweise, Zusage gegenüber Kunden und regulatorische Schwellen werden zusammen mit den Verträgen bewertet. Es wird sichergestellt, dass der Plan nicht nur die technische Wiederherstellung, sondern auch die Kontinuität von Entscheidungen und Kommunikation abdeckt.

Cybersicherheitsübung und Planspiel am Tisch

Es werden Vorfallszenarien vorbereitet, an denen Geschäftsleitung, Recht, technisches Team, Kommunikation und Fachbereiche teilnehmen. In der Übung werden Entscheidungsdauer, Inhalt der Meldung, Befugnislücken und Zugriff von Lieferanten gemessen; die Ergebnisse fließen in einen Plan für Korrekturmaßnahmen ein.

Schulung, Sensibilisierung und Information der Geschäftsleitung

Allgemeine Mitarbeiterschulung, Schulung privilegierter Nutzer und Information des Vorstands werden mit unterschiedlichen Inhalten gestaltet. Phishing, Passwörter, tragbare Geräte, Vorfallmeldung, Vertraulichkeit und Pflichten zur Aufbewahrung von Aufzeichnungen werden rollenbezogen erläutert.

Industrielle Systeme, OT und vernetzte Geräte

Bei Produktionslinien, Energieanlagen, Medizinprodukten oder anderen operativen Technologien (OT) sowie dem Internet der Dinge (IoT) wird die Auswirkung eines Cybervorfalls auf die Sicherheit von Menschen und die Kontinuität des Dienstes bewertet. Es wird eine Ordnung für Befugnisse, Fernzugriff, Aufzeichnungen und Verantwortung zwischen Hersteller, Wartungsunternehmen, Betreiber und technischem Team eingerichtet. Entscheidungen über sicheres Anhalten und Wiederinbetriebnahme beruhen auf der Bewertung der zuständigen technischen und betrieblichen Teams.

Rechtsgrundlage: Gesetz Nr. 7545 · Bankaufsicht · Zahlungsdienste

Meldung von Schwachstellen und verantwortungsvolle Offenlegung

Ein sicherer Kanal und ein Befugnisweg werden für Annahme, Prüfung, Beantwortung und Behebung einer von Forschern oder Dritten gemeldeten Schwachstelle eingerichtet. Gutgläubige Meldung und behaupteter unbefugter Zugriff werden anhand konkreter Handlungen und rechtlicher Grenzen unterschieden.

Penetrationstest, Sicherheitsforschung und schriftliche Befugnis

Zu prüfendes System, Konto, Zeitraum, zulässige Methode, Abbruchbedingung und Zustimmung Dritter werden im schriftlichen Umfang festgelegt. Der Schutz der während des Tests abgerufenen Daten, die Lieferung des Berichts und die Offenlegung der Schwachstelle werden geregelt. Das Bestehen eines Forschungs- oder Bug-Bounty-Programms gilt nicht als Erlaubnis für den Zugriff auf Systeme außerhalb des Umfangs.

Rechtsgrundlage: Gesetz Nr. 7545 · KVKK-Datensicherheit

Cybersicherheitsprüfung bei Fusion und Übernahme

Kritische Vermögenswerte, frühere Vorfälle, Schwachstellen, Lieferanten, Versicherung, Meldungen und laufende Korrekturmaßnahmen des Zielunternehmens werden einer rechtlichen Prüfung unterzogen. Es wird sichergestellt, dass Risiken vor und nach dem Abschluss im Vertrag, im Preismechanismus und im Integrationsplan berücksichtigt werden.

Cyber-Erklärungen und Haftungsregelungen

Bei Investitions- und Gesellschaftstransaktionen werden Wissensstand, Zeitraum und Wesentlichkeitsgrenze von Cybersicherheitserklärungen klar formuliert. Für bekannte Vorfälle, laufende Untersuchungen, Auswirkungen durch Dritte und Meldepflichten nach dem Abschluss werden gesonderte Bestimmungen vorbereitet.

Cybersicherheitsbezogene Genehmigungsverfahren für Produkte und Dienste

Es wird geprüft, ob Produkt, Dienstleistung und Tätigkeit einer Zertifizierung, Bescheinigung, Genehmigung oder Ausfuhrgenehmigung unterliegen. Für Übertragung von Anteilen, Fusion, Spaltung und Kontrollwechsel bei Cybersicherheitsunternehmen werden Anzeige- und Genehmigungspflichten gesondert bewertet. Ein Genehmigungs- oder Konformitätsdatum wird nicht allein aus dem ersten Veröffentlichungsdatum des Gesetzes berechnet; die einschlägige Durchführungsregelung und die Übergangsbestimmung werden zum Zeitpunkt der Transaktion geprüft.

Rechtsgrundlage: Gesetz Nr. 7545 · Zuständigkeitsänderungen 2026

Cyberversicherungspolice und Schadensmeldung

Die Police wird auf Vorfallsdefinition, Wartezeit, Ausschlüsse, zugelassene Dienstleister, Erpressung, Betriebsunterbrechung, Datenverletzung und Verteidigungskosten geprüft. Die Meldung an den Versicherer im Vorfall sowie die Beauftragung technischer und rechtlicher Dienstleistungen werden mit den Bedingungen der Police in Einklang gebracht.

Prüfung, Untersuchung und Plan für Korrekturmaßnahmen

Befunde interner Prüfung, unabhängiger technischer Bewertung oder öffentlicher Aufsicht werden in ein gemeinsames Risikoregister aufgenommen. Für jede Feststellung werden Verantwortlicher, Frist, Abnahmekriterium und Abschlussnachweis festgelegt; eine technische Lücke gilt nicht als geschlossen, wenn nur ein Dokument aktualisiert wurde.

Verantwortung nach dem Vorfall, Streitigkeit und kontinuierliche Verbesserung

Optionen aus Vertragsverletzung, Schadensersatz, Versicherung, Haftung von Beschäftigten, Führungskräften, Lieferanten und strafrechtlicher Verantwortung werden anhand der Vorfallakten geprüft. Ursache und gewonnene Erkenntnisse werden in Änderungen an Richtlinien, Verträgen, Schulungen, Budget und technischen Kontrollen übersetzt und in einem Abschlussbericht festgehalten.

Verwaltungssanktionen und gerichtliche Rechtsbehelfe

Prüfungsfeststellung, Auskunftsersuchen, Aufforderung zur Stellungnahme, Geldbuße oder verwaltungsrechtliche Maßnahme im Zusammenhang mit der Tätigkeit werden aktenbezogen geprüft. Zuständigkeit, Begründung, Verhältnismäßigkeit, Zustellung, Rechtsbehelfsweg und Fristen werden verifiziert; danach werden Verteidigung und gegebenenfalls Klagestrategie vorbereitet. Ob die Einlegung eines Rechtsbehelfs die Maßnahme von selbst aussetzt, wird gesondert geprüft.

Rechtsgrundlage: Gesetz Nr. 7545 · Zuständigkeitsänderungen 2026

Koordination grenzüberschreitender Cybervorfälle

Parallele Pflichten, die sich aus Systemen, Datensubjekten, Konzerngesellschaften, Kunden oder Dienstleistern in verschiedenen Ländern ergeben, werden länderbezogen erfasst. Eine ausländische Rechtsauskunft wird über einen im jeweiligen Land zugelassenen Juristen eingeholt; es wird sichergestellt, dass sich die Meldungen nicht widersprechen. Bei EU-Bezug werden die Pflichten aus NIS2, DORA und der produktbezogenen CRA je nach Tätigkeit, Adressat und betroffenem Land gesondert geprüft. Die Erbringung von Leistungen für einen EU-Kunden macht diese Regime nicht automatisch in gleicher Weise anwendbar.

Digitale Produkte und die EU-Cyberresilienzverordnung

Bei digitalen Produkten, die auf dem EU-Markt bereitgestellt werden, werden Rollen von Hersteller und anderen Wirtschaftsakteuren, Ausnahmen, Schwachstellenmanagement und Produktsicherheitsvorfälle nach dem CRA geprüft. Die Anwendung der Meldepflichten ab dem 11. September 2026 und die der grundlegenden Pflichten ab dem 11. Dezember 2027 werden getrennt betrachtet. Umfang von Produkt und Vorfall werden bestätigt; anschließend werden zusammen mit ausländischem Juristen und technischem Team Meldung und Compliance-Plan erstellt.

Rechtsgrundlage: KVKK-Übermittlung ins Ausland · EU NIS2 · EU DORA · EU CRA