Die Unterlagenlage muss zuerst geklärt werden.
Ordnen Sie Datenraum, Nachweise und offene Fragen. Erst danach sollte der Punkt in Kaufpreis, Garantie oder Vollzugsbedingung übersetzt werden.
Due Diligence
Cybersecurity Due Diligence beim Unternehmenskauf: NIS2 und IT-Risiken
Cybersecurity Due Diligence beim Unternehmenskauf: NIS2, Datenpannen, IT-Verträge, Versicherungen und Garantien richtig prüfen.
Ihre Kanzlei
BRANDAUER Rechtsanwälte
Salzburger Kanzlei für Unternehmens-, Gesellschafts- und Transaktionsrecht
Hinter jeder Transaktion steht ein eingespieltes Team aus Rechtsanwälten, Juristen und Spezialisten. Fragen rund um den Unternehmenskauf prüfen wir mit Blick auf Struktur, Vertrag, Steuern und Haftung.
13. Juli 2026 · Mag. Bernhard Brandauer, Rechtsanwalt
Cybersecurity Due Diligence ist beim Unternehmenskauf kein rein technisches Thema. Unklare Sicherheitsvorfälle, fehlende Incident-Dokumentation oder eine offene NIS2-Betroffenheit können Kaufpreis, Garantien und Closing-Plan verschieben. Käufer sollten vor Signing verstehen, welche Systeme geschäftskritisch sind und ob Datenpannen nach Art 33 und 34 DSGVO sauber behandelt wurden. Dieser Beitrag ergänzt unsere Beiträge zur Datenschutz-Due-Diligence und zu IP und IT-Verträgen.
Cyberrisiko einordnen
Ist die IT-Sicherheit transaktionsreif dokumentiert?
Beantworten Sie zwei Fragen zum konkreten Befund.
Sie wissen schon, dass Sie eine Anfrage stellen wollen? Direkt zum Anfrageformular.
Gibt es eine dokumentierte Übersicht zu Systemen, Dienstleistern und Sicherheitsvorfällen?
Der erste Befund entscheidet, ob Dokumentation genügt oder Vertragsmechanik nötig ist.
Alle Pfade im Überblick
Übersicht aller Antworten.
Der Punkt ist vertraglich gut vorbereitet.
Wenn Unterlagen und Vertrag zusammenpassen, kann der Befund in Verhandlung, Signing-Liste und Closing-Plan übernommen werden.
Vor Signing besteht Nachschärfungsbedarf.
Allgemeine Formulierungen reichen nicht aus. Der Vertrag sollte klar sagen, welche Unterlagen gelten, wer haftet und welche Handlung bis Closing erwartet wird.
Welche Unterlagen in den Cyber-Datenraum gehören
Welche Unterlagen in den Cyber-Datenraum gehören
Der Datenraum sollte eine Systemlandkarte, Dienstleisterübersicht, Zugriffsrollen, Backup-Konzept, Incident-Log, Sicherheitsrichtlinien und wesentliche Cloud-Verträge enthalten. Fehlen diese Unterlagen, kann der Käufer weder Betriebsfortführung noch Haftungsrisiken sicher einschätzen.
Bei Targets mit kritischen oder wichtigen Diensten ist zusätzlich zu prüfen, ob NIS2-Pflichten oder branchenspezifische Sicherheitsanforderungen relevant werden. Die Richtlinie (EU) 2022/2555 ist dabei ein Regulierungsrahmen, kein pauschaler Mangel jedes Unternehmens.
Datenpannen, DSGVO und technische Schwachstellen
Datenpannen, DSGVO und technische Schwachstellen
Datenpannen sind nicht nur ein Datenschutzthema. Art 33 und 34 DSGVO betreffen Meldung, Benachrichtigung und Dokumentation. Für den Unternehmenskauf ist wichtig, ob Vorfälle erkannt, bewertet und abgearbeitet wurden.
Offene Schwachstellen, unklare Löschkonzepte oder fehlende Auftragsverarbeiterlisten können sich in Garantien, Freistellungen oder Closing Conditions niederschlagen. Beim Kauf eines digitalen Geschäftsmodells lohnt zusätzlich der Blick auf Software- und SaaS-Unternehmen.
Wie Cyberrisiken im Kaufvertrag landen
Wie Cyberrisiken im Kaufvertrag landen
Der SPA sollte nicht nur allgemein sagen, dass IT-Systeme funktionieren. Sinnvoll sind konkrete Garantien zu bekannten Incidents, wesentlichen Verträgen, Rechten an Sicherheitssoftware, Cyberversicherungen und dem Stand technischer Maßnahmen.
Wenn ein Befund vor Closing bereinigt werden kann, eignet sich eine Vollzugsbedingung oder ein Closing Deliverable. Bleibt das Risiko offen, kommen Kaufpreisanpassung, Holdback oder Freistellung in Betracht. Auch bestehende Versicherungen und Haftpflichtpolizzen sollten geprüft werden.
Prüfraster
Cybersecurity als Deal-Risiko sichtbar machen
Die Übersicht zeigt typische Prüfpunkte und Vertragsfolgen.
| Punkt | Warum wichtig | Vertragsfolge |
|---|---|---|
| Systeme Systeme | Geschäftskritische Anwendungen und Abhängigkeiten erkennen | Datenraum-Anlage oder Closing Deliverable |
| Incidents Incidents | Datenpannen und Ausfälle zeigen Haftungsrisiken | Garantie, Disclosure oder Freistellung |
| Regulierung Regulierung | NIS2 und CRA können Aufwand nach Closing auslösen | Kostenregel oder Vollzugsbedingung |
| Versicherung Versicherung | Deckungslücken beeinflussen Risikotragung | Police prüfen und Fortführung regeln |
Maßgeblich sind Vertrag, Datenraum und wirtschaftliche Bedeutung im Einzelfall.
Praxishinweis: Cybersecurity sollte nicht erst am Ende der Due Diligence abgefragt werden. Wer die IT-Unterlagen früh strukturiert, kann technische Befunde rechtzeitig in Garantien und Closing-Liste übersetzen.
FAQ
Häufige Fragen.
Muss jedes Target wegen NIS2 besonders geprüft werden? +
Nein. Entscheidend sind Branche, Größe und Tätigkeit. Trotzdem kann NIS2 als Prüfrahmen helfen, weil Käufer Sicherheitsorganisation und Incident-Prozesse verstehen müssen.
Welche Rolle spielen frühere Datenpannen beim Unternehmenskauf? +
Frühere Datenpannen können Meldepflichten, Behördenkommunikation, Kundenthemen und Reputationsrisiken auslösen. Sie gehören in Datenraum, Disclosure und Vertragsverhandlung.
Reicht eine technische IT-Prüfung aus? +
Nein. Technische Ergebnisse müssen rechtlich übersetzt werden, etwa in Garantien, Freistellungen, Closing Deliverables oder Kaufpreislogik.
Vertiefung
Weitere Prüffelder für digitale Targets
Datenschutz-Due-Diligence
DSGVO, Kundendaten und Auftragsverarbeitung im Unternehmenskauf.
IP und IT-Verträge
Rechte, Lizenzen und zentrale IT-Verträge prüfen.
Software- und SaaS-Kauf
Quellcode, Cloud und laufende Kundenverträge absichern.
Versicherungen
Polizzen und Deckungslücken in der Transaktion einordnen.
Themen
CybersecurityNIS2Due DiligenceDatenschutzIT-Verträge
Transaktion strukturieren, Vertrag prüfen, Risiken absichern?
Beim Unternehmenskauf entscheiden Struktur, Prüfung und Vertrag. Rufen Sie direkt an oder schreiben Sie uns, Rückruf innerhalb eines Werktags.
Kontakt
Direkter Draht in die Kanzlei.
Anschrift
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg
Telefon
+43 662 6280000