Cyber Security in schweizerischen M&A-Transaktionen: Digitale Risiken erkennen, bewerten und adressieren
Artikel
Legal
Daten / Technologie / IP
Regulatory Compliance
Transaktionen / M&A
Cyberrisiken können den Wert eines Unternehmens entscheidend beeinflussen. Worauf es bei Cyber Security in M&A-Transaktionen ankommt.
Dr. Martin Eckert
Legal Partner
Nicolas Wittlinger
Legal Associate
Im Rahmen von Unternehmenskäufen rücken neben finanziellen, steuerlichen und klassischen rechtlichen Fragestellungen zunehmend auch digitale Risiken in den Fokus (Digital Legal Due Diligence[1]). Gerade bei datengetriebenen Unternehmen oder digitalisierten Geschäftsmodellen können Cyber Security, Informationssicherheit und Cyberresilienz wesentlich sein. Eine solide Cyber Risk Due Diligence ist heute State of the Art. Entsprechende Schwachstellen können sich direkt auf die Bewertung und die vertragliche Ausgestaltung einer Transaktion auswirken.
1. Warum wird Cyber Security bei M&A-Transaktionen immer wichtiger?
Cyber Security ist längst kein rein technisches IT-Thema mehr. Cyberangriffe, Datenverluste, Systemausfälle oder regulatorische Verstösse können den Unternehmenswert beeinflussen, Kundenbeziehungen gefährden und erhebliche Kosten verursachen. Cyberresilienz entwickelt sich zunehmend zu einem Wettbewerbs- und Vertrauensfaktor. Unternehmen müssen nicht nur ihre Systeme angemessen schützen, sondern gleichzeitig auf dem Markt nachweisen können, dass sie Cyberrisiken systematisch erkennen, steuern und bewältigen.
Hinzu kommt die zunehmende Cyber-Regulierung. Cyber Security entwickelt sich in Europa und in der Schweiz zunehmend vom technischen Thema zum Compliance- und Governance-Thema. Neben datenschutzrechtlichen Vorgaben (Datenschutzgesetz; DSG/DSV; DSGVO/GDPR) gewinnen regulatorische Anforderungen wie jene des Cyber Resilience Act (CRA), der Richtlinie zum Schutz von Netzwerk- und Informationssystemen (NIS2-Richtlinie), des Digital Operational Resilience Act (DORA) oder nationaler Cybersicherheitsvorgaben laufend an Bedeutung – sei es direkt oder indirekt. Für schweizerische Unternehmen können regulatorische EU-Vorgaben unmittelbare Auswirkungen auf die Vermarktung ihrer Produkte im europäischen Binnenmarkt haben. Der Cyber Resilience Act (CRA) etwa stellt umfassende Cyber-Security-Anforderungen an Produkte mit digitalen Elementen, die auf dem EU-Markt angeboten werden (Cyber Resilience Act). Auch das schweizerische Informationssicherheitsgesetz (ISG) verdeutlicht den Trend zu einer stärkeren Regulierung von Informationssicherheit und Cyber Security (Informationssicherheitsgesetz und Update zum Informationssicherheitsgesetz).
Genau deshalb erfordert eine Cyber Security Due Diligence regelmässig das Zusammenspiel von M&A-, Technologie-, Datenschutz-, Compliance- und Regulatory-Spezialisten.
2. Welche Cyberrisiken sind in M&A-Transaktionen besonders relevant?
Cyberrisiken sind in einer M&A-Transaktion nicht immer unmittelbar sichtbar. Manche Risiken lassen sich anhand von Verträgen, Richtlinien, Audit-Berichten, Compliance-Unterlagen oder Management-Interviews erkennen. Andere werden erst im Rahmen eines technischen Cyber Security Assessments oder einer vertieften Cyber Security Due Diligence sichtbar.
Zu den besonders relevanten Risikofeldern gehören insbesondere:
Cybervorfälle und Sicherheitsverletzungen: Bereits erfolgte Cyberangriffe, Datenabflüsse oder kompromittierte Systeme (Ransomware) können erhebliche finanzielle, vertragliche, regulatorische und operative Folgen haben.
Compliance-Lücken: Verstösse gegen Datenschutz-, Informationssicherheits- oder andere regulatorische Anforderungen können zu Compliance-Kosten, behördlichen Verfahren oder Haftungsrisiken führen.
Drittpartei- und Lieferkettenrisiken: Sicherheitsmängel oder Ausfälle bei Cloud-Anbietern, Softwarelieferanten oder anderen kritischen Dienstleistern können sich unmittelbar auf die Risiken des Zielunternehmens auswirken; vor allem dann, wenn die vertraglichen Risikoallokationen nicht übereinstimmen.
Vertragliche Risiken: Sicherheitszusicherungen, Service Level Agreements (SLAs), Meldepflichten, Audit-Rechte oder Haftungsregelungen gegenüber Kunden und Lieferanten können bei einem Incident erhebliche wirtschaftliche Auswirkungen haben.
Artificial Intelligence (AI): Der Einsatz von AI-Systemen, insbesondere nicht freigegebener Anwendungen («Shadow AI»), kann Datenschutz-, Compliance-, Geheimhaltungs- und IP-Risiken begründen und gewinnt im Rahmen von Cyber Security Due Diligence zunehmend an Bedeutung.
Je nach Geschäftsmodell und Branche können unterschiedliche Risiken im Vordergrund stehen. Ziel einer Cyber Security Due Diligence ist nicht in erster Linie die Identifikation einzelner technischer Schwachstellen, sondern ein möglichst vollständiges Verständnis des Cyber-Risikoprofils eines Unternehmens.
3. Sicherheitsreifegrad und Cyberresilienz als Due-Diligence-Thema
Im Rahmen einer Cyber Security Due Diligence wird nicht in erster Linie untersucht, ob bereits Cybervorfälle eingetreten sind. Vielmehr wird beurteilt, wie Cyber Security, Informationssicherheit und Risikomanagement im Zielunternehmen organisiert sind (Sicherheitsreifegrad; Zertifizierungs-Niveau) und ob das Unternehmen in der Lage ist, auf Cybervorfälle und andere Störungen wirksam zu reagieren und den Geschäftsbetrieb aufrechtzuerhalten (Cyberresilienz; Notfallpläne).
Die Beurteilung von Sicherheitsreifegrad und Cyberresilienz konzentriert sich regelmässig auf folgende Fragestellungen:
Ist Cyber Security auf Führungsstufe verankert? Der Sicherheitsreifegrad beginnt bei Governance und Risikomanagement. Entscheidend ist, ob Verantwortlichkeiten klar geregelt sind, ob sich Geschäftsleitung und Verwaltungsrat mit dem Thema befassen und ob Cyberrisiken in das allgemeine Risikomanagement (IKS) integriert wurden.
Sind angemessene Sicherheitsmassnahmen vorhanden? Hier geht es insbesondere um interne Sicherheitsrichtlinien, Informationssicherheitsmanagementsysteme, Backup-Konzepte sowie Identity & Access Management wie Multifaktor-Authentifizierung. Zertifizierungen wie ISO 27001 können zusätzliche Hinweise auf die organisatorische Reife eines Unternehmens liefern.
Ist das Unternehmen auf Vorfälle vorbereitet? Ein weiterer Schwerpunkt betrifft die Cyberresilienz eines Unternehmens. Verfügt das Unternehmen über Incident- und Krisenmanagementprozesse? Bestehen adäquate Notfall- und Wiederherstellungspläne? Werden Cybervorfälle dokumentiert und analysiert? Bestehen Business-Continuity-Massnahmen sowie Cyberversicherungen?
Wie resilient sind Prozesse und Systeme? Bei der operativen Resilienz stehen geschäftskritische Systeme und Prozesse im Vordergrund. Welche Systeme sind für den Geschäftsbetrieb unverzichtbar? Welche Abhängigkeiten bestehen von externen Dienstleistern? Wie schnell kann das Unternehmen auf Störungen reagieren und wesentliche Dienstleistungen wiederherstellen? Welche Zertifizierungen liegen vor? Fehlen branchenübliche Zertifikate?
Bestehen regulatorische oder vertragliche Risiken? Die Beurteilung endet nicht bei technischen und organisatorischen Aspekten. Zu prüfen ist auch, ob regulatorische Anforderungen eingehalten werden und welche vertraglichen Verpflichtungen im Bereich Cyber Security, Informationssicherheit und Datenschutz bestehen. Je nach Geschäftsmodell können insbesondere Sicherheitszusicherungen, Audit-Rechte, Meldepflichten, Service Level Agreements (SLAs) oder Outsourcing-Vereinbarungen von Bedeutung sein. Besonders kritisch sind vertragliche Deckungslücken, wenn die vom Unternehmen gegenüber Kunden übernommenen Verpflichtungen nicht durch entsprechende Zusicherungen und Haftungsregelungen der Lieferanten oder Dienstleister abgesichert sind.
Hat das Unternehmen ihre IT-Provider und die Lieferkette im Griff? Weitere Risiken können bei den Providern und in der Lieferkette schlummern. Gibt es robuste vertragliche Gewährleistungen der IT-Dienstleister und Lieferanten? Oder steht das Zielunternehmen bei einem Cyber Vorfall mit leeren Händen da?
4. Cyber Security Due Diligence in der Schweiz: Bewertung und Vertragsgestaltung
Die Ergebnisse einer Cyber Security Due Diligence bleiben nicht folgenlos. Identifizierte Risiken sowie Erkenntnisse zum Sicherheitsreifegrad und zur Cyberresilienz eines Unternehmens fliessen regelmässig in die wirtschaftliche Bewertung des Zielunternehmens sowie in die Vertrags- und Preisverhandlungen ein.
Auswirkungen auf die Bewertung Werden erhebliche Schwachstellen festgestellt, kann zusätzlicher Investitions- und Nachholbedarf entstehen. Häufig müssen Sicherheitslücken geschlossen, Systeme modernisiert oder Compliance-Anforderungen umgesetzt werden.
Auch Integrationskosten spielen eine Rolle. Nach dem Closing müssen Sicherheitsstandards häufig an die Anforderungen des Käufers angepasst werden. Unterschiedliche Sicherheitsstandards, technische Altlasten oder fehlende Prozesse können den Integrationsaufwand nach dem Closing erheblich erhöhen. Insbesondere dann, wenn die branchenüblichen Zertifizierungen nachgeholt werden müssen.
Vertragsgestaltung Die Erkenntnisse aus der Cyber Security Due Diligence sind in die Vertragsgestaltung zu überführen. Die konkrete Ausgestaltung hängt dabei insbesondere vom Geschäftsmodell des Zielunternehmens, den identifizierten Risiken sowie dem Sicherheitsreifegrad und der Cyberresilienz des Targets ab.
Wichtig ist dabei eine angemessene Risikozuweisung. Nicht jedes Cyberrisiko rechtfertigt eine besondere vertragliche Regelung. Entscheidend ist, ob das Risiko konkret, wesentlich und transaktionsrelevant ist.
Typischerweise werden die Erkenntnisse aus der Cyber Security Due Diligence über folgende Regelungen im Aktienkaufvertrag (Share Purchase Agreement; SPA) abgebildet:
Gewährleistungen: Zusicherungen etwa zur Einhaltung regulatorischer Anforderungen, zum Datenschutz, zur Informationssicherheit, zu Zertifizierungen, zu wesentlichen IT-Systemen oder zum Nichtbestehen bzw. zur Offenlegung bekannter Cybervorfälle sowie gegebenenfalls zum Einsatz und zur Governance von künstlicher Intelligenz (KI). Die konkrete Ausgestaltung ist regelmässig Gegenstand der Verhandlungen, wobei Verkäufer häufig Kenntnisqualifikationen, Wesentlichkeitsschwellen oder zeitliche Begrenzungen verlangen.
Freistellungen: Besondere Freistellungen für konkret identifizierte Risiken im Rahmen der Cyber Security Due Diligence oder offengelegter Cybervorfälle.
Vertragliche Verpflichtungen (Covenants): Verpflichtungen zur Umsetzung bestimmter Massnahmen vor oder nach Signing bzw. Closing, beispielsweise zur Behebung identifizierter Schwachstellen, zur Einführung zusätzlicher Sicherheitsmassnahmen oder zur Umsetzung regulatorischer Anforderungen wie des Cyber Resilience Act. Kann das Zielunternehmen die Anforderungen des Cyber Resilience Act für seine vernetzten Produkte nicht fristgerecht (d.h. bis zum 11. Dezember 2027) umsetzen, können erhebliche wirtschaftliche und operative Risiken bis hin zu Einschränkungen beim Vertrieb im EU-Binnenmarkt entstehen (zollrechtliche Einfuhrsperre).
5. Cyber Security als Thema der Post-Merger-Integration
Cyber Security Due Diligence dient nicht nur dazu, Risiken vor dem Signing oder Closing zu identifizieren. Sie liefert auch wichtige Erkenntnisse für die Zeit danach.
Identifizierte Schwachstellen müssen behoben werden. Sicherheitsstandards sind zu harmonisieren. Auch Verträge sind anzupassen. Zugriffsrechte, Multifaktor-Authentifizierung, Backup-Konzepte und Incident-Management-Prozesse müssen aufeinander abgestimmt werden. Regulatorische Anforderungen und bestehende Compliance-Risiken bleiben nach dem Closing relevant.
Cyberresilienz ist deshalb nicht nur ein Prüfpunkt im M&A-Prozess, sondern auch ein Thema der Post-Merger-Integration. Wer Cyber Security früh berücksichtigt, kann Integrationsrisiken und Integrationskosten besser planen und Überraschungen vermeiden.
6. Wie kann Sie MME bei Cyber Security Due Diligence unterstützen?
Eine Cyber Security Due Diligence verlangt eine Verbindung verschiedener Perspektiven und Expertisen. Genau hier liegt der Mehrwert des integrierten Ansatzes von MME.
Das M&A-Team von MME kann Cyberrisiken in den Transaktionsprozess einordnen und die Auswirkungen auf Bewertung, Vertragsgestaltung und Risikozuweisung beurteilen. Gleichzeitig kann auf das spezialisierte interne Know-how des Cyber Risk Response Teams (Cyber Risk Desk) in den Bereichen Datenschutz, Technologie, Cyber Compliance, regulatorische Anforderungen und Cyber Resilienz (Cyber Risk Readiness Assessment) zurückgegriffen werden.
In der Praxis hat sich ein separater Cyber-Security-Stream bewährt. Die Cyber Security Due Diligence kann je nach Transaktion und Risikobeurteilung mit unterschiedlicher Tiefe ausgestaltet werden. Zunächst wird mit der Käuferseite geklärt und festgehalten, welche Bedeutung Cyber Security für das konkrete Zielunternehmen hat. Anschliessend wird der gewünschte Prüfungsumfang und die Prüfungstiefe festgelegt. Darauf aufbauend können gezielte Fragen an das Zielunternehmen gestellt, Dokumente ausgewertet und die Ergebnisse in die Transaktionsdokumentation überführt werden.
Für technische Vertiefungen einzelner Themen kann MME auf das Experten-Know-how spezialisierter technischer Partner sowie auf Erkenntnisse aus der langjährigen Zusammenarbeit bei Cyber Attacken zurückgreifen (Cyber Incident Response Retainer). Entscheidend ist, dass technische Erkenntnisse nicht isoliert bleiben, sondern in den M&A-Prozess übersetzt werden.
[1]Zum Kauf von Unternehmen in der Digital Economy siehe: Eckert Martin, Umgang mit Transaktionsrisiken (2.Teil), EXPERT Focus, 2027/3, S. 163 ff.; Umgang mit Transaktionsrisiken (Teil 1-3).
