NIS2-Leitfaden · 7 Min.
NIS2 und die Verantwortung der Leitung: was Vorstand und Führung wissen müssen
NIS2 tut etwas, das frühere Cybersicherheitsregeln meist nicht taten: es legt die Cybersicherheit ausdrücklich auf den Tisch des Leitungsorgans. Die Führung muss die Risikomanagementmaßnahmen genehmigen, sie überwachen und kann persönlich haftbar gemacht werden, wenn sie versagen. Dieser Leitfaden legt dar, was die Richtlinie von Vorständen und Führungskräften erwartet, welche Fragen Ihrem Sicherheitsteam zu stellen sind, wie gute Berichterstattung wirklich aussieht und was es kostet, es falsch zu machen.
Die wichtigsten Punkte
- Leitungsorgane müssen die Risikomanagementmaßnahmen genehmigen und überwachen, und können bei Versäumnissen haftbar gemacht werden (Art. 20).
- Die Führung muss Cybersicherheitsschulungen absolvieren; die Pflicht lässt sich nicht vollständig an die IT abgeben.
- Sanktionen erreichen 10 Mio. € oder 2 % des weltweiten Umsatzes für wesentliche und 7 Mio. € oder 1,4 % für wichtige Einrichtungen (Art. 34).
- Vorstände sollten eine kurze, nachweisgestützte Berichterstattung erwarten (Abdeckung, Behebungsgeschwindigkeit und offenes Risiko) keine einmal jährliche Beruhigung.
Die Führung ist benannt, und in der Pflicht
Nach Artikel 20 muss das Leitungsorgan einer wesentlichen oder wichtigen Einrichtung die Risikomanagementmaßnahmen der Einrichtung genehmigen und ihre Umsetzung überwachen. Das ist keine Formalität, die man wegdelegieren kann: die Richtlinie macht die Führung dafür verantwortlich, dass die Maßnahmen tatsächlich vorhanden sind und tatsächlich wirken.
Und die Mitglieder des Leitungsorgans können für die Verstöße der Einrichtung haftbar gemacht werden. Diese Verantwortlichkeit steht in der Richtlinie selbst; wie genau sie greift, hängt von der nationalen Umsetzung ab. Cybersicherheit ist damit eine Frage der Governance, nicht nur der IT. Sie gehört auf die Tagesordnung des Vorstands neben das finanzielle und rechtliche Risiko, nicht in eine Quartalsfolie, die niemand liest.
Die vier Pflichten eines Leitungsorgans
In der Praxis laufen die Governance-Erwartungen der Richtlinie auf vier Dinge hinaus, die die Führung tun muss:
- Die Maßnahmen genehmigen: die Risikomanagementmaßnahmen (die Grundlage aus Art. 21) abzeichnen, mit genug Verständnis, um zu wissen, was Sie da tatsächlich genehmigen.
- Die Umsetzung überwachen: sicherstellen, dass die Maßnahmen wirklich eingeführt sind und über die Zeit wirksam bleiben, mit regelmäßiger Berichterstattung an den Vorstand.
- Schulungen absolvieren: Mitglieder müssen Cybersicherheitsschulungen besuchen, um Risiken zu erkennen und die Angemessenheit der Maßnahmen zu beurteilen (Art. 20 Abs. 2); vergleichbare Schulungen sollten das Personal erreichen.
- Verantwortung tragen: das Ergebnis verantworten. Die Haftung für Versäumnisse liegt beim Leitungsorgan, und Aufsichtsbehörden können direkt gegen die Führung vorgehen.
Fragen an Ihr Sicherheitsteam
Sie müssen kein Sicherheitsingenieur sein, um Aufsicht auszuüben. Ein Vorstand erfüllt einen Großteil seiner Pflicht schon dadurch, dass er die richtigen Fragen stellt und durch Nachweise gestützte Antworten erwartet:
Sehen Sie, wie Sie und Ihre Lieferanten tatsächlich abschneiden
7 Tage kostenlos · keine Kreditkarte · jederzeit kündbar
Wie gute Vorstandsberichterstattung aussieht
Aufsicht braucht Signal, keinen sechzigseitigen Anhang. Eine nützliche NIS2-Zeile an den Vorstand ist kurz, über die Zeit vergleichbar und auf Nachweisen gebaut:
Abdeckung
Welcher Anteil der erfassten Lieferanten und Assets tatsächlich überwacht wird: die Lücken sind, woher die Überraschungen kommen.
Behebungsgeschwindigkeit
Mittlere Zeit bis zur Behebung kritischer und hoher Befunde: der Trend sagt mehr als jede einzelne Zahl.
Offenes Risiko
Aktuelle kritische und hohe Befunde plus die dokumentierten, akzeptierten: NIS2 erwartet gesteuertes Risiko, keine weiße Weste.
Vorfallbereitschaft
Lassen sich die Meldefristen einhalten, und wurden sie geprobt: auch für einen Vorfall, der bei einem Lieferanten beginnt?
Was es kostet, es falsch zu machen, und richtig
Die Sanktionen nach Artikel 34 erreichen bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist) für wesentliche und bis zu 7 Millionen € oder 1,4 % für wichtige Einrichtungen. Aufsichtsbehörden können zudem verbindliche Anweisungen erteilen, die Offenlegung eines Vorfalls anordnen und (bei wesentlichen Einrichtungen) Leitungsfunktionen vorübergehend aussetzen. Für die Führung können das Reputations- und persönliche Haftungsrisiko schwerer wiegen als die Geldbuße selbst.
Gut gemacht geht es oft weniger um neue Ausgaben als darum, vorhandene Kontrollen richtig auszurichten: die Maßnahmen aus Artikel 21 überschneiden sich stark mit dem, was viele Organisationen ohnehin betreiben (ISO 27001, Geschäftskontinuität, Zugriffskontrolle). Was NIS2 wirklich erzwingt, ist der Wechsel von punktueller Zusicherung zu kontinuierlicher, nachweisgestützter Steuerung, was zugleich die Aufsichtsberichterstattung zu etwas wirklich Aussagekräftigem macht statt zu einem Ritual.
Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 20 und 34 — die genauen Haftungs- und Schulungsbestimmungen für Ihr Land entnehmen Sie Ihrem nationalen Umsetzungsgesetz.
Wie norppa.io hilft
norppa.io verwandelt Lieferanten- und Drittparteienrisiko in die Art von Nachweis, die ein Vorstand wirklich nutzen kann: einen klaren Risiko-Score je Lieferant, Befunde, die den NIS2-Artikeln zugeordnet sind, denen sie entsprechen, und einen Bericht, der für die Führung geschrieben ist, nicht für Ingenieure.
Abdeckung, Behebungsverlauf und offenes Risiko sind auf einen Blick sichtbar, mit der vollständigen Prüfspur zum Export bereit, so kann die Leitung aktive Aufsicht belegen, und derselbe Nachweis beantwortet die Fragen einer Aufsichtsbehörde, wenn sie kommen.
Ein eigener Arbeitsbereich für die Management-Verantwortung lässt die verantwortliche Person die Billigung nach Artikel 20 erfassen, kritische Lieferantenrisiken abzeichnen, die Schulung der Leitung aktuell halten und ein manipulationssicheres Sorgfaltspflicht-Dossier für Vorstand, Behörde oder Cyber-Versicherer exportieren. Es dokumentiert die Sorgfaltspflicht; es zertifiziert niemals die Konformität.