NIS2-Leitfaden · 7 Min.
NIS2 und die Verantwortung der Leitung: Was Vorstand und Geschäftsführung wissen müssen
NIS2 tut etwas, was frühere Cybersicherheitsregeln weitgehend nicht taten: Es legt die Cybersicherheit ausdrücklich auf den Tisch des Leitungsorgans. Die Leitung muss die Risikomanagementmaßnahmen genehmigen, sie überwachen und kann persönlich haftbar gemacht werden, wenn sie versagt. Dieser Leitfaden erläutert, was die Richtlinie von Vorstand und Geschäftsführung erwartet, welche Fragen Sie Ihrem Sicherheitsteam stellen sollten, wie gute Berichterstattung aussieht und was Fehler kosten.
Wichtigste Punkte
- Leitungsorgane müssen die Cybersicherheits-Risikomanagementmaßnahmen genehmigen und überwachen — und können für Versäumnisse haftbar gemacht werden (Art. 20).
- Die Leitung muss an Cybersicherheitsschulungen teilnehmen; die Pflicht kann nicht vollständig an die IT delegiert werden.
- Sanktionen erreichen bei wesentlichen Einrichtungen 10 Mio. € oder 2 % des weltweiten Umsatzes, bei wichtigen 7 Mio. € oder 1,4 % (Art. 34).
- Der Vorstand sollte eine knappe, evidenzbasierte Berichterstattung erwarten — Abdeckung, Behebungstempo und offenes Risiko — keine jährliche Beteuerung.
Die Leitung wird benannt und in die Pflicht genommen
Nach Artikel 20 muss das Leitungsorgan einer wesentlichen oder wichtigen Einrichtung die Cybersicherheits-Risikomanagementmaßnahmen genehmigen und ihre Umsetzung überwachen. Dies ist keine delegierbare Formalität: Die Richtlinie macht die Leitung dafür verantwortlich, dass die Maßnahmen tatsächlich vorhanden sind und wirken.
Entscheidend ist, dass Mitglieder von Leitungsorganen für Verstöße der Einrichtung haftbar gemacht werden können. Diese Verantwortung ist in der Richtlinie selbst verankert; ihre konkrete Ausgestaltung hängt von der nationalen Umsetzung ab. Cybersicherheit ist daher eine Governance-Frage, nicht nur eine IT-Frage — sie gehört neben Finanz- und Rechtsrisiken auf die Tagesordnung des Vorstands.
Die vier Pflichten eines Leitungsorgans
In der Praxis laufen die Governance-Erwartungen der Richtlinie auf vier Dinge hinaus, die die Leitung tun muss:
- Die Maßnahmen genehmigen — die Risikomanagementmaßnahmen (die Art.-21-Grundlage) mit ausreichendem Verständnis dessen freigeben, was Sie genehmigen.
- Die Umsetzung überwachen — sicherstellen, dass die Maßnahmen tatsächlich eingeführt und über die Zeit wirksam sind, mit regelmäßiger Berichterstattung an den Vorstand.
- An Schulungen teilnehmen — Mitglieder müssen an Cybersicherheitsschulungen teilnehmen, um Risiken zu erkennen und die Angemessenheit der Maßnahmen zu beurteilen (Art. 20(2)); vergleichbare Schulungen sollten dem Personal angeboten werden.
- Verantwortung tragen — das Ergebnis verantworten. Die Haftung für Versäumnisse liegt beim Leitungsorgan, und Aufsichtsbehörden können direkt gegen die Leitung vorgehen.
Fragen an Ihr Sicherheitsteam
Sie müssen kein Sicherheitsingenieur sein, um Aufsicht auszuüben. Ein Vorstand kann einen Großteil seiner Pflicht erfüllen, indem er die richtigen Fragen stellt und evidenzbasierte Antworten erwartet:
Wie gute Vorstandsberichterstattung aussieht
Aufsicht braucht ein Signal, keinen 60-seitigen Anhang. Eine nützliche NIS2-Berichtslinie an den Vorstand ist kurz, über die Zeit vergleichbar und evidenzbasiert:
Abdeckung
Welcher Anteil der einschlägigen Lieferanten und Assets tatsächlich überwacht wird — Überraschungen kommen aus Lücken.
Behebungstempo
Durchschnittliche Behebungszeit kritischer und hoher Befunde — der Trend zählt mehr als eine einzelne Zahl.
Offenes Risiko
Aktuelle kritische/hohe Befunde und die dokumentierten, akzeptierten Risiken — NIS2 erwartet gesteuertes Risiko, nicht null Befunde.
Vorfallbereitschaft
Können die Meldefristen eingehalten werden, und wurden sie geübt, auch für von Lieferanten verursachte Vorfälle?
Was Fehler kosten — und was Erfolg
Sanktionen nach Artikel 34 erreichen bei wesentlichen Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist) und bei wichtigen Einrichtungen bis zu 7 Mio. € oder 1,4 %. Aufsichtsbehörden können zudem verbindliche Anweisungen erteilen, die Offenlegung von Vorfällen anordnen und — bei wesentlichen Einrichtungen — Leitungsfunktionen vorübergehend aussetzen. Für die Leitung kann das Reputations- und Haftungsrisiko schwerer wiegen als die Geldbuße selbst.
Gut gemacht geht es oft weniger um neue Ausgaben als um die Umnutzung vorhandener Kontrollen: Die Art.-21-Maßnahmen überschneiden sich stark mit Kontrollen, die viele Organisationen bereits betreiben (ISO 27001, Betriebskontinuität, Zugriffskontrolle). Die von NIS2 erzwungene Verschiebung geht von punktueller Beteuerung hin zu kontinuierlichem, evidenzbasiertem Management — was die Aufsichtsberichterstattung auch wirklich aussagekräftig statt formell macht.
Quelle: Richtlinie (EU) 2022/2555 (NIS2), Artikel 20 und 34 — konsultieren Sie Ihr nationales Umsetzungsgesetz für die genauen Haftungs- und Schulungsbestimmungen in Ihrem Land.
Wie norppa.io hilft
norppa.io verwandelt das Cyberrisiko von Lieferanten und Dritten in die Art von Nachweis, die ein Vorstand tatsächlich nutzen kann: ein klarer Risikowert je Lieferant, Befunde den NIS2-Artikeln zugeordnet und ein monatlicher Führungsbericht, der für die Leitung statt für Ingenieure gestaltet ist.
Abdeckung, Behebungsverlauf und offenes Risiko sind auf einen Blick sichtbar, mit vollständig exportierbarem Prüfpfad — so kann die Leitung aktive Aufsicht nachweisen, und derselbe Nachweis beantwortet die Fragen einer Aufsichtsbehörde.