CYBERSECURITY & IT-GOVERNANCE · FACHBEITRAG
NIS2 und die Haftung der Geschäftsleitung
NIS2 verschiebt Cybersecurity von der Fachabteilung in die Verantwortung der Leitungsebene. Wer Maßnahmen billigt, muss sie auch verstehen — und deren Wirksamkeit überwachen.
Governance First Redaktion·8 Minuten Lesezeit
Die entscheidende Neuerung von NIS2 ist nicht der Maßnahmenkatalog — der ist aus ISO 27001 und BSI-Grundschutz weitgehend bekannt. Neu ist die persönliche Pflicht der Leitungsorgane, Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich fortzubilden.
Betroffenheit zuerst klären
Sektor, Größe und Rolle in der Lieferkette entscheiden über „wesentlich“ oder „wichtig“ — und damit über Aufsichtsregime und Meldepflichten. Viele Unternehmen unterschätzen die indirekte Betroffenheit: als Zulieferer eines regulierten Kunden landen NIS2-Anforderungen über den Vertrag im eigenen Haus.
Meldewege, die im Ernstfall funktionieren
Frühwarnung, Meldung, Abschlussbericht — die Fristen sind kurz und laufen ab Kenntnis, nicht ab Analyse. Wer die Meldekette nicht geprobt hat, verliert die ersten Stunden mit Zuständigkeitsfragen. Ein belastbarer Prozess benennt Entscheider, Stellvertretung und Eskalation namentlich.
„Eine Meldepflicht, die erst im Incident gelesen wird, ist keine Governance — sondern ein Risiko.“
Lieferkette als Kontrollobjekt
Third-Party-Risiken müssen bewertet, vertraglich verankert und überwacht werden. Sinnvoll ist ein abgestuftes Modell: Kritikalitätsklassen, dazu passende Nachweistiefe und ein Register, das sich mit DORA-Anforderungen teilt, statt sie zu duplizieren.
Nachweise statt Absichten
Die Aufsicht fragt nach Wirksamkeit. Das heißt: Tests, Ergebnisse, abgeleitete Maßnahmen, erneute Prüfung. Wer diesen Zyklus in bestehende Kontrollsysteme einhängt, muss keine zweite Governance-Welt aufbauen.
FÜNF FRAGEN FÜR DIE NÄCHSTE LEITUNGSSITZUNG
- Sind wir wesentlich, wichtig oder indirekt betroffen — und belegbar?
- Wer meldet im Ernstfall, in welcher Frist, an welche Stelle?
- Welche Lieferanten sind kritisch, und was ist vertraglich geregelt?
- Wann haben wir die Wirksamkeit letztmalig getestet?
- Ist die Fortbildung der Leitungsorgane dokumentiert?
NIS2-Betroffenheit prüfen lassen
Wir bewerten Ihre Einordnung, Meldewege und Lieferkettenpflichten in einem kompakten Assessment.
