NIS-2 und die Verantwortung der Geschäftsleitung

Die meisten Darstellungen zu NIS-2 handeln von Meldefristen und Maßnahmenkatalogen. Der Teil, der in Geschäftsführungen tatsächlich für Aufmerksamkeit sorgt, ist ein anderer: Die Richtlinie adressiert die Geschäftsleitung unmittelbar – und sie lässt sich nicht wegdelegieren.

Was die Richtlinie der Leitung aufgibt

Drei Pflichten, die zusammengehören:

Billigen. Die Leitungsorgane müssen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen. Das ist ein förmlicher Akt: Es genügt nicht, dass die IT-Abteilung Maßnahmen umsetzt – die Leitung muss sie zur Kenntnis nehmen und beschließen.

Überwachen. Sie muss die Umsetzung überwachen. Auch das ist mehr als eine jährliche Präsentation: Es setzt voraus, dass es Kennzahlen gibt, an denen sich der Stand ablesen lässt.

Sich schulen lassen. Die Mitglieder der Leitungsorgane müssen an Schulungen teilnehmen, um Risiken beurteilen und Managementpraktiken bewerten zu können. Diese Pflicht trifft sie persönlich – nicht die Organisation.

Hinzu kommt die Verpflichtung, den Beschäftigten entsprechende Schulungen anzubieten.

Warum das eine Verschärfung ist

Bisher war Informationssicherheit in vielen Häusern eine Frage, die man an die IT abgegeben hat. Das ändert die Richtlinie in einem Punkt grundlegend: Sie verlagert die Verantwortung für die Entscheidung an die Spitze, während die Umsetzung dort bleiben kann, wo sie hingehört.

Die Mitgliedstaaten müssen zudem sicherstellen, dass Verstöße Folgen für die Leitung haben können – bis hin zu einem vorübergehenden Verbot, Leitungsaufgaben auszuüben. Wie das im Einzelnen ausgestaltet ist, richtet sich nach dem nationalen Umsetzungsrecht; prüfen Sie dessen aktuellen Stand, bevor Sie sich auf konkrete Rechtsfolgen verlassen.

Unabhängig davon bestand die gesellschaftsrechtliche Verantwortung schon vorher. Die Pflicht zur ordnungsgemäßen Organisation und zur Einrichtung eines Überwachungssystems trifft Geschäftsführer und Vorstände seit Langem. NIS-2 macht daraus einen benannten, prüfbaren Gegenstand – und genau darin liegt der Unterschied.

Was Delegation noch leistet

Die Aufgaben lassen sich verteilen, die Verantwortung nicht. Praktisch heißt das:

Delegierbar sind Analyse, Umsetzung, Betrieb und Berichterstattung – an eine interne Rolle oder an einen externen Informationssicherheitsbeauftragten.

Nicht delegierbar sind die Billigung der Maßnahmen, die Überwachung und die eigene Schulung.

Wer delegiert, muss außerdem auswählen, anweisen und kontrollieren. Eine Rolle zu besetzen und danach nichts mehr davon zu hören, ist keine Erfüllung der Überwachungspflicht – sie ist deren Gegenteil.

Was die Leitung vorlegen können sollte

Fünf Dokumente, die im Ernstfall die Frage beantworten, ob die Pflichten erfüllt wurden:

  1. Der Beschluss, mit dem die Maßnahmen gebilligt wurden – mit Datum und Gegenstand.
  2. Die Risikoübersicht, auf der er beruht; siehe Risikomanagement im ISMS.
  3. Ein regelmäßiger Bericht über den Umsetzungsstand, mit offenen Punkten und Terminen.
  4. Die Schulungsnachweise der Leitung – der Punkt, der am häufigsten fehlt.
  5. Ein geübter Notfallablauf; siehe Notfallübungen.

Diese fünf sind zugleich die Struktur, in der ein Managementsystem ohnehin arbeitet. Wer eines betreibt, erzeugt sie nebenbei; wer keines hat, muss sie eigens herstellen.

Auch wer nicht erfasst ist, bekommt die Anforderungen

Der Anwendungsbereich der Richtlinie ist nach Sektoren und Größe bestimmt – wer erfasst ist, steht unter NIS-2. Die praktische Reichweite ist jedoch größer: Erfasste Unternehmen müssen die Sicherheit ihrer Lieferkette adressieren und geben die Anforderungen an ihre Zulieferer weiter.

Für mittelständische Zulieferer heißt das: Die Frage kommt über den Kunden, nicht über die Behörde – meist als Fragebogen. Siehe Lieferantenaudit.

Kontakt

Sie sind Geschäftsführer und wissen nicht, ob Sie erfasst sind und was Sie unterschreiben müssten? Diese beiden Fragen klären wir zuerst.