---
title: "NIS-2: die Verantwortung der Geschäftsleitung persönlich"
description: "NIS-2 nimmt die Geschäftsleitung in die Pflicht: Maßnahmen billigen, die Umsetzung überwachen, selbst geschult sein. Was das praktisch heißt."
canonical: "https://www.dsb-datenschutz.de/informationssicherheit/wissen-nis2-geschaeftsfuehrerhaftung/"
---

# NIS-2 und die Verantwortung der Geschäftsleitung

Die meisten Darstellungen zu NIS-2 handeln von Meldefristen und Maßnahmenkatalogen. Der Teil, der in Geschäftsführungen tatsächlich für Aufmerksamkeit sorgt, ist ein anderer: Die Richtlinie adressiert die **Geschäftsleitung** unmittelbar – und sie lässt sich nicht wegdelegieren.

## Was die Richtlinie der Leitung aufgibt

Drei Pflichten, die zusammengehören:

**Billigen.** Die Leitungsorgane müssen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit **billigen**. Das ist ein förmlicher Akt: Es genügt nicht, dass die IT-Abteilung Maßnahmen umsetzt – die Leitung muss sie zur Kenntnis nehmen und beschließen.

**Überwachen.** Sie muss die Umsetzung überwachen. Auch das ist mehr als eine jährliche Präsentation: Es setzt voraus, dass es Kennzahlen gibt, an denen sich der Stand ablesen lässt.

**Sich schulen lassen.** Die Mitglieder der Leitungsorgane müssen an Schulungen teilnehmen, um Risiken beurteilen und Managementpraktiken bewerten zu können. Diese Pflicht trifft sie **persönlich** – nicht die Organisation.

Hinzu kommt die Verpflichtung, den Beschäftigten entsprechende Schulungen anzubieten.

## Warum das eine Verschärfung ist

Bisher war Informationssicherheit in vielen Häusern eine Frage, die man an die IT abgegeben hat. Das ändert die Richtlinie in einem Punkt grundlegend: Sie verlagert die **Verantwortung für die Entscheidung** an die Spitze, während die Umsetzung dort bleiben kann, wo sie hingehört.

Die Mitgliedstaaten müssen zudem sicherstellen, dass Verstöße Folgen für die Leitung haben können – bis hin zu einem vorübergehenden Verbot, Leitungsaufgaben auszuüben. Wie das im Einzelnen ausgestaltet ist, richtet sich nach dem nationalen Umsetzungsrecht; prüfen Sie dessen aktuellen Stand, bevor Sie sich auf konkrete Rechtsfolgen verlassen.

Unabhängig davon bestand die gesellschaftsrechtliche Verantwortung schon vorher. Die Pflicht zur ordnungsgemäßen Organisation und zur Einrichtung eines Überwachungssystems trifft Geschäftsführer und Vorstände seit Langem. NIS-2 macht daraus einen benannten, prüfbaren Gegenstand – und genau darin liegt der Unterschied.

## Was Delegation noch leistet

Die Aufgaben lassen sich verteilen, die Verantwortung nicht. Praktisch heißt das:

**Delegierbar** sind Analyse, Umsetzung, Betrieb und Berichterstattung – an eine interne Rolle oder an einen [externen Informationssicherheitsbeauftragten](https://www.dsb-datenschutz.de/informationssicherheit/externer-isb/).

**Nicht delegierbar** sind die Billigung der Maßnahmen, die Überwachung und die eigene Schulung.

Wer delegiert, muss außerdem auswählen, anweisen und kontrollieren. Eine Rolle zu besetzen und danach nichts mehr davon zu hören, ist keine Erfüllung der Überwachungspflicht – sie ist deren Gegenteil.

## Was die Leitung vorlegen können sollte

Fünf Dokumente, die im Ernstfall die Frage beantworten, ob die Pflichten erfüllt wurden:

1. **Der Beschluss**, mit dem die Maßnahmen gebilligt wurden – mit Datum und Gegenstand.
2. **Die Risikoübersicht**, auf der er beruht; siehe [Risikomanagement im ISMS](https://www.dsb-datenschutz.de/informationssicherheit/wissen-risikoanalyse/).
3. **Ein regelmäßiger Bericht** über den Umsetzungsstand, mit offenen Punkten und Terminen.
4. **Die Schulungsnachweise der Leitung** – der Punkt, der am häufigsten fehlt.
5. **Ein geübter Notfallablauf**; siehe [Notfallübungen](https://www.dsb-datenschutz.de/bcm/notfalluebungen/).

Diese fünf sind zugleich die Struktur, in der ein [Managementsystem](https://www.dsb-datenschutz.de/informationssicherheit/aufbau-isms/) ohnehin arbeitet. Wer eines betreibt, erzeugt sie nebenbei; wer keines hat, muss sie eigens herstellen.

## Auch wer nicht erfasst ist, bekommt die Anforderungen

Der Anwendungsbereich der Richtlinie ist nach Sektoren und Größe bestimmt – wer erfasst ist, steht unter [NIS-2](https://www.dsb-datenschutz.de/frameworks/nis-2/). Die praktische Reichweite ist jedoch größer: Erfasste Unternehmen müssen die Sicherheit ihrer Lieferkette adressieren und geben die Anforderungen an ihre Zulieferer weiter.

Für mittelständische Zulieferer heißt das: Die Frage kommt über den Kunden, nicht über die Behörde – meist als Fragebogen. Siehe [Lieferantenaudit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-lieferanten-audit/).

## Kontakt

Sie sind Geschäftsführer und wissen nicht, ob Sie erfasst sind und was Sie unterschreiben müssten? Diese beiden Fragen klären wir zuerst.

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Kosten und Betreuung](https://www.dsb-datenschutz.de/informationssicherheit/kosten/)