Praxisorientierte Einordnung zu Leitungsorgane unter NIS2: Verantwortung, Schulung und Nachweisführung: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für NIS2 aufbauen.
NIS2 macht Cybersicherheit ausdrücklich zur Leitungsaufgabe. § 38 des deutschen BSI-Gesetzes verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Außerdem müssen sie regelmäßig Schulungen besuchen, um Risiken und deren Auswirkungen auf die erbrachten Dienste beurteilen zu können.
Damit reicht es nicht, ein Budget freizugeben und Verantwortung an CISO oder IT-Leitung weiterzureichen. Die operative Ausführung kann delegiert werden, die Leitungsverantwortung bleibt. Ein tragfähiges Modell übersetzt diese Pflicht in klare Beschlüsse, aussagekräftige Berichte, dokumentierte Risikoentscheidungen und regelmäßige Wirksamkeitskontrollen.
Wer als Geschäftsleitung im Sinne des BSIG handelt
Welche Personen zur Geschäftsleitung gehören, richtet sich nach Rechtsform und tatsächlicher Leitungsstruktur. Bei einer GmbH sind dies typischerweise Geschäftsführer, bei einer Aktiengesellschaft die Mitglieder des Vorstands. In anderen Organisationen können entsprechende vertretungs- und leitungsbefugte Organe betroffen sein.
Das Unternehmen dokumentiert die maßgebliche Rechtseinheit, Organstruktur und Zuständigkeiten. Ein Konzern-CISO oder ein zentrales Security Board ist nicht automatisch Geschäftsleitung jeder Tochter. Konzernweit erbrachte Leistungen müssen deshalb mit den Entscheidungen und Nachweisen der jeweiligen betroffenen Gesellschaft verbunden werden.
Umsetzen bedeutet mehr als eine Richtlinie zu genehmigen
§ 38 Absatz 1 nennt Umsetzung und Überwachung der nach § 30 zu ergreifenden Risikomanagementmaßnahmen. Eine Richtlinienfreigabe kann Teil davon sein, beweist aber nicht, dass technische und organisatorische Kontrollen funktionieren. Die Leitung muss angemessene Ressourcen, Verantwortlichkeiten und Prioritäten schaffen.
Praktisch entscheidet sie über Sicherheitsziele, Risikobereitschaft, Budget, Personal, kritische Ausnahmen und Eskalationen. Sie stellt sicher, dass Schutz von Diensten nicht durch widersprüchliche Geschäftsziele unterlaufen wird. Wesentliche Maßnahmen werden mit Zielwirkung, Termin und überprüfbarem Abnahmekriterium beschlossen.
Überwachung als wiederkehrenden Führungsprozess gestalten
Überwachung ist kein einmaliger Projektstatus. Die Geschäftsleitung benötigt regelmäßige und anlassbezogene Informationen über Risiken, Maßnahmen, Vorfälle, Lieferanten und Kontrollergebnisse. Ein fester Berichtszyklus wird durch Soforteskalationen bei kritischen Ereignissen oder überfälligen Hochrisikomaßnahmen ergänzt.
Der Bericht zeigt nicht nur Aktivitäten, sondern Wirkung und Entscheidungsbedarf. „MFA-Projekt zu 80 Prozent abgeschlossen“ ist weniger aussagekräftig als „zwölf privilegierte Zugänge eines kritischen Dienstes sind noch ohne phishingresistente Authentisierung“. Die Leitung kann so zeitliche und finanzielle Konsequenzen abwägen.
Die Maßnahmenbereiche des § 30 als Leitungscockpit
Das Cockpit deckt Risikoanalyse, Vorfallbewältigung, Kontinuität, Lieferkette, sichere Beschaffung und Entwicklung, Wirksamkeitsbewertung, Cyberhygiene, Kryptografie, Personalsicherheit, Zugriffskontrolle, Assetmanagement und starke Authentisierung ab. Jeder Bereich besitzt einen verantwortlichen Eigentümer und eine Ampel mit nachvollziehbarer Begründung.
Eine grüne Bewertung setzt definierte Evidenz voraus. Beim Notfallmanagement können dies aktuelle Pläne, geübte Rollen und erreichte Wiederherstellungszeiten sein. Beim Lieferantenmanagement zählen kritische Abhängigkeiten, offene Vertragslücken und getestete Exit-Möglichkeiten. Der CISO konsolidiert, aber die Fachverantwortlichen bestätigen ihre Daten.
Dienstorientierte Risiken statt technischer Einzellisten
Leitungsorgane müssen Auswirkungen auf die von der Einrichtung erbrachten Dienste beurteilen können. Deshalb werden Risiken von Geschäfts- oder Versorgungsleistung rückwärts auf Systeme und Lieferanten abgebildet. Eine lange Schwachstellenliste ohne Dienstbezug erlaubt keine angemessene Priorisierung.
Ein Szenario beschreibt Auslöser, betroffenen Dienst, vorhandene Kontrollen, mögliche Dauer und Folgen. Die Leitung sieht beispielsweise, ob ein kompromittierter Fernwartungszugang die Produktion mehrerer Standorte stoppen kann. Technische Details bleiben in Anhängen verfügbar, während die Entscheidungsvorlage geschäftlich verständlich ist.
Risikobereitschaft konkret beschließen
Allgemeine Aussagen wie „kein Risiko“ oder „angemessene Sicherheit“ helfen operativen Teams kaum. Die Leitung definiert Leitplanken für maximale Ausfallzeiten, privilegierte Zugänge, unterstützte Systeme, Lieferantenkonzentration und Ausnahmefristen. Diese Leitplanken müssen zum Geschäftsmodell und gesetzlichen Verhältnismäßigkeitsprinzip passen.
Abweichungen werden sichtbar und auf der richtigen Ebene akzeptiert. Ein System ohne Herstellerunterstützung in einem kritischen Dienst kann nicht durch den Administrator stillschweigend toleriert werden. Die Entscheidung enthält Risikoszenario, Alternativen, kompensierende Maßnahmen, Ablaufdatum und Verantwortlichen.
Delegation mit klarer Rechenschaft verbinden
Die Geschäftsleitung kann Aufgaben an CISO, IT, Fachbereiche und Dienstleister übertragen. Dafür werden Mandat, Kompetenz, Ressourcen und Berichtspflichten definiert. Eine unklare Aussage „IT ist verantwortlich“ reicht nicht, wenn niemand über Budget oder Geschäftsprozess entscheiden darf.
Ein RACI ordnet zentrale Entscheidungen zu: Scope, Risikobewertung, Kontrollfreigabe, Vorfalleskalation, Behördenmeldung, Ausnahme und Abschluss einer Maßnahme. Delegierte Rollen berichten nach einem einheitlichen Schema. Wesentliche Konflikte und Ressourcenengpässe gelangen ohne Filter zur Leitung. Vertretungen sichern den Prozess auch bei Abwesenheit zentraler Personen.
Der CISO als Berater und Kontrollinstanz
Der CISO entwickelt Methoden, konsolidiert Risiken, berät die Leitung und überwacht das Sicherheitsprogramm. Er sollte ein unmittelbares Vortragsrecht oder einen vergleichbar wirksamen Eskalationsweg besitzen. Seine organisatorische Stellung muss Konflikte mit reinen IT-Betriebszielen beherrschbar machen.
Wenn der CISO zugleich operative Kontrollen verantwortet, braucht es unabhängige Prüfung durch interne Revision, Compliance oder externe Stellen. Wer eine Maßnahme gestaltet, sollte ihre Wirksamkeit nicht allein bestätigen. Die Leitung erkennt diese Funktionstrennung im Governance-Modell an.
Fachbereiche in die Leitungsverantwortung einbinden
Cyberrisiken entstehen in Produktions-, Vertriebs-, Personal- und Lieferprozessen. Fachverantwortliche kennen Auswirkungen und Ersatzverfahren. Sie bestätigen Kritikalität, Wiederherstellungsziele und akzeptable Betriebsgrenzen. IT und Sicherheit liefern technische Bewertung, ersetzen aber keine fachliche Entscheidung.
In Bereichsreviews werden kritische Dienste, Abhängigkeiten und Ausnahmen behandelt. Die Ergebnisse fließen in das zentrale Cockpit. Dadurch werden Sicherheitsmaßnahmen nicht als Fremdvorgabe betrachtet, sondern als Bestandteil der Prozessverantwortung. Eskalationen folgen einer bekannten Führungsstruktur. Bereichsziele enthalten ausdrücklich die vereinbarten Sicherheitswirkungen.
Regelmäßige Schulung nach § 38 Absatz 3
Die Geschäftsleitung muss regelmäßig ausreichende Kenntnisse und Fähigkeiten erwerben, um Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten sowie Auswirkungen auf Dienste beurteilen zu können. Das Gesetz nennt keine universelle Stundenanzahl. Inhalt, Frequenz und Tiefe sollten deshalb aus Rolle, Risiko und Veränderung abgeleitet werden.
Ein jährlicher Grundzyklus wird durch anlassbezogene Updates ergänzt, etwa nach schwerem Vorfall, wesentlicher Gesetzesänderung oder neuer kritischer Technologie. Die Schulung verbindet Recht, Geschäftsrisiko und Entscheidungsfälle. Technische Details werden so weit vermittelt, wie sie für informierte Leitungshandlungen erforderlich sind.
Ein sinnvolles Schulungscurriculum
Modul eins behandelt NIS2-Betroffenheit, Pflichten, Aufsicht und persönliche Verantwortung. Modul zwei erklärt die wichtigsten Dienste, Bedrohungsszenarien und Abhängigkeiten des Unternehmens. Modul drei behandelt Risikobewertung, Maßnahmenwirkung und Restrisiko. Modul vier simuliert einen erheblichen Sicherheitsvorfall mit Meldung und Krisenentscheidung.
Weitere Inhalte sind Lieferkettensicherheit, Wiederherstellung, privilegierte Zugänge und Interpretation von Kennzahlen. Das Curriculum wird nicht als allgemeiner Awareness-Kurs gestaltet. Es nutzt reale, anonymisierte Unternehmensfälle und zwingt zu Entscheidungen unter Unsicherheit. Unterschiedliche Ressorts erhalten ergänzende fachbezogene Vertiefungen.
Schulungserfolg statt bloßer Teilnahme
Teilnahmelisten beweisen Anwesenheit, aber nicht ausreichende Entscheidungsfähigkeit. Kurze Fallübungen zeigen, ob Mitglieder ein Risiko erkennen, Rückfragen stellen und Eskalationsbedarf beurteilen. Erkenntnisse werden genutzt, um Berichtsformat und weitere Schulungen zu verbessern.
Der Nachweis enthält Datum, Teilnehmer, Rolle, Lernziele, Inhalte, Trainerqualifikation und Übungsergebnis. Verhinderte Mitglieder erhalten einen Ersatztermin. Neue Mitglieder absolvieren zeitnah eine Einführung. Der regelmäßige Zyklus ist in der Corporate-Governance-Kalenderplanung verankert. Erkenntnisse aus Wissenslücken werden systematisch in das nächste Folgeprogramm übernommen.
Das Managementreview als zentraler Nachweis
Ein strukturiertes Managementreview verbindet Umsetzung und Überwachung. Es behandelt Veränderungen, Risikolage, Vorfälle, Kontrollergebnisse, Lieferanten, Ressourcen, Ziele, Feststellungen und Verbesserung. Entscheidungen werden mit Verantwortlichem und Termin protokolliert.
Das Review sollte nicht zum Ablesen eines langen Dashboards werden. Vorlagen markieren ausdrücklich, welche Entscheidungen benötigt werden. Nicht entschiedene Punkte werden mit Grund und Wiedervorlage geführt. Dadurch entsteht eine durchgängige Spur von Information über Beschluss bis zur Umsetzung. Protokolle unterscheiden Kenntnisnahmen klar von verbindlichen Entscheidungen.
Kennzahlen, die Leitungshandeln ermöglichen
Gute Kennzahlen zeigen Exposition und Wirkung: Anteil kritischer Dienste mit getesteter Wiederherstellung, privilegierte Zugänge ohne Zielkontrolle, überfällige Hochrisikoschwachstellen, offene Lieferantenrisiken, Zeit bis Incident-Eskalation und Wirksamkeit zentraler Kontrollen. Trends und Schwellen liefern Kontext.
Reine Mengen wie blockierte Angriffe oder versendete Awareness-Mails können ohne Bezugsgröße irreführen. Jede Kennzahl besitzt Definition, Quelle, Eigentümer, Aktualität und Entscheidungsregel. Qualitätsprüfungen verhindern, dass eine grüne Ampel aus unvollständigen Daten entsteht. Wesentliche Datenlücken erscheinen selbst als berichtspflichtiges Risiko.
Kontrolltests als Evidenz für Überwachung
Die Leitung muss nicht selbst jeden Restore ausführen. Sie muss aber sicherstellen, dass angemessene Tests geplant, unabhängig bewertet und nachverfolgt werden. Ein Jahresplan ordnet kritische Kontrollen, Testmethode, Prüfer und Berichtsweg zu. Hochrisikobereiche werden häufiger oder tiefer geprüft.
Ergebnisse zeigen Ziel, Stichprobe, Abweichung und Restrisiko. Eine Maßnahme gilt erst als geschlossen, wenn die Wirkung bestätigt ist. Wiederkehrende Feststellungen werden als systemisches Problem eskaliert. Die Leitung entscheidet bei fehlenden Ressourcen über Priorität oder bewusste Risikoakzeptanz.
Risikoakzeptanz nachvollziehbar dokumentieren
Eine wirksame Vorlage beschreibt Dienst, Szenario, Ursache, mögliche Auswirkungen, bestehende Kontrollen, Alternativen, Kosten, Laufzeit und Empfehlung. Der akzeptierende Entscheider muss über ausreichende Befugnis verfügen. Gesetzliche Mindestpflichten lassen sich nicht durch interne Akzeptanz abbedingen.
Jede Akzeptanz besitzt Ablaufdatum und Trigger für eine frühere Neubewertung. Dazu gehören Vorfall, neue Schwachstelle, Systemänderung oder geänderte Geschäftsauswirkung. Kompensierende Maßnahmen werden wie andere Kontrollen getestet. Abgelaufene Ausnahmen erscheinen automatisch im Leitungsbericht. Wiederholte Verlängerungen benötigen eine erhöhte Eskalationsstufe.
Budgetentscheidungen mit Risikowirkung begründen
Cyberbudgets werden häufig als Summe von Produkten präsentiert. Besser ist die Zuordnung zu Diensten und Szenarien. Eine Investition in Identitätssicherheit reduziert konkrete Angriffspfade; zusätzliche Backup-Technik verbessert bestimmte Wiederherstellungsziele. Die erwartete Wirkung wird vor Beschluss festgelegt.
Nach Umsetzung prüft die Organisation, ob die Zielwirkung erreicht wurde. So kann die Leitung zwischen Alternativen entscheiden und unwirksame Ausgaben erkennen. Mehrjahresplanungen zeigen Abhängigkeiten, Betriebsaufwand und benötigte Kompetenzen statt nur Anschaffungskosten. Abweichungen werden in der nächsten Planungsrunde transparent korrigiert.
Vorfalleskalation an die Geschäftsleitung
Das Incident-Runbook nennt Trigger für sofortige Leitungseinbindung: mögliche erhebliche Meldung, Ausfall eines wesentlichen Dienstes, Gefahr für Personen, hohe finanzielle Wirkung, erhebliche Kundenbetroffenheit oder öffentliche Aufmerksamkeit. Vertretungen und sichere Kommunikationswege sind geregelt.
Die erste Lageinformation trennt bestätigte Fakten, Annahmen und offene Fragen. Sie enthält nächste Meldefrist, Handlungsoptionen und benötigte Entscheidung. Die Leitung protokolliert wesentliche Beschlüsse, ohne technische Teams durch unnötige Detailanforderungen zu blockieren. Regelmäßige Updates halten Entscheidungen mit der Lageentwicklung synchron.
Tabletop-Übungen für Leitungsorgane
Eine Übung simuliert beispielsweise die Kompromittierung eines zentralen Dienstleisters, Produktionsausfall und drohende Veröffentlichung von Daten. Die Leitung muss Prioritäten, Kundeninformation, Ersatzbetrieb, Behördenmeldung und Ressourcen entscheiden. Neue Informationen werden schrittweise eingespielt.
Die Auswertung betrachtet Entscheidungszeit, Informationsqualität, Rollenverständnis und Widersprüche. Maßnahmen erhalten Eigentümer und Termin. Eine Wiederholungsübung prüft die Verbesserung. Das Protokoll dient zugleich als Nachweis praktischer Schulung und Überwachung. Sensible Übungsdaten werden angemessen geschützt, eindeutig klassifiziert und sicher aufbewahrt.
Lieferantenrisiken auf Leitungsebene steuern
Kritische Abhängigkeiten und Konzentrationen sind Geschäftsrisiken. Die Leitung genehmigt Kriterien, ab wann ein Anbieter als kritisch gilt und welche Mindestkontrollen erforderlich sind. Fälle ohne angemessene Informationen, Exit-Möglichkeit oder Vorfallunterstützung werden eskaliert.
Ein Bericht zeigt, welche wesentlichen Dienste von einzelnen Cloud-, Software- oder Managed-Service-Anbietern abhängen. Vertragsstatus allein genügt nicht; technische Nutzung, Unterauftragnehmer und Wiederherstellung werden einbezogen. Die Leitung entscheidet über Akzeptanz, Diversifizierung oder Ablösung. Kritische Abhängigkeiten fließen regelmäßig in Kontinuitätsübungen ein.
Haftung sachlich einordnen
§ 38 Absatz 2 verweist bei Pflichtverletzungen auf die für die Rechtsform geltenden gesellschaftsrechtlichen Haftungsregeln und enthält eine ergänzende Regel. Das Risiko sollte weder dramatisiert noch verharmlost werden. Entscheidend ist ein ordnungsgemäßer, informierter und dokumentierter Entscheidungsprozess.
Rechtsberatung klärt den konkreten Rahmen. Operativ helfen klare Zuständigkeiten, ausreichende Informationsgrundlage, Behandlung erkennbarer Lücken und Nachverfolgung von Beschlüssen. Eine umfangreiche Präsentation schützt nicht, wenn bekannte kritische Risiken ohne Entscheidung liegen bleiben. Die Dokumentation muss daher tatsächliches Leitungshandeln widerspiegeln.
Aufsicht und Nachweisanforderungen vorbereiten
Das BSI kann gegenüber besonders wichtigen Einrichtungen unter anderem unabhängige Audits, Prüfungen oder Zertifizierungen zur Kontrolle bestimmter Pflichten anordnen. Auch die Schulungspflicht kann Gegenstand der Prüfung sein. Wichtige Einrichtungen unterliegen einem anderen, stärker anlassbezogenen Aufsichtsansatz.
Die Nachweisakte umfasst Betroffenheitsbeschluss, Governance, Schulungen, Managementreviews, Risikoentscheidungen, Kontrolltests und Maßnahmenverfolgung. Sie entsteht aus dem normalen Führungsprozess. Ad-hoc erstellte Protokolle kurz vor einer Prüfung erzeugen Widersprüche und belegen keine kontinuierliche Überwachung. Aufbewahrung und Zugriff sind verbindlich geregelt.
Zusammenspiel mit ISO 27001 und anderen Governance-Systemen
Ein vorhandenes ISMS kann Managementreview, Risikoprozess, Audit, Korrekturmaßnahmen und Dokumentenlenkung liefern. Der Scope muss jedoch die NIS2-betroffene Einrichtung und ihre Dienste abdecken. Eine Zertifizierung ersetzt weder gesetzliche Leitungspflicht noch systembezogene Wirksamkeitsprüfung.
Bestehende Risiko-, Compliance- und Revisionsausschüsse sollten genutzt werden, wenn Mandat und Informationsfluss passen. Parallele Cyber-Gremien erhöhen Aufwand und können Verantwortung verwischen. Ein Mapping zeigt, wo ein bestehender Prozess vollständig, teilweise oder nicht ausreichend abdeckt. Fehlende Entscheidungsrechte werden im Mandat ausdrücklich ergänzt.
Beispiel für einen vierteljährlichen Leitungszyklus
Im ersten Monat aktualisieren Dienst- und Kontrollverantwortliche Risiken und Evidenz. Der CISO prüft Qualität, konsolidiert Abweichungen und bereitet Entscheidungsvorlagen vor. Im zweiten Monat behandelt ein Risikogremium fachliche Konflikte. Anschließend entscheidet die Geschäftsleitung über Restrisiken, Ressourcen und Eskalationen.
Beschlüsse fließen in Maßnahmenregister und Budget. Kritische Punkte werden monatlich nachverfolgt, während das vollständige Cockpit vierteljährlich aktualisiert wird. Ein jährliches Review bewertet Methode, Risikobereitschaft, Ziele und Schulungsbedarf. Vorfälle lösen den Zyklus jederzeit anlassbezogen aus.
Beispiel: überfällige Ablösung eines Altsystems
Ein Produktionssystem besitzt keinen Herstellersupport, kann aber kurzfristig nicht ersetzt werden. Der Fachbereich beschreibt Geschäftswirkung, IT und Sicherheit bewerten Angriffspfade und kompensierende Segmentierung. Finance legt Kosten und Zeitplan einer Ablösung vor. Die Leitung erhält damit eine vollständige Entscheidungsvorlage.
Sie genehmigt befristeten Weiterbetrieb mit Netzwerkisolation, strengem Fernzugriff, Überwachung und getestetem Ersatzverfahren. Das Ablaufdatum und monatliche Statusberichte werden beschlossen. Nach Umsetzung der Ablösung bestätigt ein Kontrolltest, dass das alte System und seine Zugänge vollständig entfernt sind.
Typische Fehler in der Leitungspraxis
Häufig beschränkt sich die Leitung auf jährliche Richtlinienfreigabe oder erhält nur technische Kennzahlen. Weitere Fehler sind Risikoakzeptanzen ohne Ablaufdatum, Schulungen ohne Unternehmensbezug und Maßnahmenstatus ohne Wirksamkeitsnachweis. In Konzernen bleibt zudem oft unklar, welche Tochterleitung welchen Beschluss trägt.
Ein gutes Modell hält Berichte kurz, aber evidenzbasiert. Es verlangt Entscheidungen statt Kenntnisnahme, macht Unsicherheit sichtbar und verfolgt Beschlüsse. Die Leitung wird nicht zum technischen Administrator, sondern erfüllt ihre Rolle als informierter Risikoeigentümer und Ressourcenentscheider.
Fazit: Leitungspflicht zeigt sich in Entscheidungen und Kontrolle
NIS2 verlangt von Geschäftsleitungen Umsetzung, Überwachung und regelmäßige Kompetenzentwicklung. Erfüllung entsteht durch ein verbundenes System aus Dienstsicht, Risikobereitschaft, Maßnahmen, Tests, Eskalation, Managementreview und nachvollziehbaren Beschlüssen. Delegation bleibt möglich, Verantwortung und informierte Entscheidung jedoch nicht.
BlackMount unterstützt bei der NIS2-Governance für Geschäftsleitungen: mit Rollenmodell, Schulung, Leitungs-Cockpit, Risiko- und Ausnahmevorlagen, Tabletop-Übungen und prüfbarer Nachweisstruktur. Ziel ist ein Führungsprozess, der Cyberrisiken verständlich macht und wirksame Entscheidungen rechtzeitig ermöglicht. Dabei bleibt die Leitung informiert, ohne operativ überfrachtet zu werden.
