NIS2-Check / Haftung der Geschäftsleitung
NIS2: die Verantwortung der Geschäftsleitung
NIS2 macht die Führungsebene zur Chefsache. Die Geschäftsleitung muss die Maßnahmen billigen, überwachen und sich schulen. Eine persönliche Haftung ist möglich.
Anders als früher schiebt das NIS2-Umsetzungsgesetz die Verantwortung nicht allein in die IT. § 38 BSIG verpflichtet die Geschäftsleitung selbst. Cybersicherheit wird damit zur Aufgabe der Führung.
Die drei Pflichten der Führung
- Billigen: Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 ausdrücklich billigen.
- Überwachen: Sie muss die Umsetzung der Maßnahmen überwachen und darf sie nicht nur delegieren.
- Schulen: Sie muss sich selbst schulen, um Risiken einschätzen und die Maßnahmen beurteilen zu können.
Was das praktisch bedeutet
Die Führungsebene sollte den Stand der NIS2-Umsetzung regelmäßig auf die Tagesordnung setzen, Entscheidungen dokumentieren und sich über die wesentlichen Risiken berichten lassen. Eine nachvollziehbare Dokumentation der Billigung und der Überwachung ist dabei zentral, denn im Prüfungsfall zählt der Nachweis.
Wie die Billigung dokumentiert wird
Die Billigung ist ein formaler Akt und sollte auch so behandelt werden. Bewährt hat sich ein Beschluss der Geschäftsleitung, der die Risikomanagementmaßnahmen benennt, das Datum trägt und im Protokoll festgehalten wird, ergänzt um einen regelmäßigen Bericht zum Umsetzungsstand. Wer das nicht dokumentiert, hat die Pflicht im Zweifel erfüllt, kann es aber nicht zeigen. Im Prüfungsfall ist das derselbe Befund.
Was die Schulungspflicht bedeutet
Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen und vergleichbares Wissen in der Belegschaft fördern. Gemeint ist keine technische Ausbildung, sondern die Fähigkeit, Risiken einzuordnen, Berichte zu hinterfragen und Maßnahmen zu beurteilen. Termin, Inhalt und Teilnehmerkreis sollten festgehalten werden, damit die Teilnahme belegbar ist.
Der Ausgangspunkt bleibt die Betroffenheit
Die Pflichten der Geschäftsleitung greifen nur, wenn die Einrichtung betroffen ist. Der NIS2-Check klärt die Betroffenheit kostenlos und zeigt, welche Pflichten daraus folgen, jeweils mit Paragrafenbezug.
Häufige Fragen
Kann die Geschäftsleitung die Verantwortung delegieren?
Aufgaben ja, die Verantwortung für Billigung und Überwachung nicht vollständig. § 38 adressiert die Führung selbst.
Gilt das auch für Geschäftsführer kleiner GmbHs?
Wenn die Einrichtung betroffen ist, ja. Maßgeblich ist die Betroffenheit nach § 28, nicht die Rechtsform.
Wie weist man die Billigung nach?
Durch dokumentierte Beschlüsse, Protokolle und einen nachvollziehbaren Umgang mit den Berichten zur Umsetzung.
Sind Sie NIS2-betroffen? Prüfen Sie es kostenlos.
Sektor und Größe eingeben, in unter einer Minute Ihre Einstufung, die Registrierungspflicht und den Pflichten-Fahrplan erhalten. Kostenlos, ohne Konto.
Betroffenheit prüfenKeine Rechtsberatung. Eine erste Einschätzung auf Basis Ihrer Angaben und der aktuellen Struktur des NIS2-Umsetzungsgesetzes.