Was die Geschäftsleitung wissen muss
Das deutsche BSI-Gesetz weist der Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen eine ausdrückliche Rolle zu. Nach § 38 BSIG muss sie die nach § 30 erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Geschäftsleitungsmitglieder müssen außerdem regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken beurteilen zu können.
Für die Praxis bedeutet das: NIS2 darf nicht als reines IT-Projekt behandelt werden. Die Geschäftsleitung benötigt einen belastbaren Entscheidungs- und Überwachungsprozess mit klaren Verantwortlichkeiten, regelmäßigem Reporting, dokumentierten Risikoentscheidungen und ausreichenden Ressourcen.
Management-Kernaussage: Delegierbar ist viel operative Arbeit. Nicht delegierbar ist die Notwendigkeit, als Geschäftsleitung eine wirksame Steuerung und Überwachung sicherzustellen.
Vier Verantwortungsdimensionen
Umsetzen
Die gesetzlich erforderlichen Risikomanagementmaßnahmen müssen organisatorisch und technisch in der Einrichtung wirksam werden.
Überwachen
Die Geschäftsleitung braucht einen regelmäßigen Überblick über Risiken, Gaps, Vorfälle, Maßnahmenstatus und Wirksamkeit.
Befähigen
Rollen, Mandate, Eskalationswege, Personal und Ressourcen müssen zum gesetzlichen Pflichtenumfang und zur Risikolage passen.
Kenntnisse sichern
Regelmäßige Schulungen müssen ermöglichen, Cyberrisiken und die Auswirkungen von Risikomanagemententscheidungen sachgerecht zu beurteilen.
Welche Entscheidungen nachvollziehbar dokumentiert werden sollten
| Entscheidung | Benötigte Information | Möglicher Nachweis | Rhythmus |
|---|---|---|---|
| NIS2-Scope und Betroffenheit | Rechtsträger, Tätigkeiten, Größenmerkmale, Sondertatbestände | Betroffenheitsbewertung und Beschluss | bei Änderung / mindestens periodisch |
| Risikokriterien | Geschäftsauswirkungen, Risikotoleranz, kritische Dienste | freigegebene Risikomethodik | jährlich und bei wesentlichen Änderungen |
| Priorisierte Maßnahmen | Gaps, Risikoexposition, Aufwand, Abhängigkeiten | Maßnahmenportfolio und Beschluss | regelmäßig |
| Restrisiken und Ausnahmen | Risiko, Kompensationsmaßnahmen, Laufzeit | Risikoakzeptanz / Ausnahmeentscheidung | ereignisbezogen |
| Ressourcen | Personal, Budget, Verantwortlichkeit, kritische Engpässe | Budget- und Ressourcenentscheidung | Planung und bei Eskalation |
| Wirksamkeit | Tests, Auditfeststellungen, Kennzahlen, Vorfälle | Management Review | regelmäßig |
Welche Berichte die Geschäftsleitung benötigt
Ein NIS2-Managementbericht sollte keine Sammlung technischer Rohdaten sein. Entscheidend ist, ob die Informationen Managemententscheidungen ermöglichen. Gute Berichte verbinden Cyberrisiken mit Geschäftsfolgen und zeigen Abweichungen, Entscheidungen und Handlungsbedarf.
- Top-Risiken und Veränderung gegenüber dem letzten Berichtszeitraum
- kritische Executive Gaps und überfällige Managementmaßnahmen
- erhebliche Sicherheitsvorfälle und Lessons Learned
- Wiederherstellungs- und Krisentests mit wesentlichen Ergebnissen
- kritische Lieferanten und wesentliche Abhängigkeiten
- Schwachstellen, exponierte Systeme und relevante Ausnahmeentscheidungen
- Status gesetzlicher Melde-, Registrierungs- und Nachweispflichten
Eine ausführliche Struktur findet sich unter NIS2-Managementbericht strukturieren.
Beispiel für eine Management-Agenda
| Punkt | Managementfrage | Erwartete Entscheidung |
|---|---|---|
| Risikolage | Welche Risiken haben sich wesentlich verändert? | Prioritäten bestätigen oder anpassen |
| Gaps | Welche organisatorischen Fähigkeiten sind nicht ausreichend? | Owner, Termin, Ressource oder Eskalation festlegen |
| Vorfälle | Welche Vorfälle hatten geschäftliche oder regulatorische Bedeutung? | Lessons Learned und Verbesserungen freigeben |
| Resilienz | Was haben Restore-, DR- oder Krisentests gezeigt? | Defizite priorisieren |
| Lieferkette | Welche kritischen Drittparteirisiken bestehen? | Behandlung oder Risikoakzeptanz entscheiden |
| Nachweise | Kann die Umsetzung nachvollziehbar belegt werden? | fehlende Governance-Nachweise adressieren |
Rollen: Geschäftsleitung, CIO, CISO/ISB und Fachbereiche
Die Geschäftsleitung sollte nicht operative Detailarbeit selbst erledigen. Sie muss jedoch sicherstellen, dass Zuständigkeiten eindeutig, Mandate wirksam und Eskalationen möglich sind. CIO und CISO/ISB bereiten Entscheidungsgrundlagen vor, Fachbereiche verantworten geschäftsnahe Risiken und Prozesse, Legal bewertet rechtliche Einzelfragen, Revision oder unabhängige Kontrollen unterstützen die Wirksamkeitsprüfung.
Die Seite NIS2-Verantwortung und Delegation vertieft die Abgrenzung zwischen operativer Durchführung und Leitungsaufsicht.
Warnsignale für unzureichende Governance
- Die Geschäftsleitung erhält nur technische Kennzahlen ohne Geschäftsfolgen.
- Cyberrisiken besitzen keine benannten Risikoeigentümer.
- kritische Maßnahmen bleiben ohne Budget- oder Prioritätsentscheidung offen.
- Risikoakzeptanzen werden mündlich oder zeitlich unbegrenzt erteilt.
- es existiert kein belastbarer Meldeprozess für erhebliche Sicherheitsvorfälle.
- Restore- und Krisentests werden durchgeführt, aber Ergebnisse nicht auf Leitungsebene behandelt.
- die Geschäftsleitung hat keine dokumentierte, regelmäßige Schulung.
10 Executive-Fragen zur Selbstprüfung
- Ist eindeutig dokumentiert, ob und in welchem Scope das Unternehmen unter NIS2 fällt?
- Sind Verantwortlichkeiten, Eskalationswege und Vertretungen wirksam festgelegt?
- Kennt die Geschäftsleitung die wichtigsten Cyberrisiken und deren Geschäftsfolgen?
- Werden wesentliche Restrisiken und Ausnahmen nachvollziehbar entschieden?
- Ist ein dokumentierter und wirksamer Meldeprozess etabliert?
- Kann das Unternehmen kritische Leistungen nach einem Cybervorfall fortführen oder wiederherstellen?
- Werden Risiken aus kritischen Lieferanten systematisch gesteuert?
- Wird die Wirksamkeit zentraler Risikomanagementmaßnahmen regelmäßig überprüft?
- Kann die Umsetzung der wesentlichen Governance-Anforderungen nachvollziehbar belegt werden?
- Erhält die Geschäftsleitung regelmäßig die Informationen, die sie für Entscheidungen und Überwachung benötigt?
Die ersten 30 Tage für die Geschäftsleitung
Für Unternehmen am Anfang der Umsetzung sollte die Geschäftsleitung zuerst Scope und Verantwortlichkeit stabilisieren, anschließend eine belastbare Standortbestimmung verlangen und die kritischsten Gaps priorisieren. Ein vollständiges Programm entsteht nicht in 30 Tagen. In 30 Tagen kann aber Klarheit über Betroffenheit, Verantwortung, Top-Risiken, Meldefähigkeit, Resilienz und Umsetzungsprioritäten hergestellt werden.
Für die strukturierte Standortbestimmung: NIS2-Gap-Analyse durchführen. Für die Umsetzungssteuerung: die ersten 90 Tage der NIS2-Umsetzung.
FAQ für Geschäftsleitungen
Kann die Verantwortung vollständig an IT oder CISO delegiert werden?
Operative Aufgaben können zugewiesen werden. Die gesetzlich hervorgehobene Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung bleibt davon unberührt.
Welche Haftung nennt das BSIG?
§ 38 Absatz 2 BSIG verweist bei Pflichtverletzungen auf die nach der Rechtsform anwendbaren gesellschaftsrechtlichen Haftungsregeln und enthält eine Auffangregel. Die konkrete persönliche Haftung ist eine Rechtsfrage des Einzelfalls.
Reicht ein jährlicher Bericht?
Ein starrer Rhythmus ist nicht für jede Situation sinnvoll. Kritische Risiken, Vorfälle und Zielabweichungen benötigen ereignisbezogene Eskalation; regelmäßige Managementreviews ergänzen diese Steuerung.
Passende NIS2 Resources
Je nach Ausgangslage führt der nächste Schritt entweder zur strukturierten Standortbestimmung oder direkt zur organisatorischen Umsetzung.
NIS2 Self-Assessment Toolkit
Reifegrad bewerten, Executive Gaps erkennen und Managementprioritäten ableiten.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollen, Register, Nachweise und Umsetzungshilfen aufbauen.
Verwandte NIS2-Themen
NIS2-Verantwortung und Delegation
Operative Aufgaben übertragen, ohne Leitungsaufsicht und Eskalation zu verlieren.
NIS2-Gap-Analyse
Managementrelevante Gaps, Risiken und Handlungsbedarf strukturiert bestimmen.
NIS2-Umsetzungsplan
Prioritäten, Verantwortlichkeiten und Nachweise in ein steuerbares Programm überführen.
NIS2 Reference Edition
Der vollständige fachliche Überblick zu NIS2 in Deutschland.
NIS2 Executive Self-Assessment
Standort bestimmen, Executive Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Richtlinien, Standards, Prozesse, Rollenmodelle, Vorlagen und Nachweise für die Umsetzung.
Quellen und Rechtsstand
Die Seite wurde am 9. August 2026 fachlich gegen den aktuellen deutschen Rechtsrahmen und die veröffentlichten Informationen des BSI geprüft. Maßgeblich bleibt der jeweils geltende Gesetzes- und Behördenstand.
- BSI-Gesetz (BSIG) – konsolidierter Gesetzestext
- BSI: NIS-2-regulierte Unternehmen
- BSI: NIS-2-Pflichten
Hinweis: Diese Seite dient der fachlichen Orientierung und ersetzt keine Rechtsberatung oder Einzelfallprüfung.