Informationssicherheits- und Datenschutzexpertin
November 28, 2025
5 Minuten
.svg)
NIS2 macht Cybersicherheit zu einer klaren Managementpflicht, die nicht an die IT delegiert werden kann.
Führungskräfte müssen Cyberrisiken wie Finanz- oder Marktrisiken strategisch bewerten und aktiv steuern.
Effektive Aufsicht entsteht durch verständliche KPIs, regelmäßige Berichte und konsequente Risikoüberwachung.
Schulungen und gezielte Fragen an das IT-Team sind zentrale Instrumente, um Haftungsrisiken zu vermeiden und Compliance sicherzustellen.
Stellen Sie sich vor, Sie sitzen in Ihrer nächsten Vorstandssitzung. Auf der Agenda: Cybersicherheit. Ihr CIO präsentiert eine Folie voller Fachbegriffe – „Endpoint Detection“, „Zero-Trust-Architektur“, „SIEM-Protokolle“. Sie nicken verständnisvoll, aber insgeheim fragen Sie sich: „Genehmige ich hier gerade das Richtige? Und woher weiß ich, ob unsere Millioneninvestition uns wirklich schützt?“
Wenn Ihnen dieses Szenario bekannt vorkommt, sind Sie nicht allein. Für viele Führungskräfte ohne tiefen IT-Hintergrund ist die Überwachung der Cybersicherheit eine Blackbox. Doch mit der neuen NIS2-Richtlinie hat sich die Lage grundlegend geändert. Die Aufsicht über Cybersicherheit ist keine delegierbare IT-Aufgabe mehr, sondern eine unmissverständliche, persönliche Verantwortung der Geschäftsleitung – inklusive potenzieller Haftung.
Die gute Nachricht: Sie müssen kein IT-Experte werden, um dieser Verantwortung gerecht zu werden. Sie müssen nur lernen, die richtigen Fragen zu stellen und Cybersicherheit als das zu behandeln, was es ist: eine zentrale unternehmerische Risikoart. Dieser Leitfaden übersetzt die komplexen Anforderungen in Ihre Sprache und gibt Ihnen die Werkzeuge an die Hand, die Sie für eine effektive Aufsicht benötigen.
Der größte Fehler, den Führungskräfte bei NIS2 machen, ist, das Thema in der IT-Abteilung zu verorten. Das ist so, als würde man das Finanzrisiko ausschließlich dem Controlling überlassen, ohne dass der Vorstand die Bilanzen versteht. Cybersicherheit ist ein Geschäftsrisiko mit potenziell verheerenden Auswirkungen auf Finanzen, Betrieb, Reputation und rechtliche Konsequenzen.
Ihre Aufgabe als Führungskraft ist es nicht, die Funktionsweise einer Firewall zu verstehen. Ihre Aufgabe ist es, die Auswirkungen eines Cyberangriffs auf Ihre Geschäftsziele zu bewerten und sicherzustellen, dass angemessene Maßnahmen zur Risikominderung getroffen werden.
Denken Sie an Cyberrisiken genau wie an andere Geschäftsrisiken:
Sobald Sie diesen gedanklichen Schalter umlegen, wird Ihre Rolle klarer: Sie sind nicht der Techniker, sondern der Risikomanager.
Diese Grafik erklärt, dass NIS2 Cyberrisiken eine wesentliche Risikoart im Unternehmen sind – ähnlich wichtig wie Finanz- oder Marktrisiken – und daher in die Aufsicht des Vorstands fallen.
Die NIS2-Anforderungen an die Geschäftsleitung lassen sich in einem einfachen, aber wirkungsvollen Governance-Rahmen zusammenfassen. Dieser Rahmen gibt Ihnen eine klare Struktur für Ihre Aufsichtstätigkeit.
Dieser Ablaufplan zeigt, wie nicht-technische Führungskräfte ihre NIS2-Aufsichtspflichten in einfachen, umsetzbaren Schritten erfüllen können: genehmigen, überwachen und sich selbst schulen.
Ihre erste Pflicht ist die „Billigung“ von Risikomanagement-Maßnahmen. Das bedeutet, dass Sie die vorgeschlagenen Sicherheitskonzepte aktiv verstehen und genehmigen müssen. Es reicht nicht aus, ein Budget freizugeben, weil die IT-Abteilung es anfordert.
So setzen Sie es um:
Frage an Ihren CISO: „Welches sind die Top-3-Cyberrisiken, die unseren Geschäftserfolg am stärksten bedrohen, und wie reduziert der vorgeschlagene Plan diese Risiken in verständlichen Prozentzahlen?“
Die Genehmigung von Maßnahmen ist nur der Anfang. Ihre Kernaufgabe ist die kontinuierliche Überwachung ihrer Wirksamkeit. Sie müssen sicherstellen, dass die implementierten Schutzmechanismen auch wirklich funktionieren.
So setzen Sie es um:
Frage an Ihren CISO: „Wie schnell können wir einen schwerwiegenden Sicherheitsvorfall erkennen und darauf reagieren? Haben wir das schon einmal geübt?“
NIS2 schreibt explizit vor, dass auch die Leitungsorgane selbst an Cybersicherheitsschulungen teilnehmen müssen. Dies soll sicherstellen, dass Sie die Risiken, denen Ihr Unternehmen ausgesetzt ist, identifizieren und verstehen können.
So setzen Sie es um:
Ihre stärkste Waffe als nicht-technische Führungskraft ist die Fähigkeit, die richtigen Fragen zu stellen. Sie zwingen Ihr Team, technische Details in Geschäftslogik zu übersetzen und zeigen, dass Sie Ihrer Aufsichtspflicht aktiv nachkommen.
Hier sind einige Schlüsselfragen, gegliedert nach Themenbereichen:
Theorie ist gut, aber Handeln ist besser. Hier ist ein einfacher Plan, um sofort zu starten:
Dieses Dashboard-Mockup hilft Führungskräften, kritische Sicherheitskennzahlen in Geschäftssprache zu verstehen und im Vorstand effektiv zu überwachen.
Die NIS2-Richtlinie mag auf den ersten Blick wie eine weitere regulatorische Belastung wirken. Doch bei genauerer Betrachtung ist sie eine Chance: eine Chance, die Widerstandsfähigkeit Ihres Unternehmens fundamental zu stärken und Cybersicherheit als strategischen Vorteil zu nutzen.
Indem Sie Ihre Aufsichtspflicht ernst nehmen, schützen Sie nicht nur sich selbst vor persönlicher Haftung, sondern sichern auch die Zukunft Ihres Unternehmens in einer zunehmend digitalisierten Welt. Sie müssen dafür kein Technik-Guru werden. Sie müssen nur eine engagierte, neugierige und verantwortungsbewusste Führungskraft sein – die gelernt hat, die richtigen Fragen zu stellen.
Wenn Sie den Prozess der NIS2-Implementierung vereinfachen und automatisieren möchten, kann eine Plattform wie das Digital Compliance Office von SECJUR Ihnen helfen, den Überblick zu behalten und Ihre Aufsichtspflichten effizient zu erfüllen.
Die Geschäftsleitung muss die Umsetzung von Cybersicherheitsmaßnahmen nicht nur genehmigen („billigen“), sondern deren Wirksamkeit auch aktiv und kontinuierlich „überwachen“. Zudem ist sie verpflichtet, sich selbst zu schulen, um Cyberrisiken zu verstehen.
Bei Verstößen drohen empfindliche Bußgelder für das Unternehmen (bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes). Darüber hinaus sieht das Gesetz eine persönliche Haftung der Geschäftsleiter vor. Im Extremfall kann sogar ein vorübergehendes Verbot der Geschäftsführungstätigkeit ausgesprochen werden.
NIS2 betrifft Unternehmen aus 18 Sektoren (u.a. Energie, Verkehr, Gesundheit, digitale Dienste, Produktion, Abfallwirtschaft) ab einer bestimmten Größe (in der Regel ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz). Es ist entscheidend, die eigene Betroffenheit genau zu prüfen.
Nein. Sie können die Umsetzung der Maßnahmen delegieren, aber niemals die Verantwortung. Als Geschäftsleitung bleiben Sie rechenschaftspflichtig und müssen die Arbeit des Dienstleisters genauso überwachen wie die einer internen Abteilung.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Viele Unternehmen fokussieren ihre Cybersicherheit auf interne Systeme, doch mit NIS2 rückt die gesamte Lieferkette ins Zentrum. Dieser Leitfaden zeigt, wie Sie Risiken Ihrer Zulieferer systematisch erkennen, vertraglich absichern und kontinuierlich überwachen. Erfahren Sie, wie Sie aus gesetzlichen Pflichten einen echten Wettbewerbsvorteil machen und Ihre Lieferkette zu einem robusten, resilienten Sicherheitsfaktor ausbauen.
Die neuen NIS2-Meldepflichten stellen viele Unternehmen vor Herausforderungen: strenge Fristen, komplexe Prozesse und hohe Risiken bei Verstößen. Erfahren Sie, wie Automatisierung Ihr Incident Management transformieren kann und Sie rechtskonform bleiben.
Agile Teams fürchten oft, dass ISO 27001 ihre Geschwindigkeit bremst, doch das Gegenteil ist wahr. Dieser Leitfaden zeigt, wie moderne Versionskontrolle in Confluence oder Git Ihre Dokumentation auditfest macht, ohne die Agilität zu verlieren. Erfahren Sie, wie Sie Änderungen transparent steuern, Freigaben sauber dokumentieren und Ihr ISMS nahtlos in den Entwicklungsfluss integrieren – für mehr Sicherheit, Effizienz und echte Compliance im Alltag.
.svg)
.svg)
.svg){kind=small}