Informationssicherheits- und Datenschutzexpertin
November 28, 2025
5 Minuten
.svg)
NIS2 macht Cybersicherheit zur persönlichen Verantwortung der Geschäftsführung.
Genehmigen allein reicht nicht – aktive Überwachung ist zwingend erforderlich.
Fehlende Management-Beteiligung kann zu persönlicher Haftung führen.
Eine saubere Dokumentation schützt im Ernstfall vor rechtlichen Konsequenzen.
Stellen Sie sich vor, das Stromnetz Ihrer Region fällt aus. Oder die Wasserversorgung. Oder die IT-Systeme des größten Krankenhauses der Stadt werden lahmgelegt. Die Ursache: ein Cyberangriff, der hätte verhindert werden können. Die Frage, die sich die Behörden nun stellen, lautet nicht mehr nur: „Was hat die IT-Abteilung falsch gemacht?“, sondern: „Was hat die Geschäftsführung versäumt, um dies zu verhindern?“
Mit der Einführung der NIS2-Richtlinie hat sich die Spielregel für Betreiber kritischer Infrastrukturen (KRITIS) fundamental geändert. Cybersicherheit ist endgültig kein reines IT-Thema mehr, das an den CISO delegiert werden kann. Sie ist zu einer zentralen Governance-Aufgabe geworden, für deren Umsetzung und Überwachung die Leitungsorgane persönlich haften. Für Geschäftsführer von Energieversorgern, Krankenhäusern oder Verkehrsbetrieben bedeutet das: Wegschauen ist keine Option mehr.
Bisher konnten sich viele Führungskräfte darauf verlassen, dass die technischen Aspekte der Cybersicherheit von Spezialisten erledigt werden. Die NIS2-Richtlinie durchbricht diese Denkweise radikal. Sie verankert die Verantwortung für das Risikomanagement direkt auf der obersten Führungsebene. Das bedeutet, Leitungsorgane müssen die Cybersicherheitsmaßnahmen nicht nur genehmigen, sondern deren Umsetzung aktiv überwachen und nachweisen können, dass sie ihrer Sorgfaltspflicht nachgekommen sind.
Die Delegation der Aufgaben an einen IT-Leiter entbindet die Geschäftsführung nicht mehr von ihrer Rechenschaftspflicht. Im Gegenteil: Sie muss sicherstellen, dass die beauftragten Personen die nötigen Ressourcen (Budget, Personal, Zeit) erhalten und ihre Arbeit effektiv kontrolliert wird. Diese neuen Pflichten lassen sich in vier Kernbereiche unterteilen.
Für KRITIS-Betreiber sind diese Governance-Anforderungen besonders streng, da ein Ausfall ihrer Dienste unmittelbare Auswirkungen auf die Gesellschaft hat. Die Geschäftsführung muss die folgenden vier Pflichten verstehen und aktiv umsetzen:
Die Geschäftsführung muss die vom Unternehmen ergriffenen Risikomanagementmaßnahmen für die Cybersicherheit explizit „billigen“. Das ist mehr als eine bloße Unterschrift. Es bedeutet, die vorgeschlagenen Konzepte zu verstehen, kritisch zu hinterfragen und sicherzustellen, dass sie angemessen und wirksam sind.
Was das in der Praxis bedeutet:
Die vielleicht größte Veränderung ist die Pflicht zur Überwachung. Es reicht nicht, Maßnahmen zu genehmigen – Sie müssen deren Implementierung und Wirksamkeit kontinuierlich kontrollieren.
Was das in der Praxis bedeutet:
NIS2 schreibt explizit vor, dass die Mitglieder der Leitungsorgane selbst an Schulungen teilnehmen müssen. Ziel ist es, dass sie ausreichende Kenntnisse erwerben, um Cyberrisiken zu erkennen und die vorgeschlagenen Maßnahmen beurteilen zu können. Sie müssen kein IT-Experte werden, aber die Grundlagen der Cybersicherheit und die spezifischen Risiken für Ihr Unternehmen verstehen. Diese NIS2 Schulungen sind obligatorisch und müssen nachgewiesen werden.
Im Falle eines erheblichen Sicherheitsvorfalls trägt die Geschäftsführung die Verantwortung dafür, dass die strengen Meldepflichten an die zuständigen Behörden (wie das BSI) fristgerecht erfüllt werden. Sie muss sicherstellen, dass im Unternehmen klare Prozesse für die Erkennung, Bewertung und Meldung von Vorfällen existieren und funktionieren.
Die Umsetzung dieser Anforderungen mag komplex erscheinen, lässt sich aber in einem strukturierten Prozess bewältigen. Ein allgemeiner NIS2 Umsetzung Leitfaden hilft dabei, die richtigen Schritte in der richtigen Reihenfolge zu gehen. Für die Führungsebene bedeutet dies konkret:
Das "Aha-Erlebnis" für viele Führungskräfte ist die Erkenntnis, dass NIS2 bei grober Fahrlässigkeit nicht nur empfindliche Bußgelder für das Unternehmen vorsieht, sondern auch eine persönliche Haftung der Geschäftsführung. Die NIS2 Haftung für Geschäftsführer kann greifen, wenn nachgewiesen wird, dass die Leitungsorgane ihre Billigungs- und Überwachungspflichten verletzt haben. Dies kann von hohen Geldbußen bis hin zu einem vorübergehenden Verbot der Geschäftsführertätigkeit reichen.
Die Dokumentation Ihrer Entscheidungen und Kontrollmaßnahmen ist daher nicht nur eine bürokratische Übung, sondern Ihr wichtigster Schutzschild im Haftungsfall.
Für Geschäftsführer von KRITIS-Betreibern ist die Botschaft von NIS2 unmissverständlich: Die Zeit, in der Cybersicherheit ein Thema für den Serverraum war, ist vorbei. Sie ist nun ein fester Bestandteil der Unternehmensführung und erfordert Ihre aktive Beteiligung, Ihr Verständnis und Ihre Kontrolle.
Indem Sie diese neue Verantwortung annehmen, schützen Sie nicht nur Ihr Unternehmen vor Angriffen und empfindlichen Strafen, sondern auch sich selbst vor persönlicher Haftung. Viel wichtiger noch: Sie tragen entscheidend dazu bei, die kritischen Infrastrukturen, auf die wir uns alle verlassen, widerstandsfähiger und sicherer zu machen. Der erste Schritt ist, das Thema zur Priorität zu machen – auf Ihrer persönlichen Agenda.
Nein. Einen CISO zu haben, ist ein wichtiger operativer Schritt, aber NIS2 zielt explizit auf die Verantwortung der Geschäftsführung. Sie können die Aufgaben delegieren, aber nicht die Rechenschaftspflicht. Sie müssen die Arbeit des CISO überwachen und mit den nötigen Mitteln ausstatten.
Der größte Unterschied liegt in der expliziten Benennung und den detaillierten Pflichten der Leitungsorgane. Während NIS1 eher allgemeine Anforderungen an die Sicherheit stellte, definiert NIS2 klare Governance-Pflichten wie Billigung, Überwachung und Schulung und koppelt diese an direkte Sanktionen und persönliche Haftung.
Die Frage, wer von NIS2 betroffen ist, hängt von der Branche (z. B. Energie, Gesundheit, Verkehr, Wasser) und der Unternehmensgröße ab. Das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) wird die genauen Schwellenwerte definieren. Eine frühzeitige Prüfung ist für alle KRITIS-Betreiber unerlässlich. Wenn Sie unsicher sind, sollten Sie rechtlichen oder fachlichen Rat einholen.
Nein, NIS2 fordert „angemessene“ Maßnahmen, die dem Risiko entsprechen. Die Geschäftsführung muss eine nachvollziehbare Abwägung zwischen Risiko, Schutzbedarf und wirtschaftlichen Kosten treffen und diese dokumentieren. Eine fundierte Risikoanalyse ist die Grundlage für diese Entscheidung. Wenn Sie mehr über die Grundlagen erfahren möchten, lesen Sie unseren Artikel Was ist NIS2.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Der EU AI Act stellt Unternehmen vor die Herausforderung, Hochrisiko-KI nicht nur innovativ, sondern auch sicher, transparent und beherrschbar zu entwickeln. Dieser Leitfaden zeigt praxisnah, wie Sie Datenqualität, Cybersicherheit und menschliche Aufsicht technisch sauber umsetzen und damit aus regulatorischem Druck einen Wettbewerbsvorteil machen. Lernen Sie, wie Sie Ihr KI-System strukturiert klassifizieren, dokumentieren und absichern, um vertrauenswürdige KI compliant und marktfähig zu gestalten.
Viele Unternehmen stehen bei NIS2 vor der gleichen Frage: Wann ist ein Sicherheitsvorfall wirklich „erheblich“ und damit meldepflichtig? Dieser Leitfaden liefert klare Antworten mit einer praxisnahen Bewertungsmatrix, die technische, finanzielle und operative Auswirkungen systematisch bewertet. So treffen Sie im Ernstfall fundierte Entscheidungen, vermeiden Bußgelder und stärken nachhaltig Ihre Cybersicherheits-Compliance.
Viele KMU unterschätzen die Bedeutung von Management-Commitment in der ISO 27001, doch ohne eine aktive, sichtbare Führung scheitert jedes ISMS. Dieser Leitfaden zeigt praxisnah, wie Geschäftsführer mit klaren Zielen, echter Beteiligung und nachvollziehbaren Nachweisen Auditoren überzeugen und Informationssicherheit als strategischen Vorteil nutzen.
.svg)
.svg)
.svg){kind=small}