Informationssicherheits- und Datenschutzexpertin
December 22, 2025
5 Minuten
.svg)
NIS2 verpflichtet die Geschäftsleitung zu aktivem Verständnis statt reinem Abnicken von IT-Berichten.
Technische Kennzahlen müssen in Geschäftsrisiken, Kosten und Auswirkungen übersetzt werden.
Ein strukturiertes Reporting reduziert persönliche Haftungsrisiken von Vorständen deutlich.
Effektive CISO-Kommunikation macht Cybersicherheit zum strategischen Steuerungsinstrument.
Stellen Sie sich folgende Szene vor: Der Chief Information Security Officer (CISO) präsentiert seinen Quartalsbericht. Die Folien sind gefüllt mit CVE-Scores, Patch-Leveln und Endpoint-Detection-Raten. Die Geschäftsleitung nickt anerkennend, aber die Blicke sind leer. Man versteht die Worte, aber nicht die Konsequenzen. Am Ende der Präsentation bleibt eine entscheidende Frage unbeantwortet: „Sind wir sicher und was kostet es uns, wenn wir es nicht sind?“
Dieses Szenario ist mehr als nur ein alltägliches Missverständnis. Unter der neuen NIS2-Richtlinie wird es zur größten Haftungsfalle für Führungskräfte. Denn neun von zehn Berichten an die Geschäftsleitung scheitern nicht an fehlenden Daten, sondern an der fehlenden Übersetzung dieser Daten in entscheidungsrelevante Geschäftsinformationen.
Dieser Artikel ist der Übersetzer, den Sie brauchen. Wir zeigen Ihnen, wie Sie die gesetzlichen Anforderungen von NIS2 in einen effektiven, fortlaufenden Dialog zwischen CISO und Geschäftsleitung verwandeln – und so aus einer reinen Berichtspflicht einen echten strategischen Vorteil machen.
Mit NIS2 rückt die Cybersicherheit endgültig vom Serverraum an den Vorstandstisch. Der Gesetzgeber fordert nicht nur, dass Sicherheitsmaßnahmen implementiert werden, sondern auch, dass die Leitungsebene deren Umsetzung aktiv überwacht und deren Wirksamkeit billigt. Geregelt wird dies explizit in Artikel 20 der NIS2-Richtlinie und im Entwurf des deutschen Umsetzungsgesetzes (§ 38 BSIG-E).
Das bedeutet: Die Geschäftsleitung kann die Verantwortung nicht mehr einfach delegieren. Sie ist verpflichtet, die richtigen Fragen zu stellen und die Antworten zu verstehen. Hier entsteht eine neue, kritische Dynamik:
Ein reines Reporting, das nur technische Kennzahlen auflistet, erfüllt diese Dialogpflicht nicht. Es ist ein Monolog, der die Geschäftsleitung in falscher Sicherheit wiegt und im Schadensfall die Frage nach der persönlichen Haftung der Geschäftsführer laut werden lässt.
Um einen effektiven Dialog zu ermöglichen, braucht es eine gemeinsame Sprache und eine klare Struktur. Ein robustes Reporting-Framework stellt sicher, dass die richtigen Informationen zur richtigen Zeit im richtigen Format ankommen.
Ein guter Bericht beantwortet die Fragen der Geschäftsleitung, bevor sie gestellt werden. Er konzentriert sich auf die Auswirkungen auf das Geschäft und nicht auf die technischen Details. Orientieren Sie sich an diesen fünf Säulen:
Die Frequenz des Reportings sollte sich am Bedarf des Unternehmens orientieren. Eine bewährte Praxis ist:
Die Kunst besteht darin, Komplexität zu reduzieren. Ein effektiver Bericht für die Geschäftsleitung besteht typischerweise aus drei Teilen:
Ein Bericht ist nur der Anfang. Der eigentliche Wert entsteht im Gespräch. Die Geschäftsleitung muss ihrer Überwachungspflicht nachkommen, indem sie kritische Fragen stellt. Der CISO muss in der Lage sein, diese präzise zu beantworten.
Um Ihrer Verantwortung gerecht zu werden, sollten Sie als Führungskraft regelmäßig diese Fragen stellen:
Diese Fragen signalisieren nicht nur Interesse, sondern sind ein dokumentierbarer Nachweis, dass die Geschäftsleitung ihre Aufsichtspflicht ernst nimmt – ein entscheidender Punkt zur Minimierung der NIS2 Haftung für Geschäftsführer.
Für CISOs ist dieser Dialog die größte Chance, Cybersicherheit als Business Enabler zu positionieren. Anstatt um technische Tools zu bitten, argumentieren Sie mit dem Wert, den Sie schaffen:
Die Verantwortung der Geschäftsführung für ISO 27001 und andere Standards folgt einem ähnlichen Prinzip und unterstreicht die Notwendigkeit einer klaren, geschäftsorientierten Kommunikation.
NIS2 erzwingt eine neue Qualität der Zusammenarbeit zwischen CISO und Geschäftsleitung. Ein reines Abhaken von Berichtspflichten genügt nicht mehr. Es braucht einen kontinuierlichen, strategischen Dialog, der auf einer gemeinsamen Sprache und gegenseitigem Verständnis beruht.
Wenn CISOs lernen, technische Risiken in Geschäftschancen und -risiken zu übersetzen, und die Geschäftsleitung lernt, die richtigen Fragen zu stellen, wird Cybersicherheit von einer lästigen Pflicht zu einem integralen Bestandteil der Unternehmensstrategie. Ein durchdachtes Reporting ist der Schlüssel zu diesem Wandel. Es minimiert nicht nur die persönliche Haftung, sondern schafft auch eine widerstandsfähigere und erfolgreichere Organisation.
Die Geschäftsleitung ist dafür verantwortlich, die Umsetzung von Cybersicherheitsmaßnahmen zu überwachen und deren Wirksamkeit zu billigen. Sie muss Risikomanagementmaßnahmen als Teil der Unternehmensführung verstehen und aktiv steuern. Ein reines Delegieren an die IT-Abteilung ist nicht mehr ausreichend.
Das Gesetz schreibt keine exakten Intervalle vor, aber die Best Practice empfiehlt einen strategischen Bericht mindestens quartalsweise. Bei schwerwiegenden Sicherheitsvorfällen muss eine unverzügliche Meldung erfolgen.
NIS2 verlangt explizit, dass die Leitungsorgane Schulungen absolvieren, um Cyberrisiken und deren Auswirkungen auf das Unternehmen verstehen und bewerten zu können. Dies ist ein zentraler Baustein, um der Überwachungspflicht nachzukommen.
Nein. Während die operative Umsetzung delegiert werden kann (und sollte), verbleibt die Letztverantwortung für die Überwachung, Billigung und Bereitstellung von Ressourcen bei der Geschäftsleitung. Sie muss nachweisen können, dass sie ihre Aufsichtspflicht erfüllt hat.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Viele Unternehmen kämpfen damit, ISO-27001-Aufbewahrungsfristen mit DSGVO und GoBD in Einklang zu bringen. Dieser Leitfaden zeigt, wie Sie widersprüchliche Anforderungen auflösen, ein rechtssicheres Löschkonzept entwickeln und Ihren Informationslebenszyklus so steuern, dass Audits problemlos bestehen. Lernen Sie praxisnah, wie Sie Ordnung ins Datenchaos bringen und Compliance in einen echten Effizienz- und Sicherheitsvorteil verwandeln.
Viele Teams fürchten ISO 27001 als Bremsklotz, doch richtig eingesetzt wird Informationssicherheit zum natürlichen Bestandteil agiler Entwicklung. Dieser Leitfaden zeigt, wie Sie A.5.8 nahtlos in Scrum integrieren, Risiken sprintweise steuern und mit klaren Security-Storys, einer starken Definition of Done und gezielten Reviews echte Compliance-Power entfalten. So verwandeln Sie agile Projekte in sichere, auditfeste und zukunftsresiliente Softwareprozesse.
Erfahren Sie, wie der Policy-Lebenszyklus nach ISO 27001 A.5.1 von Erstellung bis Review funktioniert und wie Automatisierung hilft.
.svg)
.svg)
.svg){kind=small}