Informationssicherheits- und Datenschutzexpertin
November 28, 2025
5 Minuten
.svg)
NIS2 verpflichtet die Geschäftsleitung zu aktivem Verständnis statt reinem Abnicken von IT-Berichten.
Technische Kennzahlen müssen in Geschäftsrisiken, Kosten und Auswirkungen übersetzt werden.
Ein strukturiertes Reporting reduziert persönliche Haftungsrisiken von Vorständen deutlich.
Effektive CISO-Kommunikation macht Cybersicherheit zum strategischen Steuerungsinstrument.
Stellen Sie sich folgende Szene vor: Der Chief Information Security Officer (CISO) präsentiert seinen Quartalsbericht. Die Folien sind gefüllt mit CVE-Scores, Patch-Leveln und Endpoint-Detection-Raten. Die Geschäftsleitung nickt anerkennend, aber die Blicke sind leer. Man versteht die Worte, aber nicht die Konsequenzen. Am Ende der Präsentation bleibt eine entscheidende Frage unbeantwortet: „Sind wir sicher und was kostet es uns, wenn wir es nicht sind?“
Dieses Szenario ist mehr als nur ein alltägliches Missverständnis. Unter der neuen NIS2-Richtlinie wird es zur größten Haftungsfalle für Führungskräfte. Denn neun von zehn Berichten an die Geschäftsleitung scheitern nicht an fehlenden Daten, sondern an der fehlenden Übersetzung dieser Daten in entscheidungsrelevante Geschäftsinformationen.
Dieser Artikel ist der Übersetzer, den Sie brauchen. Wir zeigen Ihnen, wie Sie die gesetzlichen Anforderungen von NIS2 in einen effektiven, fortlaufenden Dialog zwischen CISO und Geschäftsleitung verwandeln – und so aus einer reinen Berichtspflicht einen echten strategischen Vorteil machen.
Mit NIS2 rückt die Cybersicherheit endgültig vom Serverraum an den Vorstandstisch. Der Gesetzgeber fordert nicht nur, dass Sicherheitsmaßnahmen implementiert werden, sondern auch, dass die Leitungsebene deren Umsetzung aktiv überwacht und deren Wirksamkeit billigt. Geregelt wird dies explizit in Artikel 20 der NIS2-Richtlinie und im Entwurf des deutschen Umsetzungsgesetzes (§ 38 BSIG-E).
Das bedeutet: Die Geschäftsleitung kann die Verantwortung nicht mehr einfach delegieren. Sie ist verpflichtet, die richtigen Fragen zu stellen und die Antworten zu verstehen. Hier entsteht eine neue, kritische Dynamik:
Ein reines Reporting, das nur technische Kennzahlen auflistet, erfüllt diese Dialogpflicht nicht. Es ist ein Monolog, der die Geschäftsleitung in falscher Sicherheit wiegt und im Schadensfall die Frage nach der persönlichen Haftung der Geschäftsführer laut werden lässt.
Um einen effektiven Dialog zu ermöglichen, braucht es eine gemeinsame Sprache und eine klare Struktur. Ein robustes Reporting-Framework stellt sicher, dass die richtigen Informationen zur richtigen Zeit im richtigen Format ankommen.
Ein guter Bericht beantwortet die Fragen der Geschäftsleitung, bevor sie gestellt werden. Er konzentriert sich auf die Auswirkungen auf das Geschäft und nicht auf die technischen Details. Orientieren Sie sich an diesen fünf Säulen:
Die Frequenz des Reportings sollte sich am Bedarf des Unternehmens orientieren. Eine bewährte Praxis ist:
Die Kunst besteht darin, Komplexität zu reduzieren. Ein effektiver Bericht für die Geschäftsleitung besteht typischerweise aus drei Teilen:
Ein Bericht ist nur der Anfang. Der eigentliche Wert entsteht im Gespräch. Die Geschäftsleitung muss ihrer Überwachungspflicht nachkommen, indem sie kritische Fragen stellt. Der CISO muss in der Lage sein, diese präzise zu beantworten.
Um Ihrer Verantwortung gerecht zu werden, sollten Sie als Führungskraft regelmäßig diese Fragen stellen:
Diese Fragen signalisieren nicht nur Interesse, sondern sind ein dokumentierbarer Nachweis, dass die Geschäftsleitung ihre Aufsichtspflicht ernst nimmt – ein entscheidender Punkt zur Minimierung der NIS2 Haftung für Geschäftsführer.
Für CISOs ist dieser Dialog die größte Chance, Cybersicherheit als Business Enabler zu positionieren. Anstatt um technische Tools zu bitten, argumentieren Sie mit dem Wert, den Sie schaffen:
Die Verantwortung der Geschäftsführung für ISO 27001 und andere Standards folgt einem ähnlichen Prinzip und unterstreicht die Notwendigkeit einer klaren, geschäftsorientierten Kommunikation.
NIS2 erzwingt eine neue Qualität der Zusammenarbeit zwischen CISO und Geschäftsleitung. Ein reines Abhaken von Berichtspflichten genügt nicht mehr. Es braucht einen kontinuierlichen, strategischen Dialog, der auf einer gemeinsamen Sprache und gegenseitigem Verständnis beruht.
Wenn CISOs lernen, technische Risiken in Geschäftschancen und -risiken zu übersetzen, und die Geschäftsleitung lernt, die richtigen Fragen zu stellen, wird Cybersicherheit von einer lästigen Pflicht zu einem integralen Bestandteil der Unternehmensstrategie. Ein durchdachtes Reporting ist der Schlüssel zu diesem Wandel. Es minimiert nicht nur die persönliche Haftung, sondern schafft auch eine widerstandsfähigere und erfolgreichere Organisation.
Die Geschäftsleitung ist dafür verantwortlich, die Umsetzung von Cybersicherheitsmaßnahmen zu überwachen und deren Wirksamkeit zu billigen. Sie muss Risikomanagementmaßnahmen als Teil der Unternehmensführung verstehen und aktiv steuern. Ein reines Delegieren an die IT-Abteilung ist nicht mehr ausreichend.
Das Gesetz schreibt keine exakten Intervalle vor, aber die Best Practice empfiehlt einen strategischen Bericht mindestens quartalsweise. Bei schwerwiegenden Sicherheitsvorfällen muss eine unverzügliche Meldung erfolgen.
NIS2 verlangt explizit, dass die Leitungsorgane Schulungen absolvieren, um Cyberrisiken und deren Auswirkungen auf das Unternehmen verstehen und bewerten zu können. Dies ist ein zentraler Baustein, um der Überwachungspflicht nachzukommen.
Nein. Während die operative Umsetzung delegiert werden kann (und sollte), verbleibt die Letztverantwortung für die Überwachung, Billigung und Bereitstellung von Ressourcen bei der Geschäftsleitung. Sie muss nachweisen können, dass sie ihre Aufsichtspflicht erfüllt hat.
Nandini Suresh ist Compliance Expert bei SECJUR und spezialisiert auf Datenschutz, Cybersecurity und geistiges Eigentum. Bevor sie zu SECJUR kam, war sie unter anderem bei Bird & Bird sowie Lorenz Seidler Gossel tätig und betreute dort internationale Mandate im Marken- und Datenschutzrecht. Durch ihre Erfahrung an der Schnittstelle von Recht, Technologie und Compliance verbindet sie juristische Präzision mit einem tiefen Verständnis für die regulatorischen Anforderungen moderner Unternehmen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Viele Unternehmen verlassen sich bei der Cloud-Sicherheit auf ihre SaaS-Anbieter, doch NIS2 macht klar: Die Verantwortung bleibt beim Unternehmen. Erfahren Sie, wie das Shared-Responsibility-Modell Ihre Haftung bestimmt, warum Lieferkettensicherheit zur Chefsache wird und wie Sie Cloud- und SaaS-Dienstleister NIS2-konform prüfen. Dieser Leitfaden zeigt praxisnah, wie Sie Risiken aktiv steuern und Ihre Cloud-Sicherheit rechtssicher aufstellen.
Viele Unternehmen wissen, dass NIS2 kommt, doch die Umsetzung wirksamer Incident-Response-Prozesse bereitet oft Unsicherheit. Dieser Leitfaden zeigt, wie Sie Meldepflichten rechtssicher erfüllen, ein handlungsfähiges Response-Team aufbauen und im Ernstfall schnell und strukturiert reagieren. Erfahren Sie, wie Sie aus reaktiver Schadensbegrenzung ein strategisches Sicherheits- und Compliance-System entwickeln, das Ihre Organisation nachhaltig schützt und Vertrauen stärkt.
Die NIS2 Richtlinie markiert einen entscheidenden Schritt der Stärkung der Cybersicherheit in der Europäischen Union. Angesichts steigender Cyberbedrohungen setzt sie klare Standards. Auf Unternehmen kommen erhebliche finanzielle Investitionen zu. Die Richtlinie fördert Zusammenarbeit zwischen Mitgliedstaaten, stärkt Resilienz und trägt zur Bewältigung großflächiger Cybersicherheitsvorfälle bei. Zugleich stehen der EU Herausforderungen bevor, die eine regelmäßige Anpassung der Cybersicherheitsstrategie erfordern.
.svg)
.svg)
.svg){kind=small}