Ein Paradigmenwechsel
Mit NIS2 ändert sich grundlegend, wer für Cybersicherheit verantwortlich ist. Bislang lag die Verantwortung oft implizit bei der IT-Abteilung. NIS2 verlagert sie ausdrücklich auf die Geschäftsleitung. Artikel 20 der Richtlinie formuliert drei konkrete Pflichten.
Die drei Pflichten der Geschäftsleitung
1. Genehmigungspflicht
Die Geschäftsleitung muss die Cybersicherheitsmaßnahmen nach Artikel 21 aktiv genehmigen. Das bedeutet: Die Maßnahmen müssen vorgelegt, bewertet und freigegeben werden. Ein pauschaler Verweis auf die IT-Abteilung reicht nicht aus.
2. Überwachungspflicht
Die Umsetzung der genehmigten Maßnahmen muss nachweisbar überwacht werden. Die Geschäftsleitung muss sich regelmäßig über den Stand der Cybersicherheit informieren und dokumentieren, dass sie ihrer Aufsichtspflicht nachkommt.
3. Schulungspflicht
Geschäftsführer und Vorstände müssen selbst an Cybersicherheitsschulungen teilnehmen. Nicht als einmalige Formalität, sondern regelmäßig, um ausreichende Kenntnisse zur Bewertung von Risiken und Maßnahmen zu erwerben.
Was bei Pflichtverletzung droht
NIS2 sieht vor, dass die Mitgliedstaaten Regelungen schaffen, nach denen Leitungsorgane für Verstöße persönlich haftbar gemacht werden können. Das betrifft nicht nur die Unternehmensebene (Bußgelder bis 10 Mio. Euro), sondern potenziell auch das Privatvermögen der Geschäftsführung.
In Deutschland greifen zusätzlich die allgemeinen Organhaftungsregeln nach GmbHG (§ 43) und AktG (§ 93). Wer nachweisbar gegen Sorgfaltspflichten verstößt, haftet dem Unternehmen auf Schadensersatz.
Was Geschäftsführer jetzt tun sollten
- Cybersicherheitsmaßnahmen formell auf die Agenda der Geschäftsführung setzen
- Einen dokumentierten Freigabeprozess für Sicherheitsmaßnahmen einrichten
- Regelmäßige Statusberichte zur Cybersicherheit einfordern und protokollieren
- Persönlich an Schulungen teilnehmen und die Teilnahme dokumentieren
- Prüfen, ob die D&O-Versicherung Cybersicherheits-Pflichtverletzungen abdeckt
NIS2 macht Cybersicherheit zur Chefsache. Nicht als Empfehlung, sondern als persönliche Pflicht mit persönlichen Konsequenzen.
Mit Titan lässt sich der Nachweis führen, dass Maßnahmen genehmigt, umgesetzt und überwacht werden. Dokumentation, die im Haftungsfall zählt.