NIS2: Was die Geschäftsleitung persönlich wissen muss

Mit dem NIS2-Umsetzungsgesetz hat sich in Deutschland eine Sache grundlegend verschoben: Informationssicherheit ist nicht mehr nur Aufgabe der IT. Das Gesetz nennt die Geschäftsleitung ausdrücklich, und zwar mit eigenen Pflichten.

Billigen und überwachen

Nach § 38 BSIG müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und deren Umsetzung überwachen. Dazu gehört ausdrücklich auch Business Continuity: Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

Praktisch heißt das: Die Geschäftsleitung muss die Maßnahmen kennen, denen sie zustimmt. Eine Unterschrift unter ein Dokument, das niemand gelesen hat, erfüllt diese Pflicht nicht.

Haftung

Wer diese Pflichten verletzt, haftet der Einrichtung gegenüber für den entstandenen Schaden nach den gesellschaftsrechtlichen Regeln. Das ist der Teil, der in vielen Vorständen und Geschäftsführungen gerade für Aufmerksamkeit sorgt, und das zu Recht.

Schulungspflicht

Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Risiken erkennen und Risikomanagementpraktiken bewerten zu können. Eine einmalige Präsentation reicht dafür nicht.

Warum Delegieren allein nicht reicht

Natürlich setzt die Geschäftsleitung die Maßnahmen nicht selbst um. Aber sie muss beurteilen können, ob das, was ihr vorgelegt wird, im Ernstfall trägt. Genau hier hilft eine Übung mehr als jedes Dokument: Wenn die Geschäftsleitung einmal selbst im Krisenstab gesessen hat, weiß sie, welche Fragen sie stellen muss.

Drei Fragen für die nächste Sitzung

1. Welche unserer Prozesse müssen nach einem Ausfall zuerst zurück, und wie lange dürfen sie fehlen?
2. Wann wurde unser Wiederanlauf zuletzt wirklich getestet, nicht nur auf dem Papier?
3. Wer entscheidet in der ersten Stunde, und wie erreichen wir diese Person, wenn E-Mail und Telefonanlage ausfallen?

Wenn eine dieser Fragen keine klare Antwort hat, ist das kein Vorwurf. Es ist der Startpunkt.

Dieser Beitrag ist eine Einordnung aus der Praxis und keine Rechtsberatung.