¶ Pflichten der Geschäftsleitung
Rechtsvorbehalt: Diese Seite beschreibt die Leitungssteuerung als nicht freigegebenes Muster. Wer Geschäftsleitung im Sinne des BSIG ist und welche Pflichten tatsächlich gelten, folgt der Rechtsform, der Betroffenheitsprüfung, Satzung oder Gesellschaftsvertrag, dem aktuellen Recht und gegebenenfalls zusätzlichem Fachrecht.
Keine Scheinsicherheit: Richtlinien, Präsentationen, Budgets oder unterschriebene Protokolle belegen allein weder die vollständige Umsetzung noch die Wirksamkeit der Risikomanagementmaßnahmen. Die reale Organisation muss Entscheidungen, Durchführung, Überwachung und Nachsteuerung zusammenhängend nachweisen.
¶ Warum die Geschäftsleitung mehr als einen Berichtstermin benötigt
NIS2 macht Cybersicherheit zu einer nachweisbaren Leitungsaufgabe. Die Geschäftsleitung darf sich nicht darauf beschränken, einen Informationssicherheitsbeauftragten zu benennen oder einmal jährlich einen Statusbericht entgegenzunehmen. Sie muss dafür sorgen, dass die erforderlichen Maßnahmen tatsächlich umgesetzt werden, und deren Umsetzung überwachen. Dafür benötigt sie einen definierten Entscheidungs- und Berichtskreislauf, ausreichende Fachkenntnisse, verständliche Risikoinformationen, klare Eskalationsschwellen und überprüfbare Folgemaßnahmen.
Diese Musterseite beschreibt, wie aus der gesetzlichen Leitungsverantwortung ein funktionierendes Governance-Verfahren wird. Sie ersetzt keine gesellschaftsrechtliche Beratung und enthält keine personenbezogenen Leitungs-, Haftungs- oder Schulungsnachweise.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MA-01-02 |
| Dokumentenart | Verfahren für Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung |
| Wiki.js-Pfad | /NIS2/01-Governance-und-Geschaeftsleitung/Pflichten-der-Geschaeftsleitung |
| Verantwortlich | Geschäftsleitung |
| Fachlich geprüft durch | Recht/Compliance, Informationssicherheit und gegebenenfalls Aufsichts-/Kontrollorgan |
| Status | Entwurf – keine organisationsbezogenen Beschlüsse, Schulungen oder Überwachungsnachweise enthalten |
| Version / Stand | 0.3 / 09.08.2026 |
| Schutzklasse | Intern; reale Beschlüsse, Risikoberichte und Teilnahmenachweise sind vertraulich |
| Rechtsbezug | § 2 Nummer 13, §§ 30 und 38 BSIG sowie Artikel 20 der NIS-2-Richtlinie |
| Review | mindestens jährlich und zusätzlich bei Leitungs-, Rechts-, Scope- oder Risikoveränderungen |
Umsetzung steuern, Ergebnisse überwachen und die eigene Entscheidungskompetenz regelmäßig erhalten. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Wer ist Geschäftsleitung im Sinne des BSIG?
§ 2 Nummer 13 BSIG definiert Geschäftsleitung als natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen oder wichtigen Einrichtung berufen ist. Die organisationsbezogene Zuordnung darf daher nicht allein aus einer internen Stellenbezeichnung wie „Bereichsleitung“, „CISO“ oder „IT-Leitung“ abgeleitet werden.
Vor Anwendung dieses Verfahrens werden mindestens geprüft:
- betroffene juristische Person oder Personenvereinigung,
- Rechtsform und Vertretungsregelung,
- Gesetz, Satzung, Gesellschaftsvertrag und Registerlage,
- Einzel- oder Gesamtvertretung,
- Geschäftsverteilung innerhalb eines mehrgliedrigen Leitungsorgans,
- gegebenenfalls besondere Regeln für öffentliche oder regulierte Einrichtungen,
- Wechsel, Abwesenheiten und wirksame Stellvertretung.
Das Ergebnis wird mit Stand, Quelle und prüfender Rolle dokumentiert. Eine Ressortverteilung innerhalb der Geschäftsleitung kann die interne Aufgabenwahrnehmung strukturieren. Ob und in welchem Umfang sie rechtliche Verantwortungswirkungen entfaltet, wird gesondert beurteilt.
¶ 2. Der gesetzliche Pflichtenkern
§ 38 BSIG enthält drei miteinander verbundene Ebenen:
| Pflicht | Gesetzlicher Kern | Praktische Governance-Frage |
|---|---|---|
| Umsetzung | die nach § 30 erforderlichen Risikomanagementmaßnahmen umsetzen | Sind Verantwortliche, Ressourcen, Termine und Kontrollen so beschlossen, dass die Maßnahmen tatsächlich betrieben werden? |
| Überwachung | die Umsetzung dieser Maßnahmen überwachen | Erkennt die Leitung rechtzeitig fehlende, verspätete oder unwirksame Maßnahmen und steuert sie nachvollziehbar nach? |
| Schulung | regelmäßig ausreichende Kenntnisse und Fähigkeiten erwerben | Kann die Leitung Risiken, Risikomanagementpraktiken und Auswirkungen auf die erbrachten Dienste selbst beurteilen? |
| Haftungsbezug | schuldhaft verursachter Schaden nach den in § 38 Absatz 2 beschriebenen gesellschaftsrechtlichen Regeln | Sind Entscheidungen, Informationsgrundlagen, Abwägungen und Nachverfolgung belastbar dokumentiert? |
Die Seite stellt keine abschließende Haftungsbewertung dar. Haftungsvoraussetzungen, Verschulden, Schaden, Kausalität und anwendbares Gesellschaftsrecht sind im Einzelfall rechtlich zu prüfen.
¶ 3. Was „Umsetzung“ für die Geschäftsleitung bedeutet
Umsetzung bedeutet nicht, dass Geschäftsleitungsmitglieder Firewalls konfigurieren, Backups durchführen oder Schwachstellen selbst beheben. Die Leitung schafft und erhält vielmehr die organisatorischen Voraussetzungen, unter denen die Maßnahmen des § 30 BSIG angemessen umgesetzt werden können.
Dazu gehören insbesondere:
- Betroffenheit, Einrichtungsart und relevante Dienste belastbar feststellen,
- NIS2-Scope und Abhängigkeiten bestätigen,
- Verantwortungen, Befugnisse und Stellvertretungen festlegen,
- Risikomethodik, Risikotoleranz und Eskalationsschwellen genehmigen,
- die zehn Maßnahmenfelder des § 30 Absatz 2 vollständig zuordnen,
- Personal, Budget, Zeit, Werkzeuge und externe Unterstützung bereitstellen,
- priorisierte Umsetzungs- und Verbesserungspläne beschließen,
- kritische Restrisiken und Ausnahmen entscheiden,
- Melde-, Notfall- und Krisenfähigkeit sicherstellen,
- kontrollieren, ob beschlossene Ergebnisse tatsächlich erreicht wurden.
Eine Maßnahme ist nicht allein deshalb umgesetzt, weil sie beauftragt oder bezahlt wurde. Für den Leitungsbericht werden mindestens die Zustände „geplant“, „freigegeben“, „in Umsetzung“, „technisch umgesetzt“, „getestet“, „mit Abweichung“ und „nachweislich wirksam“ unterschieden.
¶ 4. Was eine wirksame Überwachung auszeichnet
Überwachung ist ein wiederkehrender Prozess, kein einmaliger Bericht. Die Geschäftsleitung erhält Informationen, die eine echte Beurteilung und Entscheidung ermöglichen. Dazu gehören:
- Scope und wesentliche Änderungen,
- aktuelle Risikolage und Veränderung gegenüber dem Vorbericht,
- kritische und überfällige Maßnahmen,
- Wirksamkeits- und Testergebnisse,
- erhebliche Vorfälle und Beinahevorfälle,
- NIS2-Meldebereitschaft und Behördenkommunikation,
- Wiederherstellungs- und Krisenfähigkeit,
- kritische Lieferanten- und Konzentrationsrisiken,
- Schwachstellen-, Patch- und Alttechnologierisiken,
- Berechtigungs-, MFA- und Identitätsrisiken,
- Schulungs- und Kompetenzstatus,
- offene Ausnahmen und akzeptierte Restrisiken,
- fehlende Ressourcen, Daten oder Nachweise.
Die Leitung hinterfragt Annahmen, Datenqualität, Bewertungsmethode und Aussagegrenzen. Sie verlangt Korrekturen, wenn Berichte nur Aktivitäten statt Ergebnisse zeigen oder wesentliche Risiken durch Aggregation verdecken. Beschlossene Maßnahmen werden bis zur geprüften Wirksamkeit nachverfolgt.
¶ 5. Delegation: Aufgaben übertragen, Steuerung behalten
Operative Aufgaben können an Informationssicherheit, IT, BCM, Datenschutz, Einkauf, Personal, Incident-Management oder externe Dienstleister delegiert werden. Eine belastbare Delegation umfasst:
- klaren Gegenstand und erwartetes Ergebnis,
- fachlich geeignete Rolle,
- ausreichende Befugnisse und Ressourcen,
- Schnittstellen und Mitwirkungspflichten,
- Stellvertretung und Erreichbarkeit,
- Berichtsfrequenz und Berichtsinhalt,
- Eskalationsrecht ohne unangemessene Hürden,
- Qualitäts- und Wirksamkeitskontrolle.
Die Geschäftsleitung prüft, ob die beauftragten Rollen ihre Aufgaben tatsächlich erfüllen können. Eine formal benannte Person ohne Budget, Zugriff, Zeit oder Eskalationsmöglichkeit ist keine wirksame Governance-Lösung. Auch die Beauftragung eines externen Dienstleisters ersetzt die organisationsinterne Steuerung und Bewertung nicht.
¶ 6. Gesamtorgan und Ressortverantwortung
Bei mehreren Geschäftsleitungsmitgliedern werden Gesamtverantwortung, Ressortzuständigkeit, Informationsrechte und gemeinsame Entscheidungsgegenstände nachvollziehbar geregelt. Cyberrisiken überschreiten regelmäßig Ressortgrenzen, beispielsweise wenn IT-Sicherheit, Produktion, Finanzen, Personal, Einkauf und Kundenpflichten gleichzeitig betroffen sind.
Das Governance-Modell legt fest:
- welche Themen das Gesamtorgan entscheidet,
- welche Entscheidungen ein Ressort treffen darf,
- wann zwingend gemeinsam beraten wird,
- wie abweichende Auffassungen protokolliert werden,
- wie ein abwesendes oder befangenes Mitglied ersetzt wird,
- welche Informationen allen Mitgliedern unverändert zugänglich sind,
- wie dringende Entscheidungen nachträglich bestätigt werden.
Geschäftsverteilung und Delegation werden bei Änderungen der Organisation, Personen oder Risikolage überprüft.
¶ 7. Entscheidungsfähige Informationsgrundlage
Die Geschäftsleitung kann nur angemessen entscheiden, wenn Vorlagen verständlich, vollständig und entscheidungsorientiert sind. Jede wesentliche Vorlage enthält mindestens:
| Element | Mindestinhalt |
|---|---|
| Entscheidungsfrage | klar formulierter Beschlusspunkt und benötigter Termin |
| betroffene Dienste | Dienste, Gesellschaften, Standorte, Kunden und Abhängigkeiten |
| Ausgangslage | Fakten, Quelle, Datenstand und bisherige Entscheidung |
| Risiko | Szenario, Wahrscheinlichkeit, Auswirkungen, Unsicherheit und aktuelle Kontrollen |
| Pflichtenbezug | gesetzliche, behördliche, vertragliche oder interne Anforderungen |
| Optionen | realistische Alternativen einschließlich Folgen des Nichtstuns |
| Empfehlung | fachliche Empfehlung und begründete Priorisierung |
| Ressourcen | Personal, Budget, Zeit, Werkzeuge und Abhängigkeiten |
| Restrisiko | erwartetes Risiko nach Umsetzung und notwendige Akzeptanz |
| Nachweis | Erfolgskriterium, Prüfmethode, Owner und Folgebericht |
Fehlende Daten und Unsicherheiten werden sichtbar ausgewiesen. Eine Entscheidung unter Zeitdruck darf dokumentiert werden, muss aber einen Termin zur Vervollständigung und Überprüfung erhalten.
¶ 8. Leitungsentscheidungen entlang der zehn Maßnahmenfelder
| §-30-Feld | Typischer Leitungsgegenstand |
|---|---|
| Risikoanalyse und Sicherheitskonzepte | Methodik, Risikotoleranz, wesentliche Risiken und Behandlungsprioritäten |
| Sicherheitsvorfälle | Incident-Organisation, Meldebereitschaft, wesentliche Vorfall- und Kommunikationsentscheidungen |
| Betriebskontinuität und Krisenmanagement | Wiederanlaufziele, Krisenressourcen, Testprogramm und unzureichende Wiederherstellbarkeit |
| Lieferkette | kritische Anbieter, Konzentrationsrisiken, Vertragslücken und Exitfähigkeit |
| Erwerb, Entwicklung, Wartung und Schwachstellen | Secure-by-Design-Vorgaben, Alttechnologie, kritische Schwachstellen und Patchausnahmen |
| Wirksamkeitsbewertung | Prüfprogramm, unabhängige Bewertungen, Schwellenwerte und Nachsteuerung |
| Schulung und Sensibilisierung | Leitungsschulung, rollenbezogene Qualifikation und Awareness-Wirksamkeit |
| Kryptografie | strategische Vorgaben, Altverfahren, Schlüsselrisiken und Migrationsbedarf |
| Personal, Zugriff und IKT-Verwaltung | Personalsicherheit, privilegierte Zugriffe, Inventarlücken und Funktionstrennung |
| MFA und sichere Kommunikation | Abdeckung kritischer Zugriffe, Ausnahmen und krisenfeste Kommunikationswege |
Die Tabelle begründet keine Pflicht, jede Einzelkontrolle im Gesamtorgan zu beschließen. Sie zeigt, welche wesentlichen Risiken, Ressourcen- und Abweichungsfragen eine Leitungsebene erreichen müssen.
¶ 9. Leitungs- und Sitzungskalender
| Rhythmus oder Anlass | Mindestgegenstand | Erwartetes Ergebnis |
|---|---|---|
| regelmäßig, risikobasiert | Risikolage, Maßnahmen, Vorfälle, Tests, Lieferanten, Schulung und Ressourcen | protokollierte Kenntnisnahme, Aufträge und Entscheidungen |
| mindestens im festgelegten Jahresrhythmus | Gesamtbewertung des NIS2-Steuerungssystems | Prioritäten, Budget, Ziele und Verbesserungen |
| erheblicher Sicherheitsvorfall | Lage, Dienstwirkung, Meldeprüfung, Kommunikation und Sofortmaßnahmen | zeitgebundene Entscheidungen und dokumentierte Freigaben |
| wesentliche Änderung | neuer Dienst, Akquisition, Architektur, Standort oder Anbieter | Scope-, Risiko- und Ressourcenentscheidung |
| kritische Maßnahme überfällig | Ursache, Zwischenrisiko, Ersatzmaßnahme und Folge | Eskalation, neue Frist oder befristete Risikoentscheidung |
| behördliche Anfrage oder Feststellung | Inhalt, Frist, Nachweise und Korrekturbedarf | verantwortliche Antwort und Maßnahmenverfolgung |
Der Kalender wird mit Unternehmensplanung, Budgetprozess, Krisenorganisation, internen Audits und vorhandenen Managementbewertungen abgestimmt. Dringende Themen warten nicht auf den Regeltermin.
¶ 10. Eskalationsschwellen
Eine unverzügliche oder kurzfristige Leitungseinbindung ist insbesondere vorgesehen bei:
- erheblicher oder drohender Beeinträchtigung eines relevanten Dienstes,
- möglicher gesetzlicher Meldepflicht,
- Überschreitung der freigegebenen Risikotoleranz,
- Verlust wesentlicher Schutz-, Erkennungs- oder Wiederherstellungsfunktionen,
- kritischem Lieferanten-, Standort- oder Identitätsausfall,
- aktiv ausgenutzter kritischer Schwachstelle,
- begründetem Verdacht auf erhebliche Daten- oder Integritätsverletzung,
- fehlenden Ressourcen zur Einhaltung einer wesentlichen Pflicht,
- wiederholt unwirksamen Maßnahmen oder überfälligen Korrekturen,
- behördlicher Anfrage, Prüfung oder wesentlicher Feststellung.
Schwellen, erreichbare Leitungsrollen, Stellvertretungen und sichere Kommunikationskanäle werden dokumentiert und risikobasiert getestet. Die Eskalation darf nicht davon abhängen, dass nur eine einzelne Person erreichbar ist.
¶ 11. Risikoakzeptanz und Abweichungsentscheidungen
Die Geschäftsleitung entscheidet wesentliche Restrisiken nur auf Basis einer nachvollziehbaren Vorlage. Diese enthält Risiko, betroffene Dienste, Laufzeit, bestehende und geplante Maßnahmen, Alternativen, Kosten, Folgen und Wirksamkeitskriterium. Akzeptanzen sind befristet und besitzen einen Reviewtermin.
Gesetzliche Pflichten können nicht intern abbedungen werden. Eine als „Risikoakzeptanz“ bezeichnete Nichtumsetzung einer zwingenden Anforderung ist deshalb gesondert rechtlich zu prüfen. Wiederholt verlängerte Ausnahmen und kumulierte Einzelrisiken werden als mögliches systemisches Risiko berichtet.
¶ 12. Ressourcenverantwortung
Die Leitung gleicht Sicherheitsbedarf und verfügbare Mittel regelmäßig ab. Berichte stellen nicht nur beantragtes Budget dar, sondern zeigen, welche Risiken und Pflichten bei einer Kürzung, Verschiebung oder Nichtbesetzung verbleiben. Entscheidungen berücksichtigen:
- erforderliche Fachrollen und Vertretungen,
- Arbeitszeit und Priorität gegenüber konkurrierenden Aufgaben,
- technische Werkzeuge und sichere Betriebsplattformen,
- externe Expertise und Notfallunterstützung,
- Schulung und Qualifikation,
- Tests, Audits und Nachweise,
- Investitionen in Ablösung, Resilienz und Exitfähigkeit.
Ein dauerhaftes Missverhältnis zwischen Auftrag und Ressourcen wird als Governance-Abweichung eskaliert und nicht ausschließlich an die operative Ebene zurückgegeben.
¶ 13. Entscheidungen im Sicherheitsvorfall
Im Vorfall benötigt die Leitung ein kompaktes, versioniertes Lagebild. Dieses enthält mindestens Fall-ID, Zeitstand, betroffene Dienste, Auswirkungen, bestätigte und unbestätigte Fakten, aktuelle Maßnahmen, Melde- und Kommunikationsstatus, benötigte Entscheidung und nächsten Berichtszeitpunkt.
Leitungsentscheidungen können insbesondere betreffen:
- Aktivierung der Krisenorganisation,
- Abschaltung oder Einschränkung von Diensten,
- Priorisierung von Wiederherstellung und Kundenversorgung,
- Beauftragung externer Forensik oder Rechtsberatung,
- wesentliche NIS2-, Datenschutz-, Vertrags- oder Strafverfolgungskommunikation,
- externe und öffentliche Kommunikation,
- zusätzliche Ressourcen und Notbeschaffung,
- akzeptierte Zwischenrisiken beim Wiederanlauf.
Technische Incident-Behandlung und gesetzliche Meldeentscheidung werden koordiniert, aber nicht gleichgesetzt. Nach dem Vorfall bestätigt die Geschäftsleitung wesentliche Lessons-Learned- und Verbesserungsmaßnahmen.
¶ 14. Lieferanten-, Konzern- und Auslagerungssteuerung
Auch bei ausgelagerten Diensten benötigt die Geschäftsleitung Transparenz über kritische Abhängigkeiten, Unterauftragnehmer, Konzentrationsrisiken, Vorfallwege, Wiederherstellung und Exitfähigkeit. Konzernweite Plattformen werden nicht automatisch als ausreichend gesteuert angenommen. Verantwortungsgrenzen zwischen Muttergesellschaft, Tochtergesellschaft, Shared Service und Anbieter werden dokumentiert.
Wesentliche Vertragslücken, fehlende Nachweise, nicht getestete Exitpläne oder unangemessene Abhängigkeiten erreichen die Leitung mit Handlungsoptionen und Fristen. Ein Zertifikat des Anbieters kann die eigene Risiko- und Leistungsbewertung unterstützen, ersetzt sie aber nicht pauschal.
¶ 15. Regelmäßige Schulung der Geschäftsleitung
Die Schulung muss die Leitung befähigen, Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten sowie deren Auswirkungen auf die erbrachten Dienste zu beurteilen. Ein Musterprogramm umfasst:
- NIS2-/BSIG-Pflichten und organisationsbezogenen Scope,
- relevante Dienste, Abhängigkeiten und Schutzziele,
- Cyberbedrohungen und All-Gefahren-Risiken,
- zehn Maßnahmenfelder des § 30 BSIG,
- Risikobewertung, Risikotoleranz und Restrisikoentscheidung,
- Sicherheitsvorfälle, Meldefristen und Krisenkommunikation,
- Lieferkette, Cloud, Auslagerung und Konzentrationsrisiken,
- Wirksamkeitsmessung, Berichtskritik und Entscheidungsübungen,
- persönliche Rollen, Eskalationswege und aktuelle offene Risiken.
„Regelmäßig“ wird organisationsbezogen festgelegt und zusätzlich durch Änderungen, Vorfälle oder neue Risiken ausgelöst. Datum, Inhalt, Dauer, Teilnehmende und Lernergebnis werden geschützt dokumentiert. Reine Anwesenheit belegt noch keine ausreichende Entscheidungskompetenz.
¶ 16. Managementbericht und Datenqualität
Ein Managementbericht zeigt nicht nur Prozentwerte. Er verbindet Risiko, Dienstwirkung, Maßnahme, Nachweisqualität und Entscheidung. Mindestfelder sind:
Berichtszeitraum · Scope · Datenstand · wesentliche Änderungen · Top-Risiken · Maßnahmenstatus · überfällige Punkte · Wirksamkeit · Vorfälle · Lieferkette · Resilienz · Meldebereitschaft · Schulung · Ressourcen · Restrisiken · Entscheidungen · Folgetermine
Berichtsregeln:
- Ampelfarben besitzen definierte Kriterien.
- Fehlende Daten werden als Lücke und nicht als grüner Status dargestellt.
- Durchschnitte dürfen kritische Einzelwerte nicht verdecken.
- „Umgesetzt“ und „wirksam“ werden getrennt ausgewiesen.
- Wesentliche Verschlechterungen werden gegenüber dem Vorbericht erklärt.
- Managementaufträge bleiben bis Abschluss und Nachprüfung sichtbar.
¶ 17. Nachweisakte der Geschäftsleitung
Die geschützte Nachweisakte kann enthalten:
- Rechts- und Rollenfeststellung der Geschäftsleitung,
- Geschäftsverteilung, Delegationen und Stellvertretungen,
- genehmigte Leitlinien, Risikomethodik und Risikotoleranz,
- Sitzungsplan, Einladungen und entscheidungsrelevante Unterlagen,
- Beschlüsse, Bedingungen, Gegenstimmen und Interessenkonflikte,
- Maßnahmenaufträge und Ressourcenfreigaben,
- Risikoakzeptanzen und Ausnahmeentscheidungen,
- Managementberichte und Eskalationen,
- Schulungs- und Lernerfolgsnachweise,
- Folgeberichte über Umsetzung und Wirksamkeit,
- anlassbezogene Vorfall- und Behördenentscheidungen.
Jeder Nachweis erhält ID, Datum, Version, verantwortliche Rolle, Schutzklasse, Aufbewahrung und Referenz. Das öffentliche Wiki zeigt nur die Struktur, keine realen Leitungsunterlagen.
¶ 18. Muster eines Beschluss- und Nachverfolgungsregisters
| Feld | Musterinhalt |
|---|---|
| Beschluss-ID | GL-NIS2-2026-001 |
| Datum / Gremium | offen – organisationsbezogen einzutragen |
| Gegenstand | Beispiel: Priorisierung einer kritischen Wiederherstellungsmaßnahme |
| Entscheidungsgrundlage | Risiko-ID, Dienst, Optionen, Kosten und Frist |
| Beschluss | Muster – keine reale Freigabe |
| Owner / Stellvertretung | offen |
| Ressourcen | offen |
| Zieltermin | offen |
| Wirksamkeitskriterium | erfolgreicher, dokumentierter Wiederanlauftest |
| Folgebericht | Termin und Berichtsrolle offen |
| Status | Entwurf / nicht beschlossen |
Das Register ersetzt nicht das vollständige Protokoll. Es stellt sicher, dass Beschlüsse bis zur Umsetzung und Wirksamkeitsprüfung nachverfolgt werden.
¶ 19. Kennzahlen für die Leitungsüberwachung
Geeignete Kennzahlen können sein:
- Anteil der §-30-Maßnahmen mit Owner, Termin und Wirksamkeitskriterium,
- kritische und überfällige Maßnahmen nach Altersstruktur,
- wesentliche Risiken oberhalb der Risikotoleranz,
- Anteil wirksam getesteter Wiederherstellungs- und Krisenverfahren,
- kritische Lieferanten ohne aktuellen Review oder Exitnachweis,
- privilegierte Zugriffe ohne aktuellen Berechtigungsreview,
- kritische Schwachstellen außerhalb genehmigter Behandlungsfrist,
- Zeit von Eskalation bis Leitungsentscheidung,
- offene Managementaufträge und überfällige Folgeberichte,
- Schulungsabdeckung und nachgewiesener Lernerfolg der Leitungsmitglieder.
Jede Kennzahl besitzt Definition, Datenquelle, Owner, Zielwert, Schwelle, Trend und erforderliche Reaktion. Kennzahlen ergänzen die qualitative Risikobewertung und ersetzen sie nicht.
¶ 20. Typische unzureichende Nachweise
| Unzureichende Aussage | Warum sie nicht genügt | Bessere Nachweisführung |
|---|---|---|
| „Der CISO ist verantwortlich.“ | Auftrag, Befugnisse, Ressourcen und Leitungsüberwachung fehlen | Delegation, Berichtsweg, Entscheidungen und Folgemaßnahmen dokumentieren |
| „Das Budget wurde genehmigt.“ | Umsetzung und Wirkung bleiben offen | Maßnahme, Termin, Ergebnis und Wirksamkeit nachverfolgen |
| „Die Ampel steht auf grün.“ | Kriterien und Datenqualität sind nicht erkennbar | Schwellen, Datenquelle, Ausnahmen und Einzelrisiken zeigen |
| „Die Leitung wurde informiert.“ | Kenntnisnahme ist keine erkennbare Entscheidung | Beschluss, Auftrag, Owner, Frist und Folgebericht festhalten |
| „Wir sind ISO-27001-zertifiziert.“ | Scope und NIS2-Zuordnung können abweichen | Zertifikat, Scope, Gap-Analyse und §-30-Zuordnung verbinden |
| „Die Schulung wurde versendet.“ | Teilnahme und Kompetenz sind nicht belegt | Teilnahme, Inhalte, Bewertung und notwendige Wiederholung dokumentieren |
¶ 21. Qualitätsprüfung vor Freigabe
- Betroffene Rechtsträger und Geschäftsleitungsmitglieder sind rechtlich bestätigt.
- Gesamtorgan, Ressorts, Delegationen und Stellvertretungen sind abgegrenzt.
- Umsetzung, Überwachung und Schulung sind als getrennte Pflichten operationalisiert.
- Die zehn Maßnahmenfelder des § 30 BSIG erreichen die Leitung über ein vollständiges Mapping.
- Risikotoleranz, Eskalationsschwellen und Risikoakzeptanzen sind geregelt.
- Regel- und Anlassberichte enthalten Wirksamkeit, Datenqualität und offene Abweichungen.
- Entscheidungen enthalten Optionen, Ressourcen, Restrisiko, Owner und Folgebericht.
- Vorfall- und Notfallerreichbarkeit der Leitung ist festgelegt und getestet.
- Schulungsfrequenz, Inhalte und Lernerfolg sind organisationsbezogen bestimmt.
- Reale Leitungsunterlagen werden vertraulich und revisionsfähig geschützt.
- Keine Musterangabe behauptet eine tatsächliche Freigabe oder Umsetzung.
¶ 22. Offene Punkte vor organisationsbezogener Freigabe
- rechtliche und organisatorische Geschäftsleitungsrollen bestätigen,
- Geschäftsverteilung, Delegationen, Vollmachten und Stellvertretungen prüfen,
- Regel- und Anlassberichte terminieren,
- Risikotoleranz und Schwellenwerte für Leitungsentscheidungen genehmigen,
- Beschluss-, Protokoll- und Nachweisablage festlegen,
- Leitungs- und Sitzungskalender beschließen,
- erste Geschäftsleitungsschulung mit Lernerfolg planen,
- Verknüpfung zur Managementbewertung und Maßnahmensteuerung freigeben.
¶ 23. Verknüpfte Arbeitsseiten
- NIS2-Cybersicherheitsleitlinie
- Schulung der Geschäftsleitung
- Ressourcen und Berichtswesen
- Rollen und Verantwortlichkeiten
- Geltungsbereich und relevante Dienste
- Maßnahmenkatalog nach BSIG
- NIS2-Risikoregister
- Risikobehandlungsplan
- Wirksamkeitsprüfung
- Managementbewertung
¶ 24. Offizielle Grundlagen
- § 2 Nummer 13 BSIG – Definition der Geschäftsleitung ↗
- § 30 BSIG – Risikomanagementmaßnahmen ↗
- § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht sowie Haftungsbezug ↗
- Richtlinie (EU) 2022/2555 – Artikel 20 Governance ↗
¶ 25. Weiterführende Informationen von SMCT MANAGEMENT
Entscheidungsfähige Berichte und belastbare Leitungsnachweise für NIS2
- NIS2-Beratung und Governance-Strukturen ↗
- Management von Sicherheitsvorfällen ↗
- Business Continuity und Krisenorganisation ↗
¶ 26. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.3 | 09.08.2026 | SEO-Beschreibung, Definition der Geschäftsleitung, Pflichtenkern, Umsetzung und Überwachung, Delegation, Gesamtorgan und Ressorts, Entscheidungsgrundlagen, §-30-Leitungsgegenstände, Ressourcen, Vorfälle, Lieferkette, Schulung, Managementbericht, Nachweisakte, Beschlussregister, Kennzahlen und typische Nachweislücken umfassend ergänzt | Ausstehend |
| 0.2 | 08.08.2026 | Delegation, Leitungskalender, Entscheidungsvorlagen, Eskalation, Umsetzungsüberwachung und Nachweisführung fachlich vertieft | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren zu Pflichten der Geschäftsleitung erstellt | Ausstehend |