NIS2: Was Geschäftsführer jetzt wissen müssen - ohne IT-Experte zu sein
Julian Faller, was Geschäftsführer jetzt wissen müssen - ohne IT-Experte zu sein
Stell dir vor, montagmorgens läuft nichts mehr. Die Auftragsbearbeitung steht, die Produktion wartet auf Daten, und die ersten Kunden rufen an. Wer trifft jetzt welche Entscheidung? Genau an diesem Punkt zeigt sich, dass Informationssicherheit kein Nischenthema für die IT-Abteilung ist, sondern eine Frage der Unternehmensführung.
Mit NIS2 rückt diese Verantwortung offiziell in den Fokus der Geschäftsleitung. Die gute Nachricht: Du musst kein Sicherheitsexperte werden. Du musst aber verstehen, welche Pflichten dich treffen, welche Risiken dein Unternehmen bedrohen und wie du Umsetzung und Überwachung der Maßnahmen sicherstellst. Dieser Überblick gibt dir dafür das Fundament.
Warum NIS2 mehr ist als ein IT-Projekt
Viele Unternehmen starten bei NIS2 mit Technik: Sicherheitslösungen, Prozesse, Werkzeuge. Das ist richtig und wichtig, bildet aber nur einen Teil der Vorbereitung ab.
Als Führungskraft musst du auch die Folgen eines Vorfalls für das ganze Unternehmen im Blick haben. Frag dich zum Beispiel:
- Was passiert, wenn Aufträge nicht mehr bearbeitet werden können?
- Welche Folgen hat ein Ausfall für Kunden, Lieferanten und die Produktion?
- Wie entscheidest du, wenn wichtige Informationen fehlen?
Die Antworten zeigen: Es geht nicht nur um Systeme, sondern um die Funktionsfähigkeit deines Unternehmens.
Welche Verantwortung die Geschäftsleitung trägt
Im Kern verantwortest du die Umsetzung und Überwachung der gesetzlich vorgesehenen Risikomanagementmaßnahmen. Dazu kommt deine eigene Qualifizierung. Die konkreten Pflichten richten sich nach der jeweils geltenden Fassung des BSIG - prüfe sie deshalb immer im aktuellen Wortlaut. Praktisch ergeben sich fünf Handlungsfelder:
| Handlungsfeld | Was das für dich bedeutet |
|---|---|
| Verantwortung verstehen | Wissen, welche Pflichten für das Unternehmen gelten und welche Aufgaben bei dir selbst liegen |
| Risiken beurteilen | Die wesentlichen Informationssicherheitsrisiken und ihre Folgen für den Geschäftsbetrieb kennen |
| Maßnahmen ermöglichen | Zuständigkeiten und Ressourcen bereitstellen, Umsetzung unterstützen und überwachen |
| Vorbereitung sicherstellen | Klären, wie auf Vorfälle reagiert wird und kritische Prozesse weiterlaufen |
| Lernen und verbessern | Risiken und Maßnahmen regelmäßig überprüfen, nicht nur einmal schulen lassen |
Julian Faller im Gespräch zu einer Abstimmung zusammen mit einem Geschäftsführer.
Was du nicht selbst leisten musst
Ein verbreiteter Irrtum lautet, Geschäftsführer müssten sämtliche technischen Details beherrschen. Das ist nicht der Maßstab. Du musst keinen Angriff analysieren und keine Sicherheitskonfiguration prüfen.
Du musst aber in der Lage sein, die wesentlichen Risiken zu verstehen, die richtigen Fragen zu stellen, fundierte Entscheidungen zu treffen und deine Verantwortung wahrzunehmen. Dafür holst du dir die nötigen Informationen bei IT-Verantwortlichen, Informationssicherheitsbeauftragten und weiteren Fachleuten.
Wenn die Krise wirklich eintritt
Wissen über Gesetze ist die eine Sache, Handlungsfähigkeit unter Druck die andere. Nimm an, dein Unternehmen wird Opfer eines Cyberangriffs: Zentrale Systeme fallen aus, Mitarbeitende können nicht normal arbeiten, Kunden verlangen Auskunft. Dann musst du vieles gleichzeitig bewältigen:
- die Lage verstehen,
- Prioritäten festlegen,
- Verantwortlichkeiten koordinieren,
- notwendige Entscheidungen treffen,
- interne und externe Kommunikation steuern,
- die Wiederherstellung des Geschäftsbetriebs begleiten.
Dann zeigt sich: Gesetzeskenntnis allein reicht nicht. Entscheidend ist, ob deine Organisation vorbereitet ist und ob die Verantwortlichen auch unter schwierigen Bedingungen handlungsfähig bleiben.
Vom Wissen zur Handlungsfähigkeit
Der beste Weg dorthin ist Üben. Statt Anforderungen nur organisatorisch abzuhaken, verbindest du sie mit konkreten Übungen. In einem Planspiel erproben Führungskräfte etwa, wie sie bei einem IT-Ausfall entscheiden, Informationen bewerten und Zuständigkeiten abstimmen.
So erkennst du offene Fragen frühzeitig und entwickelst deine Vorbereitung gezielt weiter. Wichtig: Überführe die Erkenntnisse aus der Übung anschließend in konkrete Verbesserungsmaßnahmen.
Fazit
NIS2 verlangt mehr als einzelne Sicherheitsmaßnahmen. Du musst deine Verantwortung verstehen, die Umsetzung der relevanten Maßnahmen im Blick behalten und dich fragen, wie gut dein Unternehmen auf einen schwerwiegenden Vorfall vorbereitet ist.
Die entscheidende Frage lautet nicht, ob du jede technische Einzelheit kennst. Entscheidend ist, ob du deine Verantwortung wahrnimmst, die richtigen Fragen stellst und auch dann handlungsfähig bleibst, wenn der normale Geschäftsbetrieb plötzlich nicht mehr funktioniert. Starte heute: Stell deiner IT-Leitung drei Fragen zu Risiken, Zuständigkeiten und Notfallplanung.
Muss ich als Geschäftsführer technisch tief im Thema sein?
Nein. Du musst die wesentlichen Risiken verstehen, die richtigen Fragen stellen und fundierte Entscheidungen treffen. Technische Details übernehmen Fachleute.
Kann ich die Verantwortung an die IT delegieren?
Aufgaben lassen sich verteilen, deine gesetzliche Verantwortung für Umsetzung und Überwachung bleibt jedoch bei der Geschäftsleitung.
Reicht eine einmalige Schulung?
Nein. Risiken und Maßnahmen müssen im erforderlichen Rahmen regelmäßig überprüft werden, und auch dein eigenes Wissen sollte fortlaufend aktualisiert werden.
Wo finde ich die genauen gesetzlichen Pflichten?
Maßgeblich ist die jeweils geltende Fassung des BSIG. Orientiere dich immer am aktuellen Gesetzestext.
Wie bereite ich die Führungsebene auf den Ernstfall vor?
Mit Planspielen zu einem IT-Ausfall. Dort übst du Entscheidungen, Informationsbewertung und Koordination und leitest daraus konkrete Verbesserungen ab.