Was in der Verantwortung
der Geschäftsführung bleibt
Verantwortung für IT-Sicherheit ist nach §38 BSIG Führungsaufgabe. Was das bedeutet, zeigt sich nicht im Unterschreiben einer Richtlinie — sondern darin, ob Maßnahmen regelmäßig überprüft und bei Bedarf angepasst werden.
Die Infrastruktur wechselt den Ort, aber die Betreiberverantwortung bleibt.
Ob Server im eigenen Keller stehen oder bei einem Cloud-Anbieter — die Frage, wer dafür verantwortlich ist, dass das Unternehmen sicher betrieben wird, beantwortet NIS2 klar: die Geschäftsführung. Vier Punkte lassen sich nicht auslagern:
§38 BSIG hält Leitungsorgane persönlich für die Überwachung der Risikomanagementmaßnahmen verantwortlich. Diese Haftung ist nach §38 Abs. 2 BSIG ausdrücklich nicht durch Vertrag ausschließbar — weder gegenüber dem Unternehmen noch gegenüber der Einrichtung.
Wo Verantwortung sichtbar wird — oder offen bleibt.
Outsourcing überträgt Betrieb und Infrastruktur an einen Dienstleister. Die Betreiberpflicht verbleibt im Unternehmen — unabhängig davon, ob Server bei AWS, Azure oder Google laufen.
Beim Cloud-Betrieb oder Managed Service lässt sich Folgendes auslagern: Betrieb, Wartung, Updates, physische Rechenzentrumsicherheit.
Unternehmen, die externe Auditrechte wahrnehmen und dokumentieren sowie regelmäßige Reviews durchsetzen, steuern aktiv. In der Praxis schafft der Vertrag den rechtlichen Rahmen — NIS2 erwartet die dokumentierte Durchsetzung. Genau diesen Unterschied macht eine Prüfsituation sichtbar.
NIS2 taucht jetzt auch im Jahresabschluss auf.
Wirtschaftsprüfer beginnen, NIS2-Vorsorge im Rahmen der Abschlussprüfung abzufragen. Das ist kein Zufall: Fehlende Cybersicherheits-Governance ist ein messbares Unternehmensrisiko — und damit prüfungsrelevant.
Wer die Vorbereitungszeit nutzt, um nachweisbare Strukturen aufzubauen — dokumentierte Zuständigkeiten, geprüfte Maßnahmen, belegte GF-Einbindung — ist in Audit und Prüfsituation schnell aussagefähig. Unternehmen mit Lücken bleibt dann nur die Rechtfertigung.
Die BSI-Erwartung ist nicht, dass betroffene Unternehmen NIS2 kurzfristig im vollen Umfang erfüllen. Das Ziel ist, dass die interne Umsetzung nachgewiesen und nachvollziehbar gesteuert wird.
Einzelne Maßnahmen reichen nicht. Steuerung entscheidet.
Ein Schulungsnachweis zeigt, dass geschult wurde. Ein Dienstleistervertrag zeigt, dass etwas ausgelagert wurde. Beides beantwortet Einzelfragen — es steuert aber nichts.
Steuerung bedeutet: Das Unternehmen weiß, was getan wird, warum — und mit welchem Ergebnis. Es prüft regelmäßig. Es passt an. Das lässt sich nicht auslagern. Und es ist das, was nach §38 BSIG erwartet wird.
GF-Einbindung nachweisbar dokumentieren
Der GF-Nachweis nach §38 BSIG dokumentiert Kenntnisnahme, Schulungsteilnahme und Billigung der Maßnahmen durch die Geschäftsleitung — nachvollziehbar und direkt verwendbar.