NIS 2 für die Geschäftsleitung in fünf Minuten
NIS 2 ist kein IT-Thema. Artikel 20 der Richtlinie (EU) 2022/2555 legt die Cybersicherheitspflicht auf das Leitungsorgan jeder wesentlichen und wichtigen Einrichtung, und zwar namentlich. Diese Seite ist die kurze Version, die ein Geschäftsführer, Vorstand oder Aufsichtsratsmitglied vor Montagmorgen braucht.
Warum diese Akte auf Ihrem Tisch liegt
Wenn Sie im Leitungsorgan eines Unternehmens sitzen, das NIS 2 erfasst, nennt Artikel 20 Sie persönlich. Nicht den IT-Leiter, nicht den CISO, nicht den externen Dienstleister. Die Richtlinie zieht eine Linie von den Cybersicherheitspflichten in Artikel 21 direkt zu den Personen, die für das Unternehmen zeichnen.
Daraus folgen drei Dinge. Das Leitungsorgan muss die Risikomanagementmaßnahmen billigen, die das Unternehmen einführt. Es muss ihre Umsetzung überwachen. Und seine Mitglieder müssen selbst an Schulungen teilnehmen, damit sie lesen können, was sie unterzeichnen. Die Richtlinie nennt alle drei.
Deutschland setzt dieselbe Regel über §38 BSIG in nationales Recht um, der die drei Pflichten Punkt für Punkt nennt und eine persönliche Haftung anhängt. Die Uhr läuft für das alles seit dem Umsetzungstermin der Richtlinie am 17. Oktober 2024.
Artikel 20(1) NIS-2-Richtlinie (2022/2555)
Die Mitgliedstaaten stellen sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die von diesen Einrichtungen zur Einhaltung der Anforderungen nach Artikel 21 getroffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße der Einrichtungen gegen den genannten Artikel verantwortlich gemacht werden können.
Artikel 20 ist der Governance-Artikel der Richtlinie. Absatz 1 legt drei Pflichten auf das Leitungsorgan: billigen, überwachen, verantwortlich gemacht werden können. Absatz 2 ergänzt die Schulungspflicht für das Leitungsorgan selbst und verlangt vom Unternehmen, allen Mitarbeitern regelmäßig vergleichbare Schulungen anzubieten.
CIR (EU) 2024/2690, Anhang §1.1
The policy on the security of network and information systems shall lay down the approach of the relevant entities to managing the security of their network and information systems. The risk management framework referred to in point 2.1 shall identify, and provide for the management of, the risks to the security of network and information systems.
Die Durchführungsverordnung operationalisiert Artikel 20 selbst nicht. Sie operationalisiert die Maßnahmen aus Artikel 21, die das Leitungsorgan nach Artikel 20(1) zu billigen hat. §1 ist das übergeordnete Konzept, §2 der Risikomanagementrahmen. Für DNS-Anbieter, Cloud- und Rechenzentrumsbetreiber, MSP und die übrigen im Anhang gelisteten Sektoren ist das genau das, was das Leitungsorgan billigt.
§38 BSIG (Deutschland)
Die Geschäftsleiter besonders wichtiger Einrichtungen und wichtiger Einrichtungen haben die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen und ihre Umsetzung zu überwachen.
Deutschland überführt Artikel 20(1) über §38 BSIG in nationales Recht und nennt den Adressaten ausdrücklich als Geschäftsleiter, also die natürlichen Personen, die das Unternehmen führen. §38(2) ergänzt, dass die Mitglieder des Leitungsorgans gegenüber dem Unternehmen für Verstöße gegen diese Pflichten haften. §38(3) übernimmt die Schulungspflicht. Andere Mitgliedstaaten haben parallele Umsetzungsgesetze (Cyberbeveiligingswet in NL, NISG in AT, NIS2-Wet in BE).
Klären, ob die Richtlinie greift
NIS 2 greift, wenn das Unternehmen in einem der in Anhang I oder Anhang II genannten Sektoren tätig ist und die Größenschwelle erreicht (mittelgroß im Sinne der Empfehlung 2003/361/EG, also ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz). Einige Einrichtungstypen sind unabhängig von der Größe erfasst: qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister, DNS-Diensteanbieter, öffentliche Verwaltung, alleinige Anbieter eines Dienstes in einem Mitgliedstaat. Die erste Aufgabe des Leitungsorgans ist zu wissen, was davon zutrifft.
Billigen, überwachen, schulen
Artikel 20(1) gibt dem Leitungsorgan zwei operative Pflichten: die nach Artikel 21 getroffenen Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Artikel 20(2) ergänzt die dritte: selbst an Schulungen teilnehmen und dafür sorgen, dass das Unternehmen den Mitarbeitern regelmäßig Schulungen anbietet. Alle drei Pflichten adressieren das Leitungsorgan. Keine davon liegt beim IT-Leiter.
Die Uhr läuft seit dem 17. Oktober 2024
Artikel 41 NIS 2 setzt den 17. Oktober 2024 als Frist, bis zu der die Mitgliedstaaten die Richtlinie umsetzen mussten. Ab diesem Datum gelten die Pflichten aus Artikel 20, 21 und 23 für erfasste Einrichtungen. Die nationale Durchsetzung läuft auf nationalen Uhren (das deutsche NIS2UmsuCG ist verspätet, die EU-Pflicht wartet aber nicht auf das nationale Gesetz). Praktiker behandeln Oktober 2024 als operative Startlinie.
Verantwortung liegt bei der natürlichen Person
Artikel 20(1) sagt, das Leitungsorgan kann für Verstöße des Unternehmens gegen Artikel 21 „verantwortlich gemacht werden“. §38(2) BSIG macht daraus eine Innenhaftung: Mitglieder des Leitungsorgans haften dem Unternehmen für Verstöße gegen die Pflichten aus §38(1). Sie können die Ausführung der Cybersicherheitsmaßnahmen delegieren. Sie können die Billigung und die Überwachung nicht delegieren. Die Richtlinie zieht die Linie bei den Personen, die unterschreiben.
Verhältnismäßigkeit erlaubt Maß für das tatsächliche Risiko
Artikel 21(1), Unterabsatz 2, sagt, die Maßnahmen müssen „dem bestehenden Risiko angemessen“ sein. Sechs Faktoren fließen in die Bewertung ein: die Exposition der Einrichtung, ihre Größe, die Eintrittswahrscheinlichkeit, die Schwere der Auswirkungen (auch gesellschaftlich und wirtschaftlich), der Stand der Technik und die Umsetzungskosten. Das Leitungsorgan ist das Organ, das diese Verhältnismäßigkeitsentscheidung trifft und für sie zeichnet. Ein Stadtwerk mit 60 Personen muss nicht ausgeben wie eine Bank.
BSI als zuständige Behörde
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zuständige deutsche Behörde nach §29 BSIG. Es beaufsichtigt die Risikomanagementmaßnahmen nach §30 BSIG, betreibt die Meldekanäle nach §32 BSIG und das Registrierungsportal nach §33 BSIG. Für das Leitungsorgan ist das BSI die Adresse für Rückfragen, Registrierungen, Vorfallmeldungen und Prüfungen.
ENISA als Referenz
Die Agentur der Europäischen Union für Cybersicherheit (ENISA) ist die EU-weite Cybersicherheitsagentur. Artikel 18 NIS 2 gibt ihr eine berichtende Rolle zur Cybersicherheitslage. Sie veröffentlicht außerdem die Technical Implementation Guidance (TIG) zur Durchführungsverordnung, samt Mapping-Tabellen auf ISO/IEC 27001:2022 und NIST CSF 2.0. Die ENISA prüft nicht, ihre Leitlinie wird von Prüfern und nationalen Behörden aber als sachgerechte Lesart behandelt.
Aufsichtsrat als parallele Aufsicht
Wenn das Unternehmen einen Aufsichtsrat hat (in der AG, oft auch ein Beirat in der größeren GmbH), laufen die NIS-2-Pflichten des Leitungsorgans parallel zu den bestehenden Aufsichtspflichten des Aufsichtsrats nach §111 AktG. Der Aufsichtsrat kann Artikel 20(1) dem Leitungsorgan nicht abnehmen, aber er kann die gleichen Nachweise zu Billigung und Überwachung verlangen, die NIS 2 erwartet. Die meisten tun das.
Das habe ich an die IT delegiert.
Sie können die Ausführung delegieren. Sie können die Billigung und die Überwachung nicht delegieren. Artikel 20(1) nennt das Leitungsorgan als das Organ, das die Maßnahmen billigt und ihre Umsetzung überwacht. §38 BSIG nennt den Geschäftsleiter als Adressaten. Der IT-Leiter, der CISO, der externe Dienstleister können das Programm betreiben. Sie können nicht für Sie zeichnen. Die Richtlinie zieht die Linie bei den Personen, die das Unternehmen rechtlich vertreten.
Warten wir, bis das nationale Gesetz fertig ist.
Artikel 20 gilt seit dem Umsetzungstermin am 17. Oktober 2024. Das deutsche NIS2UmsuCG ist verspätet, die Richtlinienpflicht wartet aber nicht auf das nationale Gesetz. Die Durchführungsverordnung 2024/2690 gilt seit Oktober 2024 in ihrem Sektorgeltungsbereich direkt, ganz ohne Umsetzung. Praktiker behandeln Oktober 2024 als operative Startlinie und dokumentieren ihre Phasierung über die Verhältnismäßigkeitsklausel in Artikel 21(1).
Cybersicherheit ist ein IT-Problem.
Artikel 20 macht es bewusst zu einem Governance-Problem. Die Richtlinie legt die Pflicht auf das Leitungsorgan, nicht auf die IT-Funktion, weil die Kosten, die Risikoakzeptanzentscheidungen und die Abwägungen erst auf dieser Ebene Sinn ergeben. Die IT setzt die Maßnahmen um. Das Leitungsorgan trägt das Risikobild, zeichnet für das Restrisiko und ist das Organ, mit dem der Prüfer und das BSI darüber sprechen.
Was wir im deutschen Mittelstand sehen: das Leitungsorgan hält jedes Quartal eine Arbeitssitzung, geht das Risikoregister durch, billigt die für den Zeitraum relevanten Artikel-21-Maßnahmen und dokumentiert die Verhältnismäßigkeitsentscheidung in zwei oder drei Sätzen. Das ist die operative Form von Artikel 20(1) für ein Unternehmen ohne eigenes GRC-Team.
Die Schulungspflicht aus Artikel 20(2) braucht weniger als die meisten denken. Es gibt keine EU-weit akkreditierte Zertifizierungsstelle für NIS-2-Managementschulungen. Anmeldung und ein Abschlussnachweis sind das gesetzliche Mindestmaß. Ein zweistündiger Kurs zum Aufbau der Richtlinie, zum eigenen Risikobild und zur Rolle des Leitungsorgans erfüllt den Wortlaut. Es geht darum, dass die Person, die unterschreibt, lesen kann, was sie unterschreibt.
Die Plattform bildet die drei Pflichten des Leitungsorgans als eigenständige Artefakte ab. Billigungen laufen als signierte Sign-Offs gegen die Artikel-21-Maßnahmen, mit Namen der natürlichen Person auf dem Datensatz. Die Überwachung läuft über die Dashboard-Sicht, die Umsetzungsstatus, offene Risiken und Wirksamkeitsnachweise an einer Stelle zeigt. Schulungsnachweise liegen auf dem Nutzerprofil mit Anmeldung und Abschlussdatum.
Alle drei speisen denselben Audit-Trail. Die Nachweise, die Artikel 20 erwartet (wer hat was wann auf welcher Grundlage gebilligt), fallen als Nebenprodukt der Plattformnutzung an. Der CEO-Kurs ist in der Plattform enthalten. Die Plattform ist kostenlos und Open Source, kein Lock-in.
- Richtlinie (EU) 2022/2555 (NIS 2), Artikel 20, 21 und 41: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Durchführungsverordnung (EU) 2024/2690 (CIR), Anhang §1: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- BSI-Gesetz (BSIG), §29, §30, §32, §33 und §38: gesetze-im-internet.de/bsig_2009
- Aktiengesetz (AktG), §111: gesetze-im-internet.de/aktg
- ENISA Technical Implementation Guidance zur CIR (EU) 2024/2690: enisa.europa.eu