NIS 2 ist Chefinnen und Chefsache!
Für Geschäftsführer ist NIS 2 besonders wichtig, weil die Richtlinie die Verantwortung der Unternehmensleitung ausdrücklich hervorhebt. Cybersicherheit wird damit nicht mehr nur als IT-Thema betrachtet, sondern als Führungs- und Haftungsthema.
1. Persönliche Verantwortung der Geschäftsleitung
NIS 2 verlangt, dass Leitungsorgane die Maßnahmen zum Risikomanagement im Bereich Cybersicherheit genehmigen, überwachen und deren Umsetzung sicherstellen.
Das bedeutet:
- Die Geschäftsführung kann die Verantwortung nicht vollständig an die IT-Abteilung delegieren.
- Sie muss sich regelmäßig über Cyberrisiken, Sicherheitsmaßnahmen und Vorfälle informieren.
- Sie muss sicherstellen, dass ausreichende Ressourcen für Cybersicherheit bereitgestellt werden.
2. Haftungsrisiken
Bei Verstößen gegen die NIS-2-Anforderungen können Aufsichtsbehörden:
- Bußgelder gegen das Unternehmen verhängen,
- Anordnungen zur Nachbesserung erlassen,
- in bestimmten Fällen Sanktionen gegen verantwortliche Führungskräfte aussprechen.
Für Geschäftsführer entsteht damit ein ähnlicher Druck wie bereits bei Compliance-, Datenschutz- oder Finanzthemen.
3. Schutz des Unternehmens
Cyberangriffe können zu erheblichen Schäden führen:
- Betriebsunterbrechungen
- Produktionsausfälle
- Datenverlust
- Erpressung durch Ransomware
- Reputationsschäden
- Vertragsstrafen und Schadensersatzforderungen
Die Geschäftsführung trägt die Gesamtverantwortung für die Unternehmenssicherheit und Geschäftskontinuität.
4. Lieferketten und Geschäftspartner
NIS 2 betrachtet auch Risiken in der Lieferkette. Viele Unternehmen werden von Kunden oder Partnern künftig Nachweise zu ihrer Cybersicherheit verlangen.
Für Geschäftsführer bedeutet das:
- Sicherheitsanforderungen müssen in Beschaffung und Vertragsmanagement integriert werden.
- Die Auswahl und Überwachung von Dienstleistern wird wichtiger.
5. Schulungs- und Wissenspflichten
NIS 2 fordert, dass Mitglieder der Geschäftsleitung ausreichende Kenntnisse im Bereich Cybersicherheit erwerben und aufrechterhalten.
Praktisch heißt das:
- Regelmäßige Management-Briefings
- Awareness-Trainings für Führungskräfte
- Einbindung von Cyberrisiken in das Unternehmensrisikomanagement
Was Geschäftsführer konkret tun sollten
- Prüfen, ob das Unternehmen unter NIS 2 fällt.
- Cyberrisiken auf Geschäftsleitungsebene regelmäßig behandeln.
- Verantwortlichkeiten und Reporting-Strukturen festlegen.
- Sicherheitsmaßnahmen und Notfallpläne überprüfen.
- Prozesse für die Meldung von Sicherheitsvorfällen etablieren.
- Lieferanten- und Dienstleisterrisiken bewerten.
- Eigene Schulungen und Sensibilisierung sicherstellen.
