NIS2-Haftung der Geschäftsleitung: Ändert sich damit das Verhalten von Leitungsgremien?

Seit zwanzig Jahren bitten Sicherheitsverantwortliche Leitungsgremien, Cybersicherheit ernst zu nehmen, mit gemischtem Erfolg. NIS2 verändert die Anreizstruktur. Artikel 20 verpflichtet die Leitungsorgane der betroffenen Einrichtungen, die Risikomanagementmaßnahmen für Cybersicherheit zu genehmigen, deren Umsetzung zu überwachen und selbst an Schulungen teilzunehmen. Außerdem macht er sie für Verstöße haftbar. Bei wesentlichen Einrichtungen können nationale Behörden unter Umständen ein vorübergehendes Verbot gegen eine Führungskraft beantragen, Leitungsfunktionen auszuüben.

Wird das das Verhalten der Leitungsgremien ändern? Ich denke ja, aber nicht automatisch und nicht immer so, wie Sicherheitsteams es sich erhoffen.

Was sich ändern sollte

• Genehmigung wird real. Ein Gremium, das die Maßnahmen genehmigen muss und dafür zur Rechenschaft gezogen werden kann, hat einen Grund zu verstehen, was es genehmigt.
• Schulung ist nicht mehr freiwillig. Mitglieder der Leitung müssen Schulungen absolvieren, die ausreichen, um Risiken zu erkennen und Risikomanagementpraktiken zu bewerten. Viele Gremien werden erstmals ein gemeinsames Grundverständnis haben.
• Die Überwachung bekommt Struktur. Regelmäßige Berichte über Maßnahmen, Vorfälle und Fortschritte werden zur gesetzlichen Pflicht statt zur Höflichkeit.

Was schiefgehen kann

• Haftung kann zum Abhaken verleiten. Gremien, die sich um ihre persönliche Haftung sorgen, könnten Nachweise der Konformität statt Nachweise der Sicherheit verlangen: mehr Bescheinigungen, mehr Papier, dieselben Risiken.
• Schulungen können zur Formalität werden. Ein einstündiges jährliches Video erfüllt den Wortlaut einer Schulungspflicht und ändert nichts.
• Sicherheitsteams können sich zu sehr auf Angst stützen. „Sie könnten haftbar sein“ erregt einmal Aufmerksamkeit. Es trägt aber kein Programm.

Was Leitungsgremien jetzt tun sollten

1. Verstehen, welche Maßnahmen sie genehmigen. Artikel 21 nennt zehn Bereiche; die Durchführungsverordnung konkretisiert sie für digitale Anbieter. Verlangen Sie eine einseitige Übersicht, wo die Organisation bei jedem Bereich steht.
2. Ergebnisse statt Dokumente verlangen. Wie schnell könnten wir einen erheblichen Vorfall melden? Wann haben wir zuletzt aus einem Backup wiederhergestellt? Welche Lieferanten könnten uns lahmlegen?
3. Ein Framework verwenden, das das Gremium lesen kann. Die Funktion Steuern des NIST CSF 2.0 deckt genau den Zuständigkeitsbereich des Gremiums ab: Kontext, Risikostrategie, Rollen, Richtlinien, Überwachung und Lieferkette. Siehe Berichterstattung an das Gremium mit CSF-Profilen.
4. Schulungen substanziell gestalten: szenariobasiert, auf das Geschäft zugeschnitten, wiederholt.

Fragen, die ein Gremium morgen stellen kann

Leitungsgremien müssen keine Sicherheitsexperten werden, um Sicherheit gut zu überwachen. Sie müssen Fragen stellen, die sich nicht mit einem Dokument beantworten lassen:

• Wenn unser wichtigstes System heute Nacht durch Ransomware verschlüsselt würde, wie lange dauerte es, bis wir wieder arbeiten könnten, und wann haben wir das zuletzt getestet?
• Welche drei Lieferanten könnten uns den größten Schaden zufügen, und was wissen wir über ihre Sicherheit?
• Wie viele kritische Schwachstellen sind an internetexponierten Systemen offen, und wie alt ist die älteste?
• Wer entscheidet, ob ein Vorfall erheblich genug ist, um innerhalb von 24 Stunden gemeldet zu werden, und hat diese Entscheidung schon einmal geübt?
• Was hat unser letztes Audit oder unsere letzte Bewertung ergeben, und was hat sich seitdem geändert?

Die Antworten sollten mit Nachweisen belegt sein: Testergebnisse, Kennzahlen, Daten. Mit der Zeit prägen die Fragen des Gremiums, was das Management misst, und genau diese Überwachung verlangt Artikel 20. Die Lückenanalyse zeigt, welche NIS2-Maßnahmen Ihr aktuelles Framework bereits abdeckt.

Wichtigste Erkenntnisse

• Artikel 20 verpflichtet Leitungsgremien, Cybersicherheit zu genehmigen, zu überwachen und zu schulen.
• Haftung kann echte Überwachung oder mehr Papierkram auslösen.
• Gremien sollten Ergebnisse und Nachweise verlangen, nicht Dokumente.

Die Chance

Artikel 20 verschafft Sicherheitsverantwortlichen per Gesetz die Aufmerksamkeit des Gremiums. Am besten nutzt man sie nicht, indem man mit der Haftungsklausel wedelt, sondern indem man dem Gremium echte Entscheidungen vorlegt: welches Risiko es zu akzeptieren bereit ist, was es finanzieren wird und was es zu sehen erwartet. Das ist Governance. Der Rest ist Papierkram.

Für das Gesamtbild siehe den NIS2-Leitfaden und unseren Beitrag zum NIS2-Meldeverfahren. Die NIS2-Framework-Seite ordnet jeden Punkt der Durchführungsverordnung zehn Frameworks zu.

Fragen

Was verlangt NIS2-Artikel 20 von der Geschäftsleitung?

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen für Cybersicherheit genehmigen, deren Umsetzung überwachen und an Schulungen teilnehmen und können für Verstöße haftbar gemacht werden. Auch die Mitarbeitenden sollen die Mitgliedstaaten zu regelmäßigen Schulungen ermutigen.

Können Mitglieder von Leitungsgremien nach NIS2 persönlich haftbar sein?

NIS2 verpflichtet die Mitgliedstaaten sicherzustellen, dass die Geschäftsleitung für Verstöße haftbar gemacht werden kann; für wesentliche Einrichtungen sind in bestimmten Fällen vorübergehende Verbote für Leitungsfunktionen vorgesehen. Wie die Haftung im Einzelnen funktioniert, richtet sich nach nationalem Recht.

Welche Schulungen müssen NIS2-Leitungsorgane absolvieren?

Schulungen, die ausreichen, um Wissen und Fähigkeiten zu erwerben, Risiken zu erkennen und Risikomanagementpraktiken für Cybersicherheit sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu bewerten. Das Format liegt im Ermessen der Einrichtung und des nationalen Rechts.