Compliance-Lexikon · NIS-2
NIS-2 Governance – Praxis
NIS-2 Governance wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Billigt und überwacht das Leitungsorgan aktiv die Risikomanagementmaßnahmen, wie in § 38 BSIG gefordert?
Häufige Fehler in der Praxis
- Sicherheitsstrategie wird von der IT erstellt, aber nie formal vom Leitungsorgan gebilligt
- Keine dokumentierten Schulungsnachweise für die Geschäftsführung zu Cybersicherheitsrisiken
- Kein regelmäßiges Reporting zur Sicherheitslage an die Unternehmensleitung
Praxis-Tipp
Ein Billigungsvermerk ohne inhaltliche Auseinandersetzung des Leitungsorgans mit den Risiken hält einer aufsichtlichen Prüfung nicht stand. Die persönliche Haftung nach § 38 BSIG verlangt echtes Engagement, nicht nur Unterschrift.
Governance als Schutz der Geschäftsführung
Dokumentierte Schulungen, formale Billigung der Sicherheitsstrategie und regelmäßiges Reporting schützen nicht nur das Unternehmen vor Bußgeldern, sondern auch die einzelnen Mitglieder der Geschäftsführung persönlich im Falle einer aufsichtlichen Prüfung oder eines Sicherheitsvorfalls.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Billigungsvermerk des Leitungsorgans, Protokolle regelmäßiger Sicherheitsberichte, Nachweis durchgeführter Schulungen der Geschäftsführung. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum NIS-2 Governance über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.