Compliance-Lexikon · NIS-2
NIS-2 Governance
auch: NIS-2-Leitungsorganverantwortung
NIS-2 Governance bezeichnet die organisatorische Verankerung der NIS-2-Sicherheitsverantwortung auf Leitungsorganebene - mit persoenlicher Haftung der Geschaeftsfuehrung, Pflichtschulungen und der Anforderung, dass Sicherheitsmassnahmen nicht vollstaendig an die IT-Abteilung delegiert werden koennen.
Warum NIS-2-Governance persoenliche Haftung bedeutet
NIS-2 § 38 markiert einen Paradigmenwechsel: Geschaeftsfuehrer und Vorstaende koennen fuer Sicherheitsmaengel persoenlich haftbar gemacht werden - eine Verantwortung, die nicht vollstaendig an CISO oder IT-Abteilung delegierbar ist. Das Leitungsorgan muss die Risikomanagementmassnahmen aktiv billigen, ihre Umsetzung ueberwachen und sich dafuer schulen lassen.
Wo NIS-2-Governance gefordert wird
| Framework | Referenz | Anforderung |
|---|---|---|
| NIS-2 / BSIG | § 38 | Leitungsorganhaftung: Persoenliche Verantwortung der Geschaeftsfuehrung fuer Umsetzung der Sicherheitsmassnahmen. |
| NIS-2-Richtlinie (EU) 2022/2555 | Art. 20 | Governance: Leitungsorgane muessen Risikomanagementmassnahmen billigen und ueberwachen. |
| BSIG | § 30 Abs. 1 | Pflicht zur Implementierung geeigneter technischer und organisatorischer Massnahmen. |
| DCGK | Kap. 4.1.3 | Compliance als Leitungsaufgabe: Corporate-Governance-Referenzrahmen fuer NIS-2-Umsetzung. |
| ISO 27001:2022 | Kap. 5.1 | Fuehrung und Verpflichtung: Vergleichbare Anforderung an Top-Management-Engagement. |
BAM-Objektreferenz
Haeufige Fehler
- Sicherheitsverantwortung vollstaendig an IT delegiert, ohne Leitungsorganbeteiligung
- Keine dokumentierten Schulungsnachweise fuer Geschaeftsfuehrung
- Sicherheitsmassnahmen nicht formal vom Leitungsorgan gebilligt
- Kein regelmaessiges Reporting an die Geschaeftsleitung
Praktische Umsetzung der Governance-Pflicht
Eine wirksame NIS-2-Governance umfasst regelmaessige (mindestens jaehrliche) Schulungen der Geschaeftsfuehrung zu Cybersicherheitsrisiken, formale Genehmigung der Sicherheitsstrategie durch das Leitungsorgan, regelmaessiges Reporting zur Sicherheitslage und dokumentierte Entscheidungen zu Ressourcenzuweisungen. Diese Nachweise schuetzen die Geschaeftsfuehrung im Falle einer aufsichtlichen Pruefung oder eines Sicherheitsvorfalls.
Naechster Schritt
NIS-2-Stresstest starten
Kostenloser Compliance-Stresstest zur Governance-Bereitschaft.