NIS-2 ist Chefsache: Wofür die Geschäftsführung wirklich geradesteht

Das neue Cybersicherheitsrecht setzt nicht dort an, wo delegiert wird, sondern dort, wo die Verantwortung bleibt: beim Leitungsorgan. Cybersicherheit wird damit von der Fachfrage zur Führungsaufgabe.

Warum das Thema nicht in der IT bleibt

Die meisten Geschäftsführer behandeln NIS-2 wie eine technische Frage: analysieren, delegieren, an IT und Compliance weitergeben. Das ist nachvollziehbar – und der erste Fehler. Denn das neue Cybersicherheitsrecht setzt nicht dort an, wo delegiert wird, sondern dort, wo die Verantwortung bleibt: beim Leitungsorgan. Cybersicherheit wird damit von der Fachfrage zur Führungsaufgabe.

Konkret verlangt das Gesetz von der Geschäftsführung zweierlei: Sie muss die Umsetzung der Risikomanagementmaßnahmen sicherstellen und sie beaufsichtigen. Beide Verben sind wörtlich zu nehmen. Sicherstellen heißt: dafür sorgen, dass es geschieht. Beaufsichtigen heißt: kontrollieren, ob es wirkt. Beides lässt sich nicht nach unten weiterreichen.

Die Schulungspflicht trifft Sie persönlich

Ein Punkt, der überrascht: Die Mitglieder der Leitungsorgane müssen selbst an Cybersicherheitsschulungen teilnehmen. Nicht die IT-Abteilung, nicht ein Beauftragter – die Geschäftsführung. Zusätzlich müssen die Unternehmen ihren Mitarbeitern regelmäßig entsprechende Schulungen anbieten. Wer die Schulungspflicht für die Leitungsebene ignoriert, begeht eine eigene Verwaltungsübertretung. Das ist die vielleicht klarste Botschaft des Gesetzes: Führung muss verstehen, worüber sie entscheidet.

Was wirklich schuldig ist – und was nicht

Räumen wir mit einem Missverständnis auf. Es gibt keine Regel, die dem Geschäftsführer persönlich ein Bußgeld in Millionenhöhe androht. Die hohen Geldstrafen richten sich gegen das Unternehmen. Ihre persönliche Verantwortung liegt woanders, und sie ist konkreter:

• Die Aufsichtspflicht ist Ihre. Wenn Sie nicht sicherstellen und nicht beaufsichtigen, verletzen Sie eine Pflicht, die das Gesetz Ihnen persönlich zuweist.
• Die Führungsfunktion steht auf dem Spiel. Gegenüber wesentlichen Einrichtungen kann die Behörde einem Leitungsorgan die Wahrnehmung von Leitungsaufgaben vorübergehend untersagen, wenn angeordnete Maßnahmen trotz Frist nicht umgesetzt werden. Das ist der schärfste persönliche Hebel des Gesetzes.
• Der Regress kommt aus dem Gesellschaftsrecht. Zahlt das Unternehmen ein Bußgeld, weil die Geschäftsführung ihre Sorgfaltspflichten verletzt hat, ist die Frage nach der internen Haftung des Organs damit nicht erledigt – sie beginnt dort erst.

Anders gesagt: Haftung ist hier weniger Drohung als Zurechnung. Die Frage lautet nicht „Wer hat den Fehler gemacht?", sondern „Wer hätte dafür sorgen müssen, dass er nicht passiert?".

Vier Dinge, die die Geschäftsführung jetzt tun sollte

1. Selbst in eine Schulung gehen. Buchen Sie einen Termin für die Leitungsebene. Das erfüllt nicht nur die Pflicht, es macht Sie entscheidungsfähig.
2. Die Verantwortung schriftlich ordnen. Legen Sie fest, wer was tut – und behalten Sie die Aufsicht ausdrücklich bei sich. Delegation der Ausführung ja, Delegation der Verantwortung nein.
3. Sich regelmäßig berichten lassen. Beaufsichtigen heißt nachfragen. Ein fixer Tagesordnungspunkt „Cybersicherheit" in der Geschäftsführungssitzung ist der einfachste Nachweis, dass Sie Ihrer Pflicht nachkommen.
4. Entscheidungen dokumentieren. Im Ernstfall zählt nicht die perfekte Entscheidung, sondern die nachvollziehbare: klar getroffen, begründet, revidierbar. Wer so dokumentiert, schützt sich und das Unternehmen.

Der eigentliche Punkt

NIS-2 ist keine Bürde, die man abarbeitet, sondern ein Maßstab für Professionalität in der Führung. Wer das früh versteht, verliert die Angst vor dem Thema und gewinnt Klarheit darüber, wofür er einsteht.