Fragebogen fragt, wer innerhalb der Geschäftsleitung für Cybersicherheit verantwortlich ist

Geschäftsleitung trägt die Verantwortung, nicht die IT-Abteilung

Bei dieser Frage möchte der Kunde wissen, ob die Geschäftsleitung selbst die Gesamtverantwortung für Cybersicherheit trägt oder ob diese an einen IT-Manager oder CISO ohne Beteiligung der Geschäftsleitung delegiert wurde. Die Antwort, die die meisten Unternehmen eintragen: ein Geschäftsführer ist als Gesamtverantwortlicher benannt, und die Umsetzung liegt bei einem Funktionsträger oder einer Abteilung darunter. Diese beiden Dinge sind nicht dasselbe, und die Frageliste möchte oft beide sehen: wer ist verantwortlich (Geschäftsleitungsebene) und wer führt aus (operative Ebene).

Ein konkreter Beleg dafür ist in der Regel ein Geschäftsleitungsbeschluss, eine Funktionsbeschreibung des CISO oder Security Officer oder eine Stelle im Informationssicherheitsrichtlinien-Dokument, in der die Aufgabenverteilung dargelegt ist. Fehlt dieses Dokument, dann ist "nein" oder "noch zu bestimmen" die ehrliche Antwort — nicht weil niemand verantwortlich ist, sondern weil die Zuweisung nicht festgelegt ist. Diese Frage hängt oft mit der Frage zusammen, ob es eine Richtlinie für Risikoanalyse und den Schutz von Informationssystemen gibt, denn diese Richtlinie nennt normalerweise auch, wer sie genehmigt hat und wer sie betreut.

Wo das in der Richtlinie steht: Artikel 21 Absatz 2

Die Verpflichtung ergibt sich aus Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555), die zehn Maßnahmen aufzählt, die unter die Verantwortung der Geschäftsleitung fallen, einschließlich Governance und Risikomanagement. Die Richtlinie selbst regelt die Haftung der Geschäftsleitung separat: die Geschäftsleitung muss die Umsetzung überwachen und kann darauf angesprochen werden, auch wenn die tägliche Umsetzung bei einem CISO liegt. In den Niederlanden ist diese Verpflichtung im Cybersicherheitsgesetz verankert, das am 15. August 2026 in Kraft tritt. ISO/IEC 27001 Annex A verlangt in den Kontrollmaßnahmen rund um die Organisationsstruktur ebenfalls eine dokumentierte Aufgabenverteilung — wer dieses Zertifikat bereits hat, kann diese Dokumentation normalerweise direkt für diese Frage wiederverwenden. Ist das Unternehmen ISO-27001-zertifiziert, dann ist die geschäftliche Verantwortung dort normalerweise bereits im Geltungsbereich oder im Richtliniendokument genannt.