Fragensammlung fragt, ob das Management in Cybersecurity eingebunden ist

Die Beteiligung der Geschäftsleitung ist eine separate NIS2-Verpflichtung, unabhängig von den zehn Maßnahmen

Diese Frage befasst sich nicht mit Technik, sondern mit Governance: ist die Geschäftsleitung selbst in die Cybersicherheit eingebunden, oder ist sie vollständig an die IT delegiert. Gemäß Artikel 21 Absatz 2 der NIS2 sind die zehn Maßnahmen selbst aufgeführt, aber Artikel 20 der Richtlinie verpflichtet darüber hinaus, dass Verwaltungsorgane die Risikomanagementmaßnahmen genehmigen und deren Umsetzung überwachen, und dass Verwaltungsratsmitglieder Schulungen absolvieren, um Cyberrisiken beurteilen zu können. Dies ist also ein separater Punkt der Frageliste: nicht "welche Maßnahmen haben Sie", sondern "kennt und genehmigt die Geschäftsleitung dies".

Als Nachweis zählt in der Regel ein Auszug aus einem Protokoll, in dem die Geschäftsleitung die Sicherheitsrichtlinie festgelegt oder bewertet hat, ein Organigramm, aus dem Berichtswege zur Geschäftsleitung hervorgehen, oder ein Tagesordnungspunkt aus einem regelmäßigen Geschäftsleitungstreffen zu Cyberrisiken. Fehlt dies, dann ist "nein" hier die ehrliche Antwort — ein Lieferant, der dies ohne Beleg ausfüllt, läuft Gefahr, dass der Kunde später darauf zurückkommt. Diese Frage hängt oft zusammen mit der Frage wird die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüft, denn eine Überprüfung ohne geschäftliche Verfolgung ist für einen Kunden eine unvollständige Antwort. Ebenfalls relevant ist, ob Ihr Unternehmen selbst unter die NIS2-Richtlinie fällt, denn dann ist dies nicht nur eine Frage Ihres Kunden, sondern eine eigene gesetzliche Verpflichtung ab dem 15. August 2026, wenn das Cybersicherheitsgesetz in Kraft tritt.

Woher dies kommt: Artikel 20 neben Artikel 21 NIS2

Artikel 20 der Richtlinie (EU) 2022/2555 regelt die Verantwortung und Beteiligung von Verwaltungsorganen, unabhängig von den zehn inhaltlichen Maßnahmen in Artikel 21 Absatz 2; ISO/IEC 27001 kennt in Annex A kein wörtliches Äquivalent, verlangt aber über die Kernverpflichtungen der Norm (Klausel 5, Führung) nachweisbare Beteiligung der Geschäftsleitung, was häufig als separater Nachweis neben den Annex A-Maßnahmen eingereicht wird.