Fragebogen fragt um Kontaktperson für Sicherheit, wer sollte das bei uns sein

Die Kontaktperson ist eine Rolle, kein Name in der Frageliste

Geben Sie die Person an, die intern für die Sicherheitsmaßnahmen verantwortlich ist, nicht unbedingt der Eigentümer oder der Direktor. In der Praxis ist das die Person, die auch beteiligt ist bei dem Prozess zur Erkennung und Behebung von Schwachstellen und bei dem Verfahren zur Behandlung von Sicherheitsvorfällen — oft also dieselbe Person, die intern die Ansprechstelle ist, wenn etwas schiefgeht. Bei einem kleinen Unternehmen ist das oft der Unternehmer selbst oder der IT-Administrator; bei einem größeren Unternehmen ein Sicherheitsleiter oder jemand mit einer vergleichbaren Funktionsbezeichnung. Wichtiger als der Titel ist, dass diese Person erreichbar ist und über die Situation informiert ist, denn der Kunde nutzt diesen Kontakt vor allem bei einem Incident oder einer Audit.

Verwenden Sie lieber ein Funktions- oder Funktionspostfach als einen privaten Namen, wenn möglich: das verhindert, dass die Frageliste veraltet, sobald jemand die Funktion wechselt. Eine Adresse wie "security@" oder "ciso@" funktioniert für den Kunden genauso gut wie ein Name und ist stabiler. Hat das Unternehmen noch keine separate Funktion dafür, dann ist es üblich, die allgemein Verantwortliche Person für IT oder Geschäftsbetrieb anzugeben — solange diese Person auch wirklich ansprechbar ist für den Inhalt, nicht nur dem Namen nach.

Woher dies kommt: Artikel 21 und die Rolle der Governance

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt keine Kontaktperson als separate Anforderung, aber die zehn dort aufgeführten Maßnahmen — einschließlich Risikomanagement, Incident-Handling und Business Continuity — setzen voraus, dass sie jemand intern trägt und ansprechbar ist. Kunden, die hierzu Fragen stellen, prüfen also eigentlich, ob es eine Richtlinie für Risikoanalyse und den Schutz von Informationssystemen gibt und ob diese Politik einen Verantwortlichen hat. ISO/IEC 27001 konkretisiert dies: Annex A enthält Maßnahmen über Rollen und Verantwortungen in der Informationssicherheit, und eine benannte Kontaktperson ist dort oft der sichtbare Nachweis dafür. Das niederländische Cybersicherheitsgesetz, das die NIS2-Richtlinie umsetzt und am 15. August 2026 in Kraft tritt, fügt an dieser Stelle keine zusätzliche Anforderung über das hinaus, was bereits in der Richtlinie steht.