Kunde möchte wissen, wer bei uns für Cybersicherheit verantwortlich ist

Governance, kein Name

Die Frage "wer ist verantwortlich für Informationssicherheit" fragt in der Praxis nicht nach einem Namen oder einer Funktionsbezeichnung, sondern nach Nachweis von Governance: Gibt es eine benannte Verantwortlichkeit, und ist diese auf Managementebene verankert? Artikel 21 Absatz 2 von NIS2 nennt dies nicht isoliert, sondern als Teil der Richtlinie für Risikoanalyse und Sicherung von Informationssystemen — die erste der zehn Maßnahmen. Wer diese Frage erhält, kann meist am besten auf dasselbe Richtliniendokument verweisen, in dem auch angegeben ist ob das Unternehmen eine Richtlinie für Risikoanalyse und die Sicherung von Informationssystemen hat: dort ist der Eigentümer der Richtlinie meist genannt, zusammen mit dem Geltungsbereich und dem Datum der letzten Überprüfung.

Hat das Unternehmen keine explizit benannte Verantwortlichkeit, dann ist "die Geschäftsleitung" oder "der Eigentümer" als Antwort für kleinere Unternehmen oft ausreichend — aber das ist eine faktische Feststellung, nicht etwas, das diese Plattform vorschlägt. Was das System hingegen kann: die Antwort aus dem Kettenakt abrufen, falls sie dort bereits vorhanden ist, zusammen mit der Quelle, damit der Kunde sie mit Ja oder Nein bestätigt. Fehlt diese Dokumentation, dann ist die ehrlichste Antwort, dass noch keine formal benannte Verantwortlichkeit vorhanden ist, anstatt einen Namen zu erfinden, der nicht im Akt steht. Diese Frage hängt oft mit anderen zusammen: wer einen Vorfall meldet, steht beispielsweise in dem Verfahren zur Behandlung von Sicherheitsvorfällen, und das kann dieselbe Person sein oder jemand anderes.

Woher dies aus Artikel 21 Absatz 2 folgt

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 verpflichtet Entitäten zu einem risikobasierten Ansatz mit zehn konkreten Maßnahmen, von denen eine Richtlinie zur Risikoanalyse und Sicherung von Informationssystemen die erste ist; wer dafür verantwortlich ist, ist Teil dieser Richtlinie, nicht eine isolierte Information. In ISO/IEC 27001 findet sich dies in Annex A unter den Kontrollmaßnahmen für die Organisation der Informationssicherheit. Das Cybersicherheitsgesetz setzt diese Verpflichtung in deutsches Recht um und tritt voraussichtlich am 15. August 2026 in Kraft; bis dahin ist NIS2 selbst der Text, auf den man sich beziehen kann.