Der Fragebogen fragt, wer in unserem Unternehmen für Cybersicherheit verantwortlich ist

Governance und Haftung, nicht nur ein Name

Die Frage geht über das Eintragen einer Kontaktperson hinaus. Artikel 21 Absatz 2 der NIS2-Richtlinie nennt "Maßnahmen zur Risikoanalyse und Sicherheit von Informationssystemen" als eine der zehn obligatorischen Maßnahmen, und Governance — wer entscheidet, wer genehmigt, wer trägt die Verantwortung — ist Teil davon. Bei ISO/IEC 27001 findet sich dies in Annex A unter den Kontrollmaßnahmen zur Organisation der Informationssicherheit wieder: dort wird erwartet, dass Rollen und Verantwortlichkeiten zugewiesen und dokumentiert sind, nicht nur mündlich vereinbart. Einen Namen zu nennen, ohne eine dokumentierte Rolle anzugeben, ist daher meist eine unvollständige Antwort.

Was der Kunde genau sehen möchte, unterscheidet sich je nach Format: manchmal ist es eine Funktionsbezeichnung (CISO, IT-Manager, Geschäftsführer), manchmal eine tabellarische Darstellung nach RACI-Muster, manchmal nur die Frage, ob es ÜBERHAUPT eine benannte Person gibt. Hat das Unternehmen keinen formell benannten Verantwortlichen, aber liegt die Aufgabe faktisch bei jemandem, ist das oft ausreichend für ein "ja" — vorausgesetzt, es ist irgendwo dokumentiert, beispielsweise in einer Stellenbeschreibung oder in Protokollen. Ohne jegliche Dokumentation ist "nein" die ehrliche Antwort; das Kettendossier kann das nicht durch eine Behauptung lösen. Diese Frage hängt oft zusammen mit Richtlinie zur Risikoanalyse und zum Schutz von Informationssystemen, da ein Kunde, der nach Governance fragt, normalerweise auch wissen möchte, wer diese Richtlinie festgelegt hat.

Wo dies in der Richtlinie und der Norm steht

Der Verweis auf Governance und Verantwortlichkeiten steht in Artikel 21 Absatz 2 Buchstabe a der NIS2-Richtlinie (Maßnahmen zur Risikoanalyse und Informationssicherheit) und in Annex A von ISO/IEC 27001 unter den organisatorischen Kontrollmaßnahmen. In den Niederlanden kommt die gleiche Verpflichtung über das Cybersicherheitsgesetz zurück, das am 15. August 2026 als Umsetzung von NIS2 in Kraft tritt. Regulierungsbehörden und Kunden, die diese Frage stellen, prüfen implizit auch, ob ein Prozess dahinter steckt — deshalb läuft diese Frage in der Praxis oft zusammen mit der Frage, ob die Wirksamkeit von Maßnahmen regelmäßig überprüft wird, denn ein Verantwortlicher ohne Prüfungsmoment ist auf dem Papier wenig wert.