NIS-2: Warum Informationssicherheit Chefsache sein muss

Mit NIS-2 wird Informationssicherheit endgültig zur Aufgabe der Geschäftsführung. Sie ist eben kein IT-Projekt, das man einfach delegieren kann, sondern ein Steuerungsthema mit unternehmerischer Tragweite. Warum das so ist – und weshalb der Wandel nur gelingt, wenn er von oben getragen wird – zeigt dieser Beitrag.

Von der IT-Aufgabe zur Führungsverantwortung

Lange galt Informationssicherheit als etwas, das „die IT schon macht“. Doch schon vor NIS-2 war der Schutz des Unternehmens vor Cyberrisiken keine freiwillige Kür der Geschäftsführung, sondern Teil ihrer Sorgfaltspflicht. Neu ist nicht die Verantwortung. Neu ist, dass sie seit Dezember 2025 gesetzlich vollstreckt wird. Der europäische Gesetzgeber hat mit NIS-2 einen bewussten Perspektivwechsel eingeleitet, denn Informationssicherheit gilt jetzt als Frage der Unternehmenssteuerung – vergleichbar mit Finanzen, Compliance oder Arbeitsschutz.

Der Grund liegt auf der Hand: Cyberangriffe sind heute keine seltenen Einzelereignisse mehr, sondern ein permanentes Geschäftsrisiko. Ein Ransomware-Vorfall kann Produktion, Lieferfähigkeit und Reputation eines Unternehmens innerhalb weniger Stunden zum Erliegen bringen. Wer diese Risiken steuern will, muss sie also kennen, bewerten und priorisieren – und genau darin liegt originär die Aufgabe der Geschäftsführung. Übrigens betrifft NIS-2 dabei längst nicht nur Betreiber kritischer Infrastrukturen, sondern eine deutlich größere Bandbreite an Unternehmen als viele annehmen.

Was NIS-2 konkret von der Geschäftsführung verlangt

NIS-2 adressiert die Leitungsebene erstmals unmittelbar. Die Geschäftsführung muss die Risikomanagementmaßnahmen zur Cybersicherheit nämlich selbst billigen, deren Umsetzung überwachen und zudem regelmäßig an Schulungen teilnehmen, um Risiken überhaupt bewerten zu können. Die Verantwortung ist damit nicht delegierbar – auch dann nicht, wenn ein CISO oder Informationssicherheitsbeauftragter benannt ist.

Wer diese Pflichten verletzt, haftet – und zwar auch persönlich. Neben empfindlichen Bußgeldern für das Unternehmen (bis zu 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes) sieht das NIS-2-Umsetzungsgesetz ausdrücklich Sanktionen und Haftungsrisiken für die Leitungsebene vor. Enthaftende Verzichtserklärungen sind zudem ausgeschlossen. Damit wird Informationssicherheit rechtlich auf eine Stufe mit klassischen Sorgfaltspflichten der Geschäftsführung gestellt. Weiterführende Informationen zu betroffenen Unternehmen und den konkreten Pflichten finden sich beim BSI.

Warum Delegation allein nicht genügt

In vielen Unternehmen gibt es einen Informationssicherheitsbeauftragten, ein IT-Team oder sogar einen CISO. Das ist gut und richtig, reicht jedoch nicht aus. Denn Informationssicherheit ist eben kein reines Fachthema, sondern greift in nahezu alle Geschäftsprozesse ein:

• Welche Geschäftsprozesse sind kritisch und müssen priorisiert geschützt werden?
• Welche Investitionen sind gerechtfertigt – und welche Restrisiken sind bewusst tragbar?
• Wie hoch ist die Risikobereitschaft des Unternehmens?
• Welche Verantwortlichkeiten bestehen entlang der Lieferkette?

Diese Fragen kann kein Sicherheitsbeauftragter allein beantworten, da sie unternehmerische Entscheidungen erfordern – und die trifft naturgemäß die Geschäftsführung. Ein CISO ohne Rückhalt von oben verwaltet folglich bestenfalls Symptome, während die Ursachen unbehandelt bleiben. Auch ein technisch sauber aufgesetztes Informationssicherheits-Managementsystem (ISMS) kann seine Wirkung nur dann entfalten, wenn es von der Leitungsebene aktiv getragen wird.

Tone from the Top: Kultur entsteht von oben

Sicherheit ist zu einem großen Teil eine Frage der Unternehmenskultur. Werden Passwörter geteilt? Melden Mitarbeitende verdächtige E-Mails? Halten sich alle an Sicherheitsvorgaben, auch wenn diese im Alltag einmal unbequem sind? Studien zeigen dazu immer wieder: Der Faktor Mensch ist die größte Schwachstelle – gleichzeitig aber auch die stärkste Verteidigungslinie.

Wie ernst Mitarbeitende Informationssicherheit nehmen, hängt maßgeblich davon ab, wie ernst die Führung sie nimmt. Umgeht die Geschäftsführung Sicherheitsrichtlinien selbst, tut sie Schulungen als „lästige Pflicht“ ab oder streicht sie Sicherheitsbudgets zusammen, sendet das ein klares Signal: Das Thema ist offenbar nicht wichtig. Umgekehrt gilt jedoch: Wo die Führung Sicherheit sichtbar vorlebt, wird sie im gesamten Unternehmen tatsächlich gelebt. Diese Erkenntnis ist auch aus anderen Compliance-Bereichen als „Tone from the Top“ bekannt – und sie funktioniert nur dann, wenn sie authentisch ist. Praktische Hinweise, wie Führungskräfte in Awareness-Maßnahmen eingebunden werden können, machen dies im Detail deutlich.

Drei Beispiele, wie Führungskräfte mit gutem Beispiel vorangehen können:

• Sichtbare Teilnahme an Awareness-Schulungen und Phishing-Simulationen – ohne Sonderrechte und ohne Ausnahmen für die Chefetage.
• Konsequente Einhaltung eigener Sicherheitsvorgaben im Alltag – etwa Multi-Faktor-Authentifizierung, sichere Geräte auf Reisen und der Verzicht auf Schatten-IT, auch wenn es unbequem ist.
• Cybersicherheit als festen Tagesordnungspunkt in Leitungsrunden etablieren und Sicherheitsentscheidungen aktiv kommunizieren – so wird sichtbar, dass Sicherheit denselben Stellenwert hat wie Umsatz oder Qualität.

Auch das BSI bringt das in seiner Positionierung unmissverständlich auf den Punkt:

„Cybersicherheit ist Chefinnen- und Chefsache!“

Informationssicherheit als Steuerungsaufgabe – was das praktisch heißt

Was bedeutet es konkret, Informationssicherheit als Steuerungsthema zu behandeln? Drei Kernpunkte:

1. Regelmäßige Befassung auf Leitungsebene.
Cybersicherheit gehört als fester Tagesordnungspunkt in Geschäftsführungs- und Aufsichtsratssitzungen – mit Kennzahlen, Risikolage und Umsetzungsstand der Maßnahmen.

2. Verzahnung mit dem Risikomanagement.
Informationssicherheitsrisiken müssen im unternehmensweiten Risikomanagement abgebildet und mit anderen Geschäftsrisiken abgewogen werden – nicht in einem IT-Silo.

3. Ressourcen und Rückendeckung.
Ein Informationssicherheits-Managementsystem (ISMS) braucht Budget, Personal und Durchsetzungskraft. Die Geschäftsführung muss sicherstellen, dass Sicherheitsanforderungen auch dann eingehalten werden, wenn sie im Konflikt mit kurzfristigen Geschäftsinteressen stehen.

NIS-2 ist eine Chance – wenn die Führung sie ergreift

NIS-2 wird von vielen als lästige Regulierungspflicht wahrgenommen. Tatsächlich bietet die Richtlinie eine seltene Chance: Sie schafft den nötigen Anlass, Informationssicherheit dort zu verankern, wo sie hingehört – auf der Führungsebene. Unternehmen, die diese Chance nutzen, schützen nicht nur ihre Daten und Prozesse, sondern stärken auch ihre Widerstandsfähigkeit, ihre Reputation und ihr Vertrauen bei Kunden und Partnern.

Informationssicherheit ist Chefsache. Nicht, weil das Gesetz es so vorschreibt, sondern weil es unternehmerisch richtig ist. NIS-2 macht diese Tatsache nur endlich rechtlich unübersehbar.