NIS2-Pflichten für Geschäftsleiter: Risikomanagement, Meldefristen und Haftung

Wer als Geschäftsleiter eine besonders wichtige oder wichtige Einrichtung führt, muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und deren Umsetzung überwachen, an Schulungen teilnehmen und erhebliche Sicherheitsvorfälle fristgerecht melden lassen: 24 Stunden, 72 Stunden, ein Monat. Das steht im BSI-Gesetz (BSIG). Ob Sie überhaupt betroffen sind, klären Sie zuerst, zum Beispiel mit dem kostenlosen NIS2-Check.

Pflicht 1: Risikomanagement umsetzen und überwachen

Nach § 38 Abs. 1 BSIG müssen die Geschäftsleitungen die Risikomanagementmaßnahmen nach § 30 umsetzen und deren Umsetzung überwachen. Die Aufgabe lässt sich also nicht einfach an die IT abgeben, die Verantwortung bleibt bei der Leitung.

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen und deren Dokumentation. Bei der Verhältnismäßigkeit spielen unter anderem Risikoexposition, Größe der Einrichtung und Umsetzungskosten eine Rolle. Mindestens abzudecken sind laut Absatz 2:

• Risikoanalyse und Sicherheitskonzepte für die Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, etwa Backup-Management und Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement
• Bewertung der Wirksamkeit der Maßnahmen
• grundlegende Schulungen und Sensibilisierung
• Konzepte für kryptographische Verfahren
• Personalsicherheit, Zugriffskontrolle und Verwaltung von IKT-Systemen
• Multi-Faktor- oder kontinuierliche Authentifizierung und gesicherte Kommunikation

Pflicht 2: Meldefristen bei erheblichen Sicherheitsvorfällen

§ 32 BSIG sieht ein gestuftes Verfahren vor. Die Meldungen gehen an eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe. Die Pflicht gilt frühestens ab Einrichtung des Meldewegs.

Frist	Inhalt
24 Stunden nach Kenntnis	Frühe Erstmeldung: besteht der Verdacht auf rechtswidrige oder böswillige Handlungen, sind grenzüberschreitende Auswirkungen möglich?
72 Stunden nach Kenntnis	Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung mit Schweregrad und Auswirkungen, gegebenenfalls Kompromittierungsindikatoren
auf Ersuchen des BSI	Zwischenmeldung mit Statusaktualisierung
spätestens ein Monat nach der 72-Stunden-Meldung	Abschlussmeldung: ausführliche Beschreibung, wahrscheinliche Ursache, getroffene und laufende Abhilfemaßnahmen

Dauert der Vorfall nach einem Monat noch an, ist laut Gesetz zunächst eine Fortschrittsmeldung abzugeben, die Abschlussmeldung folgt nach der abschließenden Bearbeitung. Wann ein Vorfall "erheblich" ist, konkretisiert das BSI auf seiner Pflichtenseite nur beispielhaft, eine genauere Konkretisierung soll später veröffentlicht werden.

Pflicht 3: Schulung der Geschäftsleitung

Nach § 38 Abs. 3 BSIG müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen. Ziel ist, Risiken und Risikomanagementpraktiken der Informationssicherheit erkennen und bewerten zu können sowie ihre Auswirkungen auf die erbrachten Dienste einzuschätzen.

Haftung und Bußgelder

Verletzen Geschäftsleitungen ihre Pflichten nach § 38 Abs. 1, haften sie der Einrichtung für schuldhaft verursachte Schäden. Maßgeblich sind laut Gesetz die auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts.

Bußgelder regelt § 65 BSIG. Für die schwersten dort genannten Verstöße liegt die Obergrenze bei 10 Mio. EUR für besonders wichtige und 7 Mio. EUR für wichtige Einrichtungen. Prozentwerte vom Gesamtumsatz (2 Prozent beziehungsweise 1,4 Prozent) kommen nur bei Gesamtumsätzen über 500 Mio. EUR in Betracht. Für kleine und mittlere Unternehmen sind die Euro-Beträge maßgeblich. Für weitere Tatbestände sieht das Gesetz niedrigere Stufen vor, bis hinunter zu 100.000 EUR.

Was das für Ihren Versicherungsschutz bedeutet

Eine Cyber-Versicherung ist keine NIS2-Pflicht und ersetzt keine der genannten Maßnahmen. Sie kann aber Kosten eines Vorfalls abfedern, abhängig von den Bedingungen. Ob Ihre Police zu Ihrer Lage passt, zeigt die Cyber-Police-Prüfung mit schriftlichem Bericht. Wie die Maßnahmen im Alltag aussehen, beschreibt unser Artikel zur Cyber-Hygiene für KMU. Fachbegriffe rund um die Cyber-Versicherung erklärt das Glossar. CyberShield ist freier Makler der iSurance Gruppe (§ 34d GewO).

Häufige Fragen

Was kostet es, die Pflichten prüfen zu lassen?

Der NIS2-Check ist kostenlos. Die Cyber-Police-Prüfung kostet ab 49 EUR zzgl. USt. Die Kosten der Umsetzung der Maßnahmen hängen von Ihrer Ausgangslage ab und lassen sich hier nicht beziffern.

Wie läuft eine Meldung ab?

Zuerst die frühe Erstmeldung innerhalb von 24 Stunden, dann die Meldung nach 72 Stunden, auf Anfrage Zwischenmeldungen und spätestens einen Monat nach der 72-Stunden-Meldung die Abschlussmeldung. Der Meldeweg läuft über die gemeinsame Meldestelle von BSI und BBK.

Kann ich die Verantwortung an meinen IT-Dienstleister abgeben?

Nein. Umsetzung und Überwachung der Maßnahmen sind nach § 38 Abs. 1 BSIG Aufgabe der Geschäftsleitung.

Droht mir ein Bußgeld von 10 Mio. EUR?

10 Mio. EUR ist die Obergrenze für die schwersten Verstöße bei besonders wichtigen Einrichtungen, bei wichtigen Einrichtungen sind es 7 Mio. EUR. Wie hoch ein Bußgeld im Einzelfall ausfällt, steht damit nicht fest.

Muss ich an Schulungen teilnehmen?

Ja, § 38 Abs. 3 BSIG verlangt regelmäßige Schulungen der Geschäftsleitung zu Risiken und Risikomanagement in der Informationssicherheit.

Allgemeine Information, keine Rechtsberatung.

Fachtexte und Ratgeberbeiträge entstehen unter Einsatz von KI und werden vor der Veröffentlichung fachlich geprüft. Die redaktionelle Verantwortung liegt bei uns.