Eine der größten Veränderungen durch NIS2 ist, dass Cybersicherheit zur Führungsaufgabe wird. Der Gedanke, dass Informationssicherheit ausschließlich, bzw. in erster Linie Aufgabe der IT-Abteilung ist, sollte demnach spätestens jetzt abgelegt werden. Die Geschäftsleitung soll NIS2 aktiv steuern und eigenverantwortlich Entscheidungen über Prioritäten, Budget und Ressourcen treffen.
Welche Aufgaben hat die Geschäftsleitung konkret?
Die Geschäftsleitung muss gemäß NIS2 insbesondere:
- die angemessene Umsetzung von Risikomanagementmaßnahmen sicherstellen,
- diese Umsetzung regelmäßig überwachen
- dafür sorgen, dass ausreichende finanzielle und personelle Ressourcen zur Verfügung stehen,
- sich regelmäßig über Risiken und Sicherheitsmaßnahmen informieren lassen und
- Informationssicherheit schließlich zum festen Bestandteil unternehmerischer Entscheidungen machen.
Um Sie ein wenig zu erleichtern: In der Praxis ist wichtig, dass die Geschäftsleitung nachvollziehen kann, welche Risiken bestehen und wie mit ihnen umgegangen wird. Sie muss demnach nicht von heute auf morgen zum Informationssicherheitsexperten werden und jede technische Maßnahme selbst umsetzen. Es ist aber trotzdem wichtig, dass sich die Geschäftsleitung über ihre neue, bzw. erweiterte Rolle bewusst ist, verantwortungsvoll damit umgeht und vor allem folgendes beachtet.
Keine Delegation
Viele Unternehmen arbeiten standartgemäß mit
- einer IT-Abteilung,
- einem externen IT-Dienstleister,
- einem internen und/oder externen Datenschutzbeauftragten und
- einem Informationssicherheitsbeauftragten zusammen.
Diese Dienstleister können und dürfen Sie auch bei der Umsetzung der NIS2-Richtlinie unterstützen. Die gesetzlich verankerte Verantwortung der Geschäftsleitung bleibt jedoch bestehen. Demnach können bestimmte Aufgaben, jedoch nicht die Verantwortung für deren angemessene Umsetzung und Überwachung übertragen werden.
Schulungspflicht
NIS2 führt auch ein, dass die Geschäftsleitung regelmäßig an Schulungen teilnehmen muss, um sich das notwenige Wissen anzueignen und regelmäßig zu ergänzen, bzw. aufzufrischen. Ziel dabei ist es, Cyberrisiken und Bedrohungen besser erkennen und bewerten zu können. Zudem soll der Geschäftsleitung bewusst sein, welche Auswirkungen konkrete Sicherheitsvorfälle auf das Unternehmen haben können. Dieses Wissen soll es ermöglichen und dabei helfen, fundiertere Entscheidungen zu treffen.
Die Schulungspflicht verfolgt demnach auch das grundsätzliche Ziel der NIS2-Richtlinie, dass Informationssicherheit bereits auf der Leistungsebene berücksichtigt wird und dort nicht erst Aufmerksamkeit erhält, wenn der Ernstfall bereits eingetreten ist.
Als Key-Takeaway aus diesem Beitrag können Sie folgenden Merksatz mitnehmen:
Eine starke Sicherheitsstruktur gegen Cyberbedrohungen beginnt mit einer Geschäftsleitung, die Informationssicherheit als Führungsaufgabe versteht. Genau deshalb stärkt die NIS2-Richtlinie die Verantwortung der Geschäftsleitung, indem sie diese ausdrücklich gesetzlich verankert.