NIS2-Checkliste für Geschäftsführer: So vermeiden Sie die persönliche Haftung

aus IT for Business Podcast · 12.07.2026 · 19 Min.

Beschreibung

NIS2 ist längst keine Aufgabe mehr, die ausschließlich in der IT-Abteilung erledigt wird. Seit Inkrafttreten der neuen gesetzlichen Anforderungen tragen Geschäftsführer und Vorstände eine unmittelbare Verantwortung für das Cyber-Risikomanagement ihres Unternehmens. Wer seine Pflichten nicht kennt oder organisatorische Lücken übersieht, riskiert nicht nur Bußgelder, sondern unter Umständen auch eine persönliche Haftung.In dieser Episode erhalten Sie eine praxisnahe Checkliste mit den sechs wichtigsten Aufgaben, die Geschäftsführer jetzt prüfen sollten. Von der Betroffenheitsanalyse über Governance und Risikomanagement bis hin zu Meldepflichten und Dokumentation erfahren Sie, wie Sie Ihr Unternehmen strukturiert und rechtssicher auf NIS2 vorbereiten. Punkt 1 – Betroffenheit und Registrierung prüfen Der erste Schritt besteht darin, eindeutig festzustellen, ob Ihr Unternehmen unter den Anwendungsbereich der NIS2-Richtlinie fällt. Erst danach lassen sich die weiteren Pflichten sinnvoll planen und priorisieren.In diesem Abschnitt sprechen wir über: Betroffene Branchen und Unternehmensgrößen Wichtige und besonders wichtige Einrichtungen Registrierung beim BSI ELSTER-Zertifikat und Unternehmenskonto Nachregistrierung bei versäumten Fristen Typische Fehler bei der Einstufung Punkt 2 – Die nicht delegierbaren Pflichten der Geschäftsführung Operative Aufgaben können an IT-Abteilungen oder externe Dienstleister übertragen werden – die Gesamtverantwortung bleibt jedoch bei der Unternehmensleitung.Dabei behandeln wir unter anderem: Billigung der Risikomanagementmaßnahmen Überwachung der Umsetzung Regelmäßige Management-Reports Schulungspflichten für Führungskräfte Sicherstellung der Meldefähigkeit Verantwortung für ausgelagerte IT-Dienstleistungen Punkt 3 – Den Maßnahmenkatalog aus §30 BSIG umsetzen Die gesetzlichen Mindestmaßnahmen sollen nicht nur dokumentiert, sondern dauerhaft im Unternehmensalltag verankert werden. Entscheidend ist ein wirksames Zusammenspiel aus Technik, Organisation und Governance.Schwerpunkte dieses Kapitels: Risikoanalyse und Risikobewertung Incident Response und Business Continuity Backup- und Restore-Strategien Lieferketten- und Drittanbieterrisiken Patch- und Schwachstellenmanagement Multi-Faktor-Authentifizierung (MFA) Asset-Management und Zugriffskontrolle Security Awareness und Kryptografie Punkt 4 – Dokumentation als Haftungsschutz Im Ernstfall zählt nicht nur, welche Maßnahmen umgesetzt wurden, sondern auch, ob Entscheidungen nachvollziehbar dokumentiert sind. Eine belastbare Governance schützt Unternehmen und Geschäftsführung gleichermaßen.In dieser Episode erfahren Sie außerdem: Dokumentierte Risikoentscheidungen Management-Beschlüsse Regelmäßige Risikoberichte Maßnahmenpläne und Review-Prozesse Dokumentation von Restrisiken Nachweise gegenüber Behörden und Auditoren Drittanbieter- und Lieferantendokumentation Punkt 5 – Meldeprozesse und Incident Response vorbereiten Im Falle eines erheblichen Sicherheitsvorfalls bleibt nur wenig Zeit. Deshalb müssen Meldewege, Zuständigkeiten und Kommunikationsprozesse bereits im Vorfeld definiert sein.Wir sprechen unter anderem über: Die 24-Stunden-Frühwarnung Die 72-Stunden-Folgemeldung Die Abschlussmeldung nach 30 Tagen Eskalations- und Kommunikationswege Kontaktlisten und Vertretungsregelungen Zusammenarbeit mit Cloud- und Managed-Service-Providern Vorbereitung statt Improvisation Punkt 6 – Persönliche Haftungsrisiken minimieren Zum Abschluss betrachten wir die organisatorischen Maßnahmen, mit denen Geschäftsführer ihre persönliche Verantwortung aktiv wahrnehmen und gleichzeitig Haftungsrisiken reduzieren können.Dabei geht es unter anderem um: D&O-Versicherung richtig bewerten Governance dauerhaft etablieren Sicherheitsberichte regelmäßig prüfen Nachweisbare Führungsentscheidungen treffen Compliance kontinuierlich überwachen NIS2 als festen Bestandteil der Unternehmensführung verankern Fazit NIS2 ist keine einmalige Compliance-Aufgabe, sondern ein dauerhaftes Führungs- und Governance-Thema. Geschäftsführer, die ihre Betroffenheit kennen, klare Verantwortlichkeiten schaffen, Risiken dokumentieren und Incident-Response-Prozesse frühzeitig etablieren, reduzieren nicht nur regulatorische Risiken, sondern stärken gleichzeitig die Resilienz und Zukunftsfähigkeit ihres Unternehmens.Abonnieren Sie den IT for Business Podcast und erhalten Sie regelmäßig praxisnahe Einblicke zu Cybersecurity, IT-Governance, Compliance, Cloud, Infrastruktur und Digitalisierung – speziell für Geschäftsführer, CIOs, IT-Leiter und Entscheider im Mittelstand. Sie möchten wissen, wie IT Ihr Business voranbringen kann? Dann vernetzen Sie sich mit mir auf LinkedIn und bleiben Sie bei den neuesten Trends und Best Practices immer auf dem Laufenden.