NIS2-Schulung für Geschäftsführer: verständlich, digital, nachweisbar

Cybervorfälle können rechtliche Folgen für das Unternehmen und unter bestimmten Voraussetzungen auch für die Geschäftsführung haben. Entscheidend ist deshalb, die geltenden Anforderungen zu kennen und rechtzeitig zu handeln.

Lassen Sie eine aktuelle Übersicht der gesetzlichen, branchenspezifischen und vertraglichen Pflichten erstellen. Halten Sie fest, wer welche Anforderung erfüllt, welche Fristen gelten und wie die Umsetzung nachgewiesen wird. Binden Sie dafür rechtliche Beratung und die Datenschutzverantwortlichen ein.

Ein Cyberangriff allein beweist noch keine Pflichtverletzung. Werden Pflichten verletzt, können jedoch Bußgelder, Kundenansprüche oder eine persönliche Haftung entstehen. Lassen Sie mögliche rechtliche Folgen deshalb frühzeitig und parallel zur technischen Aufarbeitung prüfen.

Bereiten Sie die Meldewege vor einem Vorfall vor. Es muss klar sein, wer den Vorfall bewertet, wer mögliche Meldepflichten prüft und wer an welche Stelle meldet. Dazu gehören erreichbare Kontakte, Vertretungen und eindeutige Fristen. Unterschiedliche Meldepflichten können nebeneinander bestehen. Erproben Sie diesen Ablauf in einer Übung.

Prüfen Sie außerdem kritische Dienstleisterverträge. Welche Sicherheitsleistungen schuldet der Anbieter? Wie schnell informiert er über Vorfälle? Welche Nachweisrechte haben Sie? Und wie sind Haftung sowie die Rückgabe oder Löschung Ihrer Daten geregelt?

Dokumentieren Sie wesentliche Entscheidungen mit Sachverhalt, eingeholtem Rat und Begründung. Benennen Sie Verantwortliche und Termine. Verfolgen Sie anschließend, ob die Maßnahmen umgesetzt wurden und wirken. Ein Protokoll allein genügt nicht.

Für die Geschäftsführung bedeutet das: Anforderungen kennen, fachlichen Rat einholen, Zuständigkeiten klären und die Umsetzung nachhalten. Ihre wichtigsten Arbeitsmittel sind eine aktuelle Anforderungsübersicht, ein erprobter Meldeplan, geprüfte Verträge und nachvollziehbare Entscheidungsprotokolle.

Willkommen zur Lektion 5 im Modul „Management von Cyberrisiken“. Wie viel könnte ein Cybervorfall Ihr Unternehmen kosten? Welche Schutzmaßnahmen sind sinnvoll? Und welches verbleibende Risiko können Sie tragen? Als Geschäftsführer benötigen Sie dafür verständliche Bewertungen. Sie legen Prioritäten fest und entscheiden, wie Ihr Unternehmen mit den Risiken umgeht.

Beginnen Sie bei Ihren wichtigsten Geschäftsprozessen. Welche Abläufe müssen funktionieren, damit Sie Aufträge bearbeiten, Leistungen erbringen und Rechnungen stellen können? Welche Daten, Systeme und Dienstleister werden dafür benötigt? Beschreiben Sie daraus konkrete Szenarien. Ein Beispiel: Ein Angreifer verschlüsselt zentrale Server. Die Auftragsbearbeitung fällt aus, das Lager erhält keine Versandinformationen und der Kundenservice kann keine Liefertermine nennen. Jetzt lässt sich beurteilen, was dieser Vorfall für Ihr Unternehmen bedeutet.

Beziehen Sie die betroffenen Fachbereiche ein. Diese wissen, welche Aufgaben liegen bleiben und welche Ersatzabläufe möglich sind. Fragen Sie: Wie lange könnte der Ausfall dauern? Welche Umsätze gehen tatsächlich verloren? Welche Aufträge können später nachgeholt werden? Welche zusätzlichen Kosten entstehen? Berücksichtigen Sie neben der Wiederherstellung auch externe Unterstützung, Notbetrieb, Kommunikation und mögliche Vertragsstrafen. Kundenverlust und beeinträchtigtes Vertrauen können weitere Folgen sein.

Unser fiktiver Kassenbon zeigt, wie sich diese Belastungen zusammensetzen können. Angenommen werden zehn Tage Betriebsunterbrechung durch einen Ransomware-Angriff. Für Betriebsunterbrechung und Ausfall rechnen wir mit 160.000 Euro. Der interne Einsatz kostet im Beispiel 10.000 Euro, externe Forensik und Wiederherstellung weitere 40.000 Euro. Ersatzsysteme und Notbetrieb kommen mit 10.000 Euro hinzu. Für Datenschutz- und Rechtsberatung sowie für Krisenkommunikation werden jeweils 20.000 Euro angesetzt. Marketing nach einem Imageschaden und eine angenommene Vertragsstrafe verursachen jeweils weitere 15.000 Euro. Insgesamt ergibt das 290.000 Euro geschätzte Gesamtbelastung. Diese Beträge sind fiktive Annahmen.

Die wesentliche Erkenntnis lautet: Die finanziellen Folgen reichen weit über die Reparatur der Systeme hinaus. Lassen Sie für Ihr Unternehmen prüfen, welche Kosten tatsächlich relevant wären. Grenzen Sie die Positionen sauber ab, damit derselbe Aufwand nicht mehrfach gezählt wird.

Auch die beste Risikobewertung enthält Unsicherheiten. Fragen Sie deshalb, worauf die Schätzungen beruhen. Gibt es bekannte Schwachstellen, Erfahrungen aus Vorfällen oder Ergebnisse aus Wiederherstellungstests? Betrachten Sie einen günstigen, einen wahrscheinlichen und einen schweren Verlauf. Im günstigen Fall gelingt die Wiederherstellung schnell. Im schweren Fall sind auch Sicherungen betroffen und wichtige Daten fehlen. Fordern Sie nachvollziehbare Schadensbandbreiten und eine Einschätzung der Eintrittswahrscheinlichkeit ein. Lassen Sie sich erklären, welche Annahmen das Ergebnis besonders stark beeinflussen.

Damit schaffen Sie die Grundlage für Ihre nächste Entscheidung: Welche Risiken möchten Sie tragen und wo besteht Handlungsbedarf?

Wer ist eigentlich von NIS2 betroffen? Die kurze Antwort lautet: deutlich mehr Organisationen, als viele zunächst vermuten. NIS2 gilt nicht nur für klassische Betreiber kritischer Infrastrukturen. Betroffen sein können Unternehmen und öffentliche Einrichtungen aus dem Bereich Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienstleistungen. Aber auch die Lebensmittelwirtschaft, die Chemieindustrie, die Abfallwirtschaft, Post- und Kurierdienste, Forschungseinrichtungen sowie bestimmte Unternehmen des produzierenden Gewerbes gehören dazu.

Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Dabei entscheidet jedoch nicht allein die Branche. In der Regel spielen auch die Anzahl der Beschäftigten, der Jahresumsatz und die Bilanzsumme eine Rolle. Beschäftigt eine Organisation mindestens 50 Mitarbeitende oder überschreiten sowohl der Jahresumsatz als auch die Bilanzsumme jeweils 10 Millionen Euro, sollte sie ihre Betroffenheit genau prüfen. Für bestimmte besonders kritische Einrichtungen gelten Ausnahmen: Sie können unabhängig von ihrer Größe unter NIS2 fallen.

Auch Zulieferer und Dienstleister sollten das Thema nicht unterschätzen. Sie sind möglicherweise nicht unmittelbar gesetzlich betroffen. Ihre Kunden können die Anforderungen an die Informationssicherheit jedoch über Verträge und Vorgaben an sie weitergeben.

Und wer ist innerhalb einer betroffenen Organisation verantwortlich? Die Antwort lautet: nicht nur die IT. Die Geschäftsleitung trägt die übergeordnete Verantwortung. Sie muss die Umsetzung steuern, überwachen und sich regelmäßig mit den bestehenden Cyberrisiken befassen. Die IT setzt viele technische und organisatorische Maßnahmen um. Und alle Mitarbeitenden tragen durch ihr tägliches Verhalten zur Sicherheit des Unternehmens bei.

Wichtig ist deshalb: Eine Organisation muss ihre Betroffenheit grundsätzlich selbst prüfen. Sie erhält keine automatische Einladung und keine persönliche Aufforderung. NIS2 betrifft daher nicht nur einzelne Branchen, sondern die gesamte Organisation.