NIS-2: Pflichten und Schulung der Geschäftsleitung

Rechtsgrundlage: § 38 BSIG

Die Vorschrift richtet sich an die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen und enthält drei Elemente. Grundlage ist Artikel 20 der NIS-2-Richtlinie.

Umsetzung und Überwachung

Die Geschäftsleitung ist verpflichtet, die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. In der Richtlinie heißt das, die Leitungsorgane müssen die Maßnahmen billigen und ihre Umsetzung überwachen.

Haftung

Verletzt die Geschäftsleitung diese Pflichten schuldhaft und entsteht der Einrichtung dadurch ein Schaden, haftet sie nach den auf die Rechtsform anwendbaren gesellschaftsrechtlichen Regeln. Nur wenn das Gesellschaftsrecht keine passende Regelung enthält, greift eine Haftung unmittelbar nach dem BSIG.

Schulungspflicht

Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zum Erkennen und Bewerten von Risiken und von Risikomanagementpraktiken im Bereich der IT-Sicherheit zu erwerben, auch mit Blick auf die Auswirkungen auf die Dienste der Einrichtung.

Wer zur Geschäftsleitung zählt

Gemeint sind die Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen sind, also zum Beispiel Geschäftsführer einer GmbH oder Vorstandsmitglieder einer AG. Nach der Handreichung des BSI müssen alle Personen teilnehmen, die nach dem Gesetz als Geschäftsleitung gelten. Das BSI empfiehlt zusätzlich, auch Beschäftigte zu schulen, die Risikoentscheidungen für die Leitung vorbereiten.

Was das BSI zur NIS2-Schulung der Geschäftsleitung empfiehlt

Das BSI hat eine Handreichung zur Geschäftsleitungsschulung veröffentlicht. Sie ist rechtlich nicht verbindlich, gibt aber eine gute Orientierung.

Inhalte

Drei Kernbereiche sollen abgedeckt sein:

1. Risiken erkennen und bewerten
2. Auswirkungen von Risiken auf die Dienste der Einrichtung einschätzen
3. Risikomanagementmaßnahmen kennen und beurteilen

Eine Schulung, die sich nur auf Maßnahmen beschränkt, greift nach Auffassung des BSI zu kurz.

Rhythmus

Die Gesetzesbegründung sieht Schulungen, die mindestens alle drei Jahre angeboten werden, als «regelmäßig» an. Das BSI bezweifelt, dass dieses Minimum in den meisten Fällen genügt, und empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen. Die Abstände sollen sich an der Risikoexposition und den Vorkenntnissen orientieren.

Umfang

Die Gesetzesbegründung geht im Mittel von vier Stunden aus. Das BSI weist darauf hin, dass eine Schulung je nach Risikoexposition deutlich länger dauern kann und vier Stunden in den meisten Fällen nicht ausreichen. Die Zeit darf auf mehrere Termine verteilt werden.

Nachweis

Teilnahmenachweise sollten Anbieter, Teilnehmende und ihre Funktion, Datum und Dauer sowie die Inhalte mit Bezug zu § 38 Abs. 3 BSIG enthalten. Das BSI merkt an, dass solche Nachweise die Teilnahme belegen, nicht aber den Kompetenzerwerb. Besser zeigt sich die Kompetenz in der aktiven, nachvollziehbaren Beteiligung an Risikoentscheidungen.

Ein Schulungsangebot auswählen

Es gibt kein amtliches Zertifikat für Geschäftsleitungsschulungen. Achten Sie bei der Auswahl auf folgende Punkte:

• Die drei Kernbereiche aus der BSI-Handreichung werden ausdrücklich abgedeckt.
• Die Inhalte beziehen sich auf Ihre Branche und Ihre tatsächlichen Risiken, nicht nur auf allgemeine Bedrohungen.
• Es gibt Übungsanteile, etwa eine Entscheidungssituation in einem simulierten Vorfall.
• Der Anbieter stellt einen Nachweis mit Inhalten, Dauer und Bezug zu § 38 Abs. 3 BSIG aus.
• Die Schulung lässt Raum für Fragen zu Ihrer eigenen Umsetzung.

Interne Schulungen durch den eigenen Informationssicherheitsbeauftragten sind nicht ausgeschlossen, sollten aber dieselben Anforderungen an Inhalt und Nachweis erfüllen.

Überwachung im Alltag

Die Überwachungspflicht verlangt mehr als eine einmalige Freigabe. Praktikabel ist ein fester Berichtsrhythmus, zum Beispiel quartalsweise, mit folgenden Punkten:

• Umsetzungsstand des Maßnahmenplans und offene Risiken
• Sicherheitsvorfälle und Beinahe-Vorfälle samt Meldungen an das BSI
• Ergebnisse von Audits, Tests und Notfallübungen
• Entscheidungen, die die Leitung treffen muss, etwa Budget, Risikoübernahmen oder Prioritäten

Halten Sie Beschlüsse schriftlich fest. Im Haftungsfall ist entscheidend, ob die Geschäftsleitung ihre Pflichten nachvollziehbar wahrgenommen hat.

Delegation und Rollen

Die Geschäftsleitung kann operative Aufgaben an einen Informationssicherheitsbeauftragten, die IT-Leitung oder einen externen Dienstleister übertragen. Sie bleibt aber dafür verantwortlich, geeignete Personen auszuwählen, sie mit Mitteln auszustatten und ihre Arbeit zu überwachen. Die NIS-2-Checkliste des BSI empfiehlt, mindestens zwei Personen mit einer koordinierenden Rolle für die Informationssicherheit zu benennen und zu befähigen.

Abgrenzung zur Schulung der Beschäftigten

Neben der Geschäftsleitungsschulung verlangt § 30 Abs. 2 Nr. 7 BSIG grundlegende Schulungen und Sensibilisierungsmaßnahmen für die Beschäftigten. Beides sollte inhaltlich aufeinander abgestimmt sein, verfolgt aber unterschiedliche Ziele: Die Geschäftsleitung soll steuern und entscheiden können, die Beschäftigten sollen sicher arbeiten und Vorfälle erkennen.