NIS2 für IT-Leitung und CISO
Technische Maßnahmen in sinnvoller Reihenfolge — und die Nachweise dazu
Worum es in dieser Rolle geht
Die IT-Leitung setzt um und weist nach; sie verantwortet nicht die Entscheidung. § 38 BSIG adressiert ausdrücklich die Geschäftsleitung — Umsetzung und Überwachung bleiben dort. Für die IT bedeutet das: Maßnahmen bauen, Wirksamkeit messen, Nachweise erzeugen und der Leitung so berichten, dass sie ihrer Überwachungspflicht nachkommen kann.
Der häufigste Fehler auf dieser Ebene ist, NIS2 als IT-Projekt zu übernehmen. Vier der zehn Maßnahmenbereiche liegen ganz oder überwiegend außerhalb der IT: Lieferkettensicherheit gehört in den Einkauf, Personalsicherheit und Schulungen in die Personalabteilung, die Wirksamkeitsbewertung braucht Unabhängigkeit, und die Billigung der Risikoakzeptanz kann nur die Geschäftsleitung leisten. Wer das alles in der IT hält, produziert Nachweise, die im Audit nicht tragen.
In dieser Reihenfolge
Jeder Punkt mit dem Kriterium, an dem sich erkennen lässt, dass er erledigt ist — nicht „gestartet“, sondern nachweisbar fertig.
Inventar vor allem anderen
Ohne vollständiges Verzeichnis der Systeme, Dienste und Datenflüsse ist jede Risikoanalyse Fiktion. Das gilt besonders dort, wo Fachabteilungen eigene Cloud-Dienste beschafft haben.
Fertig, wenn: Jedes System hat einen benannten Verantwortlichen und eine Kritikalitätseinstufung.
Verwaiste Konten schließen
Der Befund, der in Audits am schnellsten gefunden wird, und der billigste zu beheben. Austrittsprozess mit der Personalabteilung koppeln, dann einmalig aufräumen.
Fertig, wenn: Eine Rezertifizierung ist dokumentiert und hat nachweislich Rechte entzogen.
Mehr-Faktor dort, wo es zählt
Fernzugriff, administrative Konten und Cloud-Dienste zuerst. Dienstkonten nicht vergessen — sie sind das eigentliche Ziel und werden regelmäßig ausgenommen.
Fertig, wenn: Ausnahmen sind gelistet, befristet und begründet, statt stillschweigend zu bestehen.
Wiederherstellung testen, nicht nur sichern
Eine Sicherung ohne erfolgreichen Rückspieltest ist eine Annahme. Mindestens eine Kopie muss unveränderbar und vom Produktivnetz getrennt sein.
Fertig, wenn: Es liegt ein Protokoll eines erfolgreichen Restores mit Datum und Dauer vor.
Erkennen, bevor gemeldet wird
Die 24-Stunden-Frist nach § 32 BSIG beginnt mit der Kenntniserlangung. Wer Vorfälle nicht erkennt, meldet nicht zu spät — er meldet gar nicht. Zentrale Protokollierung mit auswertbarer Aufbewahrung ist die Voraussetzung.
Fertig, wenn: Eine Übung hat gezeigt, dass ein Vorfall innerhalb von Stunden erkannt und eskaliert wird.
Schwachstellen mit Frist versehen
Scanberichte ohne Behebungsfrist belegen nur, dass man das Problem kannte. Fristen nach Kritikalität festlegen und die Einhaltung berichten.
Fertig, wenn: Aus zwei aufeinanderfolgenden Berichten ist erkennbar, dass Befunde geschlossen wurden.
Der Leitung berichtsfähig werden
Die Geschäftsleitung muss ihre Überwachungspflicht belegen können. Dafür braucht sie wenige, stabile Kennzahlen mit Zielwert — nicht den Rohauszug aus dem Werkzeug.
Fertig, wenn: Es gibt ein wiederkehrendes Berichtsformat mit dokumentierter Kenntnisnahme.
Wo es mit anderen Rollen hakt
| Mit | Konflikt | Auflösung |
|---|---|---|
| Geschäftsleitung | Die Leitung erwartet, dass die IT „NIS2 macht", und delegiert damit auch die Entscheidung. | Die Überwachungspflicht nach § 38 Abs. 1 BSIG ist nicht delegierbar. Praktisch hilft ein festes Berichtsformat: Die IT liefert die Lage, die Leitung entscheidet und protokolliert. |
| Einkauf | Sicherheitsanforderungen erreichen den Lieferanten erst, wenn der Vertrag längst läuft. | Sicherheitsanforderungen als festen Bestandteil der Beschaffung verankern, mit einer schlanken Prüfung nach Kritikalität statt eines Fragebogens für alle. |
| Produktion oder Fachbereich | Patches und Scans kollidieren mit Verfügbarkeitsanforderungen. | Kompensierende Maßnahmen dokumentieren — Segmentierung, enge Zugänge, passive Überwachung. § 30 verlangt Verhältnismäßigkeit, nicht ein bestimmtes Verfahren. |
Häufige Fragen
- Haftet die IT-Leitung persönlich nach NIS2?
- Nein. § 38 BSIG adressiert die Geschäftsleitung. Die dort geregelte Haftung richtet sich gegen die eigene Einrichtung und folgt dem Gesellschaftsrecht. Für die IT-Leitung gelten die allgemeinen arbeits- und dienstrechtlichen Regeln — NIS2 begründet keine eigene Haftungsnorm für sie.
- Womit fängt man an, wenn nichts vorhanden ist?
- Mit dem Inventar, dann mit den Konten. Beides ist Voraussetzung für alles Weitere, beides ist ohne Budget machbar, und beide Befunde tauchen in Prüfungen zuerst auf. Erst danach lohnt die Diskussion über Werkzeuge.
- Brauchen wir ein SIEM?
- Das BSIG schreibt kein Produkt vor. § 30 Abs. 2 Nr. 2 verlangt die Bewältigung von Sicherheitsvorfällen, was die Fähigkeit zur Erkennung voraussetzt. Ob die aus einem SIEM, einem verwalteten Dienst oder einer konsequent ausgewerteten zentralen Protokollierung kommt, ist eine Frage der Verhältnismäßigkeit — und der Ehrlichkeit darüber, wer die Meldungen tatsächlich liest.
- Wie berichte ich an die Geschäftsleitung?
- Kurz, wiederkehrend und entscheidungsfähig. Wenige Kennzahlen mit Zielwert, der Status offener Maßnahmen, die Risiken, die bewusst getragen werden sollen — und für jede davon eine Entscheidung, die protokolliert wird. Dieses Protokoll ist der Nachweis, den die Leitung für ihre Überwachungspflicht braucht.
Weiter zu
Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Fachliche Einordnung zur technischen und organisatorischen Umsetzung, keine Rechtsberatung.
Wo stehen Sie in Ihrer Rolle?
Eine Gap-Analyse beantwortet das anhand Ihrer Nachweise und liefert eine priorisierte Liste dessen, was noch fehlt.
Gap-Analyse ansehen