NIS-2 für die Geschäftsleitung, Management und Leitungsebene: Kontext der NIS-2-Regulierung, Pflichten für die Geschäftsleitung, Risikoanalyse und Risikomanagementmaßnahmen nach § 38 BSIG

Rechtlicher Rahmen: NIS-2-Richtinie und BSIG

• Überblick über NIS-2-Richtlinie und das novellierte BSIG.
• Einordnung der Begriffe in KRITIS, „wichtige“ und „besonders wichtige“ Einrichtungen.
• Rolle der Geschäftsleitung bei Umsetzung, Überwachung und Nachweis der Risikomanagementmaßnahmen.
• Überblick über Haftungsrisiken und Sanktionsrahmen.

Kernbereich 1: Risikoanalyse aus Sicht der Geschäftsleitung

• Was eine Risikoanalyse nach NIS-2/BSIG leisten muss – ohne technische Details.
• Typische Bedrohungen und Schadensszenarien aus Management-Perspektive.
• Lesen und Verstehen von Risiko-Reports: Welche Fragen sollte die Geschäftsleitung stellen?
• Verankerung der Risikoanalyse im Risikomanagement und in der Unternehmensstrategie.

Kernbereich 2: Risikomanagementmaßnahmen und Mindestanforderungen

• Anforderungen an Risikomanagementmaßnahmen nach NIS-2-Richtlinie und § 30 BSIG.
• Überblick über typische technisch-organisatorische Maßnahmen (TOM) und Management-Aufgaben.
• Rolle der Geschäftsleitung: Zielvorgaben, Ressourcen, Priorisierung und Kontrolle.

Kernbereich 3: Auswirkungen von Risiken und Maßnahmen auf die erbrachten Dienste

• Welche Auswirkungen können Sicherheitsvorfälle auf Betrieb, Produktion, Dienstleistungen, Reputation und Finanzen haben?
• Bewertung von Maßnahmen aus Business-Sicht: Wirtschaftlichkeit, Verhältnismäßigkeit, Restrisiko.
• Umgang mit Restrisiken: Dokumentation, Kommunikation und Entscheidungsfindung in der Geschäftsleitung.

Rollen, Verantwortlichkeiten und wirksame Delegation

• Abgrenzung von Aufgaben: Was muss auf Geschäftsleitungsebene bleiben, was kann delegiert werden?
• Zusammenarbeit mit CISO/ISB, IT-Leitung, Datenschutz, Compliance und Risikomanagement.
• Anforderungen an Berichtswege, Kontrollen und Nachweisführung.

Umsetzung in der Praxis: Vom gesetzlichen Rahmen zur eigenen Governance

• Praxisbeispiele zu Sicherheitsvorfällen und Haftung der Geschäftsleitung.
• Ableitung einer eigenen „Roadmap“ für Geschäftsleitungen: Welche Punkte sollten kurzfristig, mittelfristig, langfristig angegangen werden?
• Dokumentation der Schulung und der getroffenen Management-Entscheidungen als Baustein zur Erfüllung der Nachweispflichten.

Hinweis zur Schulungspflicht
Mit diesem Seminar können Mitglieder der Geschäftsleitung ihre Schulungspflicht nach § 38 Abs. 3 BSIG adressieren. Die Inhalte orientieren sich an der Handreichung des BSI zur Schulungspflicht nach § 38 Abs. 3 BSIG und unterstützen Teilnehmende dabei, ihrer Schulungspflicht nachzukommen.

Klarheit über Pflichten der Geschäftsleitung:

• Die Anforderungen der NIS-2 und insbesondere § 38 BSIG an Geschäftsleitungen werden verstanden.

Kompetenz in Risikoanalyse und Risikomanagement:

• Die nötigen Kenntnisse werden erworben, um Risikoanalysen zu lesen, zu hinterfragen und die Angemessenheit von Risikomanagementmaßnahmen einzuschätzen – ohne selbst technische:r Expert:in sein zu müssen.

Bewusstsein für Auswirkungen von Risiken:

• Die Auswirkungen von Risiken und getroffenen Maßnahmen auf die von Unternehmen erbrachten Dienste können besser beurteilt werden, um Entscheidungen fundierter treffen zu können.

Haftungsrisiken erkennen und steuern:

• Ein Überblick über persönliche Haftungsrisiken wird gegeben, und es wird gezeigt, wie Governance-Strukturen, Delegation und Nachweise gestaltet werden sollten, um diese Risiken zu reduzieren.

Nachweisbare Weiterbildung der Geschäftsleitung:

• Die Teilnahme belegt, dass der Pflicht zur regelmäßigen Fortbildung im Bereich Informationssicherheit nach § 38 BSIG nachgekommen wurde. Eingeschlossen sind Fragestellungen, die anschließend im Unternehmen beantwortet werden müssen. 

Das Seminar richtet sich an Mitglieder der Geschäftsleitung, Vorstände, Geschäftsführer:innen und weitere Personen in oberster Leitungsfunktion von Unternehmen und Einrichtungen, die unter die Kategorien „wichtige“ oder „besonders wichtige“ Einrichtungen im Sinne von NIS-2 (und hier v.a. des BSIG) fallen.

Gemäß § 2 Abs. 13 BSIG fällt unter „Geschäftsleitung“ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist.

Technische Detailkenntnisse werden nicht vorausgesetzt; im Fokus stehen rechtliche, organisatorische und strategische Fragestellungen auf Management-Ebene.