LONDON (IT BOLTWISE) – Mit der Umsetzung der NIS2-Richtlinie verschiebt sich der Schwerpunkt in deutschen Unternehmen weg von rein technischen Maßnahmen hin zu nachweisbarer Sicherheits-Governance. Für Geschäftsführung und CFO rücken dabei Überwachungspflichten, dokumentiertes Reporting und klare Verantwortlichkeiten in den Mittelpunkt. Hinzu kommen zusätzliche Pflichten aus CSRD, LkSG und DORA sowie wachsende Risiken durch Angriffe über Dienstleister. Entscheidend wird, wie schnell Unternehmen ihre Prozesse, Kontrollen und Schulungen auf die neuen Fristen ausrichten.
Die NIS2-Richtlinie wirkt in der Praxis weniger wie ein „neues Regelwerk“, sondern wie ein Umbau der Verantwortungsstruktur: Sicherheitsanforderungen werden in Deutschland stärker in Richtung Managementaufsicht, Dokumentationspflichten und nachvollziehbare Kontrollen gezogen. Damit steigt die Relevanz von Cyber-Resilienz nicht nur für IT-Teams, sondern direkt für die Unternehmensleitung. Im Kern geht es um die Frage, ob Sicherheitsmaßnahmen nicht nur implementiert, sondern auch fortlaufend überwacht, revisionssicher nachgewiesen und in die Betriebsabläufe integriert werden.
Für die Geschäftsführung wird dieser Wandel im neuen BSIG-Umfeld konkret, wie der Gesetzentwurf BT-Drs. 21/1501 aus dem September 2025 ausführt. Die Bestimmungen zum „BSIG-neu“ nennen dabei Überwachungspflichten der Unternehmensleitung, etwa in § 30 sowie § 38 BSIG-neu. Besonders deutlich wird der Personalbezug: Unternehmen sollen Sicherheitsrichtlinien nicht losgelöst vom Personalbetrieb betrachten, sondern auch die Integrität von Mitarbeitenden adressieren. Praktisch heißt das, dass Security nicht erst bei der Implementierung von Tools beginnt, sondern schon in HR-nahe Prozessen wie Einstellungsvoraussetzungen, Rollenklärung und laufender Überprüfung.
Dass diese Überwachungspflichten nicht abstrakt bleiben, zeigt der Blick auf die nationale Umsetzung über das KRITIS-Dachgesetz, das CER- und NIS2-Anforderungen in nationales Recht überführt. Betreiber kritischer Anlagen sollen Personalüberprüfungen revisionssicher dokumentieren – einschließlich Pre-Employment Screening vor der Einstellung, regelmäßiger Re-Screenings sowie der Prüfung externer Dienstleister. Als Begründung wird in dem Kontext auch auf eine Erhebung verwiesen, wonach rund 40 Prozent der Sicherheitsvorfälle auf menschliches Fehlverhalten zurückgehen. Das verschiebt den Fokus spürbar: Training, Zugangskonzepte und standardisierte Prüfprozesse werden zu Bausteinen eines Compliance-nahen Sicherheitsnachweises.
Für CFOs und andere Mitglieder der Geschäftsleitung entsteht daraus ein Bündel an Haftungsrisiken, weil NIS2 nicht isoliert steht. In der Praxis greifen zusätzliche Anforderungen aus CSRD, dem Lieferkettensorgfaltspflichtengesetz (LkSG) und der DORA-Verordnung zusammen. Zeitlich verdichtet sich die Umstellung: Die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) musste bereits bis zum 6. März 2026 erfolgen. Parallel trat am 18. März 2026 die CSDDD (Omnibus I) in Kraft, und bis zum 31. Dezember 2026 stehen weitere Schritte an, darunter der DORA-Übergang sowie die Umstellung auf die B2B-E-Rechnung. Für die Leitungsorgane bedeutet das, dass Fristen nicht als „IT-Projekt“ behandelt werden dürfen, sondern als Management-Programm mit messbaren Ergebnissen, Risiken und Dokumentationspfaden.
Daneben verschärfen neue KI-bezogene Regelungen die Lage, weil KI-Systeme zusätzliche Angriffsflächen schaffen können – etwa über Datenzugriffe, Automatisierungsfehler oder manipulierbare Prozesse in der Wertschöpfung. Entscheidend ist hier weniger die konkrete Gesetzesbezeichnung, sondern die Kombination aus Cyber- und Governance-Anforderungen: Ein konkreter Vorschlag zur Haftungsvermeidung lautet, dokumentierte Reporting-Linien aufzubauen und ein softwaregestütztes internes Kontrollsystem (IKS) für ESG-Kriterien zu etablieren. Auch szenariobasierte 24-Monats-Forecasts im Sinne des StaRUG werden genannt. Dazu passt die Einschätzung, dass klassische D&O-Versicherungspolicen Klagen im Zusammenhang mit Cyber-Vorfällen oder ESG-Verstößen zunehmend nicht mehr vollständig abdecken.
Ein weiterer Schwerpunkt liegt auf Drittparteien und Lieferkettenrisiken, weil die NIS2-Pflichten in Richtung „nachweisbar gesteuerte Abhängigkeiten“ wirken. Erfahrungen aus der DORA-Umsetzung im Finanzsektor werden herangezogen, wonach mehr als 50 Prozent der Sicherheitsvorfälle bei Finanzinstituten durch IKT-Drittdienstleister verursacht werden. Diese Zahl macht deutlich, warum Cyberresilienz zu einem unternehmensweiten Governance-Projekt wird: Wer Lieferanten und Dienstleister nur informell steuert, baut keine belastbare Kontrollkette. Gerade in stark vernetzten Umgebungen steigt zudem das Risiko von Angriffen wie CEO-Fraud, bei dem manipulative Handlungen über Kommunikationswege und Vertrauensstellungen zielen.
Gleichzeitig zeigt die Diskussion, dass nicht nur die Pflichten, sondern auch die Koordination der Pflichten entscheidend sind. Wirtschaftsverbände begleiten die Entwicklung kritisch und warnen vor sicherheitspolitischen Effekten, die aus dem Zusammenspiel von NIS2, dem KRITIS-Dachgesetz sowie dem Cyber Resilience Act und dem Cybersecurity Act entstehen könnten. Gefordert wird ein besseres Ineinandergreifen, um Doppelpflichten und Reibungsverluste zu vermeiden – verbunden mit der Erwartung, dass das BSI Unternehmen vor allem befähigen soll, statt sie durch zusätzliche Bürokratie zu behindern. Bereits auf der it-sa im Herbst 2025 betonte zudem Dr. Uwe Klapproth vom BSI die Notwendigkeit proaktiven Handelns der Unternehmen, um den steigenden Bedrohungslagen effektiv zu begegnen.
Für die Umsetzung stehen neben Schulungsangeboten auch technische und organisatorische Hilfen bereit. Für Leitungsorgane wird etwa ein Online-Seminar am 4. September 2026 genannt, das Pflichten nach § 38 BSIG sowie persönliche Haftungsfragen adressiert; die Kosten werden mit etwa 420 Euro zzgl. Mehrwertsteuer beziffert. Auf operativer Ebene bieten Dienstleister strukturierte IT-Sicherheitsaufnahmen vor Ort an: Ab 1.980 Euro sollen dabei Anforderungen aus Kundenkontext, Lieferketten und Cyberversicherung geprüft und eine juristische Ersteinschätzung zur NIS2-Betroffenheit erstellt werden. Für die Dokumentation nach BSI-IT-Grundschutz wird zudem eine Softwarelösung wie das ISW Grundschutz++ Cockpit genannt, das Anforderungen der Edition 2023 im OSCAL-Format lokal und ohne Cloud-Zwang verarbeitet. So entsteht aus der Regulierung zunehmend ein konkreter Arbeitsrhythmus für Governance, Nachweise und Kontrollen – und damit eine neue Messlatte für das, was Aufsicht und Haftung im Cyberkontext praktisch bedeuten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NIS2-Richtlinie: So entstehen Haftungsrisiken für Geschäftsführung und CFO" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NIS2-Richtlinie: So entstehen Haftungsrisiken für Geschäftsführung und CFO" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NIS2-Richtlinie: So entstehen Haftungsrisiken für Geschäftsführung und CFO« bei Google Deutschland suchen, bei Bing oder Google News!