Mobile-Menu

Persönliche Haftung verändert Risikokultur in Unternehmen Schwachstelle Governance: Wo die NIS2-Umsetzung wirklich scheitert

Ein Gastbeitrag von Thomas Kress 4 min Lesedauer

NIS2 verpflichtet Geschäftsleitungen, Cyberrisiken aktiv zu steuern und Entscheidungen nachweislich zu treffen. Doch viele Führungsteams unterschätzen die Richtlinie und delegieren sie an Rechtsabteilungen. Die Folge ist eine strukturelle Schwachstelle, die schwerer wiegt als un­ge­patchte Sicherheitslücken.

Governance wird unter NIS2 zur sicherheitskritischen Funktion: Geschäftsleitungen müssen Cyberrisiken aktiv steuern, Entscheidungen nachweislich treffen und können die Verantwortung nicht mehr einfach delegieren. (Bild: © Khfd - stock.adobe.com)
Governance wird unter NIS2 zur sicherheitskritischen Funktion: Geschäftsleitungen müssen Cyberrisiken aktiv steuern, Entscheidungen nachweislich treffen und können die Verantwortung nicht mehr einfach delegieren.
(Bild: © Khfd - stock.adobe.com)

Die NIS2-Richtlinie rückt die Unternehmensführung in den Mittelpunkt der Cybersicherheit. Erstmals entsteht ein klarer Rechtsrahmen, der Geschäftsleitungen verpflichtet, Risiken aktiv zu steuern und verantwortliche Entscheidungen nachweislich zu treffen. Diese Verschiebung verdeutlicht ein Problem, das lange unterschätzt wurde. Die größte Verwundbarkeit vieler Organisationen liegt nicht in Firewalls oder Netzsegmenten, sondern in der Art und Weise, wie Risiken bewertet, Budgets priorisiert und Entscheidungen dokumentiert werden.

Während Sicherheitsteams technische Maßnahmen vorantreiben, bleibt die Governance in vielen Unternehmen ein blinder Fleck. Entscheidungswege sind unklar, Berichte fragmentiert und die Risikolage wird häufig nur technisch beschrieben. Dadurch entsteht eine strukturelle Schwäche, die im Ernstfall schwerer wiegt als jede ungepatchte Schwachstelle.

Management unterschätzt weiterhin die Tragweite der Richtlinie

Obwohl NIS2 seit Monaten diskutiert wird, bleibt die Sensibilität in vielen Führungsetagen gering. Die neuen Vorgaben werden oft als juristische Formalität eingeordnet und deshalb an Rechtsabteilungen delegiert. Dieser Ansatz greift zu kurz. NIS2 verlangt ausdrücklich, dass Geschäftsleitungen Cyberrisiken verstehen, bewerten und steuern. Diese Verantwortung kann nicht verlagert oder rein formal erfüllt werden.

Die Folge dieser Fehleinschätzung ist sichtbar. Maßnahmen werden verzögert, Prioritäten falsch gesetzt und Budgets zu knapp kalkuliert. Gleichzeitig entstehen Prozesse, die Entscheidungen unzureichend dokumentieren und im Ernstfall nicht nachweisen können, dass eine angemessene Risikosteuerung stattgefunden hat. Governance wird dadurch zur Schwachstelle, die Angriffe begünstigt und Haftungsrisiken erhöht.

Persönliche Haftung führt zu einer neuen Risikokultur

Mit NIS2 entsteht ein Haftungsregime, das organisatorische Verantwortung in individuelle Verantwortlichkeit überführt. Geschäftsleitungen müssen nachweisen, dass Entscheidungen zur Cybersicherheit informiert und angemessen getroffen wurden. Dies verändert die Risikokultur grundlegend.

Cybersecurity entwickelt sich zur Managementdisziplin, die finanzielle, technische und operative Aspekte verbindet. Entscheidend ist weniger die technische Tiefe, sondern die Fähigkeit, Risiken aus Unternehmenssicht einzuordnen und daraus nachvollziehbare Entscheidungen abzuleiten. Dadurch rückt Governance in den sicherheitskritischen Bereich, weil sie die strukturellen Grundlagen schafft, auf denen Sicherheitsmaßnahmen wirken können.

Die Informationslage im Vorstand bleibt unzureichend

Viele Unternehmensführungen treffen Entscheidungen auf Basis unvollständiger In­for­ma­ti­onen. Technische Reports sind oft detailreich, aber betriebswirtschaftlich schwer einzuordnen. Juristische Analysen beschreiben Pflichten und Fristen, geben jedoch keine Orientierung für operative Prioritäten.

Es entsteht eine Informationslücke, die Entscheidungen verzögert und Sicherheitsinitiativen schwächt. Um Governance wirksam zu machen, benötigen Führungsteams:

  • 1. Ein kompaktes KPI-Set mit klaren Aussagen zu Risiko, Schutzgrad und Wirksamkeit.
  • 2. Regelmäßige Lageberichte, die technische, organisatorische und finanzielle Perspektiven zusammenführen.
  • 3. Eine einheitliche Entscheidungsgrundlage für Vorstand und Aufsichtsrat.
  • 4. Dokumentationsprozesse, die Entscheidungen transparent und belastbar machen.

Erst diese Informationsbasis ermöglicht es, Risiken realistisch einzuordnen und Prioritäten sachgerecht zu setzen.

Warum Governance 2026 zur sicherheitskritischen Funktion wird

Die Bedrohungslage verschärft sich seit Jahren. Ransomware-as-a-Service, arbeitsteilige Angreifergruppen und automatisierte Schwachstellenscans erhöhen die Wahrscheinlichkeit erfolgreicher Attacken erheblich. Gleichzeitig wächst der regulatorische Druck.

In dieser Kombination wird Governance zu einer sicherheitskritischen Funktion. Sie verbindet technische Maßnahmen mit strategischer Steuerung und schafft Transparenz über Risiken und Wirksamkeit. Unternehmen benötigen klare Strukturen, die:

  • Prioritäten auf Basis realer Bedrohungen festlegen.
  • Organisatorische Verantwortlichkeiten zwischen Führung, Compliance und IT-Sicherheit definieren.
  • Sicherheitskultur über einzelne Trainings hinaus verankern.
  • Lieferkettenrisiken einordnen und steuern.
  • Die Nachweisfähigkeit gegenüber Behörden sicherstellen.

Governance ist damit nicht länger eine formale Ergänzung, sondern ein elementarer Bestandteil operativer Resilienz.

Welche strukturellen Anpassungen Unternehmen jetzt benötigen

Um die Anforderungen der Richtlinie belastbar umzusetzen, sind drei strukturelle Anpassungen entscheidend:

  • 1. Klare Rollen im Führungsteam
    Sicherheitsverantwortung muss zwischen Vorstand, Risikomanagement, Compliance und IT-Sicherheit eindeutig verteilt werden. Ohne diese Trennschärfe entstehen Lücken in Mel­de­we­gen, Entscheidungsprozessen und Nachweisen.
  • 2. Reporting in Managementsprache
    Führungsteams benötigen Berichte, die strategische Relevanz erklären und wirtschaftliche Auswirkungen sichtbar machen. Nicht in komplizierten Excel-Sheets, sondern auf Knopf­druck. Nur so lassen sich Prioritäten festlegen und Budgets zielgerichtet steuern.
  • 3. Strukturierte Roadmap für die Umsetzung
    Unternehmen sollten eine Abfolge aus Betroffenheitsanalyse, Umsetzung und Nach­weis­fähig­keit entwickeln. Diese Roadmap reduziert Ad-hoc-Reaktionen und schafft einen nachvollziehbaren Steuerungsprozess.

Fazit: Governance entscheidet über Sicherheit und Haftung

Die Richtlinie fordert technische und organisatorische Maßnahmen, doch der entscheidende Faktor liegt in der Führung. Governance entscheidet darüber, ob ein Unternehmen Risiken versteht, Maßnahmen priorisiert und Entscheidungen nachvollziehbar trifft.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Cybersicherheit wird 2026 nicht an einzelnen technischen Schwachstellen scheitern, sondern an fehlender strategischer Steuerung. Unternehmen, die Governance stärken und Entscheidungsstrukturen modernisieren, schaffen eine Grundlage für echte Resilienz und erfüllen gleichzeitig die Anforderungen der NIS2-Richtlinie.

Über den Autor: Thomas Kress ist IT-Sicherheitsexperte und Geschäftsführer der Deutschen CyberKom. Nach über 25 Jahren in leitenden Rollen bei internationalen IT-Projekten gründete er sein eigenes Unternehmen, das heute unter dem Dach der Deutschen CyberKom IT-Security und Telekommunikation strategisch vereint.

(ID:50771942)

Weiterführende Inhalte