NIS2-betroffene Unternehmen brauchen keinen gesetzlich vorgeschriebenen Informationssicherheitsbeauftragten im Sinne einer formalen Pflichtrolle, wie es etwa beim Datenschutzbeauftragten der Fall ist. Dennoch verlangt NIS2 von der Geschäftsführung nachweisbare Verantwortung für Informationssicherheit, und in der Praxis ist diese Verantwortung ohne eine benannte, kompetente Person kaum erfüllbar. Die folgenden Abschnitte klären, was NIS2 konkret fordert, wann internes Know-how ausreicht und welche Rolle ein externer ISB dabei spielen kann.
Wer ist nach NIS2 für Informationssicherheit verantwortlich?
Nach NIS2 liegt die Verantwortung für Informationssicherheit ausdrücklich bei der Geschäftsführung. Die Richtlinie verpflichtet Leitungsorgane, Cybersicherheitsmaßnahmen zu billigen, deren Umsetzung zu überwachen und persönlich für Verstöße zu haften. Informationssicherheit ist damit Chefsache, keine reine IT-Aufgabe.
Das bedeutet konkret: Geschäftsführer und Vorstände müssen Risikomanagement verstehen, Sicherheitskonzepte freigeben und bei Sicherheitsvorfällen handlungsfähig sein. NIS2 sieht sogar vor, dass Leitungsorgane an Schulungen zur Cybersicherheit teilnehmen. Diese persönliche Haftung ist neu und reicht deutlich weiter als bisherige Regelungen. Wer Informationssicherheit bislang vollständig an die IT-Abteilung delegiert hat, bewegt sich nach NIS2 in einer Grauzone.
Daraus folgt: Jemand im Unternehmen muss die Brücke zwischen technischen Maßnahmen und der Geschäftsführungsebene bauen, den Überblick über den Sicherheitsstatus behalten und die Einhaltung der Pflichten dokumentieren. Ob diese Person intern oder extern ist, schreibt das Gesetz nicht vor.
Schreibt NIS2 einen Informationssicherheitsbeauftragten vor?
Nein, NIS2 schreibt keinen Informationssicherheitsbeauftragten als Pflichtrolle vor. Anders als die DSGVO, die unter bestimmten Bedingungen einen Datenschutzbeauftragten verlangt, enthält die NIS2-Richtlinie keine vergleichbare Vorschrift für einen ISB oder CISO. Die Verantwortung für Sicherheitsmaßnahmen liegt bei der Geschäftsführung, nicht bei einer definierten Einzelrolle.
Was NIS2 stattdessen fordert, sind Ergebnisse: ein funktionierendes Risikomanagement, dokumentierte Sicherheitsmaßnahmen, funktionierende Meldeprozesse bei Vorfällen und eine nachweisbare Sicherheitskultur. Wie Unternehmen diese Anforderungen organisatorisch umsetzen, bleibt ihnen überlassen. In der Praxis zeigt sich jedoch schnell, dass diese Anforderungen ohne eine klar verantwortliche Person nicht zuverlässig erfüllt werden. Wenn niemand explizit zuständig ist, bleibt vieles liegen.
Die Frage ist also weniger, ob ein ISB rechtlich vorgeschrieben ist, sondern ob ein Unternehmen die NIS2-Pflichten ohne diese Rolle realistisch erfüllen kann.
Wann reicht internes Know-how für NIS2 und wann nicht?
Internes Know-how reicht für NIS2 aus, wenn ein Unternehmen bereits über eine Person verfügt, die Informationssicherheit strategisch steuern kann, ausreichend Zeit dafür hat und mit den relevanten Rahmenwerken vertraut ist. Das ist in größeren Unternehmen mit eigener IT-Sicherheitsabteilung denkbar, im Mittelstand aber selten die Realität.
Typische Situationen, in denen internes Know-how nicht ausreicht:
- Die IT-Abteilung ist operativ ausgelastet und hat keine Kapazität für strategische Sicherheitsthemen.
- Niemand im Unternehmen kennt NIS2 im Detail, kann ein Gap-Assessment durchführen oder Meldeprozesse aufsetzen.
- Es fehlt an Erfahrung mit Audits, Dokumentationsanforderungen oder Risikoanalysen.
- Die Geschäftsführung braucht eine unabhängige Einschätzung des Sicherheitsstatus, die nicht von der eigenen IT kommt.
Gerade für Unternehmen, die NIS2 neu trifft, also Betriebe, die bislang keine formale Informationssicherheitsstrategie hatten, ist der Aufbau dieser Kompetenz intern zeitaufwendig und fehleranfällig. Das Risiko: Lücken werden erst im Ernstfall sichtbar, wenn ein Vorfall gemeldet werden muss oder eine Prüfbehörde nachfragt.
Was leistet ein externer ISB im Vergleich zu einer internen Stelle?
Ein externer Informationssicherheitsbeauftragter bringt spezialisiertes Fachwissen, Erfahrung aus mehreren Unternehmen und Unabhängigkeit mit, ohne dass das Unternehmen eine Vollzeitstelle aufbauen muss. Der wesentliche Unterschied zur internen Lösung liegt in der Verfügbarkeit von Expertise und der Flexibilität der Beauftragung.
Eine interne Stelle hat den Vorteil tiefer Unternehmenskenntnis und permanenter Präsenz. Sie erfordert aber Einstellungsaufwand, laufende Weiterbildung und ist schwer zu besetzen, weil qualifizierte Sicherheitsexperten auf dem Arbeitsmarkt knapp sind. Gerade im Mittelstand konkurrieren Unternehmen hier mit Konzernen, die deutlich höhere Gehälter zahlen können.
Ein externer ISB deckt dagegen ab:
- Strategische Beratung der Geschäftsführung zu Sicherheitsrisiken und Compliance-Anforderungen
- Aufbau und Pflege eines Informationssicherheits-Managementsystems (ISMS)
- Begleitung bei Audits, Behördenanfragen und Zertifizierungen
- Schulung von Mitarbeitern und Sensibilisierung für Sicherheitsthemen
- Unabhängige Bewertung des Sicherheitsstatus ohne interne Interessenkonflikte
Der externe ISB ist kein Ersatz für operative IT-Sicherheitsmaßnahmen, aber er sorgt dafür, dass diese Maßnahmen strategisch sinnvoll ausgewählt, dokumentiert und kontrolliert werden.
Wie unterstützt ein externer ISB bei der NIS2-Umsetzung konkret?
Ein externer ISB unterstützt NIS2-betroffene Unternehmen, indem er die Anforderungen der Richtlinie in konkrete Maßnahmen übersetzt, die Umsetzung koordiniert und gegenüber der Geschäftsführung sowie Behörden verantwortet. Er übernimmt die Rolle, die das Gesetz der Leitungsebene zuschreibt, ohne dass die Geschäftsführung selbst zum Sicherheitsexperten werden muss.
In der Praxis bedeutet das unter anderem:
- Betroffenheitsanalyse: Prüfung, ob und in welchem Umfang das Unternehmen unter NIS2 fällt, inklusive Einstufung als wichtige oder besonders wichtige Einrichtung.
- Gap-Assessment: Vergleich des aktuellen Sicherheitsstands mit den NIS2-Anforderungen und Ableitung eines priorisierten Maßnahmenplans.
- Aufbau von Meldeprozessen: Sicherstellung, dass das Unternehmen im Ernstfall innerhalb der gesetzlichen Fristen melden kann (24 Stunden Erstmeldung, 72 Stunden Folgemeldung).
- Lieferkettenmanagement: Bewertung und Dokumentation von Sicherheitsanforderungen gegenüber Dienstleistern und Lieferanten.
- Laufende Überwachung: Regelmäßige Reviews, um sicherzustellen, dass Maßnahmen wirksam bleiben und neue Risiken erkannt werden.
Wichtig ist, dass der ISB nicht nur Konzepte liefert, sondern deren Umsetzung begleitet. Viele Unternehmen scheitern nicht am Konzept, sondern daran, dass Maßnahmen nicht konsequent implementiert werden.
Wann sollte ein NIS2-betroffenes Unternehmen handeln?
NIS2-betroffene Unternehmen sollten jetzt handeln. Die Richtlinie ist seit Oktober 2024 in nationales Recht umzusetzen, Aufsichtsbehörden nehmen ihre Arbeit auf und die Haftung der Geschäftsführung gilt unabhängig davon, ob ein Unternehmen seine Betroffenheit bereits formal geprüft hat. Wer wartet, riskiert Bußgelder und im Schadensfall persönliche Haftung.
Der erste Schritt ist die Klärung der eigenen Betroffenheit: Fällt das Unternehmen unter NIS2, und wenn ja, als welche Art von Einrichtung? Dieser Schritt klingt einfach, ist aber ohne Kenntnis der Schwellenwerte, Sektordefinitionen und Ausnahmetatbestände fehleranfällig. Viele Unternehmen unterschätzen ihre Betroffenheit, andere überschätzen sie und investieren in Maßnahmen, die nicht zwingend erforderlich wären.
Danach folgt die Bestandsaufnahme: Welche Sicherheitsmaßnahmen existieren bereits, welche fehlen, und was muss bis wann umgesetzt sein? Diese Fragen lassen sich mit einem strukturierten Sicherheits-Audit beantworten, das den Reifegrad bewertet und einen klaren Fahrplan liefert.
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE macht die NIS2-Umsetzung für betroffene Unternehmen beherrschbar, von der ersten Betroffenheitsprüfung bis zur dauerhaften Erfüllung der Anforderungen. Das beginnt mit einem strukturierten NIS2-Audit, das den aktuellen Sicherheitsstand bewertet, die Anwendbarkeit der Richtlinie klärt und mit einer Gap-Analyse konkrete Handlungsfelder offenlegt.
Was UBESAFE dabei konkret leistet:
- Betroffenheitsanalyse und Pflichtenbild für Geschäftsführung und IT
- Aufbau von Governance-Strukturen, Meldeprozessen und Risikomanagement
- Technische Umsetzung, zum Beispiel 24/7-Monitoring, SIEM, Schwachstellen-Scans und Patchmanagement
- Externer ISB, der die strategische Verantwortung übernimmt und die Geschäftsführung entlastet
- Managed Service für kontinuierliche Überwachung und regelmäßige Reviews, damit NIS2 nicht einmalig, sondern dauerhaft erfüllt wird
Audit, Meldeprozesse und technische Maßnahmen können als vollumfängliches Paket oder als einzelne Komponenten beauftragt werden. Wer wissen möchte, wo das eigene Unternehmen heute steht, kann mit einem kostenlosen Erstgespräch starten und erhält eine erste Einschätzung ohne Verpflichtung.