Ein Maßnahmenstatus allein macht Informationssicherheit noch nicht steuerbar. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Umsetzung von Risikomanagementmaßnahmen überwachen. Dafür brauchen sie keine technische Detailflut, sondern eine belastbare Verbindung von Risiko, Wirkung, Verantwortlichkeit und Entscheidung.
Hinweis: Dieser Beitrag erläutert Anforderungen und eine mögliche Governance-Praxis. Er ersetzt weder die Prüfung, ob eine Einrichtung in den Anwendungsbereich des BSIG fällt, noch eine Rechtsberatung.
Rechtsstand: BSI-Gesetz vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026.
Ein vollständiger Bericht kann trotzdem keine Entscheidung tragen
Stellen wir uns einen monatlichen Bericht an die Geschäftsleitung vor. Auf der ersten Seite stehen 37 Sicherheitsmaßnahmen im Umsetzungsplan. 21 sind grün, 12 gelb und 4 rot. Daneben stehen Prozentwerte zum Umsetzungsgrad.
Die Darstellung wirkt ordentlich. Trotzdem bleiben die entscheidenden Fragen offen:
- Welches Geschäftsrisiko steckt hinter den vier roten Maßnahmen?
- Welche Dienste oder Prozesse könnten betroffen sein?
- Wird das Risiko durch die geplante Maßnahme tatsächlich reduziert?
- Wer trägt die Verantwortung, und bis wann muss gehandelt werden?
- Muss die Geschäftsleitung etwas entscheiden oder lediglich Kenntnis nehmen?
Das Beispiel ist hypothetisch. Die Schwäche des Berichts ist jedoch klar: Er dokumentiert Aktivität, schafft aber keine Entscheidungsfähigkeit.
Für das NIS2-Reporting folgt daraus ein klarer Maßstab. Die Geschäftsleitung muss nicht jedes technische Detail beherrschen. Für eine wirksame Überwachung braucht sie Informationen, mit denen sie beurteilen kann, ob wesentliche Risiken angemessen behandelt werden, Maßnahmen wirken und eine Entscheidung oder Eskalation erforderlich ist. Auch die BSI-Handreichung richtet ihre Leitfragen darauf aus.
Was das BSIG von Geschäftsleitungen verlangt
Für besonders wichtige und wichtige Einrichtungen ist die Verantwortung im BSI-Gesetz ausdrücklich geregelt.
§ 38 Absatz 1 BSIG verpflichtet deren Geschäftsleitungen, die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Absatz 3 verlangt regelmäßige Schulungen. Sie sollen ausreichende Kenntnisse und Fähigkeiten vermitteln, um Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten sowie ihre Auswirkungen auf die erbrachten Dienste beurteilen zu können.
§ 38 Absatz 2 verweist für schuldhaft verursachte Schäden zunächst auf die für die jeweilige Rechtsform geltenden gesellschaftsrechtlichen Haftungsregeln. Nur wenn diese keine entsprechende Haftungsregel enthalten, begründet das BSIG selbst subsidiär eine Haftung gegenüber der Einrichtung. Ob eine Haftung im Einzelfall besteht, hängt unter anderem von Pflichtverletzung, Verschulden und Schaden ab. Eine pauschale Aussage, Geschäftsleitungen hafteten für jeden „NIS2-Fehler“, wäre daher zu weitgehend.
§ 30 Absatz 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Die Einhaltung dieser Verpflichtung ist nach Satz 3 zu dokumentieren. Absatz 2 Nummer 6 nennt ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen.
Damit sind drei Ebenen zu unterscheiden:
- Maßnahmen sind vorgesehen oder beschlossen.
- Maßnahmen sind tatsächlich umgesetzt.
- Maßnahmen erzielen die beabsichtigte Risikowirkung.
Aus Sicht einer entscheidungsfähigen Governance bleibt ein Managementbericht unvollständig, wenn er nur die erste oder zweite Ebene zeigt.
Das Gesetz schreibt allerdings kein bestimmtes Dashboard, keine feste Berichtsfrequenz und auch keine Liste obligatorischer Kennzahlen vor. Für die Verhältnismäßigkeit der Maßnahmen nennt § 30 Absatz 1 Satz 2 ausdrücklich das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. An denselben Maßstäben können sich Form, Umfang und Takt eines Berichts orientieren.
Warum Nachweisfähigkeit mehr als gute Governance ist
Die Dokumentationspflicht richtet sich nach § 30 an die Einrichtung. Wer entgegen § 30 Absatz 1 Satz 3 die Einhaltung vorsätzlich oder fahrlässig nicht, nicht richtig oder nicht vollständig dokumentiert, handelt nach § 65 Absatz 2 Nummer 3 BSIG ordnungswidrig. Die Bußgeldrahmen differenzieren nach Einrichtungstyp und teilweise nach Umsatz. Diese institutionelle Sanktionsebene ist von der möglichen persönlichen Innenhaftung der Geschäftsleitung nach § 38 Absatz 2 zu unterscheiden.
Auch die Aufsicht folgt dieser Unterscheidung. Gegenüber einzelnen besonders wichtigen Einrichtungen besitzt das BSI nach § 61 BSIG weitergehende Prüf- und Durchsetzungsbefugnisse: Es kann unter anderem anordnen, dass unabhängige Stellen Audits, Prüfungen oder Zertifizierungen zu den ausdrücklich genannten Pflichten durchführen – darunter die Schulungspflicht nach § 38 Absatz 3. Darüber hinaus kann es die Einhaltung der gesetzlichen Anforderungen überprüfen. Für wichtige Einrichtungen setzt § 62 BSIG Tatsachen voraus, die eine nicht oder nicht richtig erfolgte Umsetzung bestimmter Pflichten annehmen lassen; dann kann das BSI deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.
Keine dieser Normen schreibt ein Managementberichtformat vor. Eine nachvollziehbare Verbindung von Risiko, Maßnahme, Wirksamkeitsnachweis und Entscheidung verbessert jedoch die Auskunfts- und Prüfungsfähigkeit.
Überwachung ist mehr als die Kenntnisnahme eines Status
Das BSI konkretisiert die Rolle der Geschäftsleitung in seiner Handreichung „Schulung für Geschäftsleitungen“, Version 1.0 vom 17. April 2026.
Als aktuelle amtliche Orientierung übersetzt die Handreichung die Anforderungen in Leitfragen, ohne selbst Gesetz zu sein. Das BSI beschreibt als Ziel, Geschäftsleitungen zu informierten und fundierten Entscheidungen im Kontext von Cyberrisiken zu befähigen. Es empfiehlt strukturiertes Nachfragen, strategische Einbindung und kontinuierliche Überprüfung.
Als hilfreiche Praxis nennt das BSI unter anderem:
- dokumentierte Risikomanagementmaßnahmen;
- regelmäßige Prüfung ihrer Wirksamkeit;
- die Übernahme der Ergebnisse in ISMS und Geschäftsleitungsberichte;
- Kennzahlen zu Risiken und Wirksamkeit;
- regelmäßige Diskussion dieser Informationen mit der Geschäftsführung.
Ein komplexes Kennzahlensystem ist daraus nicht abzuleiten. Der Maßstab ist, ob die vorgelegten Informationen eine Überwachungs- und Risikoentscheidung tragen.
Fünf Bausteine für einen entscheidungsfähigen Bericht
Für die Praxis leite ich daraus fünf Bausteine ab. Sie sind eine fachliche Empfehlung, keine gesetzliche Mindestfeldliste. Andere Darstellungen können ebenso geeignet sein, solange die wesentlichen Zusammenhänge erkennbar werden.
1. Risiko und geschäftliche Bedeutung
Der Bericht beginnt nicht bei der Maßnahme, sondern beim Risiko.
Dazu gehören beispielsweise:
- betroffener Dienst oder Geschäftsprozess;
- relevantes Bedrohungs- oder Ausfallszenario;
- mögliche Auswirkungen auf Verfügbarkeit, Integrität oder Vertraulichkeit;
- betriebliche, finanzielle, regulatorische oder kundenbezogene Folgen;
- aktuelle Risikoeinschätzung und ihre Begründung.
„Patch-Management rot“ ist kein ausreichender Risikosatz. Aussagekräftiger wäre: Ein aus dem Internet erreichbares System für die Auftragsabwicklung weist kritische, bekannte Schwachstellen auf; der reguläre Wartungsprozess überschreitet das intern festgelegte Zeitfenster.
2. Maßnahme und beabsichtigte Risikowirkung
Zu jeder Maßnahme gehört die beabsichtigte Risikowirkung.
Nicht jede abgeschlossene Aktivität reduziert automatisch das wesentliche Risiko. Eine neue Richtlinie, ein beschafftes Werkzeug oder eine durchgeführte Schulung belegen zunächst nur, dass etwas getan wurde. Entscheidend ist ihre erwartete und später nachgewiesene Wirkung.
Hilfreiche Fragen sind:
- Welche Strategie der Risikobehandlung verfolgt die Maßnahme: Vermeidung, Minderung oder Übertragung?
- Welche Annahmen liegen dieser Wirkung zugrunde?
- Gibt es Abhängigkeiten oder kompensierende Maßnahmen?
- Bleibt nach der Umsetzung ein relevantes Restrisiko?
3. Wirksamkeitsbeleg und Entwicklung
Eine Statusampel zeigt, ob etwas als erledigt gilt. Sie zeigt nicht automatisch, ob es funktioniert.
Für die Wirksamkeit können je nach Maßnahme unterschiedliche Nachweise sinnvoll sein:
- technische Tests oder Stichproben;
- Audit- und Assessment-Ergebnisse;
- Übungen und Wiederanlauftests;
- Bearbeitungs- und Reaktionszeiten;
- Trend einer Risikokennzahl;
- wiederkehrende Ausnahmen oder Kontrollfehler;
- dokumentierte Abweichungen zwischen Ziel und Ist-Zustand.
Entscheidungsrelevanz ist deshalb wichtiger als leichte Messbarkeit. Die Anzahl geschlossener Tickets kann steigen, während besonders kritische Schwachstellen weiterhin zu lange offenbleiben.
Der europäische Kontext zeigt, warum Zeit- und Wirksamkeitsbezug wichtig sind. Für den Bericht NIS Investments 2025 befragte ENISA 1.080 Fach- und Führungspersonen aus allen 27 EU-Mitgliedstaaten. 30 Prozent der befragten Organisationen hatten in den vorangegangenen zwölf Monaten kein Cybersecurity Assessment durchgeführt; 28 Prozent benötigten mehr als drei Monate, um kritische Schwachstellen auf kritischen Systemen zu patchen.
Die Befragung belegt keine Wirksamkeit eines bestimmten Reportingmodells. Ihre praktische Relevanz liegt darin, dass ein grüner Umsetzungsstatus ohne Wirksamkeits- und Zeitbezug wenig aussagekräftig sein kann. Da die Teilnahme freiwillig und die Stichprobe nicht proportional zur Sektor- oder Marktstruktur angelegt war, sind die Prozentwerte keine repräsentative Prävalenzschätzung für die EU oder Deutschland.
4. Verantwortlichkeit, Frist und Abhängigkeiten
Eine Maßnahme ist nur steuerbar, wenn eine verantwortliche Rolle sowie – je nach Maßnahmentyp – Frist, Prüfintervall oder Zielwert festgelegt sind.
Sichtbar werden müssen:
- welche Rolle für Umsetzung und Nachweis verantwortlich ist;
- welche Frist, welches Prüfintervall oder welcher Zielwert gilt und warum;
- welche Ressourcen oder Entscheidungen fehlen;
- von welchen Dritten, Systemen oder Projekten die Umsetzung abhängt;
- wann eskaliert wird.
Dabei reicht die Angabe einer Abteilung häufig nicht aus. „IT“ ist keine eindeutige verantwortliche Rolle. Auch die Geschäftsleitung muss erkennen können, ob ein Problem an fehlenden Mitteln, einem Zielkonflikt, einer technischen Abhängigkeit oder ungeklärter Verantwortung festhängt.
5. Kenntnisnahme, Entscheidung, Eskalation oder Risikoakzeptanz
Am Ende ist für jeden wesentlichen Punkt klar:
- zur Kenntnis: Die Maßnahme liegt im vereinbarten Rahmen und benötigt keine Entscheidung;
- zur Entscheidung: Budget, Priorität, Risikobehandlung oder Ausnahme müssen festgelegt werden;
- zur Eskalation: Frist, Risikogrenze oder Wirksamkeitsziel wurde überschritten;
- zur Risikoakzeptanz: Ein verbleibendes Risiko soll bewusst und nachvollziehbar getragen werden.
Damit verändert sich der Bericht von einer Tätigkeitsübersicht zu einem Führungsinstrument.
Beispiel: vom Maßnahmenstatus zur Entscheidungsvorlage
Nehmen wir ein vereinfachtes, hypothetisches Beispiel aus dem Schwachstellenmanagement.
Reiner Statusbericht:
Kritische Schwachstellen: 42
Davon überfällig: 9
Status: Rot
Die Zahlen geben eine Lageübersicht; für eine Managemententscheidung reichen sie allein nicht aus.
Entscheidungsfähige Darstellung:
Risiko: Neun kritische Schwachstellen überschreiten das festgelegte Behebungsziel. Zwei betreffen einen extern erreichbaren Dienst, der für die Auftragsannahme erforderlich ist.
Ursache: Das erforderliche Wartungsfenster wurde wegen eines betrieblichen Spitzenzeitraums zweimal verschoben.
Kompensierende Maßnahmen: Zusätzliche Überwachung und eine temporäre Zugriffsbeschränkung reduzieren die Exposition, beseitigen die Schwachstellen aber nicht.
Verantwortliche Rolle und Termin: Leitung IT-Betrieb; Umsetzung durch das Infrastrukturteam im nächsten technisch möglichen Wartungsfenster am festgelegten Datum.
Entscheidung: Wartungsfenster trotz möglicher Betriebsunterbrechung freigeben oder das verbleibende Risiko bis zum späteren Termin ausdrücklich akzeptieren.
Der Mehrwert der zweiten Darstellung liegt nicht in ihrer Länge. Sie verbindet das technische Problem mit Geschäftsauswirkung, Risikobehandlung und einer konkreten Entscheidung.
Was die Geschäftsleitung nicht braucht
Entscheidungsfähigkeit bedeutet nicht, jedes technische Detail auf Leitungsebene zu berichten.
Eine Geschäftsleitung benötigt in der Regel keine vollständige Liste aller Schwachstellen, Logeinträge oder Kontrollschritte. Zu viel Detail kann die wesentlichen Risiken ebenso verdecken wie zu wenig Information.
Operative Sicherheitsarbeit kann auf zuständige Funktionen und Teams verteilt werden. Die eigene Leitungsverantwortung lässt sich dadurch jedoch nicht verlagern. Das BSI formuliert hierzu, die Geschäftsleitung müsse gewährleisten, dass Cybersicherheit integraler Bestandteil der Geschäfte und des Risikomanagements ist, und könne diese Aufgabe nicht delegieren. Der Bericht muss ihr deshalb die Informationen geben, mit denen sie diese Verantwortung tatsächlich wahrnehmen kann.
Eine zweckmäßige Berichtsarchitektur trennt mehrere Ebenen:
- operative Ebene: detaillierte Bearbeitung, technische Nachweise und laufende Kontrollen;
- Steuerungsebene: aggregierte Risiken, Maßnahmen, Wirksamkeit, Ausnahmen und Trends;
- Leitungsebene: wesentliche Expositionen, Zielkonflikte, Überschreitungen und Entscheidungen.
Eine Eskalationslogik verbindet diese Ebenen. Sie legt fest, wann ein operativer Sachverhalt aufgrund von Risiko, Dauer, Auswirkung oder fehlender Wirksamkeit in den Geschäftsleitungsbericht gehört.
Fünf Prüffragen für den bestehenden Bericht
Die fünf Bausteine lassen sich als kurzer Praxistest auf einen vorhandenen NIS2- oder Security-Bericht anwenden:
- Welche wesentlichen Geschäftsrisiken haben sich seit dem letzten Bericht verändert?
- Welche Maßnahmen sollen diese Risiken konkret reduzieren – und welche Annahmen liegen der erwarteten Wirkung zugrunde?
- Woran erkennen wir, dass die Maßnahmen tatsächlich wirksam sind, und welche Zielwerte oder Risikogrenzen sind überschritten?
- Welche Rolle trägt die Verantwortung, und welche Frist, welches Prüfintervall oder welcher Zielwert gilt? Welche Abhängigkeiten blockieren die Umsetzung?
- Welche konkrete Entscheidung, Eskalation oder dokumentierte Risikoakzeptanz wird heute benötigt?
Bleiben diese Fragen unbeantwortet, fehlt nicht zwingend mehr Dokumentation. Häufig fehlt die Verbindung zwischen Sicherheitsarbeit und Führung.
Fazit: Managementfähigkeit entsteht durch Entscheidungsklarheit
NIS2 macht Informationssicherheit nicht allein durch neue Pflichten zur Führungsaufgabe. § 38 BSIG adressiert die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen persönlich: Sie müssen die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen.
Ein Bericht erfüllt diesen Zweck nicht schon dann, wenn er vollständig aussieht. Er muss der Geschäftsleitung helfen, Risiken einzuordnen, die Wirksamkeit von Maßnahmen zu beurteilen, Zielkonflikte zu erkennen und notwendige Entscheidungen nachvollziehbar zu treffen.
Die entscheidende Frage lautet deshalb nicht „Wie viele Maßnahmen sind grün?“, sondern:
Welche Risikoentscheidung kann die Geschäftsleitung auf Grundlage dieses Berichts belastbar treffen?
Ein erster Praxistest konzentriert sich auf die drei wichtigsten roten Punkte: Sind Risiko, Wirksamkeitsbeleg, verantwortliche Rolle und benötigte Entscheidung jeweils eindeutig erkennbar?
Weitere Informationen zur Prüfung bestehender Reportingstrukturen bietet meine NIS2-/KRITIS-Beratung.
Quellen
- BSIG – aktuelle Gesamtfassung und Rechtsstand
- § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht
- § 30 BSIG – Risikomanagementmaßnahmen
- § 61 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen
- § 62 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen
- § 65 BSIG – Bußgeldvorschriften
- BSI: Schulung für Geschäftsleitungen, Version 1.0 vom 17.04.2026
- ENISA: NIS Investments 2025
Über den Autor
Andreas Rühl unterstützt Unternehmen als Interim CISO und ISMS/GRC-Berater – unter anderem bei NIS2/KRITIS, ISO 27001, BSI IT-Grundschutz, TISAX, Security Governance und Audit Readiness. Sein Schwerpunkt liegt darauf, Informationssicherheit steuerbar, prüfbar und managementfähig zu machen.