NIS2 im Aufsichtsrat: Woran sich Gremien künftig messen lassen müssen

Geschäftsleitungen und Aufsichtsgremien müssen künftig nicht nur Verantwortung tragen, sondern diese auch aktiv und nachvollziehbar

Von unserem Gastautor Thomas Kress, Geschäftsführer, Deutsche Cyberkom GmbH

[datensicherheit.de, 30.03.2026] NIS2 wird in vielen Unternehmen noch immer operativ interpretiert. Maßnahmen werden erweitert, Kontrollen verschärft, Compliance-Strukturen angepasst. Doch die eigentliche Veränderung liegt auf einer anderen Ebene. Geschäftsleitungen und Aufsichtsgremien müssen künftig nicht nur Verantwortung tragen, sondern diese auch aktiv und nachvollziehbar wahrnehmen.

Thomas Kress, Geschäftsführer, Deutsche Cyberkom GmbH, © Deutsche Cyberkom

Damit verschiebt sich der Maßstab. Nicht die Anzahl der Maßnahmen ist entscheidend, sondern die Fähigkeit zur Steuerung. Genau hier zeigt sich in der Praxis eine deutliche Lücke.

Vom ISMS zur echten Steuerungslogik

Viele Unternehmen verfügen über etablierte Informationssicherheitsmanagementsysteme, häufig orientiert an ISO 27001. Diese schaffen Struktur, ersetzen aber keine Steuerung auf Vorstandsebene. NIS2 fordert genau diese Übersetzung.

Cyberrisiken müssen so aufbereitet werden, dass sie für die Geschäftsleitung verständlich und entscheidungsfähig sind. Technische Schwachstellen allein reichen nicht aus. Erst die Verknüpfung mit geschäftlichen Auswirkungen macht Risiken steuerbar.

In der Praxis fehlt häufig genau dieser Schritt. Informationen bleiben technisch, während die Führungsebene keine klare Entscheidungsbasis erhält.

Die fünf Kennzahlen für die Führungsebene

Für eine wirksame Steuerung haben sich fünf Kennzahlen bewährt, die auf Vorstandsebene belastbar sind:

• Der aggregierte Risikostatus kritischer Geschäftsprozesse zeigt, wie stark das Kerngeschäft aktuell gefährdet ist und basiert auf Business Impact Analysen sowie aktuellen Bedrohungslagen.
• Die Mean Time to Detect misst die Zeit bis zur Erkennung eines Vorfalls und gibt Aufschluss über die Effektivität von Monitoring und Detection.
• Die Mean Time to Recover beschreibt die Wiederherstellungszeit kritischer Systeme und damit die operative Resilienz des Unternehmens.
• Der Umsetzungsgrad priorisierter Maßnahmen zeigt, ob definierte Sicherheitsmaßnahmen tatsächlich umgesetzt werden und wo Verzögerungen bestehen.
• Die Third-Party Risk Exposure bewertet die Risiken durch externe Dienstleister und Lieferketten, die zunehmend zum entscheidenden Angriffspunkt werden.

Diese Kennzahlen verdichten komplexe Sachverhalte auf ein Niveau, das fundierte Entscheidungen ermöglicht.

Reporting als Entscheidungsgrundlage

Ein entscheidender Erfolgsfaktor ist das Reporting. Umfangreiche technische Berichte sind auf Vorstandsebene nicht zielführend. Entscheidend ist eine klare und reduzierte Darstellung.

Ein einseitiges Management-Update hat sich in der Praxis bewährt. Es enthält eine eindeutige Gesamteinschätzung der Risikolage, die Entwicklung der zentralen Kennzahlen sowie die aktuell kritischsten Risiken.

Wesentlich ist die Übersetzung in geschäftliche Auswirkungen. Welche Prozesse sind betroffen, welche operativen oder finanziellen Konsequenzen entstehen können.

Abschließend müssen konkrete Entscheidungsbedarfe formuliert werden. Erst dadurch wird aus Reporting echte Steuerung.

Haftung als Frage der Nachvollziehbarkeit

Die persönliche Haftung wird häufig als abstraktes Risiko wahrgenommen. In der Praxis ist sie vor allem eine Frage der Nachvollziehbarkeit.

Geschäftsleitungen müssen zeigen können, dass Risiken bekannt sind, bewertet werden und auf dieser Grundlage Entscheidungen getroffen wurden. Die Existenz von Risiken ist dabei nicht ausschlaggebend.

Kritisch wird es, wenn Transparenz fehlt oder bekannte Risiken ignoriert werden. NIS2 erhöht hier die Anforderungen an strukturiertes und dokumentiertes Handeln.

Typische Schwächen in der Umsetzung

In vielen Organisationen liegt der Fokus weiterhin auf technischen Maßnahmen. Gleichzeitig fehlt die Integration in die Unternehmenssteuerung.

Cybersecurity wird operativ umgesetzt, aber nicht strategisch geführt. Risiken werden identifiziert, aber nicht priorisiert. Reporting ist vorhanden, aber nicht entscheidungsorientiert.

Diese Diskrepanz führt zu einer Scheinsicherheit, die durch NIS2 zunehmend hinterfragt wird.

Fazit

NIS2 verschiebt den Fokus von einzelnen Maßnahmen hin zur Fähigkeit, Risiken aktiv zu steuern. Geschäftsleitungen werden daran gemessen, ob sie Informationssicherheit nachvollziehbar führen.

Ein klar definiertes Set an Kennzahlen, ein reduziertes und entscheidungsorientiertes Reporting sowie die Integration in bestehende Governance-Strukturen bilden die Grundlage dafür. Unternehmen, die diese Übersetzung schaffen, erreichen nicht nur regulatorische Konformität, sondern echte Resilienz.

Über den Autor:

Thomas Kress ist ein erfahrener IT-Sicherheitsexperten im deutschsprachigen Raum und Geschäftsführer der Deutschen CyberKom. Nach über 25 Jahren in leitenden Rollen bei internationalen IT-Projekten gründete er sein eigenes Unternehmen, das heute unter dem Dach der Deutschen CyberKom IT-Security und Telekommunikation strategisch vereint. Darüber hinaus ist Kress gefragter Fachautor in IT- und Wirtschaftspublikationen. Als Berater betreut er führende Unternehmen sowie Systemhäuser in Sicherheitsfragen, Infrastruktur und digitaler Souveränität.

Weitere Informationen zum Thema:

datensicherheit.de, 28.03.2026
NIS2 wird nicht an der Technologie scheitern – sondern am Faktor Mensch