NIS2 ist keine weitere Vorschrift. Sie entscheidet, wer nach einem Sicherheitsvorfall den Posten verliert.

Die meisten Vorschriften erzeugen Papier. NIS2 erzeugt Konsequenzen.

Das ist kein subtiler Unterschied. Das ist der ganze Sinn der Sache.

Was alle bei NIS2 falsch verstehen

Wenn eine neue Richtlinie kommt, machen Organisationen das, was sie immer machen. Sie schieben die Sache an Compliance. Sie planen einen Workshop. Und dann gehen sie zur Tagesordnung über.

So sind Organisationen mit der DSGVO umgegangen. So sind sie mit NIS1 umgegangen. Und so gehen die meisten Organisationen gerade jetzt mit NIS2 um.

Das Problem ist: NIS2 wurde gezielt so konzipiert, dass dieser Reflex nicht mehr funktioniert.

Die Verfasser von NIS2 haben sich die Vorgängerrichtlinie — NIS1, in Kraft seit 2016 — angesehen und das Ergebnis nüchtern bewertet.¹ Organisationen haben das Minimum umgesetzt. Aufsichtsbehörden hatten begrenzte Durchsetzungsinstrumente. Vorfälle passierten trotzdem.² Dieselben strukturellen Schwächen tauchten in Audit nach Audit über alle EU-Mitgliedstaaten hinweg auf.³

Also wurde die Richtlinie neu geschrieben. Und diesmal hat man etwas anderes gemacht.

Man hat sie persönlich gemacht.

Die Haftungsverschiebung, über die niemand spricht

Artikel 20 NIS2 tut etwas, was bisher keine Cybersicherheitsregulierung in Europa in dieser Reichweite getan hat.⁴ Er weist die rechtliche Verantwortung für Cybersicherheits-Governance direkt der Geschäftsleitung zu.

Nicht dem CISO. Nicht der IT. Nicht dem Compliance-Team.

Dem Vorstand. Den Führungskräften. Den Personen, die in diesen Stühlen sitzen und diese Entscheidungen unterzeichnen.

Das ist die Verschiebung. Von organisationaler Verantwortung zur persönlichen Haftung.

Artikel 20 Absatz 1 NIS2 ist präzise: Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Cybersicherheits-Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und — wörtlich nach der Richtlinie — “können für Verstöße der Einrichtungen gegen diesen Artikel haftbar gemacht werden.”⁵

Deutschland ist bereits weiter gegangen, als die Richtlinie verlangt. Das NIS2-Umsetzungsgesetz — das NIS2UmsuCG — und das novellierte BSIG⁶ schaffen einen Rahmen, in dem Aufsichtsbehörden gegen natürliche Personen vorgehen können, nicht nur gegen juristische Personen.⁷ In dem Bußgelder nicht an der Bilanzgrenze des Unternehmens enden. In dem die Person, die Cybersicherheit an die IT delegiert hat, weil das “zu technisch” sei, sich plötzlich namentlich in einem Durchsetzungsverfahren wiederfinden kann.⁸

Diese Vorschriften gehen über den Mindestrahmen von NIS2 hinaus. Und sie sind neu. Die ersten Durchsetzungsverfahren nach §38 BSIG werden konkretisieren, wie Gerichte die Wendung “nicht beachtet” — also die Verletzung der Pflichten — auslegen. Die praktische Reichweite wird sich Fall für Fall entwickeln. Die Rechtsarchitektur ist jedoch in Kraft, und das BSI hat signalisiert, sie auch nutzen zu wollen.

Die Richtlinie ist klar darin, wann diese Haftung ausgelöst wird. Artikel 20 Absatz 1 verpflichtet die Mitgliedstaaten sicherzustellen, dass Mitglieder der Leitungsorgane “für Verstöße der Einrichtungen gegen diese Richtlinie haftbar gemacht werden können.” Nicht für einen erfolgreichen Angriff. Für einen Verstoß — also das Versäumnis, die Governance-Pflichten zu erfüllen, die die Richtlinie ihnen ausdrücklich zuweist. Erwägungsgrund 137 verstärkt dies: Aufsichtsbehörden “sollten die Möglichkeit haben, die Leitungsorgane wesentlicher und wichtiger Einrichtungen zur Verantwortung zu ziehen, wenn diese ihre Pflichten nicht erfüllt haben.” Das deutsche BSIG geht noch weiter. §38 BSIG n.F. begründet eine direkte persönliche Verantwortlichkeit, wenn die Geschäftsleitung die ihr zugewiesenen Cybersicherheitspflichten “nicht beachtet hat.”⁹ In den schwersten Durchsetzungsszenarien kann allein das Governance-Versagen — ohne erfolgreichen Angriff — ausreichen, um persönliche Haftung nach §38 BSIG auszulösen. Das ist die juristische Obergrenze. In der Praxis folgen die meisten Durchsetzungsverfahren auf einen Vorfall. Aber das Gesetz macht den leichteren Fall justiziabel — und genau das verändert die Rechnung in jedem Sitzungssaal.

Wenn Sie das hier lesen und nicht klar beantworten können, wer in Ihrer Organisation für NIS2 verantwortlich ist — dann haben Sie bereits ein Problem.

Für die meisten Führungskräfte ist das der Moment, in dem es im Raum still wird.

Eine kurze Geschichte über eine lange Sitzung

Was folgt, ist ein zusammengesetztes Szenario, das aus Auditmustern bei mehreren wesentlichen Einrichtungen in Deutschland abgeleitet wurde. Es beschreibt kein einzelnes Unternehmen.

Anfang 2024 erhielt ein mittelständisches Logistikunternehmen in Deutschland eine routinemäßige Anfrage seiner Sektoraufsichtsbehörde. Ein Standardfragebogen. Auf den ersten Blick nichts Beunruhigendes.

Der CISO bereitete die Antwort vor. Der Vorstand genehmigte sie, ohne sie zu lesen. Der Fragebogen wurde abgegeben. Alle gingen zur Tagesordnung über.

Sechs Monate später erlebte das Unternehmen einen Ransomware-Vorfall. Lkw blieben stehen. Lieferungen scheiterten. Kunden begannen anzurufen. Dann taten es die Behörden.

Kritische Transportkoordinationssysteme waren elf Tage offline. Kundendaten wurden exfiltriert. Der Vorfall überschritt jede Schwelle für eine Meldepflicht.

Die Meldung ging zu spät raus.¹⁰ Die nachgelagerte Untersuchung ergab, dass die im früheren Fragebogen beschriebene Governance-Struktur nicht mit der Realität übereinstimmte. Der Vorstand hatte ein Dokument genehmigt, in dem Kontrollen beschrieben waren, die nie umgesetzt worden waren. Die zitierten Schulungsnachweise existierten nicht. Die Geschäftsleitung hatte ein Programm freigegeben, das sie nie überwacht hatte.

Unter NIS1 erhielt das Unternehmen ein Bußgeld und einen Maßnahmenplan zur Abhilfe.

Unter NIS2 wäre das Gespräch ein anderes. Denn NIS2 stellt eine Frage, die NIS1 in dieser rechtlichen Schärfe nie gestellt hat: Wer hat das genehmigt — und was wusste diese Person tatsächlich?

Die Geschäftsleitung ist kein Stempel mehr. Sie ist ein rechtlich verantwortlicher Akteur.

Was sich tatsächlich geändert hat — und warum es diesmal anders ist

NIS2 hat den Anwendungsbereich dramatisch erweitert. Sie erfasst Sektoren, die NIS1 nie berührt hat — Lebensmittel, Verarbeitendes Gewerbe, Chemie, Abfallwirtschaft, Postdienste, öffentliche Verwaltung.¹¹ Sie hat die Größenschwelle gesenkt und damit mittelständische Einrichtungen einbezogen, die zuvor keine sektorspezifischen Cybersicherheitspflichten hatten.¹² Sie hat Artikel 21 eingeführt — zehn konkrete Sicherheitsmaßnahmen, die erfasste Einrichtungen umsetzen, überwachen und nachweisen müssen.¹³

Aber die Erweiterung des Anwendungsbereichs und die technischen Anforderungen sind nicht die strukturelle Verschiebung.

Die strukturelle Verschiebung ist die Governance-Verantwortlichkeit.

Unter NIS2 muss die Geschäftsleitung die Cybersicherheitsmaßnahmen genehmigen. Sie muss deren Umsetzung überwachen. Sie muss an Cybersicherheitsschulungen teilnehmen.¹⁴ Und wenn etwas schiefgeht — wenn ein Sicherheitsvorfall eintritt, eine Meldung versäumt wird, eine Kontrolle, die hätte existieren sollen, fehlt — dann lautet die Frage der Aufsichtsbehörden nicht: “Was haben Ihre Systeme getan?”

Sondern: “Was wusste Ihr Vorstand, wann wusste er es, und was hat er entschieden?”

Das ist eine grundsätzlich andere Frage. Eine, die Compliance-Frameworks, Gap-Analysen und Policy-Dokumente allein nicht beantworten können.

Die Organisation, an die sich diese Richtlinie wirklich richtet

NIS2 zielt nicht auf Organisationen, die bereits ein reifes Sicherheitsprogramm betreiben. Diese Organisationen werden Compliance als anspruchsvoll, aber machbar empfinden.

NIS2 zielt auf den Vorstand, der noch nie einen Sicherheitsbericht gesehen hat. Auf das Führungsteam, das Cybersicherheit als IT-Kostenstelle betrachtet. Auf die Geschäftsleitung, die die Jahrespräsentation des CISO abgenickt hat, ohne eine einzige Frage zu stellen, was irgendetwas davon eigentlich bedeutet.

Sie zielt auf die Organisation, in der die ehrliche Antwort auf “Wer war dafür verantwortlich?” — wenn morgen etwas schiefginge — lauten würde: Niemand im Besonderen.

NIS2 macht diese Antwort rechtlich unzulässig.

Die Kosten des alten Ansatzes

Die Richtlinie sieht maximale Bußgelder von 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen vor — und 7 Mio. € oder 1,4 % für wichtige Einrichtungen.¹⁵ Diese Zahlen werden häufig zitiert.

Aber die Bußgelder sind nicht die wichtigste Konsequenz.

Die wichtigste Konsequenz ist die aufsichtsrechtliche Prüfung — das Recht zuständiger Behörden, Vor-Ort-Inspektionen durchzuführen, Zugang zu Dokumentation zu verlangen, Mitglieder der Geschäftsleitung direkt zu befragen, verbindliche Anweisungen zu erteilen und Personen vorübergehend von der Ausübung von Leitungsfunktionen auszuschließen.¹⁶

Lesen Sie das noch einmal.

Denn an dieser Stelle hört NIS2 auf, eine Compliance-Übung zu sein.

Personen vorübergehend von der Ausübung von Leitungsfunktionen ausschließen.

Nicht das Unternehmen. Die Person.

Das ist die schärfste Sanktion unter NIS2 — und sie greift, ihrer Konzeption nach, nur bei wesentlichen Einrichtungen nach Artikel 32 Absatz 5 Buchstabe b. Für wichtige Einrichtungen sieht das Parallelregime in Artikel 33 diese Maßnahme nicht vor. Aber für Organisationen in Anhang-I-Sektoren — Gesundheit, Energie, Verkehr, Bankwesen, Trinkwasser, digitale Infrastruktur — ist diese Befugnis real, und sie liegt heute bei den nationalen Aufsichtsbehörden. Die meisten Durchsetzungsverfahren werden zunächst leichtere Mittel einsetzen: Verwarnungen, verbindliche Anweisungen, Bußgelder. Der Ausschluss ist die Obergrenze. Aber die Obergrenze existiert — und genau darauf muss sich heute jeder Vorstand einstellen.

Das ist es, was verändert, wer nach einem Vorfall den Posten verliert. Nicht weil die Organisation entscheidet, dass jemand gehen muss. Sondern weil eine Aufsichtsbehörde entscheidet, dass eine bestimmte Person ihre derzeitige Rolle nicht innehaben darf, solange ein Durchsetzungsverfahren läuft.¹⁷

Das ist neu. Das ist NIS2.

Die Frage, die Ihre Geschäftsleitung sich nicht leisten kann, falsch zu beantworten

NIS2 fragt nicht, ob Ihre Organisation Cybersicherheit ernst nimmt.

Sie fragt, ob die Personen an der Spitze das beweisen können.

Beweisen durch dokumentierte Entscheidungen. Durch Schulungsnachweise.¹⁴ Durch Governance-Strukturen, die vor dem Vorfall bestanden — nicht durch Strukturen, die als Reaktion darauf zusammengestellt wurden.¹⁸

Die Organisationen, die mit NIS2 am meisten kämpfen werden, sind nicht jene, denen Technologie fehlt. Es sind jene, in denen niemand im Sitzungssaal eine einzige konkrete Frage dazu beantworten kann, was ihr Cybersicherheitsprogramm tatsächlich tut.¹⁹

Diese Lücke ist kein Managementproblem mehr.

Sie ist eine Haftung. Und unter NIS2 hat sie einen Namen.^{20 21}