NIS-2 · Art. 20

NIS2-020-GOVERNANCE

Formale Cybersicherheits-Governance auf Leitungsebene einrichten

Modellversion

2.0

Stand

2026-09-08

Lebenszyklus

active

Priorität

hoch

governanceleitungsverantwortungmanagement

Die Leitungsorgane wesentlicher und wichtiger Einrichtungen sind verpflichtet, Maßnahmen zur Cybersicherheit zu billigen und zu überwachen sowie an Schulungen teilzunehmen.

Fundstelle

NIS-2 Art. 20 Abs. 1-2

Hat die Geschäftsführung alle Cybersicherheitsmaßnahmen formal genehmigt und überwacht deren Umsetzung regelmäßig?

Wenn ja

Anforderung erfüllt – Nachweis durch Protokolle, Beschlüsse sicherstellen.

Teilweise

Genehmigung vorhanden, aber keine systematische Überwachung. Prozess formalisieren.

Wenn nein

Kritische Lücke: Governance-Struktur fehlt. Sofortiger Handlungsbedarf.

  1. Cybersicherheitsverantwortung in Geschäftsführungs-Beschluss verankern
  2. Quartalsmäßige Cybersicherheits-Berichte an Leitungsorgan einführen
  3. Schulungspflicht für alle Leitungsmitglieder dokumentieren und umsetzen
  4. Verantwortlichkeitsmatrix erstellen (RACI)

Aufwand

mittel

Schätzung

2 bis 5 Personentage (Beschluss + Schulungsorganisation)

Zeithorizont

kurzfristig

Hilfsmittel

Governance-Richtlinie, Schulungsnachweise, Protokollvorlagen

Vertiefung

NIS-2 Survival Kit, Kap. 3 – Leitungsverantwortung und Governance

Fehlende Leitungsverantwortung ist häufigste BSI-Feststellung und direkte Bußgeldgrundlage.

Eintritt

3 von 5

Auswirkung

4 von 5

Bußgeldrahmen

10.000.000 EUR oder 2% Jahresumsatz
NIS-2 Art. 34 – je nachdem was höher ist

Control

Formale Genehmigung und quartalsweise Review aller Cybersicherheitsmaßnahmen durch Geschäftsführung

Art

organisatorisch

Dringlichkeit

sofort

Nachweis

Beschluss + Schulungsnachweise

Vorlage

Protokoll Geschäftsführungsbeschluss Cybersicherheit

Querverweise

DORA Art. 5, ISO 27001 A.5.1

ISO 27001:2022

A.5.1, A.5.2, A.6.1.1 (vollständig)

BAM:NIS2-020-GOVERNANCE@2.0
https://bam.brain-media.de/id/NIS2-020-GOVERNANCE

Stabilitätszusage

BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.

Maschinenlesbar: index.json