NIS-2 · Art. 20
NIS2-020-GOVERNANCE
Formale Cybersicherheits-Governance auf Leitungsebene einrichten
Anforderung
Die Leitungsorgane wesentlicher und wichtiger Einrichtungen sind verpflichtet, Maßnahmen zur Cybersicherheit zu billigen und zu überwachen sowie an Schulungen teilzunehmen.
Fundstelle
NIS-2 Art. 20 Abs. 1-2
Gap-Check
Hat die Geschäftsführung alle Cybersicherheitsmaßnahmen formal genehmigt und überwacht deren Umsetzung regelmäßig?
Wenn ja
Anforderung erfüllt – Nachweis durch Protokolle, Beschlüsse sicherstellen.
Teilweise
Genehmigung vorhanden, aber keine systematische Überwachung. Prozess formalisieren.
Wenn nein
Kritische Lücke: Governance-Struktur fehlt. Sofortiger Handlungsbedarf.
Maßnahme
- Cybersicherheitsverantwortung in Geschäftsführungs-Beschluss verankern
- Quartalsmäßige Cybersicherheits-Berichte an Leitungsorgan einführen
- Schulungspflicht für alle Leitungsmitglieder dokumentieren und umsetzen
- Verantwortlichkeitsmatrix erstellen (RACI)
Aufwand
mittel
Schätzung
2 bis 5 Personentage (Beschluss + Schulungsorganisation)
Zeithorizont
kurzfristig
Hilfsmittel
Governance-Richtlinie, Schulungsnachweise, Protokollvorlagen
Vertiefung
NIS-2 Survival Kit, Kap. 3 – Leitungsverantwortung und Governance
Risiko
Fehlende Leitungsverantwortung ist häufigste BSI-Feststellung und direkte Bußgeldgrundlage.
Eintritt
3 von 5
Auswirkung
4 von 5
Bußgeldrahmen
10.000.000 EUR oder 2% Jahresumsatz
NIS-2 Art. 34 – je nachdem was höher ist
Control und Nachweis
Control
Formale Genehmigung und quartalsweise Review aller Cybersicherheitsmaßnahmen durch Geschäftsführung
Art
organisatorisch
Dringlichkeit
sofort
Nachweis
Beschluss + Schulungsnachweise
Vorlage
Protokoll Geschäftsführungsbeschluss Cybersicherheit
Verknüpfungen
Querverweise
DORA Art. 5, ISO 27001 A.5.1
ISO 27001:2022
A.5.1, A.5.2, A.6.1.1 (vollständig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json