Die vielleicht wichtigste Botschaft von NIS2 steht nicht in einem technischen Absatz, sondern bei den Pflichten der Führung: Cybersicherheit ist keine reine IT-Angelegenheit mehr, die man nach unten reicht, sondern Chefsache mit eigener Verantwortung. Für Geschäftsführer und Vorstände betroffener Unternehmen heißt das, drei Dinge selbst zu tun — nicht zu delegieren.

Die drei nicht delegierbaren Pflichten

• Billigen und verstehen: Die Leitung muss die Sicherheitsmaßnahmen aktiv beschließen — nicht nur unterschreiben, sondern in Grundzügen verstehen und mittragen. Ein „das macht die IT“ reicht nicht. Welche Maßnahmenfelder dahinterstehen, zeigt der Beitrag zu den NIS2-Maßnahmen nach Artikel 21.
• Überwachen: Die Umsetzung muss nachgehalten werden. Wer beschließt, muss sich auch berichten lassen, ob und wie umgesetzt wird.
• Sich selbst schulen: Die Schulungspflicht trifft die Führung persönlich und lässt sich nicht abgeben. Sie sollen Cyberrisiken einschätzen können — nicht auf Technik-Niveau, aber auf Entscheider-Niveau.

Was „persönliche Verantwortung“ bedeutet — nüchtern eingeordnet

Das Gesetz verankert eine persönliche Verantwortung der Leitung für die Umsetzung. In der öffentlichen Diskussion wird das oft zugespitzt als „Geschäftsführerhaftung mit dem Privatvermögen“. Ob und in welchem Umfang eine persönliche Haftung im Einzelfall greift, ist eine juristische Frage, die von der konkreten Konstellation abhängt und hier nicht abschließend beantwortet werden kann. Festhalten lässt sich nüchtern: Die Verantwortung ist bewusst nach oben gelegt, sie lässt sich nicht durch Delegation abstreifen, und wer seine Pflichten nachweislich wahrgenommen hat, steht deutlich besser da als wer es nicht kann. Für die genaue rechtliche Einordnung im eigenen Fall führt an fachkundigem Rat kein Weg vorbei.

Was die Leitung konkret tun sollte

• Sich die geplanten Maßnahmen erklären lassen und sie bewusst und dokumentiert freigeben.
• Einen festen, kurzen Berichtsweg einrichten (etwa quartalsweise), der den Umsetzungsstand zeigt.
• Eine Schulung zu Cyberrisiken absolvieren und den Nachweis ablegen.
• Verantwortlichkeiten schriftlich klären — wer setzt um, wer berichtet, wer entscheidet im Vorfall. Für den Ernstfall gehört dazu auch, wer die Meldung ans BSI innerhalb der Fristen absetzt.
• Die Betroffenheitsprüfung und ihre Ergebnisse dokumentiert aufbewahren (auch ein „nicht betroffen“).

Der Aufwand für die Führung ist überschaubar und besteht vor allem aus bewusster Befassung und Dokumentation — nicht aus technischer Detailarbeit. Der Unterschied zwischen „wir haben das der IT überlassen“ und „die Leitung hat es beschlossen, überwacht und belegt“ ist im Ernstfall genau der, auf den es ankommt.