NIS2 Vorstandsbriefing-Paket

Beschreibung

Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind nach § 38 Abs. 1 BSIG verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen — bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung nach Gesellschaftsrecht (§ 38 Abs. 2). Das Vorstandsbriefing-Paket liefert ein vorstandsreifes Dokumentenset, das Ihre Geschäftsleitung bei der Umsetzung von § 38 BSIG und Art. 20 NIS2-Richtlinie unterstützt — editierbar, auf Deutsch, sofort einsatzbereit für Vorstand und Geschäftsführung.

§ 38 BSIG nimmt die Geschäftsleitung in die Pflicht — ohne Dokumentation ist ihre Überwachung kaum belegbar

Wir wissen, wie sich das anfühlt: Die Rechtsabteilung oder ein Aufsichtsratsmitglied fragt, ob der Vorstand die Umsetzung der Sicherheitsmaßnahmen tatsächlich überwacht hat — und die ehrliche Antwort ist ein Schulterzucken, weil es dafür nie ein formales Dokument gab.

Art. 20 NIS2-Richtlinie verlangt von den Mitgliedstaaten, dass Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Das NIS2UmsuCG hat dies in § 38 BSIG umgesetzt — mit eigenem Wortlaut: Geschäftsleitungen müssen die Maßnahmen nach § 30 BSIG „umsetzen und ihre Umsetzung überwachen“ und regelmäßig an Schulungen teilnehmen (Abs. 3). Verletzen sie diese Pflichten schuldhaft, haften sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts (Abs. 2); ob und wie weit auf Ersatzansprüche verzichtet werden kann, bestimmt ebenfalls das Gesellschaftsrecht. Ein persönliches Bußgeld für Geschäftsleiter sieht das BSIG nicht vor. Der Einrichtung selbst drohen bei Verstößen gegen §§ 30 und 32 BSIG Bußgelder bis zu 10 Mio. € (besonders wichtige Einrichtungen) bzw. bis zu 7 Mio. € (wichtige Einrichtungen); bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes (§ 65 BSIG).

Bei Nachfragen der Aufsicht oder im Haftungsfall stellt sich nicht nur die Frage, ob Sicherheitsmaßnahmen existieren, sondern auch, ob die Geschäftsleitung ihre Umsetzung nachvollziehbar überwacht hat. Ohne ein Vorstandsbriefing mit dokumentierter Kenntnisnahme, ohne einen Beschluss, der die Sicherheitsleitlinie freigibt, und ohne ein KPI-Reporting zur laufenden Überwachung fehlt dafür ein belastbarer Beleg — zumal § 30 Abs. 1 BSIG verlangt, die Einhaltung der Maßnahmen zu dokumentieren. Niemand sollte sein persönliches Haftungsrisiko auf fehlende Papierform setzen müssen, wenn die eigentliche Arbeit — die Sicherheitsmaßnahmen selbst — längst gemacht ist.

Viele Unternehmen haben die operative Ebene bereits abgedeckt — Sicherheitsrichtlinien, Risikoanalysen, Notfallpläne — und übersehen gerade deshalb die Governance-Ebene. Auch bei technisch solider Sicherheitsarchitektur lässt sich ohne dokumentierte Einbindung der Geschäftsleitung schwer zeigen, wie sie ihre Pflichten aus § 38 BSIG wahrnimmt. Dieses Paket unterstützt dabei mit fünf Dokumenten, die auf die Aufgaben der Geschäftsleitung ausgerichtet sind.

Das Vorstandsbriefing-Paket: 5 Governance-Dokumente für Art. 20 NIS2 und § 38 BSIG

Die fünf Dokumente begleiten den Governance-Zyklus: von der Sicherheitsleitlinie, die die Geschäftsleitung inhaltlich kennen sollte, über die Risikobewertungsmethodik, die sie freigibt, bis hin zum Briefing-Dokument, dem Beschluss und dem KPI-Reporting, das die laufende Überwachung dokumentiert.

• Dok. 04 — Informationssicherheitsleitlinie: Das zentrale Rahmendokument, das typischerweise von der Geschäftsleitung verabschiedet wird. Legt Scope, Ziele und Verantwortlichkeiten fest und bildet die Grundlage für den Vorstandsbeschluss.
• Dok. 05 — Risikobewertungsmethodik: Legt fest, wie Cyberrisiken identifiziert, bewertet und behandelt werden — einschließlich Risikoappetit und formaler Akzeptanz von Restrisiken durch die Geschäftsleitung.
• Dok. 46 — Methodik zur Messung der Cybersicherheitsreife: KPI-Framework, das der Geschäftsleitung zeigt, wie die Wirksamkeit der Sicherheitsmaßnahmen laufend gemessen wird (vgl. § 30 Abs. 2 Nr. 6 BSIG). Unterstützt die Dokumentation der Überwachung.
• Dok. 58 — Vorstandsbriefing: NIS2-Konformität: Strukturiertes Briefing, das NIS2-Anforderungen, Pflichten der Leitung und den Compliance-Status der Einrichtung für die Geschäftsleitung aufbereitet. Dient als Informationsgrundlage für den Vorstandsbeschluss.
• Dok. 59 — Beschluss des Leitungsorgans: Formaler Beschluss zu Compliance-Programm, Verantwortlichkeiten, Sicherheitsrichtlinien, Ressourcen, Schulung und jährlicher Überprüfung. Kann als Beleg dafür dienen, dass die Geschäftsleitung Umsetzung und Überwachung wahrnimmt — eine Haftung schließt kein Dokument aus.

So kommen Sie vom Download zum unterschriftsreifen Beschluss:

1. Sofort herunterladen — das ZIP mit allen Dokumenten steht direkt nach der Zahlung bereit, inklusive Platzhaltern für Firmenname und Zuständigkeiten.
2. Anpassen und dem Vorstand vorlegen — Dok. 58 bereitet Pflichten und Compliance-Status verständlich für die Entscheidungsebene auf.
3. Beschluss fassen und archivieren — Dok. 59 dokumentiert die Entscheidungen der Geschäftsleitung und kann bei Nachfragen der Aufsicht als Beleg dienen.

Auf welche Vorschriften sich diese Dokumente beziehen

Wer das Vorstandsbriefing-Paket nutzt

Geschäftsführer und Vorstandsmitglieder besonders wichtiger und wichtiger Einrichtungen — die ihre Pflichten nach § 38 BSIG strukturiert wahrnehmen und Entscheidungen der Geschäftsleitung nachvollziehbar dokumentieren wollen.

IT-Sicherheitsbeauftragte und Compliance-Manager — die den Vorstand über NIS2-Anforderungen informieren müssen und ein strukturiertes Briefing-Dokument (Dok. 58) benötigen, um die Entscheidungsebene zielgerichtet vorzubereiten.

Rechtsabteilungen und externe Rechtsberater — die für ihre Mandanten oder ihre eigene Organisation eine Vorlage als Ausgangspunkt für die Governance-Dokumentation nach § 38 BSIG suchen.

Häufige Fragen zum Vorstandsbriefing-Paket

Reicht ein einfaches E-Mail-Protokoll als Vorstandsbeschluss aus?

Das BSIG schreibt keine bestimmte Form vor. § 30 Abs. 1 BSIG verlangt aber, die Einhaltung der Maßnahmen zu dokumentieren, und ein informelles E-Mail-Protokoll ist als Beleg oft schwach. Dok. 59 enthält ein formales Beschlussdokument mit Datum, Unterschriftenfeldern der Mitglieder des Leitungsorgans und Verweis auf die freigegebenen Richtlinien samt Version — eine nachvollziehbare Grundlage, um die Wahrnehmung der Leitungspflichten zu belegen.

Gilt § 38 BSIG auch für Prokuristen und leitende Angestellte?

§ 38 BSIG richtet sich an die „Geschäftsleitung“ — nach § 2 Nr. 13 BSIG natürliche Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind. Prokuristen und leitende Angestellte fallen danach in der Regel nicht darunter. Es kann dennoch sinnvoll sein, Personen, die NIS2-relevante Entscheidungen vorbereiten, in Berichtslinien und Beschlussvorbereitung einzubinden. Ihr Rechtsberater kann die konkrete Reichweite für Ihre Einrichtung präzisieren.

Wie oft muss der Vorstandsbeschluss erneuert werden?

Das BSIG schreibt keine Erneuerungsfrequenz vor, verlangt aber die Überwachung der Umsetzung (§ 38 Abs. 1) und regelmäßige Schulungen der Geschäftsleitung (§ 38 Abs. 3) — ebenfalls ohne festes Intervall. Viele Einrichtungen überprüfen mindestens jährlich sowie anlassbezogen. Dok. 59 enthält dafür ein Feld für den nächsten Überprüfungstermin.

Was ist der Unterschied zwischen diesem Paket und dem Risikomanagement-Paket?

Das Risikomanagement-Paket (8 Kern-Vorlagen, 11 Dateien) deckt die operative Ebene ab: Methodik, Bewertung, Behandlung und Bericht. Das Vorstandsbriefing-Paket deckt die Governance-Ebene ab: Briefing, Beschluss und Dokumentation der Überwachung. Beide Pakete ergänzen sich und können kombiniert werden. Das NIS2-Komplettpaket (66 Vorlagen + 10 Anleitungen) enthält beide.

Brauche ich das Vorstandsbriefing-Paket, wenn wir schon ISO 27001 zertifiziert sind?

Nicht zwingend, aber oft sinnvoll. ISO 27001 verlangt bereits Managementbeteiligung, und ein bestehender Management-Review kann viel abdecken. § 38 BSIG knüpft die Pflichten der Geschäftsleitung jedoch ausdrücklich an die Maßnahmen nach § 30 BSIG. Dok. 58 und Dok. 59 helfen, Briefing und Beschluss ausdrücklich auf NIS2 bzw. das BSIG zu beziehen — prüfen Sie, ob Ihr ISO-Review das bereits leistet.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Dokumentieren Sie Ihre Governance-Verantwortung — bevor das BSI fragt

Am Ende steht nicht nur ein weiteres PDF in der Ablage, sondern ein archivierter Beschluss, der festhält, wie Ihre Geschäftsleitung Umsetzung und Überwachung wahrnimmt — und ein Vorstand, der bei der nächsten BSI-Anfrage oder Aufsichtsratssitzung nicht improvisieren muss. § 38 Abs. 1 BSIG verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen; § 30 Abs. 1 BSIG verlangt, die Einhaltung zu dokumentieren. Diese fünf Dokumente unterstützen Sie dabei, das strukturiert festzuhalten — in Ihrer Sprache und nach Anpassung an Ihre Organisation schnell einsatzbereit.