NIS2 Vorstandsbriefing-Paket

Beschreibung

Sie sind persönlich in der Pflicht: §38 NIS2UmsuCG verlangt, dass die Geschäftsleitung Sicherheitsmaßnahmen nachweislich billigt und überwacht — und schränkt die Haftungsfreistellung genau dort ein, wo dieser Nachweis fehlt. Das Vorstandsbriefing-Paket liefert das vorstandsreife Dokumentenset, mit dem Ihre Geschäftsleitung Art. 20, Art. 21(1) und §38 NIS2UmsuCG lückenlos erfüllt — editierbar, auf Deutsch, sofort einsatzbereit für Vorstand und Geschäftsführung.

§38 NIS2UmsuCG macht die Geschäftsleitung persönlich haftbar — ohne diese Dokumente fehlt der Entlastungsnachweis

Wir wissen, wie sich das anfühlt: Die Rechtsabteilung oder ein Aufsichtsratsmitglied fragt, ob der Vorstand die Sicherheitsmaßnahmen tatsächlich gebilligt hat — und die ehrliche Antwort ist ein Schulterzucken, weil es dafür nie ein formales Dokument gab.

Art. 20 NIS2-Richtlinie verpflichtet die Leitungsorgane betroffener Einrichtungen, die Umsetzung von Risikomanagementmaßnahmen zu billigen und deren Einhaltung zu überwachen. Das NIS2UmsuCG hat diese Pflicht in §38 ins deutsche Recht übertragen und mit einer direkten Haftungsnorm verbunden: Geschäftsführer, Vorstandsmitglieder und vergleichbare Leitungsorgane können bei Verstößen persönlich in Regress genommen werden. Eine Haftungsfreizeichnung durch das Unternehmen ist dabei ausgeschlossen. Für das Unternehmen selbst drohen ohnehin Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Mio. € oder 1,4 % (wichtige Einrichtungen) — für die Geschäftsleitung persönlich kommt das Regressrisiko aus §38 hinzu.

Die entscheidende Frage bei einer BSI-Prüfung lautet nicht, ob Sicherheitsmaßnahmen existieren, sondern ob die Geschäftsleitung sie nachweislich gebilligt und überwacht hat. Ohne ein formales Vorstandsbriefing mit dokumentierter Kenntnisnahme, ohne einen Vorstandsbeschluss, der die Sicherheitsrichtlinie freigibt, und ohne ein KPI-Reporting, das laufende Überwachung belegt, gibt es keinen Entlastungsnachweis — und das Risiko bleibt an der Geschäftsleitung hängen, nicht am Unternehmen. Niemand sollte sein persönliches Haftungsrisiko auf fehlende Papierform setzen müssen, wenn die eigentliche Arbeit — die Sicherheitsmaßnahmen selbst — längst gemacht ist.

Viele Unternehmen haben die operative Ebene bereits abgedeckt — Sicherheitsrichtlinien, Risikoanalysen, Notfallpläne — und übersehen gerade deshalb die Governance-Ebene. Eine technisch solide Sicherheitsarchitektur ohne Vorstandsbilligungsdokumentation erfüllt Art. 20 nicht. Dieses Paket schließt diese Lücke mit fünf Dokumenten, die exakt auf die Nachweispflichten der Geschäftsleitung zugeschnitten sind.

Das Vorstandsbriefing-Paket: 5 Governance-Dokumente für Art. 20 und §38 NIS2UmsuCG

Die fünf Dokumente decken den vollständigen Governance-Zyklus ab: von der Sicherheitsrichtlinie, die die Geschäftsleitung inhaltlich kennen muss, über die Risikomethodik, die sie billigen muss, bis hin zum Briefing-Dokument, dem Beschluss und dem KPI-Reporting, das die laufende Überwachung dokumentiert.

• Dok. 04 — Informationssicherheitsrichtlinie: Das zentrale Rahmendokument, das die Geschäftsleitung formell verabschieden muss. Legt Scope, Ziele und Verantwortlichkeiten fest und bildet die Grundlage für den Vorstandsbeschluss.
• Dok. 05 — Risikobeurteilungsmethodik: Zusammenfassung der Bewertungsmethodik in einer Form, die Vorstandsmitglieder ohne tiefes IT-Wissen nachvollziehen können. Erforderlich, um Billigung nach Art. 20 nachzuweisen.
• Dok. 46 — Messkennzahlen-Methodik: KPI-Framework, das der Geschäftsleitung zeigt, wie die Wirksamkeit der Sicherheitsmaßnahmen laufend gemessen wird. Belegt die geforderte Überwachungsfunktion.
• Dok. 58 — Vorstandsbriefing-Dokument: Strukturiertes Briefing, das NIS2-Anforderungen, Haftungsrisiken und den Compliance-Status der Einrichtung für die Geschäftsleitung aufbereitet. Dient als Informationsgrundlage für den Vorstandsbeschluss.
• Dok. 59 — Vorstandsbeschluss: Formaler Beschluss der Geschäftsleitung zur Billigung der Informationssicherheitsrichtlinie und des Risikomanagementprogramms. Das entscheidende Entlastungsdokument gemäß §38 NIS2UmsuCG.

So kommen Sie vom Download zum unterschriftsreifen Beschluss:

1. Sofort herunterladen — das ZIP mit allen Dokumenten steht direkt nach der Zahlung bereit, inklusive Platzhaltern für Firmenname und Zuständigkeiten.
2. Anpassen und dem Vorstand vorlegen — Dok. 58 bereitet Haftungsrisiken und Compliance-Status verständlich für die Entscheidungsebene auf.
3. Beschluss fassen und archivieren — Dok. 59 wird zum Entlastungsnachweis, den Sie im Prüfungsfall dem BSI vorlegen können.

Welche Paragrafen diese Dokumente abdecken

Wer das Vorstandsbriefing-Paket nutzt

Geschäftsführer und Vorstandsmitglieder wesentlicher und wichtiger Einrichtungen — die ihre persönliche Haftung nach §38 NIS2UmsuCG reduzieren wollen und einen formalen Billigungsbeschluss benötigen, den sie dem BSI im Prüfungsfall vorlegen können.

IT-Sicherheitsbeauftragte und Compliance-Manager — die den Vorstand über NIS2-Anforderungen informieren müssen und ein strukturiertes Briefing-Dokument (Dok. 58) benötigen, um die Entscheidungsebene zielgerichtet vorzubereiten.

Rechtsabteilungen und externe Rechtsberater — die für ihre Mandanten oder ihre eigene Organisation sicherstellen müssen, dass die Governance-Dokumentation §38 NIS2UmsuCG entspricht und keine Haftungslücken entstehen.

Häufige Fragen zum Vorstandsbriefing-Paket

Reicht ein einfaches E-Mail-Protokoll als Vorstandsbeschluss aus?

Nein. §38 NIS2UmsuCG verlangt einen nachweisbaren Billigungsakt. Ein informelles E-Mail-Protokoll ist im Prüfungsfall schwer vertretbar. Dok. 59 enthält ein formales Beschlussdokument mit Datum, Namen der billigenden Personen und explizitem Verweis auf die gebilligten Dokumente — das ist die Grundlage, auf der ein Entlastungsnachweis aufgebaut werden kann.

Gilt §38 auch für Prokuristen und leitende Angestellte?

§38 NIS2UmsuCG richtet sich primär an Geschäftsführer und Vorstandsmitglieder, kann aber unter Umständen auch leitende Angestellte mit entsprechenden Aufgaben treffen. Wir empfehlen, alle Personen, die NIS2-relevante Entscheidungen treffen, in den Billigungsprozess einzubinden. Ihr Rechtsberater kann die konkrete Reichweite für Ihre Einrichtung präzisieren.

Wie oft muss der Vorstandsbeschluss erneuert werden?

NIS2 sieht keine starre Erneuerungsfrequenz vor, verlangt aber laufende Überwachung. Best Practice und BSI-Empfehlung ist eine jährliche Überprüfung und Neubestimmung. Dok. 59 enthält dafür ein Überprüfungsdatum-Feld, das diesen Zyklus dokumentiert.

Was ist der Unterschied zwischen diesem Paket und dem Risikomanagement-Paket?

Das Risikomanagement-Paket (8 Dokumente) deckt die operative Ebene ab: Methodik, Bewertung, Behandlung und Bericht. Das Vorstandsbriefing-Paket deckt die Governance-Ebene ab: Billigung, Beschluss und Überwachungsnachweis. Beide Pakete ergänzen sich und können kombiniert werden. Das NIS2-Komplettpaket (66 Vorlagen + 10 Anleitungen) enthält beide.

Brauche ich das Vorstandsbriefing-Paket, wenn wir schon ISO 27001 zertifiziert sind?

Ja, auch mit ISO-27001-Zertifizierung. ISO 27001 verlangt Managementbeteiligung, aber §38 NIS2UmsuCG ist eine eigenständige deutsche Rechtsnorm mit spezifischen Nachweisanforderungen. Dok. 59 (Vorstandsbeschluss) muss explizit NIS2-Konformität adressieren — ein allgemeiner ISO-Management-Review genügt dafür nicht.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles.

Dokumentieren Sie Ihre Governance-Verantwortung — bevor das BSI fragt

Am Ende steht nicht nur ein weiteres PDF in der Ablage, sondern ein archivierter Beschluss, auf den sich Ihre Geschäftsleitung im Ernstfall berufen kann — und ein Vorstand, der bei der nächsten BSI-Anfrage oder Aufsichtsratssitzung nicht improvisieren muss. §38 NIS2UmsuCG lässt keinen Spielraum: Sie müssen nachweisen, dass Sicherheitsmaßnahmen gebilligt und überwacht wurden. Mit diesen fünf Dokumenten haben Sie diesen Nachweis — strukturiert, in Ihrer Sprache und innerhalb weniger Stunden einsatzbereit.