Lösungen · Geschäftsführung
Seit dem NIS2-Umsetzungsgesetz steht die Geschäftsleitung ausdrücklich in der Pflicht. Sie muss die Maßnahmen zur Cybersicherheit umsetzen, die Umsetzung überwachen und sich regelmäßig schulen lassen. Sightadel zeigt Ihnen den Stand auf einer Seite, macht offene Entscheidungen sichtbar und hält fest, was Sie wann beschlossen haben.
Ausgangslage
Informationssicherheit war lange eine Sache der IT. Die Geschäftsführung hat ein Budget freigegeben und sich ab und zu berichten lassen. Mit dem neu gefassten BSI-Gesetz reicht das für betroffene Einrichtungen nicht mehr. Nach § 38 BSIG ist die Geschäftsleitung selbst verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflicht schuldhaft und entsteht dadurch ein Schaden, haftet sie der eigenen Einrichtung nach den Regeln des Gesellschaftsrechts, also etwa nach GmbH- oder Aktienrecht.
Die Arbeit selbst erledigen andere: der Informationssicherheitsbeauftragte, die IT, der Einkauf, externe Dienstleister. Die Verantwortung bleibt trotzdem bei Ihnen. Im Ernstfall fragt niemand, ob die IT gut gearbeitet hat. Gefragt wird, ob die Leitung die Lage kannte, Entscheidungen getroffen und deren Umsetzung verfolgt hat. Ein Ordner mit Richtlinien beantwortet diese Frage nicht. Datierte Beschlüsse, regelmäßige Berichte und nachvollziehbare Maßnahmen schon.
Für die Geschäftsführung ist das vor allem eine Frage der Übersicht. Sie brauchen keinen Zugang zu jeder einzelnen Kontrolle. Sie brauchen einen verlässlichen Stand: Wo stehen wir, was ist offen, wo hängt es, was muss ich entscheiden? Genau dafür ist die Leitungssicht in Sightadel gebaut.
Warum jetzt
Seit Dezember 2025 gilt das neue BSI-Gesetz. Wichtige und besonders wichtige Einrichtungen müssen sich beim BSI registrieren, Maßnahmen umsetzen und Vorfälle melden. Die Pflichten der Leitung gelten ab dem ersten Tag, nicht erst nach einer Übergangszeit.
Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen. Ziel ist, Risiken der Informationssicherheit erkennen und bewerten zu können und ihre Folgen für die eigenen Dienste einzuschätzen. Eine einmalige Präsentation genügt dafür auf Dauer nicht.
Nach einem Angriff mit Schadsoftware oder einem längeren Ausfall stellt der Aufsichtsrat oder die Gesellschafterversammlung Fragen. Dann zählt, ob Sie vorher entschieden und überwacht haben, und ob sich das belegen lässt.
Große Kunden müssen ihre Lieferkette bewerten. Sie schicken Fragebögen, verlangen Zertifikate und Vertragsklauseln. Ohne geordnete Antworten verlieren Sie Zeit im Vertrieb oder im schlimmsten Fall den Auftrag.
Cyberversicherer, finanzierende Banken und Wirtschaftsprüfer fragen inzwischen gezielt nach Mehrfaktor-Anmeldung, Datensicherung und Notfallplanung. Die Antworten sollten aus einem gepflegten Stand kommen, nicht aus dem Gedächtnis.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Für wichtige und besonders wichtige Einrichtungen nach dem BSI-Gesetz verbindlich. Die Leitung muss die Maßnahmen nach § 30 BSIG umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Die EU-Richtlinie spricht davon, dass die Leitung die Maßnahmen billigt. Das deutsche Gesetz geht weiter und nimmt sie für die Umsetzung selbst in die Pflicht. Ob Ihr Unternehmen betroffen ist, hängt von Sektor und Größe ab.
Zum Framework →Für Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute und weitere Finanzunternehmen geht DORA vor. Hier trägt das Leitungsorgan die letzte Verantwortung für das IKT-Risiko. Es genehmigt den Rahmen für das IKT-Risikomanagement, legt den Risikoappetit fest, stellt Mittel bereit, genehmigt die Leitlinien zu Geschäftsfortführung und Dienstleistern und hält sein eigenes Wissen durch Schulungen aktuell.
Zum Framework →Keine gesetzliche Pflicht, aber der Rahmen, den Kunden am häufigsten verlangen. Die Norm gibt der Leitung eine feste Rolle: Leitlinie und Ziele festlegen, Ressourcen bereitstellen und das System in der Managementbewertung regelmäßig bewerten. Damit erfüllt sie vieles, was NIS2 von der Geschäftsleitung erwartet, in einer geprüften Form.
Zum Framework →Gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Verantwortlich im Sinne der DSGVO ist das Unternehmen, also letztlich die Leitung. Datenschutz und Informationssicherheit greifen bei Maßnahmen, Dienstleistern und Vorfällen ineinander und lassen sich gemeinsam steuern.
Zum Framework →Empfohlene Reihenfolge
Fällt Ihr Unternehmen unter NIS2 oder DORA, und wenn ja, in welcher Kategorie? Lassen Sie die Einstufung mit Begründung festhalten und die Registrierung beim BSI erledigen. Die rechtliche Bewertung im Zweifel übernimmt Ihre Rechtsberatung.
Benennen Sie eine verantwortliche Person für Informationssicherheit, intern oder extern, und geben Sie ihr Zeit und Befugnisse. Legen Sie fest, wie und wie oft sie Ihnen berichtet. Ohne diese Entscheidung bleibt jedes Projekt ein Nebenbei.
Lassen Sie sich und die übrigen Mitglieder der Geschäftsleitung schulen, bevor Sie größere Entscheidungen treffen. Danach verstehen Sie die Vorschläge des Teams besser. Die Teilnahme wird mit Datum und Wiederholungstermin als Nachweis abgelegt.
Das Team geht die Anforderungen Punkt für Punkt durch und zeigt, was belegt ist und was fehlt. Sie erhalten daraus eine Liste offener Punkte mit Vorschlag zur Reihenfolge, nicht hundert Seiten Prüfbericht.
Sie entscheiden über Prioritäten, Budget, Personal und akzeptierte Restrisiken. Der Beschluss wird datiert, unterschrieben und abgelegt. Aus jedem offenen Punkt wird eine Maßnahme mit Verantwortlichem und Frist.
Überwachen heißt nicht, jede Aufgabe selbst zu kontrollieren. Es heißt, in festen Abständen den Stand anzusehen, Verzögerungen anzusprechen und nachzusteuern. Ein kurzer Termin pro Quartal mit dokumentiertem Ergebnis ist ein guter Anfang.
Ihre Rolle
Vieles lässt sich delegieren. Diese Punkte nicht. Sie bestimmen den Rahmen, in dem das Team arbeitet, und sie sind das, was eine Aufsicht oder ein Gericht später sehen will.
Welche Standorte, Gesellschaften, Systeme und Dienste gehören dazu? Ein zu enger Rahmen lässt Lücken, ein zu weiter verzögert alles. Die Abgrenzung ist eine Geschäftsentscheidung, keine technische.
Kein Unternehmen kann jedes Risiko beseitigen. Sie legen fest, welches Risiko tragbar ist, und akzeptieren verbleibende Risiken ausdrücklich. Diese Annahme gehört mit Datum und Begründung in die Dokumentation.
Ohne Zeit und Geld bleiben Maßnahmen Absichtserklärungen. Sie entscheiden, wie viele Stunden intern zur Verfügung stehen, was eingekauft wird und welche Beratung dazukommt.
Wer ist Informationssicherheitsbeauftragter oder CISO, mit welchen Befugnissen und welchem direkten Draht zur Leitung? Die Benennung wird schriftlich festgehalten und intern bekannt gemacht.
Die Informationssicherheitsleitlinie und zentrale Regeln, etwa zu Zugriffen, Datensicherung oder Notfällen, tragen Ihre Freigabe. Damit gelten sie verbindlich für alle Beschäftigten.
Ob ein kritischer Dienstleister trotz schwacher Nachweise bleibt, ersetzt oder vertraglich nachgebessert wird, ist eine Abwägung zwischen Kosten, Abhängigkeit und Risiko. Diese Abwägung trifft die Leitung.
Ob Sie ein Zertifikat nach ISO 27001 anstreben, bis wann und für welchen Bereich, hängt von Kunden, Markt und Aufwand ab. Die Entscheidung bestimmt Planung und Budget des Teams für die nächsten Monate.
So hilft Sightadel
Das Dashboard zeigt den Fortschritt je Framework, etwa für NIS2 und ISO 27001 nebeneinander. Sie sehen, wie viele Anforderungen beantwortet und belegt sind und wo das Team noch nicht weitergekommen ist. Mit der Rolle Viewer haben Sie lesenden Zugriff auf alles, ohne versehentlich etwas zu ändern.
Mehr erfahren →Jede offene Maßnahme hat eine verantwortliche Person und eine Frist. Überfällige Punkte fallen auf, ohne dass Sie nachfragen müssen. So wird aus der Pflicht zur Überwachung ein kurzer, regelmäßiger Blick auf eine Liste statt einer Sitzung voller Zwischenstände.
Mehr erfahren →Der Security Score bewertet, wie Ihre Domains und Systeme von außen aussehen, als Note und als Zahl. Die wichtigsten Probleme stehen direkt auf dem Dashboard. Damit reden Geschäftsleitung und IT über dasselbe, ohne dass Sie Fachbegriffe kennen müssen.
Mehr erfahren →Beschlüsse der Leitung, Schulungsnachweise und freigegebene Leitlinien liegen mit Datum und Version im Nachweis-Archiv. Das Aktivitätsprotokoll hält fest, wer wann was getan hat. Im Ernstfall zeigen Sie damit, dass Sie entschieden und überwacht haben.
Mehr erfahren →Kritische Dienstleister stehen mit Bewertung, Verträgen und Nachweisen in einer Liste. Wo ein Zertifikat abgelaufen ist oder Antworten fehlen, sehen Sie das, bevor ein Kunde oder Prüfer danach fragt.
Mehr erfahren →Im Trust Center zeigen Sie Kunden Ihren Sicherheitsstand, Zertifikate und freigegebene Dokumente an einer Stelle. Der Vertrieb verweist auf eine Adresse, statt Fragebögen über Wochen hin und her zu schicken.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss hat, ob die Leitung Entscheidungen zügig trifft und dem Team genügend Zeit gibt.
Was Sie lizenzieren · typisch Professional
Ein Unternehmen mit NIS2-Pflicht, das zugleich ein Zertifikat nach ISO 27001 anstrebt, nimmt beide Frameworks in der Edition Professional. Sie umfasst zehn Nutzer, genug für Leitung, verantwortliche Person, IT und einzelne Fachbereiche. Ist ISO 27001 dabei, gibt es auf NIS2 einen dauerhaften Nachlass.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Nach § 38 BSIG haftet die Geschäftsleitung ihrer Einrichtung für Schäden, die sie durch schuldhafte Verletzung ihrer Pflichten verursacht. Maßgeblich sind die Haftungsregeln des Gesellschaftsrechts für die jeweilige Rechtsform. Wie das im Einzelfall aussieht, klären Sie mit Ihrer Rechtsberatung. Sightadel gibt keine Rechtsberatung, sorgt aber dafür, dass Ihre Entscheidungen belegt sind.
Die Arbeit ja, die Verantwortung nein. Das Gesetz richtet die Pflicht zur Umsetzung und Überwachung an die Geschäftsleitung. Sie können eine verantwortliche Person benennen und externe Hilfe holen. Sie müssen aber wissen, was geschieht, und eingreifen, wenn es hakt.
Das Gesetz schreibt keine Form vor. Bewährt hat sich ein fester Rhythmus: regelmäßiger Bericht der verantwortlichen Person, Blick auf offene und überfällige Maßnahmen, Entscheidungen zu Engpässen und ein kurzes Protokoll. In Sightadel sehen Sie dafür den Stand je Framework und die offenen Probleme auf einen Blick.
Das Gesetz verlangt eine regelmäßige Teilnahme, nennt aber keinen festen Abstand. Viele Unternehmen planen eine Auffrischung pro Jahr und zusätzlich nach größeren Änderungen. Die Teilnahme wird mit Datum festgehalten, Sightadel erinnert vor dem nächsten Termin.
Für Finanzunternehmen gilt DORA vorrangig. Auch dort trägt das Leitungsorgan die letzte Verantwortung für das IKT-Risiko, genehmigt den Rahmen und die zentralen Leitlinien, legt den Risikoappetit fest und bildet sich regelmäßig fort. Aufsicht ist die BaFin.
Nein. Mit der Rolle Viewer sehen Sie Dashboard, Fortschritt je Framework, offene Probleme und Aktionspläne, ohne selbst Kontrollen bearbeiten zu müssen. Die eigentliche Arbeit erledigen die verantwortliche Person und das Team.
Nein. Für NIS2 gibt es kein Zertifikat, die Aufsicht liegt beim BSI. Sightadel zertifiziert auch nicht selbst. Für ISO 27001 wählen Sie eine unabhängige Zertifizierungsstelle, aus unserem Partnernetzwerk oder eine eigene. Für Audits fließt keine Provision, weder an uns noch an die Partner.
Dann buchen Sie Beratung als Paket in der App dazu. Erfahrene Berater helfen bei den schwierigen Stellen, etwa bei Geltungsbereich, Risikobewertung oder der Vorbereitung auf ein Audit. Eigene externe Berater können Sie ebenfalls in Ihr Konto einladen.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
