Geschäftsleitungsverantwortung nach NIS-2 und BSIG einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/geschaeftsleitung

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

NIS-2 und das BSIG legen Cyber-Risikomanagement in die Verantwortung der Geschäftsleitung, einschließlich Freigabe von Maßnahmen und Schulung. Eine IT-Richtlinie ohne GF-Mandat reicht nicht. Die Freigabe sollte datiert und nachvollziehbar sein.

Die Pflicht sitzt bei den Personen, die die Geschäfte führen und das Unternehmen vertreten, nicht bei einem benannten „CISO auf der Folie“. Die Leitung muss Maßnahmen umsetzen und überwachen lassen und selbst genug verstehen, um Risiko und Residualrisiko zu tragen. Unterschreiben ohne gelesen zu haben ist später schwer zu halten.

Im Alltag heißt das: Leitlinie und zentrale Policies mit Datum freigeben, das Jahresreview zur Kenntnis nehmen, die eigene Schulung nachweisen. Operativ arbeitet IT oder Organisation die Liste ab. Ohne Mandat bleibt die Liste intern. Catenis führt die GF-Inbox: offene Freigaben, Schulungsnachweis, Zeitstempel.

Eine IT-Richtlinie, die nur die Leitung IT gezeichnet hat, erfüllt die Erwartung nicht. Ebenso wenig ein Protokoll „wurde in der GF vorgestellt“ ohne Version und ohne Beschluss. Der Nachweis ist die datierte Freigabe der geltenden Fassung, nicht die Erinnerung, dass irgendwann etwas zirkulierte.

Mehrköpfige Leitungen brauchen den Nachweis je Person, zumindest bei der Schulung. Eine Sammelunterschrift „die GF“ ohne Namen trägt das selten. Catenis hält den Schulungsnachweis je Nutzer mit der passenden Rolle. Wer neu in die Leitung kommt, startet die Frist neu, nicht mit dem Datum des Vorgängers.

Geltungsbereich

Die Verantwortung gilt für die erfasste Einrichtung. Größe ändert die Tiefe, nicht den Adressaten. In kleinen Häusern ist die Geschäftsleitung oft identisch mit dem operativen Owner; dann muss dieselbe Person Freigabe und Ausführung trennbar dokumentieren, sonst fehlt der zweite Blick.

Schulung der Leitung ist eigene Pflicht, kein Anhang der Mitarbeitersensibilisierung. Jedes Mitglied der Geschäftsleitung braucht einen nachweisbaren Termin, Inhalt und Wiederkehr. Catenis hält den Nachweis je Person; den Kurs selbst leistet ein Anbieter oder die interne Schulung außerhalb der Plattform.

Haftung, Bußen und persönliche Folgen stehen im Gesetz und in der Aufsichtspraxis. Dieses Lexikon beziffert sie nicht. Die Arbeitsfrage lautet: Kann die Leitung in zwölf Monaten zeigen, was sie freigegeben, gesehen und gelernt hat?

Stellvertretung und Beirat sind nicht automatisch Geschäftsleitung im Sinne des Gesetzes. Wer freigibt, muss zur Führung der Geschäfte berufen sein oder eine klar delegierte, dokumentierte Rolle haben. Catenis prüft das Handelsregister nicht. Die Einrichtung muss die Personen richtig zuordnen.

Was zu tun ist

Rollen klären: wer gibt frei (Geschäftsleitung), wer arbeitet die Maßnahmen (IT, Organisation, Einkauf). In Catenis braucht die Freigabe die passende Rolle. Viewer sehen den Stand, ändern ihn nicht.

Offene Leitlinien und Reviews in die Inbox legen, nicht in den Flurfunk. Jede Freigabe trägt Version, Datum, Person. Abgelaufene Reviews müssen wieder auf den Tisch, nicht in einem grünen Haken aus dem Vorjahr verschwinden.

Die eigene Schulung planen und ablegen: Datum, Dauer, Inhalt oder Anbieter, Teilnehmer. Eine einmalige Keynote vor drei Jahren ohne Wiedervorlage ist schwach. Der Maßnahmenstatus bleibt offen, bis der Nachweis je GF-Person da ist.

Die Lageansicht für die Leitung kurz halten: nächster Schritt, offene Freigaben, Vorfälle ohne Status, rote Lieferanten. Details gehören in die Maßnahmenliste. Die Plattform ersetzt die Aufsichtssitzung nicht; sie macht sie vorbereitbar.

Wechsel in der Leitung nachziehen. Neue Person: Zugang, Inbox, Schulung, welche Fassungen sie neu billigen muss. Ausgeschiedene Person: Rechte entziehen, die alten Freigaben bleiben als Historie. Sonst unterschreibt jemand, der nicht mehr da ist, oder niemand unterschreibt.

Das Jahresreview der Maßnahmen als eigenen Termin legen, nicht als Anhang der Bilanzsitzung. Catenis zeigt, was überfällig ist. Die Leitung muss die Liste zur Kenntnis nehmen und das Datum hinterlassen. Ohne diesen Termin bleibt die Überwachung eine Behauptung.

Typischer Fehler

Der häufigste Fehler: die IT zeichnet die Leitlinie, die GF „nimmt zustimmend zur Kenntnis“, niemand datiert eine Version. Im Streitfall fehlt der Beschluss. Der zweite: Schulung der Belegschaft mit Schulung der Leitung zu verwechseln. Phishing-Poster im Pausenraum zählen nicht als GF-Nachweis.

Der dritte: Freigabe als einmaliges Projekt. Maßnahmen und Policies haben Reviews. Wer nach dem Kick-off nie wieder unterschreibt, hat die Überwachungspflicht liegen gelassen.

Der vierte: die Inbox zu ignorieren, weil „IT das schon macht“. Dann liegen Leitlinien monatelang als Entwurf. Die Ampel wird gelb oder rot, die Leitung sieht es nicht, bis ein Kunde oder die Aufsicht fragt. Die Inbox ist die Arbeit, nicht Dekoration. Wer neu in die GF kommt und die offenen Freigaben des Vorgängers nicht ansieht, übernimmt eine stille Liste.

Grenze

Das Lexikon sagt nicht, wer im Handelsregister zur Geschäftsleitung zählt oder welche persönliche Haftung droht. Das bleibt Beratung.

Catenis dokumentiert Freigaben, Schulungsnachweise, Maßnahmen und Vorfallstatus. Es unterschreibt nicht anstelle der Leitung und spricht nicht mit dem BSI. BSI-Portal und Einordnung bleiben extern. Eine Inbox-Ampel ist kein Haftungsbescheid. Ohne Datum an der Freigabe bleibt die Richtlinie Entwurf. Die Schulung zählt je Person.