NIS2, DORA und AI Act – Cybersicherheit braucht belegbare Führung

NIS2, DORA und AI Act rücken Cybersicherheit auf die Ebene der Unternehmensführung: Gefordert sind Aufsicht, Nachweise und klare Zuständigkeiten. Das Risiko entsteht damit nicht nur durch einen Sicherheitsvorfall, sondern auch dadurch, dass ein Unternehmen seine Steuerung und Entscheidungen im Ernstfall nicht belegen kann.

Entscheidend ist, wer Risiken tatsächlich steuert

Eine Sicherheitsorganisation kann technisch gut ausgestattet sein und trotzdem an einer Führungsfrage scheitern: Wer entscheidet, wenn ein Risiko nicht rechtzeitig behoben werden kann? Wenn die Zuständigkeit zwischen IT, Informationssicherheit und Geschäftsführung verschwimmt, bleibt womöglich offen, wer einen offenen Punkt bewertet, priorisiert oder eskaliert hat.

Eine Übersicht mit Rollen und Namen allein reicht dafür nicht. Sie sollte zeigen, wer ein Risiko fachlich bewertet, wer über Maßnahmen entscheidet und auf welchem Weg ein ungelöstes Problem die zuständige Leitung erreicht. Wichtig ist die Verbindung zwischen operativer Arbeit und Aufsicht: Ein technisches Team kann einen Sachverhalt erkennen, aber die Geschäftsführung muss nachvollziehen können, welche Entscheidung daraus folgte.

Unsere Haltung: Cybersicherheit lässt sich nicht dadurch an die IT delegieren, dass ein Bericht regelmäßig verschickt wird. Die Leitung muss erkennen können, welche Risiken offen sind und ob Entscheidungen dazu getroffen wurden.

Nachweise müssen den Entscheidungsweg erkennen lassen

Dokumentation ist kein Selbstzweck und auch kein Stapel abgelegter Berichte. Hilfreich ist sie dann, wenn sich an einem konkreten Risiko nachvollziehen lässt: Was wurde festgestellt? Wer hat es bewertet? Welche Maßnahme wurde beschlossen? Wer verfolgt sie weiter? Und wie wurde mit einem Punkt umgegangen, der offenblieb?

Das betrifft auch Entscheidungen gegen eine vorgeschlagene Maßnahme. Wird ein Risiko bewusst akzeptiert oder eine Umsetzung zurückgestellt, sollte die Begründung zusammen mit der zuständigen Entscheidung und dem weiteren Umgang mit dem Punkt festgehalten werden. Sonst bleibt später zwar vielleicht eine Liste mit offenen Aufgaben, aber nicht der nachvollziehbare Weg, auf dem die Leitung mit ihnen umgegangen ist.

Für die Geschäftsführung bedeutet das nicht, jede technische Einzelheit selbst zu prüfen. Sie muss aber ein Bild erhalten, das für Entscheidungen taugt: Welche Risiken sind wesentlich, welche Punkte sind ungelöst, und wer trägt die Verantwortung für den nächsten Schritt? Ein Bericht, der nur Tätigkeiten aufzählt, beantwortet diese Fragen nicht automatisch.

KI braucht dieselbe klare Verantwortlichkeit

Der Einsatz von KI kann als Chance für Veränderung und Effizienz gesehen werden. Zugleich entstehen dabei Fragen zu Compliance, Vertrauen und Aufsicht. Wer solche Anwendungen nur als Sache einzelner Fachbereiche behandelt, verliert leicht den Blick darauf, welche Entscheidungen und Risiken mit ihrem Einsatz verbunden sind.

Für die Steuerung hilft eine einfache Zuordnung: Welcher Anwendungsfall wird betrachtet, wer verantwortet ihn im Unternehmen, und an wen gehen offene Fragen oder Risiken? Dabei bleibt der Mensch der Handelnde. Ein Werkzeug kann Ergebnisse liefern, aber es übernimmt nicht die Verantwortung dafür, wie das Unternehmen diese Ergebnisse nutzt oder welche Kontrolle es darüber ausübt.

Diese Verbindung ist wichtig: Cyberrisiken und KI-⁠Governance sollten nicht als zwei voneinander getrennte Gesprächsrunden behandelt werden, wenn Zuständigkeiten, Aufsicht und Nachweisbarkeit beide betreffen. Die Leitung braucht einen Weg, solche Fragen in ihre tatsächlichen Entscheidungen einzubeziehen.

Ein konkreter Test für die nächste Leitungsrunde

Nehmen Sie ein einzelnes offenes Sicherheitsrisiko aus Ihrem Unternehmen und verfolgen Sie den Weg rückwärts: Welche Information lag der Geschäftsführung vor? Wer hatte die fachliche Verantwortung? Welche Entscheidung wurde getroffen, und wo ist sie festgehalten? Wenn sich die Antworten nicht aus den vorhandenen Zuständigkeiten und Unterlagen ergeben, ist das ein konkreter Steuerungsmangel, den Sie bearbeiten können.

Dieser Test ist nützlicher als eine allgemeine Erklärung, Cybersicherheit habe hohe Priorität. Er zeigt, ob Aufsicht im Arbeitsalltag tatsächlich stattfindet und ob die Verantwortlichen ihren Umgang mit einem Risiko später nachvollziehen können.

Das Takeaway: Sorgen Sie dafür, dass sich für ein konkretes Cyberrisiko Zuständigkeit, Leitungsentscheidung und weiterer Umgang aus den vorhandenen Nachweisen klar ablesen lassen.

Quellen: Security-⁠Insider – „Cybersicherheit wird für Vorstände zur Haftungsfrage“ (https://www.security-insider.de/vorstandshaftung-cybersicherheit-nis2-dora-ai-act-a-2f5827bb34a7fe703930a30d4efc1bd7/)