Zusammenfassung
- Bei betroffenen Einrichtungen muss die Leitung Sicherheitsmaßnahmen sicherstellen und beaufsichtigen.
- Das Gesetz sieht Cybersicherheitsschulungen für Leitung und Mitarbeitende vor.
- Ein kurzer Bericht zu Risiken, Maßnahmen, Vorfällen und Wiederherstellung macht Aufsicht praktisch.
Für betroffene Einrichtungen weist das NISG 2026 der Leitung eine aktive Rolle zu: Sie soll die Sicherheitsmaßnahmen sicherstellen und beaufsichtigen. Die Leitung muss außerdem an passenden Cybersicherheitsschulungen teilnehmen. Das ist kein Auftrag, jedes technische Detail selbst zu verwalten. Die Leitung muss aber Risiken, Zuständigkeiten und Fortschritt verstehen.
Was die Leitung praktisch tun kann
Ordnen Sie eine verantwortliche Person zu, stimmen Sie Zeit und Budget für Maßnahmen ab und verlangen Sie einen kurzen regelmäßigen Bericht. Darin sollten mindestens die wichtigsten Risiken, überfälligen Maßnahmen, Vorfälle und Wiederherstellungstests sichtbar sein.
Schulung und Aufsicht
Planen Sie eine Cybersicherheitsschulung für die Leitungsorgane und regelmäßige Schulungen für Beschäftigte ein. Lassen Sie sich zeigen, wie Sicherheitsmaßnahmen umgesetzt und geprüft werden. Bei offenen Punkten sollten Verantwortliche und ein realistischer Termin feststehen.
Ein Bericht, mit dem man entscheiden kann
Eine kompakte Leitungsvorlage kann enthalten: wichtigste Dienste und Abhängigkeiten, größte aktuelle Risiken, Stand der priorisierten Maßnahmen, letzter Backup-Restore, offene Lieferantenfragen und Vorfälle seit dem letzten Bericht. Bei erheblichen Vorfällen braucht es zusätzlich einen eingeübten Eskalations- und Meldeweg.
Keine Haftungsschablone
Die konkrete Verantwortung hängt von der Organisation und dem jeweiligen Sachverhalt ab. Praktisch hilft eine nachvollziehbare Aufsicht: Entscheidungen, Ressourcen, Schulungen und offene Maßnahmen festhalten und nachverfolgen. Für persönliche Haftungsfragen ist individuelle Rechtsberatung nötig.
Konkrete nächste Schritte
- Eine verantwortliche Person sowie regelmäßige Leitungstermine festlegen.
- Eine passende Cybersicherheitsschulung für die Leitung einplanen.
- Berichte zu Risiken, Maßnahmen, Vorfällen und Wiederherstellung anfordern.
- Offene Punkte mit Ressourcen, Eigentümer und Termin nachverfolgen.
Führungskräfte müssen keine Administratoren sein. Sie sollten aber wissen, welche Dienste besonders wichtig sind, wer Risiken bearbeitet und wie Fortschritt oder ein Vorfall an sie eskaliert wird.