Kurz gesagt

  • Leitungsorgane müssen die Einhaltung der Risikomaßnahmen sicherstellen und beaufsichtigen.
  • Die Teilnahme an spezifischen Cybersicherheitsschulungen ist gesetzlich vorgesehen.
  • Belastbar sind protokollierte Entscheidungen, klare Verantwortliche, Wirksamkeitskennzahlen und verfolgte Rest-Risiken.

Das NISG 2026 weist Leitungsorganen eine klare Governance-Aufgabe zu. Nach § 31 müssen sie die Einhaltung der Risikomanagementmaßnahmen sicherstellen und beaufsichtigen. Außerdem müssen sie an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen.

Was nachweisbar sein sollte

Belastbar sind protokollierte Entscheidungen, benannte Verantwortliche, freigegebene Risiken, Wirksamkeitskennzahlen und die Nachverfolgung wesentlicher Abweichungen. Eine einmalige Präsentation ersetzt keine laufende Aufsicht.

Welche Sanktionen das Gesetz nennt

§ 45 enthält Verwaltungsstrafen für Pflichtverletzungen der Einrichtung, unter anderem bei Schulungen, Risikomanagement und Vorfallmeldungen. Für wesentliche Einrichtungen reicht der gesetzliche Höchstrahmen bis 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes, für wichtige Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent.

Keine pauschale persönliche Haftung behaupten

Ob daneben persönliche zivil-, gesellschafts- oder strafrechtliche Folgen entstehen, hängt vom konkreten Sachverhalt und anderen Rechtsgrundlagen ab. Das lässt sich nicht aus § 31 allein ableiten und sollte rechtlich beurteilt werden.

Konkrete nächste Schritte

  1. Governance-Beschluss und Verantwortung dokumentieren.
  2. Spezifische Leitungsschulung planen.
  3. Kennzahlen und Rest-Risiken regelmäßig behandeln.
  4. Rechtliche Haftungsfragen getrennt prüfen.

vetosec kann technische Nachweise und Wirksamkeitsprüfungen unterstützen, gibt aber keine Rechtsberatung.

Passende Inhalte von vetosec

Primärquellen