[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:de:nis2-artikel-20-fuer-die-geschaeftsleitung-was-das-leitungsorgan-billigen-ueberwachen-und-lernen-muss-die-zwoelf-stellen-an-denen-die-durchfuehrungsverordnung-es-nennt-und-was-haftung-bedeutet":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"de","nis2-artikel-20-fuer-die-geschaeftsleitung-was-das-leitungsorgan-billigen-ueberwachen-und-lernen-muss-die-zwoelf-stellen-an-denen-die-durchfuehrungsverordnung-es-nennt-und-was-haftung-bedeutet","NIS2 Artikel 20 für die Geschäftsleitung: Was das Leitungsorgan billigen, überwachen und lernen muss, die zwölf Stellen, an denen die Durchführungsverordnung es nennt, und was Haftung bedeutet","Artikel 20 der NIS2 verpflichtet das Leitungsorgan einer wesentlichen oder wichtigen Einrichtung, die Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen, ihre Umsetzung zu überwachen, für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden zu können und an Schulungen teilzunehmen. Die Durchführungsverordnung 2024\u002F2690 nennt das Leitungsorgan dann an zwölf Stellen ihres Anhangs: eine datierte Genehmigung des Konzepts, eine jährliche Überprüfung, eine direkte Berichtslinie, die Akzeptanz von Restrisiken, Berichte über die Einhaltung, ein Sensibilisierungsprogramm. Jede der zwölf als Nachweis, die Klausel der ISO 27001, die ihn bereits erzeugt, und was Artikel 32 und Artikel 34 über die Haftung sagen.","2026-09-12","\nJeder Artikel über NIS2 und Geschäftsleitungen sagt, dass die Leitung haftet. Weniger sagen, was das Leitungsorgan tatsächlich tun muss, und das ist die Frage, die ein Geschäftsführer zuerst stellt, denn Haftung knüpft an Pflichten an. Die Pflichten sind kurz und stehen in einem Artikel der Richtlinie, und für die Einrichtungen, die die Durchführungsverordnung erfasst, sind sie dann als zwölf konkrete Nachweise ausgeschrieben. Dieser Artikel sind diese Pflichten und diese Nachweise, mit der Klausel der ISO 27001, die jeden bereits erzeugt, und dem, was die Richtlinie zur Haftung sagt, gelesen aus dem Text.\n\n## Artikel 20, in zwei Absätzen\n\nArtikel 20(1) der Richtlinie (EU) 2022\u002F2555: Die Mitgliedstaaten „stellen sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die von diesen Einrichtungen zur Einhaltung von Artikel 21 ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße gegen diesen Artikel durch die betreffenden Einrichtungen verantwortlich gemacht werden können\". Drei Verben: billigen, überwachen, verantwortlich sein. Die Maßnahmen sind [die zehn des Artikels 21(2)](\u002Farticles\u002Fthe-ten-measures-of-nis2-article-21-2-as-a-checklist-each-point-quoted-the-regulation-sections-behind-it-and-the-iso-27001-controls-that-already-produce-it), und die Verantwortung gilt für Verstöße der Einrichtung gegen diesen Artikel, nicht für jeden Vorfall.\n\nArtikel 20(2): Die Mitgliedstaaten „stellen sicher, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen an Schulungen teilnehmen müssen\", und „fordern\" die Einrichtungen auf, allen Mitarbeitern regelmäßig entsprechende Schulungen anzubieten, „um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Cybersicherheit und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu erwerben\". Die Asymmetrie ist gewollt: Für die Mitglieder des Leitungsorgans ist die Schulung Pflicht; für Mitarbeiter wird sie gefördert. Die Richtlinie sagt nicht, wie lang, wie oft oder durch wen; das füllen nationales Recht und die Aufsicht des Sektors aus, und die Durchführungsverordnung fügt das Sensibilisierungsprogramm unten hinzu.\n\nDie Pflichten sind für wesentliche und wichtige Einrichtungen dieselben, und für jeden Sektor. Was sich unterscheidet, ist die Durchsetzung, und das ist der letzte Abschnitt.\n\n## Die zwölf Stellen, an denen die Durchführungsverordnung das Leitungsorgan nennt\n\nFür die Sektoren, die die Durchführungsverordnung (EU) 2024\u002F2690 erfasst, Cloud-Anbieter, Anbieter verwalteter Dienste, Rechenzentren, Online-Marktplätze und die übrigen ihres Artikels 1, hören „billigen\" und „überwachen\" aus Artikel 20 auf, abstrakt zu sein. Der Anhang nennt die Leitungsorgane an zwölf Stellen, und jede ist ein Nachweis, den eine Aufsicht verlangen kann. Die Klausel der ISO 27001 in der letzten Spalte ist unsere Lesart dessen, was ihn bereits erzeugt; die Zuordnung ist unsere, nicht die der ENISA.\n\n| Nummer im Anhang | Was das Leitungsorgan tut | Der Nachweis | ISO\u002FIEC 27001:2022 |\n| --- | --- | --- | --- |\n| 1.1.1(k) | Das Sicherheitskonzept muss „das Datum der förmlichen Genehmigung durch die Leitungsorgane\" enthalten | Ein Konzept mit Genehmigungsdatum und dem Organ, das es genehmigt hat | 5.2 |\n| 1.1.2 | Das Konzept wird „von den Leitungsorganen mindestens jährlich\" sowie nach erheblichen Vorfällen oder Änderungen überprüft und aktualisiert; „das Ergebnis der Überprüfung wird dokumentiert\" | Ein datierter Überprüfungsnachweis, mindestens jährlich | 9.3 |\n| 1.2.1 | Verantwortlichkeiten und Weisungsbefugnisse für die Sicherheit werden Rollen zugeordnet und den Leitungsorganen mitgeteilt | Das Rollendokument, und die Mitteilung | 5.3 |\n| 1.2.3 | „Mindestens eine Person muss gegenüber den Leitungsorganen direkt für Fragen der Sicherheit von Netz- und Informationssystemen verantwortlich sein\" | Eine benannte Person mit direkter Berichtslinie | 5.3 |\n| 1.2.6 | Rollen, Verantwortlichkeiten und Weisungsbefugnisse werden „von den Leitungsorganen in geplanten Zeitabständen\" überprüft und aktualisiert | Eine Überprüfung der Rollen, nach Plan | 9.3 |\n| 2.1.1 | „Die Ergebnisse der Risikobewertung und die Restrisiken werden von den Leitungsorganen\" akzeptiert, oder von rechenschaftspflichtigen Personen bei angemessener Berichterstattung an die Leitungsorgane | Die Risikobewertung mit ihrer Akzeptanz, unterschrieben | 6.1.2, 6.1.3 |\n| 2.2.1 | Die Leitungsorgane werden „durch regelmäßige Berichterstattung auf der Grundlage der Überprüfungen der Einhaltung über den Stand der Netz- und Informationssicherheit unterrichtet\" | Berichte über die Einhaltung, in festem Takt | 9.1 |\n| 2.2.2 | Ein System für die Berichterstattung über die Einhaltung, das „den Leitungsorganen einen fundierten Überblick über den aktuellen Stand des Risikomanagements\" geben muss | Das Berichtssystem selbst | 9.1 |\n| 2.3.3 | Die Ergebnisse der unabhängigen Überprüfungen, einschließlich Überwachung der Einhaltung und Messung, „werden den Leitungsorganen gemeldet\" | Ergebnisse interner Audits, die das Organ erreichen | 9.2, 9.3 |\n| 8.1.1 | Mitarbeitende „einschließlich der Mitglieder von Leitungsorganen\" sind sich der Risiken bewusst und wenden Cyberhygiene an | Sensibilisierungsnachweise für die Mitglieder | 7.3 |\n| 8.1.2 | Ein Sensibilisierungsprogramm für Mitarbeitende einschließlich „der Mitglieder ihrer Leitungsorgane\", zeitlich geplant und wiederholt | Das Programm, sein Zeitplan, die Teilnahme | 7.2, 7.3 |\n| 10.1.2(c) | „Mechanismen, mit denen sichergestellt wird, dass die Mitglieder der Leitungsorgane ihre Rollen, Verantwortlichkeiten und Weisungsbefugnisse\" verstehen und entsprechend handeln | Rollenbestätigungen der Mitglieder | 5.3, 7.3 |\n\nZwei der zwölf tragen das meiste Gewicht. Das Genehmigungsdatum in 1.1.1(k) ist der Nachweis des „Billigens\" aus Artikel 20(1): Ein Konzept ohne datierte Genehmigung durch das Leitungsorgan scheitert schon dem Anschein nach an der ersten Pflicht. Die Berichtslinie in 1.2.3 und die Berichte in 2.2.1 und 2.3.3 sind der Nachweis des „Überwachens\": Ein Organ, das keine Sicherheitsberichte erhält, kann nicht zeigen, dass es irgendetwas überwacht hat. Ein Managementsystem nach ISO 27001 erzeugt bereits jede Zeile: die Genehmigung des Konzepts nach Klausel 5.2, die Rollen nach 5.3, die Risikoakzeptanz nach 6.1.3, die Berichterstattung nach 9.1 und 9.2, die jährliche Managementbewertung nach 9.3, die Kompetenz- und Sensibilisierungsnachweise nach 7.2 und 7.3. Was es von sich aus nicht tut, ist die Mitglieder des Leitungsorgans in das Sensibilisierungsprogramm aufzunehmen, was die Verordnung zweimal tut, in 8.1.1 und 8.1.2.\n\nFür Einrichtungen außerhalb der Sektoren der Durchführungsverordnung trägt [die nationale Umsetzung](\u002Farticles\u002Fnis2-transposition-state-by-state-what-the-commissions-register-shows) Artikel 20 und kann eigene Einzelheiten hinzufügen; die zwölf Nachweise oben sind dennoch der natürliche Beleg der beiden Verben.\n\n## Wie Haftung aussieht\n\nArtikel 20(1) sagt, das Leitungsorgan könne „verantwortlich gemacht werden\"; er sagt nicht, wie. Zwei andere Vorschriften tun das.\n\nFür wesentliche Einrichtungen gibt Artikel 32(5) der zuständigen Behörde, wenn die Durchsetzungsmaßnahmen des Artikels 32(4) unwirksam waren und eine Frist zur Behebung verstrichen ist, die Befugnis, bei den Gerichten oder zuständigen Stellen zu beantragen, dass jeder natürlichen Person, die in der wesentlichen Einrichtung Leitungsaufgaben auf der Ebene des Geschäftsführers oder des gesetzlichen Vertreters wahrnimmt, vorübergehend die Wahrnehmung von Leitungsaufgaben in dieser Einrichtung untersagt wird, nur bis die Einrichtung die Mängel behebt, mit Verfahrensgarantien. Artikel 32(6): Die Mitgliedstaaten stellen sicher, dass jede natürliche Person, die für eine wesentliche Einrichtung verantwortlich ist oder als deren gesetzlicher Vertreter handelt, die Befugnis hat, deren Einhaltung der Richtlinie sicherzustellen, und dass solche natürlichen Personen für die Verletzung ihrer Pflichten zur Sicherstellung der Einhaltung haftbar gemacht werden können. Die vorübergehende Untersagung gilt nicht für Einrichtungen der öffentlichen Verwaltung.\n\nFür wichtige Einrichtungen hat Artikel 33 kein Gegenstück zu Artikel 32(5) oder (6); die Verantwortung aus Artikel 20(1) ist das, was das nationale Recht daraus macht.\n\nFür beide legt Artikel 34 die Geldbußen für Verstöße gegen Artikel 21 oder 23 fest: für wesentliche Einrichtungen einen Höchstbetrag von mindestens 10 000 000 EUR oder 2 % des gesamten weltweiten Jahresumsatzes des Unternehmens, je nachdem, welcher Betrag höher ist (Artikel 34(4)); für wichtige Einrichtungen einen Höchstbetrag von mindestens 7 000 000 EUR oder 1,4 % (Artikel 34(5)). Die Geldbußen treffen die Einrichtung; „Höchstbetrag von mindestens\" heißt, dass die Mitgliedstaaten die Obergrenze nicht niedriger ansetzen dürfen.\n\nErwägungsgrund 137 sagt, warum: Die Richtlinie soll ein hohes Maß an Verantwortung für die Risikomanagementmaßnahmen im Bereich der Cybersicherheit und die Berichtspflichten auf der Ebene der wesentlichen und wichtigen Einrichtungen sicherstellen, weshalb die Leitungsorgane der wesentlichen und wichtigen Einrichtungen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen sollten.\n\n## Was der Geschäftsleitung vorzulegen ist\n\nAls Liste von Nachweisen gelesen, ist Artikel 20 für ein Unternehmen in den Sektoren der Durchführungsverordnung eine Sitzung im Jahr plus ein ständiger Tagesordnungspunkt: das Konzept mit Datum genehmigt und jährlich erneut genehmigt (1.1.1(k), 1.1.2); die Rollen überprüft und die benannte Person, die direkt berichtet (1.2.1, 1.2.3, 1.2.6); die Risikobewertung und ihre Restrisiken im Protokoll akzeptiert (2.1.1); Ergebnisse der Einhaltung und der Audits in festem Takt auf der Tagesordnung (2.2.1, 2.2.2, 2.3.3); und die eigene Sensibilisierungsschulung der Mitglieder geplant und dokumentiert (8.1.1, 8.1.2, 10.1.2(c)). [Ob Ihr Unternehmen wesentlich oder wichtig ist](\u002Farticles\u002Fessential-or-important-under-nis2-the-size-rule-the-size-blind-rules-and-the-seven-ways-to-be-essential), und ob die Durchführungsverordnung für es gilt, ist die [kostenlose Feststellung](\u002Fnis2\u002Fscope); [die Zuordnung der dreizehn Abschnitte der Verordnung zu ISO 27001](\u002Fnis2\u002Fiso-27001-mapping) hat den Rest des Anhangs.\n\n## Quellen\n\n- Richtlinie (EU) 2022\u002F2555 (NIS2), Artikel 20, Artikel 21(2), Artikel 32(4) bis (6), Artikel 33, Artikel 34(4) und (5), Erwägungsgrund 137.\n- Durchführungsverordnung (EU) 2024\u002F2690 der Kommission, Anhang, Nummern 1.1.1(k), 1.1.2, 1.2.1, 1.2.3, 1.2.6, 2.1.1, 2.2.1, 2.2.2, 2.3.3, 8.1.1, 8.1.2 und 10.1.2(c).\n- ISO\u002FIEC 27001:2022, Klauseln 5.2, 5.3, 6.1.2, 6.1.3, 7.2, 7.3, 9.1, 9.2 und 9.3, nach Nummer zitiert; die Zuordnung ist unsere.\n\nDies ist keine Rechtsberatung. Artikel 20 wird von jedem Mitgliedstaat umgesetzt, und die Haftungsregeln für eine konkrete Geschäftsleitung sind die nationalen; der Text, den es zu lesen gilt, ist der der Richtlinie und des Gesetzes Ihres Staates.\n",1789383966469]