Pflichten der Geschäftsleitung nach NIS2 nachweisen: Beschluss, Bericht und Schulung

Das Dokument

Was Nachweise der Geschäftsleitung (§ 38 BSIG) regelt

Die Nachweisvorlage Umsetzung und Überwachung (NIS-NW-22) ordnet den beiden Pflichten aus § 38 Abs. 1 BSIG je einen Nachweis zu. Anhang A ist ein Beschluss, mit dem die Geschäftsleitung die Dokumente der zehn Maßnahmenbereiche mit Version und Datum in Kraft setzt, Rollen benennt, Mittel bereitstellt, offene Maßnahmen terminiert und den Berichtsrhythmus festlegt. Anhang B ist der wiederkehrende Bericht an die Geschäftsleitung mit acht festen Abschnitten, von B.1 Stand der zehn Maßnahmenbereiche bis B.8 Stand der Entscheidungen aus dem letzten Bericht.

Der Schulungsnachweis Geschäftsleitung (NIS-NW-23) belegt die Schulungspflicht nach § 38 Abs. 3 BSIG. Er legt sieben Inhalte fest, die über einen festgelegten Zeitraum alle behandelt werden, dazu Rhythmus, Formate und Teilnehmerkreis. Anhang A ist die Teilnehmerliste je Schulung mit Unterschrift und Bestätigung der Referentin oder des Referenten, Anhang B eine Mehrjahresübersicht je Mitglied der Geschäftsleitung, die Lücken sichtbar macht.

Beide Vorlagen sagen ausdrücklich, was sie nicht leisten. Haftungsfragen, insbesondere die Haftungsregel des § 38 Abs. 2 BSIG, sind nicht Gegenstand der Nachweisvorlage und rechtlich zu klären. Welche Schulungsdauer und welcher Rhythmus als regelmäßig und ausreichend gelten, legt das Gesetz nicht in Zahlen fest; die Werte in eckigen Klammern sind Vorschläge, die Ihre Geschäftsleitung festlegt.

Einsatz

Wofür Sie Nachweise der Geschäftsleitung brauchen

§ 38 BSIG richtet die Pflichten an die Geschäftsleitung selbst: die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Die Vorlagen schaffen dafür über die Zeit die nötigen Unterlagen: einen Beschluss, Berichte mit dokumentierter Entscheidung und Teilnehmerlisten. Zusammen zeigen sie, dass die Geschäftsleitung die Umsetzung nicht nur angeordnet, sondern auch verfolgt hat.

Der Bericht nach Anhang B bündelt, was die übrigen Dokumente liefern: Kennzahlen und Prüfergebnisse aus der Wirksamkeitsprüfung NIS-VF-13, offene hohe Risiken aus dem Risikoregister, Sicherheitsvorfälle und Meldungen nach § 32 BSIG mit Fristeinhaltung, den Schulungsstand und den Stand der Registrierung nach § 33 BSIG. So hat die Geschäftsleitung alle drei Pflichten an einer Stelle im Blick.

Auf Verlangen einer zuständigen Behörde oder eines Prüfers werden die Nachweise nach Freigabe durch die Geschäftsleitung vorgelegt; vorher werden Betriebsgeheimnisse und personenbezogene Daten geprüft. Beschlüsse und Berichte werden mit Datum, Version und Unterschriften aufbewahrt, damit sich für jeden Zeitpunkt zeigen lässt, welche Maßnahmen in Kraft waren.

Wie die Dokumente zusammenspielen

Die beiden Dokumente teilen sich die Pflichten: NIS-NW-22 belegt Umsetzung und Überwachung nach § 38 Abs. 1 BSIG mit dem Beschluss in Anhang A und dem Bericht in Anhang B, NIS-NW-23 belegt die Schulung nach § 38 Abs. 3 BSIG mit der Teilnehmerliste in Anhang A und der Mehrjahresübersicht in Anhang B. Verbunden sind sie über den Bericht: Abschnitt B.5 der Nachweisvorlage führt den Schulungsstand der Geschäftsleitung auf, damit alle drei Pflichten an einer Stelle stehen. Die Nachweisvorlage umfasst zwölf Seiten, der Schulungsnachweis acht.