Cyber-Governance-Programm für das Leitungsorgan: Schritt-für-Schritt-Anleitung

Machen Sie die Pflichten des Leitungsorgans aus NIS2 Artikel 20, dem niederländischen Cbw und DORA Artikel 5 zur Routine: ein Jahreskalender, Indikatoren, ein Berichtspaket, Schulung des Leitungsorgans und Protokolle, die als Nachweise dienen.

Dieser Leitfaden richtet sich an Unternehmenssekretäre, CISOs, Risikoverantwortliche und Direktoren, die die Pflichten des Leitungsorgans aus NIS2 und DORA zur Routine machen müssen, die das Leitungsorgan dauerhaft aufrechterhalten kann. Am Ende verfügen Sie über eine Governance-Struktur, einen Jahreskalender der Entscheidungen, einen Satz von Indikatoren, eine Berichtsvorlage, einen Schulungsplan und eine Nachweisspur, die einer Aufsichtsbehörde zeigt, wie das Leitungsorgan seine Rolle wahrgenommen hat.

Bevor Sie beginnen

Sie benötigen einen Sponsor im Leitungsorgan (oft der Vorsitzende des Audit- oder Risikoausschusses), einen CISO oder Sicherheitsleiter, der das Material vorbereitet, und den Unternehmenssekretär, der den Kalender und die Protokolle verwaltet. Halten Sie das aktuelle Risikoregister, die neueste Lückenanalyse zu NIS2 Artikel 21 oder Ihren nationalen Maßnahmen und alle offenen Audit-Feststellungen bereit. Falls Sie sich noch nicht sicher sind, ob Sie im Geltungsbereich liegen, klären Sie das zuerst.

Schritt 1: Klären Sie die rechtlichen Pflichten und wer sie trägt

NIS2 Artikel 20 Absatz 1 verlangt von Leitungsorganen wesentlicher und wichtiger Einrichtungen, die Maßnahmen nach Artikel 21 zu genehmigen und ihre Umsetzung zu überwachen, und macht sie für Verstöße haftbar, unbeschadet der nationalen Haftungsregeln für öffentliche Stellen und Beamte. Artikel 20 Absatz 2 verlangt von Mitgliedern von Leitungsorganen, an Schulungen teilzunehmen, und ermutigt Einrichtungen, Mitarbeitern regelmäßig ähnliche Schulungen anzubieten^[1]. Für wesentliche Einrichtungen können Aufsichtsbehörden als letztes Mittel ein vorübergehendes Verbot für eine Person anstreben, Leitungsfunktionen auszuüben.

Nationales Recht prägt die Details. Der CCB erklärt, dass in Belgien das Leitungsorgan haftbar ist, wenn die Einrichtung ihre Risikomanagementpflichten verletzt, und dass verantwortliche Personen die Befugnis haben müssen, die Einhaltung sicherzustellen^[3]. In den Niederlanden fügt Cbw Artikel 24 eine nachweisbare Anforderung an Kenntnisse mit einem Zertifikat hinzu (siehe Schritt 7). Für Finanzunternehmen verpflichtet DORA Artikel 5 Absatz 2 das Leitungsorgan dazu, das gesamte IKT-Risikomanagement-Rahmenwerk zu definieren, zu genehmigen und zu überwachen sowie die Endverantwortung für das IKT-Risiko zu tragen.^[2].

• Ermitteln Sie, welches Organ das „Leitungsorgan" in Ihrem Governance-Modell ist: der Vorstand, der Verwaltungsrat oder beide in einer Einstufenstruktur.
• Führen Sie die Pflichten pro anwendbarem Gesetz auf, und notieren Sie, wo sie sich unterscheiden.
• Informieren Sie das Leitungsorgan in klaren Worten über persönliche Haftung, mit Rechtsberater anwesend.

Schritt 2: Legen Sie die Governance-Struktur fest

Entscheiden Sie, wo Cybersicherheit besprochen und entschieden wird. Die meisten Organisationen behalten die formale Genehmigung beim Gesamtleitungsorgan und delegieren die detaillierte Überprüfung an einen Ausschuss (Audit, Risiko oder einen dedizierten Technologie-Ausschuss). Was immer Sie wählen, schreiben Sie es auf.

• Aktualisieren Sie die Geschäftsordnung des Ausschusses, um Cybersicherheit und, falls relevant, IKT-Drittanbieter-Risiko einzubeziehen.
• Geben Sie dem CISO eine direkte Verbindung zum Vorstand oder Ausschuss, mindestens für den Quartalsbericht und für Eskalationen.
• Definieren Sie Eskalationsauslöser zwischen den Sitzungen: ein erheblicher Sicherheitsvorfall, eine Überschreitung der Risikotoleranz, eine Anfrage der Aufsichtsbehörde.
• DORA-Unternehmen: Weisen Sie die Rolle zu, die IKT-Vereinbarungen mit Dritten überwacht, oder einen leitenden Manager, der für dieses Risiko verantwortlich ist, wie Artikel 5 Absatz 3 für Nicht-Kleinstunternehmen verlangt.

Schritt 3: Genehmigen Sie die Maßnahmen und die Risikobereitschaft

Die Genehmigung ist der erste sichtbare Akt der Aufsicht. Präsentieren Sie dem Leitungsorgan die Risikomanagement-Maßnahmen (oder die Lückenanalyse und den Behebungsplan), die Risiko-Methodik, die Akzeptanzkriterien und die Restrisiken, die akzeptiert werden müssen. Nach DORA legt das Leitungsorgan auch die Strategie für digitale operationale Resilienz mit der IKT-Risikotoleranz fest und genehmigt die IKT-Geschäftsfortführungsrichtlinie, die Reaktions- und Wiederherstellungspläne, die IKT-Pläne für interne Audits und die Richtlinie zu IKT-Dienstleistungen von Dritten.^[2].

• Fordern Sie eine Entscheidung an, keine Kenntnisnahme: „genehmigen Sie die Maßnahmen und den Behebungsplan", „akzeptieren Sie diese Restrisiken".
• Drücken Sie die Risikobereitschaft in messbaren Begriffen aus (zum Beispiel maximale zulässige Ausfallzeit für kritische Dienste).
• Genehmigen Sie das Budget für den Plan, da DORA Artikel 5 Absatz 2 Buchstabe g ausdrücklich ein zugewiesenes und überprüftes Budget erwartet.

Schritt 4: Erstellen Sie den jährlichen Cyber-Kalender des Vorstands

Ein Kalender verwandelt Verpflichtungen in eine Routine. Ein typischer Zyklus sieht wie folgt aus:

Quartal	Vorstands- oder Ausschussthema	Entscheidung oder Ergebnis
Q1	Jährliche Risikobewertung und Risikobereitschaft; Schulungsplan für das Jahr	Genehmigen Sie die Risikobereitschaft und Restrisiken; genehmigen Sie den Schulungsplan
Q2	Reaktion auf Vorfälle und Geschäftsfortführung: Übungsergebnisse; Lieferanten-Risikobewertung	Notieren Sie gewonnene Erkenntnisse; genehmigen Sie Planänderungen
Q3	Interne Audits und Feststellungen der Aufsichtsbehörden; Richtlinienüberprüfungen	Genehmigen Sie Behebung und Richtlinienaktualisierungen
Q4	Überprüfung der Programmeffektivität; Budget und Plan für das nächste Jahr	Genehmigen Sie das Budget und den Jahresplan
Jedes Quartal	Standard-KPI-/KRI-Dashboard, erhebliche Vorfälle, regulatorische Änderungen	Notieren, hinterfragen, eskalieren

Schritt 5: Wählen Sie einen kurzen Satz von KPIs und KRIs

Vorstände benötigen einige Indikatoren, die die Richtung zeigen, nicht eine Wand von technischen Metriken. Verwenden Sie Key Performance Indicators (KPIs) dafür, ob das Programm liefert, und Key Risk Indicators (KRIs) dafür, ob die Exposition außerhalb der Risikobereitschaft liegt. Legen Sie für jeden ein Ziel und eine Toleranz fest, und halten Sie die Definitionen stabil, damit Trends aussagekräftig sind.

• KPIs: Behebungsplan-Positionen pünktlich abgeschlossen; Anteil der Mitarbeiter, die erforderliche Schulungen abgeschlossen haben; Anteil der kritischen Lieferanten, die in den letzten 12 Monaten bewertet wurden; bestandene Backup-Wiederherstellungstests.
• KRIs: kritische Sicherheitslücken auf internetgestützten Systemen, die älter als das Patch-Ziel sind; privilegierte Konten ohne MFA; erhebliche Vorfälle im Zeitraum; kritische Dienste über der zulässigen Ausfallzeit in Tests; überfällige Audit-Feststellungen mit hohem Risiko.
• Begrenzen Sie die Vorstandsansicht auf 8 bis 12 Indikatoren mit rot, gelb und grün gegen die vom Vorstand festgelegten Toleranzen.

Schritt 6: Gestalten Sie das Berichterstattungspaket

Ein konsistentes Paket macht die Aufsicht über Quartale vergleichbar. Halten Sie es auf wenigen Seiten und stellen Sie Entscheidungen an den Anfang.

• Seite 1: angeforderte Entscheidungen und die Gesamtbewertung des CISO in drei Sätzen.
• Seite 2: KPI-/KRI-Dashboard mit Trend und Kommentar zu roten Positionen.
• Seite 3: Top-Risiken, Änderungen seit dem letzten Quartal und Risiken, die auf Akzeptanz warten.
• Seite 4: erhebliche Vorfälle und Beinahe-Unfälle, Meldestatus an das CSIRT oder die Aufsichtsbehörde und gewonnene Erkenntnisse.
• Anlage: Status des Behebungsplans, Lieferantenprobleme, regulatorische und Audit-Updates.

Die begleitende Vorlage enthält einen Berichterstattungspaket-Überblick, den jährlichen Kalender und ein Schulungsprotokoll, das Sie anpassen können.

Schritt 7: Schulen Sie den Vorstand und führen Sie das Schulungsprotokoll

Schulung ist eine persönliche Pflicht jedes Mitglieds. Das NIS2-Ziel ist, dass Mitglieder Risiken erkennen und Risikomanagement-Praktiken und deren Auswirkung auf die Dienste des Unternehmens bewerten können. In den Niederlanden legen die Cbb-Artikel 20 und 21 den Inhalt fest (Risikoidentifikation und die Risikomanagement-Maßnahmen des Gesetzes), und Artikel 22 verlangt ein Zertifikat mit dem Namen des Vorstandsmitglieds, Datum oder Daten, Themen und Anbieter, auf Niederländisch oder Englisch^[4]. Amtierende Vorstandsmitglieder müssen die Anforderung bis 15. August 2028 erfüllen, und neue Mitglieder innerhalb von zwei Jahren nach ihrer Ernennung^[5]. DORA Artikel 5 Absatz 4 erwartet, dass Mitglieder ihre Kenntnisse auf dem neuesten Stand halten, auch durch regelmäßige, spezifische Schulungen, die dem ICT-Risiko angemessen sind.

• Planen Sie eine Einführung für neue Mitglieder und eine jährliche Auffrischung für alle, zugeschnitten auf Ihren Sektor und aktuelle Vorfälle.
• Fügen Sie eine Tischübung hinzu, in der Vorstandsmitglieder ihre Krisenfunktionen spielen.
• Führen Sie ein Schulungsprotokoll pro Mitglied mit Daten, Themen, Anbieter und Zertifikat.

Schritt 8: Dokumentieren Sie Entscheidungen als Nachweise

Protokolle sind die wichtigste Dokumentation, die eine Aufsichtsbehörde sieht, um nachzuvollziehen, wie das Leitungsorgan seine Rolle wahrgenommen hat. Sie müssen nicht lang sein, sollten aber zeigen, was vorgestellt wurde, welche Fragen gestellt wurden, welche Entscheidungen getroffen wurden und welche Folgemaßnahmen vereinbart wurden.

• Dokumentieren Sie die Entscheidungsformulierung genau, einschließlich aller Bedingungen.
• Dokumentieren Sie wesentliche Fragen und Einwände kurz.
• Führen Sie ein Maßnahmenbuch mit Verantwortlichen und Terminen und überprüfen Sie es bei der nächsten Sitzung.

Schritt 9: Überprüfen Sie das Programm jährlich

Bewerten Sie einmal pro Jahr, ob die Überwachung funktioniert: Wurden Entscheidungen rechtzeitig getroffen, haben Indikatoren zu Maßnahmen geführt, wurden alle Mitglieder geschult, erreichten Eskalationen das Leitungsorgan? Bitten Sie die interne Revision oder eine externe Stelle, das Programm alle paar Jahre zu überprüfen. In Secrato können Genehmigungen des Leitungsorgans, Schulungsunterlagen und Indikatorwerte neben den Kontrollen stehen, auf die sie sich beziehen, sodass dieselben Nachweise für NIS2, das nationale Recht und DORA dienen.

Wie dies mit anderen Rahmenwerken verbunden ist

NIS2 Artikel 20 und DORA Artikel 5 überschneiden sich stark: ein Kalender und ein Paket können beiden dienen, wobei DORA Genehmigungen für die Resilienzstrategie, Kontinuität, Prüfpläne und Drittanbieter-Richtlinie hinzufügt. ISO/IEC 27001 Klausel 5 (Führung) und Klausel 9.3 (Managementbewertung) entsprechen natürlicherweise den Schritten 3, 4 und 9. In CyFun werden Governance-Kontrollen zu Rollen, Richtlinien und Risikomanagement durch dieselben Leitungsorgan-Entscheidungen gespeist.

Häufig gestellte Fragen

Müssen alle Mitglieder des Leitungsorgans geschult werden oder nur eines?

Artikel 20(2) bezieht sich auf Mitglieder des Leitungsorgans, also auf jedes Mitglied. Das niederländische Cbw macht dies explizit mit einem Zertifikat pro Mitglied.

Kann das Leitungsorgan die Überwachung an den CISO delegieren?

Das Leitungsorgan kann Vorbereitung und operative Umsetzung delegieren, aber Genehmigung und Überwachung bleiben Aufgaben des Leitungsorgans. Die Delegation sollte dokumentiert werden, und das Leitungsorgan sollte regelmäßige Berichte erhalten.

Wie oft sollte das Leitungsorgan Cybersicherheit besprechen?

Die Gesetze legen keine Häufigkeit fest. Ein vierteljährlicher Standardbericht plus ein jährlicher vertiefter Überblick ist ein übliches, vertretbares Muster, mit Eskalation zwischen den Sitzungen bei erheblichen Vorfällen.

Wir sind eine DORA-Entität. Ist NIS2 Artikel 20 noch relevant?

DORA ist das branchenspezifische Gesetz für IKT-Risikomanagement im Finanzsektor, daher gilt Artikel 5. Konzerneinheiten außerhalb des Geltungsbereichs von DORA können dennoch unter NIS2 fallen.