§§ 30, 33, 38 BSIGGovernance & Leitungsverantwortung
Gibt es ein regelmäßiges Reporting zum IT-Sicherheitsstatus an die Geschäftsleitung?
Worum geht es bei dieser Anforderung?
Die Geschäftsleitung muss über den aktuellen Sicherheitsstatus informiert sein, um ihrer Überwachungspflicht (§ 38 Abs. 1 BSIG) nachzukommen. Ein regelmäßiges Reporting stellt sicher, dass Risiken und Lücken auf Leitungsebene bekannt sind.
Was Sie konkret prüfen sollten
- 1Gibt es quartalsweise oder monatliche Security-Reports?
- 2Enthalten sie KPIs (Vorfälle, offene Risiken, Patch-Status, Schulungsquote)?
Wo der Nachweis liegt
Typische Fundstelle für den Nachweis:
Management-Reports → IT-Sicherheitsbericht
Weiterführende QuelleAlle NIS2-Anforderungen auf einen Blick prüfen
Der kostenlose NIS2-Check führt Sie durch den kompletten Katalog und zeigt Reifegrad, Lücken und konkrete Maßnahmen - ohne Anmeldung.
Weitere Fragen aus Governance & Leitungsverantwortung
Gibt es eine klar benannte Person für IT-Sicherheit im Unternehmen?Ist die Geschäftsleitung über ihre Pflichten nach § 38 BSIG unterrichtet (Umsetzung und Überwachung der Risikomanagementmaßnahmen, Schulung, Haftung gegenüber der Einrichtung)?Existiert eine dokumentierte IT-Sicherheitsrichtlinie (Information Security Policy)?Ist das Unternehmen beim BSI als NIS2-betroffene Einrichtung registriert?Wird das IT-Sicherheitsbudget regelmäßig überprüft und ist es angemessen?Hat die Geschäftsleitung an einer Cybersicherheits-Schulung teilgenommen?