§§ 30, 33, 38 BSIGGovernance & Leitungsverantwortung
Gibt es eine klar benannte Person für IT-Sicherheit im Unternehmen?
Worum geht es bei dieser Anforderung?
Das BSIG schreibt keinen Informationssicherheitsbeauftragten vor. Damit die Maßnahmen nach § 30 BSIG gesteuert und überwacht werden können, ist eine klar benannte Rolle mit Befugnissen und direktem Zugang zur Geschäftsleitung aber gute Praxis.
Was Sie konkret prüfen sollten
- 1Gibt es eine formale Benennung (Stellenbeschreibung, Organigramm)?
- 2Ist die Rolle allen Mitarbeitern bekannt?
- 3Hat die Person direkten Zugang zur Geschäftsleitung?
- 4Gibt es eine Vertretungsregelung?
Wo der Nachweis liegt
Typische Fundstelle für den Nachweis:
Organigramm → IT-Sicherheitsbeauftragter / CISO / ISB
Weiterführende QuelleAlle NIS2-Anforderungen auf einen Blick prüfen
Der kostenlose NIS2-Check führt Sie durch den kompletten Katalog und zeigt Reifegrad, Lücken und konkrete Maßnahmen - ohne Anmeldung.
Weitere Fragen aus Governance & Leitungsverantwortung
Ist die Geschäftsleitung über ihre Pflichten nach § 38 BSIG unterrichtet (Umsetzung und Überwachung der Risikomanagementmaßnahmen, Schulung, Haftung gegenüber der Einrichtung)?Existiert eine dokumentierte IT-Sicherheitsrichtlinie (Information Security Policy)?Ist das Unternehmen beim BSI als NIS2-betroffene Einrichtung registriert?Wird das IT-Sicherheitsbudget regelmäßig überprüft und ist es angemessen?Gibt es ein regelmäßiges Reporting zum IT-Sicherheitsstatus an die Geschäftsleitung?Hat die Geschäftsleitung an einer Cybersicherheits-Schulung teilgenommen?