NIS2-Zuständigkeit: Wer ist intern verantwortlich, IT, QM oder Geschäftsführung?

Das Wichtigste in Kürze

• Die NIS2-Zuständigkeit liegt rechtlich bei der Geschäftsleitung: § 38 Abs. 1 BSIG verpflichtet sie, die zehn Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen.
• Das BSIG schreibt keine bestimmte Rolle wie CISO oder Informationssicherheitsbeauftragten vor. Die operative Arbeit kann die Geschäftsleitung verteilen, die Überwachung und die regelmäßige Schulungspflicht nach § 38 Abs. 3 BSIG bleiben bei ihr.
• In der NIS2 Readiness Study 2026 von Kertos (51 Unternehmen aus NIS2-Sektoren, 50 bis 1.000 Mitarbeitende) nennen 63 % die IT-Leitung als zuständig. In 41 % ist sie die einzige genannte Rolle, die Geschäftsführung nennen nur 22 %.
• 84 % der befragten Unternehmen haben weder einen eigenen noch einen externen CISO. 73 % nennen genau eine zuständige Rolle für NIS2 und Informationssicherheit.
• Ein tragfähiges Modell verteilt NIS2 auf mindestens drei Ebenen: Geschäftsführung (Verantwortung und Überwachung), eine steuernde Rolle wie ISB oder CISO (Koordination) und IT, Einkauf und Fachbereiche (Umsetzung).

Wer im Mittelstand fragt, wer intern für NIS2 zuständig ist, bekommt meist drei Antworten: die IT, weil es um Systeme geht, das Qualitätsmanagement, weil es schon ein Managementsystem nach ISO 9001 führt, oder die Geschäftsführung, weil das Gesetz sie nennt. Die NIS2-Zuständigkeit lässt sich aber nicht mit einem einzigen Namen im Organigramm klären. Das Gesetz legt fest, wer verantwortlich ist. Wer die Arbeit macht, entscheidet das Unternehmen selbst.

Dieser Beitrag zeigt, was das BSIG zur Verantwortung sagt, wie 51 Unternehmen aus NIS2-Sektoren die Aufgabe heute verteilen und welche Rolle IT, QM und Geschäftsführung sinnvoll übernehmen. Welche Pflichten NIS2 insgesamt auslöst, von der Registrierung bis zu den Meldefristen, fasst unser Leitfaden zur NIS2-Richtlinie zusammen.

Was § 38 BSIG zur NIS2-Zuständigkeit sagt

Die Antwort des Gesetzes ist eindeutig: Verantwortlich ist die Geschäftsleitung. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz, das das BSI-Gesetz (BSIG) neu fasst. Nach § 38 Abs. 1 BSIG sind die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen.

Drei Pflichten stehen damit bei der Leitungsebene selbst:

1. Umsetzen: Die zehn Maßnahmenbereiche aus § 30 Abs. 2 BSIG müssen im Unternehmen ankommen, von der Risikoanalyse über die Lieferkettensicherheit bis zur Multi-Faktor-Authentifizierung.
2. Überwachen: Die Geschäftsleitung muss sich regelmäßig berichten lassen und prüfen, ob die Maßnahmen wirken.
3. Sich schulen lassen: § 38 Abs. 3 BSIG verlangt, dass Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können.

Verletzt die Geschäftsleitung diese Pflichten, haftet sie nach § 38 Abs. 2 BSIG ihrer Einrichtung gegenüber nach den Regeln des Gesellschaftsrechts, bei einer GmbH also nach dem GmbHG. Den vollständigen Wortlaut finden Sie im Gesetzestext von § 38 BSIG.

Was das Gesetz nicht tut: Es nennt keine Stelle, die die Arbeit erledigen muss. Einen Pflicht-CISO oder einen Pflicht-Informationssicherheitsbeauftragten kennt das BSIG nicht. Anders ist das für Unternehmen, die nach BSI IT-Grundschutz arbeiten. Dort verlangt der Baustein ISMS.1.A4, dass die Institutionsleitung einen Informationssicherheitsbeauftragten (ISB) benennt, ihn angemessen ausstattet und ihm die Möglichkeit gibt, direkt an sie zu berichten.

Die persönlichen Pflichten der Leitungsebene im Detail, von der Schulung bis zur Dokumentation, haben wir in unserer NIS2-Checkliste für Geschäftsführer zusammengestellt.

Wie der Mittelstand NIS2 heute verteilt: Zahlen aus der NIS2 Readiness Study 2026

Im Mittelstand liegt NIS2 in der Praxis fast immer bei der IT-Leitung, und meist bei ihr allein. Für die NIS2 Readiness Study 2026 hat Kertos zwischen August und September 2026 51 Unternehmen in Deutschland befragt, alle aus Sektoren, die die Richtlinie erfasst, und alle mit 50 bis 1.000 Mitarbeitenden. Auf die Frage, wer für NIS2 und Informationssicherheit verantwortlich ist, waren Mehrfachnennungen möglich.

Drei Muster fallen auf. Erstens: 37 der 51 Unternehmen (73 %) nennen genau eine zuständige Rolle. NIS2 hängt also meist an einer Person. Zweitens: IT-Leitung und Geschäftsführung werden nur in 4 Unternehmen gemeinsam genannt, obwohl das Gesetz genau diese Verbindung aus Umsetzung und Überwachung vorsieht. Drittens: 43 von 51 Unternehmen (84 %) haben weder einen eigenen noch einen externen CISO.

Bemerkenswert ist auch, was die Zahlen nicht zeigen. Die IT-Leitung wird bei Nachzüglern ähnlich oft genannt wie bei Unternehmen, die schon registriert sind oder Maßnahmen umsetzen (15 von 25 gegenüber 16 von 24). Die Zuständigkeit allein erklärt den Fortschritt also nicht. Entscheidend ist, ob die zuständige Person Zeit, Mandat und Rückendeckung hat. Qualitätsmanagement war in der Befragung übrigens keine eigene Antwortoption; am nächsten kommen die Compliance- und Risikobeauftragten mit 14 %. Wie die Fachpresse die Studie aufgegriffen hat, zeigt unser Beitrag zur NIS2-Umsetzung in Deutschland.

IT, QM oder Geschäftsführung: Was jede Rolle leisten kann

Keine der drei Rollen kann NIS2 allein tragen, aber jede bringt etwas mit, das die anderen nicht haben. Die Frage ist deshalb nicht, wer zuständig ist, sondern wer welchen Teil übernimmt.

IT-Leitung: kennt die Systeme, sollte sich aber nicht selbst prüfen

Ein verbreiteter Irrtum lautet, NIS2 sei ein IT-Projekt. Richtig ist, dass ein großer Teil der zehn Maßnahmenbereiche technisch umgesetzt wird: Backups, Zugriffskontrolle, Schwachstellenmanagement, Verschlüsselung und Multi-Faktor-Authentifizierung. Ohne die IT-Leitung geht hier nichts.

Mindestens drei Bereiche liegen aber außerhalb der IT: die Lieferkettensicherheit (§ 30 Abs. 2 Nr. 4 BSIG) betrifft Einkauf und Verträge, die Personalsicherheit betrifft HR und die Schulung betrifft alle Beschäftigten. Dazu kommt ein struktureller Punkt. ISO 27001:2022 verlangt in Anhang A 5.3 die Trennung von Aufgaben mit widersprüchlichen Zuständigkeiten. Wer die Firewall konfiguriert, sollte nicht derjenige sein, der ihre Wirksamkeit bewertet und der Geschäftsführung meldet, dass alles in Ordnung ist. Warum die Gleichung "NIS2 gleich IT" in die Irre führt, haben wir auch in unserem Beitrag zu den häufigsten NIS2-Irrtümern aufgeschlüsselt.

Was, wenn der ISB gleichzeitig Systemadministrator ist?

In kleinen IT-Teams ist das eher die Regel als die Ausnahme: Der einzige Administrator wird auch zum ISB benannt, weil sonst niemand die Systeme kennt. Ausdrücklich verboten ist das weder im BSIG noch in ISO 27001. Es schafft aber genau den Interessenkonflikt, den Anhang A 5.3 auflösen soll. Der ISB bewertet dann Risiken und Kontrollen, die er als Administrator selbst eingerichtet hat, und genehmigt sich seine eigenen Berechtigungen. Auch beim internen Audit wird es eng, denn Kapitel 9.2 der ISO 27001 verlangt, Auditoren so auszuwählen, dass Objektivität und Unparteilichkeit gewahrt bleiben.

Lässt sich die Doppelrolle nicht vermeiden, helfen drei Ausgleichsmaßnahmen. Änderungen an privilegierten Konten gibt eine zweite Person frei. Das interne Audit der IT übernimmt jemand anderes, intern aus dem QM oder extern. Und der ISB berichtet direkt an die Geschäftsführung, nicht über die IT-Leitung. Auf Dauer ist die Doppelrolle ein guter Grund, die steuernde Rolle um externe Expertise zu ergänzen.

Qualitätsmanagement: kann Managementsystem, aber nicht automatisch Informationssicherheit

Viele Mittelständler im Maschinenbau oder in der Zulieferindustrie führen seit Jahren ein Qualitätsmanagement nach ISO 9001. Die Idee, NIS2 dem Qualitätsmanagementbeauftragten zu geben, liegt nahe. ISO 9001 und ISO 27001 teilen dieselbe Harmonisierte Struktur mit den Kapiteln 4 bis 10: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung. Wer Managementbewertungen, interne Audits und Korrekturmaßnahmen beherrscht, bringt für ein Informationssicherheits-Managementsystem (ISMS) genau die Methodik mit, die der IT oft fehlt.

Der Haken liegt im Inhalt. Ein QM bewertet Risiken für Produktqualität und Kundenzufriedenheit, ein ISMS Risiken für Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Die 93 Controls aus Anhang A der ISO 27001 und die zehn Maßnahmenbereiche aus § 30 BSIG verlangen technisches Verständnis, das ein QM-Team selten mitbringt. Ein QMB kann das ISMS deshalb gut steuern, wenn er die fachliche Tiefe von IT oder externen Experten bekommt. Wo sich ISO 27001 und NIS2 decken und wo nicht, zeigt unser Beitrag NIS2 und ISO 27001: Wo sie sich überschneiden.

Geschäftsführung: trägt die Verantwortung, nicht die Detailarbeit

Die Geschäftsführung kann NIS2 nicht abgeben, sie muss es aber auch nicht selbst umsetzen. Nach dem Wortlaut von § 38 BSIG bleiben Überwachung und Schulung bei ihr. Praktisch heißt das: Sie benennt die steuernde Rolle, gibt ihr Budget und Befugnisse, lässt sich in festen Abständen berichten und entscheidet über die Risiken, die das Unternehmen bewusst trägt.

Viele Geschäftsführer unterschätzen dabei den Aufwand der Überwachung. Ein Quartalstermin, in dem die IT-Leitung "alles im grünen Bereich" meldet, ist keine Überwachung. Die Geschäftsführung braucht einen Bericht mit Kennzahlen: offene Risiken, Stand der Maßnahmen, Vorfälle, Ergebnisse von Lieferantenbewertungen und Schulungsquoten.

Und der Datenschutzbeauftragte?

In der Studie nennen 20 % den Datenschutzbeauftragten als zuständig für NIS2, 4 Unternehmen sogar als einzige Rolle. Das ist der zweite verbreitete Irrtum: Datenschutz und Informationssicherheit überschneiden sich, sind aber nicht dasselbe. Die DSGVO schützt personenbezogene Daten, NIS2 die Netz- und Informationssysteme, mit denen ein Unternehmen seine Dienste erbringt, auch wenn darin keine personenbezogenen Daten liegen. Art. 38 Abs. 6 DSGVO erlaubt dem Datenschutzbeauftragten zwar andere Aufgaben, verlangt aber, dass daraus kein Interessenkonflikt entsteht. Wer als Datenschutzbeauftragter die Sicherheitsmaßnahmen kontrolliert, die er als ISB selbst verantwortet, gerät schnell in genau diesen Konflikt.

Ein Rollenmodell für NIS2, das im Mittelstand funktioniert

Bewährt hat sich ein Modell mit drei Ebenen: Die Geschäftsführung verantwortet und überwacht, eine steuernde Rolle koordiniert und die Fachbereiche setzen um. Die steuernde Rolle heißt je nach Unternehmen CISO, ISB oder Informationssicherheitskoordinator; entscheidend ist, dass sie direkt an die Geschäftsführung berichtet und nicht über die IT-Leitung.

Die folgende Verteilung ist ein Vorschlag, den Sie an Ihr Unternehmen anpassen. V steht für verantwortlich im Sinne der Rechenschaft, D für Durchführung, M für Mitwirkung und I für Information.

Besonders wichtig ist die Zeile zu den Meldepflichten. Nach § 32 BSIG muss die Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls bei der gemeinsamen Meldestelle von BSI und BBK eingehen, eine Bewertung folgt nach 72 Stunden. Wer am Wochenende entscheidet, ob ein Vorfall erheblich ist, und wer die Meldung abschickt, muss vorher feststehen, inklusive Vertretung. Wie Sie Notfall- und Meldeprozesse aufbauen, beschreibt unser Leitfaden zur NIS2-Notfallplanung.

Den Gedanken hat Kilian Schmidt auch in einem Gastbeitrag bei Security-Insider ausgeführt.

Wie das konkret aussehen kann, zeigt ein Beispiel. Ein Maschinenbauer mit 180 Mitarbeitenden fällt als wichtige Einrichtung unter das BSIG. Die IT besteht aus zwei Personen, das Qualitätsmanagement nach ISO 9001 führt eine erfahrene QMB. Die Geschäftsführung benennt die QMB als ISB mit 30 % ihrer Arbeitszeit, weil sie Audits und Managementbewertungen bereits beherrscht. Die IT-Leitung setzt die technischen Maßnahmen um und berichtet an die ISB. Der Einkauf übernimmt die Lieferantenbewertung anhand eines festen Fragenkatalogs. Für die fachliche Tiefe in Informationssicherheit holt sich das Unternehmen einen externen Experten dazu. Die Geschäftsführung bekommt jedes Quartal einen Bericht und nimmt einmal im Jahr selbst an einer Schulung teil. So hängt NIS2 nicht mehr an einer Person, und die IT prüft sich nicht selbst.

Wie Kertos die NIS2-Zuständigkeit abbildet

Ein Rollenmodell auf Papier hilft nur, wenn im Alltag sichtbar ist, wer was erledigt hat. Die Kertos Plattform bildet die NIS2-Anforderungen als Maßnahmen ab, ordnet jede Maßnahme einer verantwortlichen Person zu und sammelt die Nachweise dort, wo sie entstehen. Die Geschäftsführung sieht den Umsetzungsstand, ohne auf Statusmeldungen per E-Mail angewiesen zu sein. Wer bereits nach ISO 27001 arbeitet, nutzt vorhandene Controls für NIS2 mit, statt sie doppelt zu pflegen.

Für Unternehmen, die keine eigene steuernde Rolle besetzen können, übernimmt in den Paketen Pro und Premium ein Kertos-Experte die Rolle des externen CISO. Die Verantwortung nach § 38 BSIG bleibt bei der Geschäftsleitung; sie bekommt aber eine Struktur, mit der sie die Umsetzung überwachen kann.

Kertos-Kunden schätzen besonders, dass Aufgaben klar verteilt sind. Ein Kunde schreibt auf G2:

Wenn Sie sehen möchten, wie sich Zuständigkeiten für NIS2 in Ihrem Unternehmen abbilden lassen, zeigen wir Ihnen das in einer Demo.

Häufig gestellte Fragen

Wer ist im Unternehmen für NIS2 verantwortlich?

Rechtlich die Geschäftsleitung. § 38 Abs. 1 BSIG verpflichtet sie, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. In der Praxis liegt die operative Arbeit im Mittelstand meist bei der IT-Leitung, die in der NIS2 Readiness Study 2026 von 63 % der Unternehmen als zuständig genannt wird.

Kann die Geschäftsführung NIS2 an die IT delegieren?

Die operative Umsetzung kann die Geschäftsführung an IT, einen ISB oder externe Experten übertragen. Die Überwachung der Umsetzung und die regelmäßige Teilnahme an Schulungen nach § 38 Abs. 3 BSIG bleiben bei ihr. Verletzt sie diese Pflichten, haftet sie ihrem Unternehmen gegenüber nach den Regeln des Gesellschaftsrechts.

Braucht man für NIS2 einen Informationssicherheitsbeauftragten?

Das BSIG schreibt keinen ISB und keinen CISO vor. Ohne eine Rolle, die die zehn Maßnahmenbereiche koordiniert und direkt an die Geschäftsführung berichtet, ist die Überwachungspflicht aber kaum zu erfüllen. Wer nach BSI IT-Grundschutz arbeitet, muss nach Baustein ISMS.1.A4 einen ISB benennen.

Kann der Datenschutzbeauftragte auch für NIS2 zuständig sein?

Grundsätzlich ja, Art. 38 Abs. 6 DSGVO erlaubt dem Datenschutzbeauftragten weitere Aufgaben, solange kein Interessenkonflikt entsteht. NIS2 reicht aber über personenbezogene Daten hinaus und umfasst alle Netz- und Informationssysteme. In der Studie nennen 20 % der Unternehmen den Datenschutzbeauftragten als zuständig für NIS2.

Kann der Qualitätsmanagementbeauftragte das ISMS für NIS2 übernehmen?

Ja, wenn er fachliche Unterstützung in Informationssicherheit bekommt. ISO 9001 und ISO 27001 teilen dieselbe Harmonisierte Struktur mit den Kapiteln 4 bis 10, die Methodik aus Audits und Managementbewertungen lässt sich übertragen. Die technischen Inhalte der 93 Controls aus Anhang A der ISO 27001 brauchen aber IT-Wissen oder externe Experten.