Was genau haben Sie gebilligt?

In der NIS2-Debatte geht es meist um Fristen und um Technik. Der Absatz, der am Ende die Aufmerksamkeit der Geschäftsleitung bekommt, ist ein anderer.

§ 38 BSIG nimmt sie persönlich in die Pflicht, in drei Absätzen: Absatz 1 verlangt die Billigung der Risikomanagementmaßnahmen und die Überwachung ihrer Umsetzung. Absatz 2 stellt die Haftung nach dem jeweiligen Gesellschaftsrecht klar. Absatz 3 verlangt die regelmäßige Teilnahme an Schulungen.

Der Beschluss, der die Frage nicht beantwortet

Absatz 1 wird in der Praxis meist so erledigt: In einer Sitzung wird die Maßnahmenliste gebilligt, das Protokoll nennt Datum, Gegenstand und Beschluss, die Akte ist zu.

Zwei Jahre später fragt eine Prüfung: Was genau haben Sie damals gebilligt?

Die Maßnahmenliste ist seither zweimal fortgeschrieben worden. Maßnahmen sind hinzugekommen, andere sind geschlossen, einige umformuliert. Der Beschluss verweist auf eine Liste, die es in dieser Form nicht mehr gibt. Er belegt damit, dass gebilligt wurde, aber nicht was.

Das ist kein Formfehler. Es ist die Stelle, an der die persönliche Verantwortung nach Absatz 2 ins Leere greift, weil ihr Gegenstand nicht mehr feststellbar ist.

Also wird der Stand eingefroren

Eine Billigung braucht deshalb neben Stichtag, Gegenstand, Beschluss und Protokoll noch etwas: einen Schnappschuss des Umsetzungsstands zu diesem Zeitpunkt. Nicht einen Verweis auf die lebende Liste, sondern deren Zustand am Tag der Billigung, festgeschrieben.

Wer die Akte später bearbeitet, ändert den Schnappschuss nicht mehr. Das ist der ganze Punkt: Ein Nachweis, den man nachträglich anpassen kann, ist keiner.

Dasselbe Prinzip trägt an anderer Stelle schon: Was bei einer Registrierung eingereicht wurde, bleibt als eigene Version stehen. Eine Konformitätserklärung friert den Stand ein, auf den sie sich bezieht. Eine Billigung ist derselbe Fall.

Wer gehört überhaupt zum Leitungsorgan?

Eine Frage, die technisch klingt und juristisch ist: Die Zugehörigkeit zum Leitungsorgan hängt an der Einrichtung, nicht an der Person.

Ein Konzern kann mehrere registrierungspflichtige Einrichtungen führen, und jemand kann bei der einen im Leitungsorgan sitzen und bei der anderen nicht. Wer den Vermerk an die Person hängt, statt an das Verhältnis zwischen Person und Einrichtung, produziert eine Akte, die für die falsche Gesellschaft Pflichten behauptet.

Und jetzt die Stelle, an der Marktpraxis für Recht gehalten wird

Absatz 3 verlangt regelmäßige Schulungen. Fast überall liest man dazu, sie seien jährlich zu absolvieren.

§ 38 Absatz 3 nennt keine Frequenz. Der Jahresturnus ist Marktpraxis, keine gesetzliche Vorgabe. Er ist eine gute Praxis, aber er ist eben eine Praxis, und dasselbe gilt für den Turnus der Überwachung nach Absatz 1.

Das klingt nach Haarspalterei und ist der Unterschied zwischen einer Begründung und einer Behauptung. Wer im Audit gefragt wird, warum jährlich geschult wird, sollte „das ist unsere Festlegung, hier ist der Beschluss dazu" antworten können und nicht „das schreibt NIS2 vor". Der zweite Satz ist falsch, und er fällt auf.

In unserem Modul steht der Jahresturnus deshalb in der Konfiguration und nicht als feste Größe im Programmcode. Eine Konvention, die im Code steht, wird beim Lesen zur Pflicht.

Zwei Prüffragen für das eigene Haus

Nehmen Sie den letzten Beschluss, mit dem Ihre Geschäftsleitung Maßnahmen gebilligt hat. Auf welche Liste bezieht er sich, und existiert diese Liste heute noch in genau dieser Fassung? Wenn nicht, belegt der Beschluss weniger, als er zu belegen scheint.

Und die zweite: Woher kommt Ihr Schulungsturnus? Steht dazu ein Beschluss in der Akte, oder steht dort nur die Annahme, das Gesetz habe ihn vorgegeben?

Wie die Billigung, das Leitungsorgan und der Schulungsstand in der Akte geführt werden, steht auf der Modulseite zur NIS2-Akte. Die Fristen mit Fundstelle im Compliance-Kalender.