Berichtswesen: Wie die Geschäftsleitung überwacht, ohne selbst zu prüfen
Die Geschäftsleitung muss die Umsetzung der Risikomanagement-Maßnahmen überwachen. Sie muss dafür weder Firewalls verstehen noch Protokolle lesen. Sie braucht einen Bericht, der ihr viermal im Jahr sagt, wo das Unternehmen steht, welche Entscheidungen anstehen und was seit dem letzten Mal passiert ist. Diese Seite zeigt die Vorlage und den Ablauf.
- 4× im Jahr, quartalsweise
- 6 Berichtsblöcke, immer in derselben Reihenfolge
- 2 Seiten Richtwert für den Bericht, Details in Anlagen
- Protokoll Besprechung in der Geschäftsführersitzung
Warum das Berichtswesen die Überwachung ist
Überwachen heißt nicht kontrollieren. Es heißt, regelmäßig und strukturiert informiert zu sein, nachzufragen und zu entscheiden. Der Bericht ist das Werkzeug dafür und zugleich der Nachweis.
-
Informiert sein
Die Geschäftsleitung muss wissen, ob die gebilligten Maßnahmen umgesetzt werden, welche Risiken offen sind und was seit dem letzten Bericht passiert ist. Ohne feste Struktur erfährt sie das erst, wenn etwas schiefgegangen ist.
-
Entscheiden
Ein Bericht, der keine Entscheidung verlangt, ist ein Statusbericht. Der Quartalsbericht endet mit den Punkten, die die Geschäftsleitung entscheiden muss: Budget, Priorisierung, Risikoakzeptanz, Personal. Das ist der Unterschied zwischen Kenntnisnahme und Überwachung.
-
Nachweisen
Vier Berichte und vier Protokolle pro Jahr belegen, dass die Geschäftsleitung ihre Überwachungspflicht erfüllt hat. Im Haftungsfall ist das der Unterschied zwischen 'wir haben uns gekümmert' und dem Beleg dafür, siehe die Seite zur Haftung.
Der Quartalsbericht in sechs Blöcken
Dieselbe Struktur in jedem Quartal, damit Veränderungen sichtbar werden. Jeder Block hat eine Quelle und eine Frage an die Geschäftsleitung.
| Block | Inhalt | Quelle | Frage an die Geschäftsleitung |
|---|---|---|---|
| 1. Maßnahmenstatus | Stand je Maßnahmenbereich aus § 30 BSIG (10 Bereiche) als Ampel mit einem Satz Begründung. Fortschritt gegen den beschlossenen Plan, Verzögerungen mit Ursache. | Maßnahmenplan, Projektstatus, Informationssicherheitsbeauftragter | Akzeptieren wir die Verzögerungen oder steuern wir nach? |
| 2. Risiken | Die fünf größten Informationssicherheitsrisiken mit Bewertung, Veränderung zum Vorquartal, neue Risiken, bewusst akzeptierte Risiken mit Datum der Akzeptanz. | Risikoanalyse, Risikoregister | Welche Risiken akzeptieren wir, welche nicht? |
| 3. Vorfälle | Zahl der Sicherheitsvorfälle, davon erhebliche nach § 32 BSIG, Meldungen an das BSI, Datenpannen nach DSGVO, Erkenntnisse und abgeleitete Maßnahmen. | Incident-Management, Meldeverantwortliche | Hat der Meldeprozess funktioniert? Was ändern wir? |
| 4. Übungen und Schulungen | Durchgeführte Übungen (Notfall, Meldeprozess, Wiederherstellung) mit Ergebnis und offenen Punkten. Stand der Schulungen für Belegschaft und Geschäftsleitung. | Übungsberichte, Schulungsnachweise | Sind die offenen Punkte aus der Übung terminiert? |
| 5. Lieferanten | Kritische Dienstleister mit Bewertungsstand, neue Verträge und Vertragsanpassungen, Vorfälle bei Dienstleistern, offene Nachweise. | Einkauf, Lieferantenbewertung, Vertragsmanagement | Welche Abhängigkeit ist uns zu groß? |
| 6. Entscheidungen | Was die Geschäftsleitung in dieser Sitzung entscheiden muss: Budget, Ressourcen, Priorisierung, Risikoakzeptanz, Personal. Mit Empfehlung und Alternativen. | Zusammenfassung aus Block 1 bis 5 | Wird in der Sitzung beschlossen und protokolliert |
Kennzahlen, die die Geschäftsleitung versteht: Wirksamkeit statt Aktivität. Nicht 'Patches eingespielt', sondern 'kritische Schwachstellen älter als 30 Tage'. Nicht 'Backup läuft', sondern 'Wiederherstellung zuletzt getestet am'. Nicht 'MFA eingeführt', sondern 'Anteil der Konten mit MFA'. Und immer als Trend über vier Quartale, nicht als Momentaufnahme.
Vom Quartalsende zum Protokoll
Ein fester Rhythmus, der sich in den Sitzungskalender der Geschäftsleitung einfügt. Der Bericht ist dann keine Sonderaktion, sondern ein Tagesordnungspunkt wie der Finanzbericht.
-
Zulieferungen sammeln
Der Informationssicherheitsbeauftragte holt die Zahlen aus IT, Incident-Management, Einkauf und Personal ein. Vorlagen mit festen Feldern halten den Aufwand bei jeweils unter einer Stunde.
-
Bericht erstellen und vorab verteilen
Zwei Seiten, sechs Blöcke, Anlagen bei Bedarf. Der Bericht geht mindestens eine Woche vor der Sitzung an die Geschäftsleitung, damit Fragen vorbereitet werden können.
-
Tagesordnungspunkt Informationssicherheit
Dreißig Minuten in der regulären Geschäftsführersitzung. Der Informationssicherheitsbeauftragte trägt vor, die Geschäftsleitung fragt nach und entscheidet über Block 6. Wer nicht anwesend ist, wird protokolliert.
-
Beschlüsse festhalten
Datum, Teilnehmende, Bericht als Anlage, Beschlüsse mit Verantwortlichen und Terminen, offene Fragen mit Wiedervorlage. Vom Protokollführer erstellt, von der Geschäftsleitung freigegeben.
-
In die Nachweisakte
Bericht und Protokoll werden zusammen abgelegt, revisionssicher und auffindbar. Bei einer Nachweisanforderung des BSI oder einer Haftungsfrage sind vier Quartale in Minuten zusammengestellt.
-
Jahresrückblick und Wiederholungen
Der vierte Quartalsbericht wird um einen Jahresrückblick ergänzt: Trend der Kennzahlen, Vorfallsbilanz, Betroffenheitsprüfung, Schulung der Geschäftsleitung, Überprüfung der Schwellenwerte für die Meldepflicht.
Was ein Protokoll zum Nachweis macht
Der Bericht belegt, dass die Geschäftsleitung informiert wurde. Erst das Protokoll belegt, dass sie überwacht hat. Drei Anforderungen unterscheiden ein brauchbares von einem wertlosen Protokoll.
-
Entscheidungen statt Kenntnisnahme
'Der Bericht wurde zur Kenntnis genommen' ist die häufigste und schwächste Formulierung. Besser: 'Die Geschäftsleitung beschließt, die Einführung von MFA für alle Fernzugänge bis Ende Q3 zu priorisieren und dafür das Budget X freizugeben.' Auch eine Ablehnung ist eine Entscheidung, wenn sie begründet ist.
-
Nachfragen dokumentieren
Wenn die Geschäftsleitung nachfragt, warum ein Bereich rot ist, gehört die Frage und die Antwort ins Protokoll. Das belegt, dass der Bericht gelesen und hinterfragt wurde. Ein Protokoll ohne eine einzige Nachfrage in vier Quartalen wirkt im Nachhinein wie Durchwinken.
-
Wiedervorlage schließen
Jeder Beschluss bekommt einen Verantwortlichen und einen Termin. Im nächsten Quartalsbericht steht, was daraus geworden ist. Offene Punkte, die über Quartale mitgeschleppt werden, sind selbst ein Risiko und gehören als solches in Block 2.
Wann die Geschäftsleitung sofort informiert wird
Der Quartalsrhythmus ist die Regel. Drei Anlässe rechtfertigen einen Bericht außerhalb der Reihe, und sie sollten vorab festgelegt sein.
-
Erheblicher Sicherheitsvorfall
Sobald ein Vorfall als erheblich bewertet wird, ist die Geschäftsleitung Teil des Meldeprozesses: Sie gibt die Erstmeldung binnen 24 Stunden frei. Nach Abschluss folgt ein Vorfallsbericht mit Ursache, Schaden und Konsequenzen, der im nächsten Quartalsbericht in Block 3 referenziert wird.
-
Wesentliche Änderung
Ein Zukauf, ein neuer kritischer Dienstleister, ein neues Geschäftsfeld, eine Umstrukturierung der IT. Solche Änderungen können Betroffenheit, Risiken und Maßnahmenplan verändern und brauchen eine Entscheidung, bevor das nächste Quartal beginnt.
-
Anfrage einer Behörde oder eines Kunden
Verlangt das BSI Nachweise oder ein Kunde eine Bestätigung der NIS2-Konformität, entscheidet die Geschäftsleitung über die Antwort. Das Berichtswesen liefert die Grundlage: Mit vier Quartalsberichten und Protokollen ist die Antwort in Stunden fertig, ohne in Wochen.
Zum Berichtswesen
Schreibt das Gesetz einen Quartalsbericht vor?
Nein. § 38 BSIG verlangt, dass die Geschäftsleitung die Umsetzung der Maßnahmen überwacht, und lässt die Form offen. Der Quartalsbericht ist die Form, die sich in der Praxis bewährt hat: häufig genug, um Abweichungen rechtzeitig zu sehen, selten genug, um ernsthaft gelesen zu werden, und er erzeugt viermal im Jahr einen datierten Nachweis.
Wer erstellt den Bericht?
Der Informationssicherheitsbeauftragte oder die Rolle, die die Umsetzung koordiniert, auf Basis von Zulieferungen aus IT, Einkauf und Fachbereichen. Die Geschäftsleitung erstellt ihn nicht, sie liest, hinterfragt und entscheidet. Bei kleineren Unternehmen kann ein externer Berater die Erstellung übernehmen, die Besprechung bleibt intern.
Reicht es, wenn der Bericht per E-Mail an die Geschäftsleitung geht?
Als Zustellung ja, als Überwachung nein. Überwachung heißt, dass die Geschäftsleitung den Bericht bespricht, Fragen stellt und Entscheidungen trifft. Das braucht einen Tagesordnungspunkt in der Geschäftsführersitzung und ein Protokoll. Ein ungelesener Bericht im Postfach ist kein Nachweis der Überwachung, ein Protokoll mit drei Beschlüssen ist einer.
Wie lang sollte der Bericht sein?
Zwei Seiten, im Ausnahmefall drei. Eine Seite mit Ampeln und Kennzahlen für die zehn Maßnahmenbereiche, eine Seite mit Risiken, Vorfällen, Übungen, Lieferanten und den Entscheidungen, die anstehen. Details gehören in Anlagen, die auf Nachfrage vorliegen. Ein zwanzigseitiger Bericht wird nicht gelesen und ist damit kein Überwachungsinstrument.
Was, wenn ein Quartal nichts Neues bringt?
Dann ist der Bericht kurz und sagt genau das: Maßnahmen im Plan, keine erheblichen Vorfälle, keine neuen Risiken. Auch dieser Bericht wird besprochen und protokolliert. Vier unauffällige Quartalsberichte belegen eine funktionierende Überwachung besser als ein einzelner Krisenbericht.
Vertiefung für die Geschäftsleitung
-
Haftung nach § 38 Abs. 2 BSIG
Wie der Anspruch der Gesellschaft entsteht, was die Business Judgement Rule schützt und warum das Berichtswesen Ihr wichtigster Nachweis ist.
-
Betroffenheit prüfen und dokumentieren
Wie Sie die Einordnung veranlassen, was in die schriftliche Feststellung gehört und warum sie jährlich wiederholt wird.
-
Schulung für die Geschäftsleitung
Drei bis vier Stunden mit Bezug zu Ihrem Unternehmen, Teilnahmebescheinigung als Nachweis nach § 38 Abs. 3 BSIG.
-
NIS2 für Geschäftsführer im Überblick
Die drei Pflichten, Haftung und Sanktionen sowie der 90-Tage-Plan auf der Startseite.
Marcel Rieger
Den ersten Quartalsbericht in vier Wochen
Im Erstgespräch klären wir, welche Zahlen in Ihrem Unternehmen heute schon vorliegen, wer den Bericht erstellt und wie er in Ihre Geschäftsführersitzung passt. Den ersten Bericht erstellen wir auf Wunsch mit Ihnen.
- Vorlage mit sechs Blöcken, auf Ihr Unternehmen angepasst
- Zulieferungsformulare für IT, Einkauf und Incident-Management
- Protokollmuster, das als Nachweis taugt
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen