IT-Governance beschreibt, wie ein Unternehmen seine IT steuert: wer entscheidet, welche Ziele gelten, welche Risiken bewusst getragen werden und wie die Leitung prüft, ob das Vereinbarte wirkt. Sie ist nicht dasselbe wie der IT-Betrieb und nicht dasselbe wie ein Sicherheitsmanagement.
Ein typischer Verlauf zeigt, worum es geht: An einem Montagmorgen ist das Warenwirtschaftssystem nicht erreichbar. Der IT-Dienstleister wartet auf eine Freigabe, die Mitarbeitenden auf Anweisungen. Niemand kann sofort sagen, wer den Notbetrieb anordnet und welches System zuerst wiederhergestellt wird. Das ist kein technisches Problem, sondern ein Governance-Problem. Es lässt sich vorher klären.
Dieser Beitrag erklärt, was IT-Governance ist, wie sie sich abgrenzt und was die NIS-2-Regeln von der Geschäftsleitung verlangen. Die Grundbegriffe Governance, Risikomanagement und Compliance erklärt unser Beitrag zu GRC.
Was ist IT-Governance?
Die internationale Norm ISO/IEC 38500 beschreibt Grundsätze für Leitungsgremien, damit eine Organisation IT wirksam, effizient und in vertretbarer Weise nutzt. Sie versteht die Steuerung der IT als Teil der allgemeinen Unternehmenssteuerung und ist laut Normbeschreibung für Organisationen jeder Größe gedacht (ISO/IEC 38500:2024).
Die einfachste Abgrenzung stammt aus dem Umfeld des Rahmenwerks COBIT. ISACA fasst sie so zusammen: Governance legt fest, wer Entscheidungen trifft. Das Management ist dafür verantwortlich, diese Entscheidungen umzusetzen (ISACA, 28.10.2019). Wie COBIT diese Trennung aufbaut, erklärt unser Beitrag zum COBIT-Framework.
Abgrenzung: Governance, Management, ISMS und Compliance
Im Alltag werden mehrere Begriffe vermischt. Die folgende Übersicht ordnet sie ein:
| Begriff | Leitfrage | Typische Beteiligte |
|---|---|---|
| IT-Governance | Welche IT-Entscheidungen dienen dem Unternehmen, und wer trägt die Verantwortung? | Geschäftsleitung, Fachbereiche, IT-Verantwortliche |
| IT-Management | Wie werden Systeme, Dienste und Projekte betrieben und umgesetzt? | IT-Leitung, Administration, Support, Dienstleister |
| Informationssicherheits-Managementsystem (ISMS) | Wie schützt das Unternehmen seine Informationen systematisch? | Informationssicherheitsbeauftragte, IT, Fachbereiche |
| Compliance | Welche gesetzlichen, vertraglichen und internen Vorgaben gelten, und werden sie eingehalten? | Geschäftsleitung, Datenschutz, Fachverantwortliche |
Ein ISMS kann ein wichtiger Teil der IT-Governance sein, ersetzt sie aber nicht. Die allgemeinen Anforderungen an ein ISMS beschreibt das BSI im BSI-Standard 200-1. Unternehmen können sich laut BSI auf Basis des IT-Grundschutzes nach ISO 27001 zertifizieren lassen. IT-Governance verbindet darüber hinaus Investitionen, Dienstleister, Geschäftsziele und Zuständigkeiten.
Fünf Fragen für eine wirksame IT-Governance
Für kleine und mittlere Unternehmen empfehlen wir, IT-Governance an fünf Fragen festzumachen:
- Verantwortung: Wer entscheidet? Die Geschäftsleitung kann Aufgaben übertragen, bleibt aber für die Richtung und die wesentlichen Risiken verantwortlich.
- Ausrichtung: Welches Geschäftsziel unterstützt eine IT-Maßnahme? Ein neues System braucht einen fachlichen Zweck.
- Risiko: Welches Risiko nehmen wir in Kauf? Die Leitung entscheidet, welches Restrisiko tragbar ist.
- Transparenz: Ist nachvollziehbar, wer was wann warum entschieden hat? Ein kurzes Entscheidungsprotokoll mit Anlass, Freigabe, Verantwortlichem und Prüftermin reicht oft aus.
- Überwachung: Woran erkennen wir, ob es wirkt, und was tun wir bei Abweichungen?
Rahmenwerke als Orientierung
Kein Unternehmen muss ein Rahmenwerk vollständig übernehmen. Drei Bezugspunkte sind verbreitet:
- ISO/IEC 38500: Grundsätze für die Leitung, kurz und allgemein gehalten.
- COBIT 2019: ein umfassendes Steuerungsmodell von ISACA mit 40 Governance- und Management-Zielen. ISACA hat eine Nachfolgefassung COBIT 7 angekündigt. Details in unserem Beitrag zum COBIT-Framework.
- ISO 27001 und IT-Grundschutz: Anforderungen an ein ISMS, auf Wunsch mit Zertifizierung.
Die Auswahl sollte sich nach Risiken, Kundenanforderungen und vorhandener Reife richten. Ein kleiner Betrieb kann mit wenigen klaren Entscheidungsregeln beginnen und später Elemente aus einem Rahmenwerk ergänzen.
NIS-2: Was die Geschäftsleitung wissen sollte
NIS-2 ist eine EU-Richtlinie für mehr Cybersicherheit. In Deutschland setzt das NIS-2-Umsetzungsgesetz sie um; es ist laut BSI am 6. Dezember 2025 in Kraft getreten. Neue Pflichten gelten danach für rund 29.500 Unternehmen in Deutschland sowie für Institutionen der Bundesverwaltung. Laut der BSI-Seite NIS-2 in Zahlen hatten sich bis zum 30. September 2026 insgesamt 20.141 Einrichtungen registriert, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen.
Ob Ihr Unternehmen betroffen ist, können Sie mit der unverbindlichen Betroffenheitsprüfung des BSI einschätzen. Für betroffene Unternehmen stehen die wichtigsten Pflichten im BSI-Gesetz (BSIG):
- Registrierung (§ 33 BSIG): spätestens drei Monate, nachdem ein Unternehmen erstmals als wichtige oder besonders wichtige Einrichtung gilt.
- Risikomanagement (§ 30 BSIG): geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, deren Einhaltung dokumentiert wird. Das Gesetz nennt zehn Mindestbereiche, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette und Schulungen.
- Meldepflichten (§ 32 BSIG): Bei einem erheblichen Sicherheitsvorfall ist eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis fällig, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung. Zwischenmeldungen gibt es auf Ersuchen des BSI.
- Geschäftsleitung (§ 38 BSIG): Sie muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie dem Unternehmen nach den gesellschaftsrechtlichen Regeln für den entstandenen Schaden.
Gerade § 38 BSIG macht IT-Governance zur Aufgabe der Leitung. Meldewege und Entscheidungsbefugnisse sollten deshalb vor einem Vorfall feststehen und geübt sein. Wir beschreiben diese Pflichten hier nur. Ob und wie sie für Ihr Unternehmen gelten, ist im Einzelfall rechtlich zu prüfen. Einen Überblick über die Richtlinie gibt unser Beitrag zur NIS-2-Richtlinie.
Rollen und Zuständigkeiten im Mittelstand
IT-Governance scheitert selten an fehlenden Organigrammen, häufiger daran, dass jeder glaubt, jemand anderes entscheide. Eine mögliche Aufteilung, die wir als Ausgangspunkt empfehlen:
| Rolle | Aufgabe | Typischer Nachweis |
|---|---|---|
| Geschäftsführung | Ziele, Budget, Risikobereitschaft, Eskalationen | Freigaben, Risikobeschlüsse, Berichte |
| IT-Verantwortliche | Umsetzung und stabiler Betrieb | Betriebskennzahlen, Änderungen, Wiederherstellungstests |
| Informationssicherheitsbeauftragte | Sicherheitsrisiken, Vorgaben, Vorfallkoordination | Risikoliste, Schulungsnachweise, Sicherheitsberichte |
| Fachbereichsleitung | fachliche Anforderungen und Datenverantwortung | Schutzbedarf, Abnahmen |
| Externer Dienstleister | vereinbarte Betriebs- und Unterstützungsleistungen | Serviceberichte, Tickets |
In einem kleineren Unternehmen kann eine Person mehrere Rollen übernehmen. Sie sollte aber ihre eigene Umsetzung nicht ohne Gegenprüfung bewerten. Wichtige Rollen und Administratorzugänge brauchen eine Vertretung.
IT-Governance in sechs Schritten einführen
Wir empfehlen eine Reihenfolge, die zuerst die kritischen Lücken sichtbar macht:
- Bestandsaufnahme: Systeme, Daten, Cloud-Dienste, Dienstleister und Abhängigkeiten erfassen. Beginnen Sie mit dem, was Ihr Tagesgeschäft unmittelbar betrifft.
- Geltungsbereich festlegen: Welche Standorte, Gesellschaften und Prozesse gehören dazu? Halten Sie fest, ob die NIS-2-Regeln Sie betreffen.
- Risiken bewerten: Neben technischen Schwachstellen zählen auch fehlende Vertretungen, unklare Verträge und ungetestete Wiederherstellungen. Wie das geht, zeigt unser Beitrag zum IT-Risikomanagement im Mittelstand.
- Entscheidungsrechte festlegen: Wer gibt neue Dienste, Budgets, Notfallmaßnahmen und Ausnahmen frei?
- Richtlinien und Meldewege umsetzen: Jede Richtlinie bekommt eine verantwortliche Person und einen Termin zur Überprüfung. Den Meldeweg testen Sie an einem Beispielszenario.
- Berichten und verbessern: Legen Sie einen festen Berichtsrhythmus an die Geschäftsführung fest und passen Sie die Regeln an, wenn sich Dienste, Risiken oder Ziele ändern.
Kennzahlen für den Bericht an die Geschäftsführung
Eine Geschäftsführung braucht wenige, gleichbleibend erhobene Werte. Mögliche Kennzahlen:
- Anteil der Systeme, die innerhalb der festgelegten Frist aktualisiert wurden;
- Ergebnis der letzten Wiederherstellungstests;
- Anteil der Beschäftigten mit abgeschlossener Sicherheitsunterweisung;
- Stand der beschlossenen Maßnahmen: erledigt, überfällig oder bewusst akzeptiert;
- kritische Dienstleister mit aktueller Bewertung und Eskalationskontakt.
Jede Kennzahl braucht eine verantwortliche Person, einen Zielwert und eine vereinbarte Reaktion bei Abweichung.
Unterstützung durch die GSL Groß GmbH
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen. Auf unserer Seite NIS2 und Risikomanagement lesen Sie, wie wir Sie beim Einordnen und Umsetzen der Anforderungen begleiten. Im Bereich IT-Sicherheit prüfen wir mit Ihnen den Stand Ihrer Systeme. Den laufenden Betrieb mit Updates, Überwachung und Datensicherung können Sie über unsere Managed Services zum monatlichen Festpreis an uns abgeben. Die Entscheidungen über Ziele und Risiken bleiben dabei bei Ihrer Geschäftsleitung.
Sie möchten Ihre IT-Governance ordnen und wissen, wo Sie anfangen sollten? Sprechen Sie uns an.