Die NIS2-Richtlinie macht Datenschutz, Informationssicherheit und Compliance endgültig zum zentralen Thema für Geschäftsführer und Vorstände in Deutschland. Mit dem neuen Rechtsrahmen wächst nicht nur die Verantwortung, sondern auch das persönliche Haftungsrisiko spürbar.

Gerade die Erweiterung der Sorgfaltspflichten nach §38 des geänderten BSIG und des NIS2-Umsetzungsgesetzes bedeutet: Wer an der Spitze eines Unternehmens steht, muss Cybersicherheit jetzt zur Chefsache machen. In diesem Beitrag erfahren Sie, wie sich die Gesetzeslage geändert hat, welche Fallstricke im Alltag lauern und wie Sie als Entscheidungsträger Ihr Privatvermögen vor Haftungsrisiken schützen können.

Konkrete Empfehlungen und praxiserprobte Schutzstrategien helfen Ihnen, die NIS2-Vorgaben rechtssicher umzusetzen und Bußgelder oder persönliche Inanspruchnahme zu vermeiden.

Geschäftsführerhaftung: Rechtliche Grundlagen und §38 BSIG im Fokus

Mit der EU-weiten NIS2-Richtlinie wird die Verantwortung für IT-Sicherheit und Cyberresilienz deutlich verschärft. In Deutschland sorgt vor allem das NIS2-Umsetzungsgesetz und die Anpassung des §38 BSIG für einen neuen – und oft ungewohnten – Haftungsdruck auf Geschäftsführungsebene. Die Gesetzgebung setzt damit ein klares Signal: Wer in Schlüsselunternehmen oder kritischen Infrastrukturen entscheidet, muss sich aktiv und nachweisbar um Cybersecurity kümmern.

Früher galten IT-Sicherheit und Compliance oft als “Sache der IT”. Mit dem aktuellen Rechtsrahmen wird dieses Thema jedoch auf Geschäftsleitungsebene gehoben. Die Anforderungen sind verbindlich, und bei Pflichtverletzungen rücken Haftungserweiterungen und die persönliche Inanspruchnahme ins Zentrum. Das betrifft nicht nur große Gesellschaften, sondern häufig auch Mittelständler – je nach Betroffenheit durch NIS2.

Im Folgenden gehen wir darauf ein, wie §38 BSIG und das NIS2-UmsuCG klare Maßstäbe und Pflichten setzen. Sie erfahren, wie der Haftungsmaßstab definiert ist und warum unternehmerische Sorgfaltspflicht, Nachweisführung und strategisches Risikomanagement zum neuen Alltag für die Geschäftsführung werden. Mehr zum übergreifenden Thema IT-Sicherheit und Compliance und den Wechselwirkungen mit anderen gesetzlichen Anforderungen wie der DSGVO finden Sie übrigens auch auf dieser Seite.

Geschäftsführerhaftung nach §38 BSIG: Was gilt laut Umsetzungsgesetz?

Mit der Änderung von §38 BSIG durch das NIS2-Umsetzungsgesetz wird erstmals explizit geregelt, welche Haftungsverpflichtungen auf Geschäftsführer und Vorstände zukommen. Der Paragraph verpflichtet die Geschäftsleitung, “geeignete und verhältnismäßige technische und organisatorische Maßnahmen” zur Abwehr von Cyberrisiken nicht nur einzuführen, sondern auch eigenverantwortlich zu überwachen und zu steuern.

Im Gegensatz zu früheren Regelungen reicht es nicht mehr, IT-Themen einfach zu delegieren. Die Geschäftsführung muss nachweisen können, dass sie relevante Risiken kennt, beurteilt und aktiv steuert. Wer die gebotene Sorgfalt vermissen lässt – zum Beispiel, weil Warnungen ignoriert oder Maßnahmen verschleppt wurden – läuft Gefahr, im Haftungsfall persönlich in Anspruch genommen zu werden.

Die Umsetzungspflicht erstreckt sich insbesondere auf Bereiche wie Risikomanagement, Incident Response, Mitarbeiterschulungen und den sicheren Umgang mit Drittanbietern. Fehlende oder lückenhafte Maßnahmen können als Verstoß gegen die gesetzlichen Sorgfaltspflichten gewertet werden. Das betrifft nicht nur IT-Experten, sondern ausdrücklich die gesamte Geschäftsleitung inklusive CEO, CFO und weitere Vorstände. So entsteht ein klar definierter Handlungsrahmen, der wenig Raum für Unwissenheit lässt.

Praxiserfahrung zeigt: Schon das Fehlen geeigneter Berichte, Risk-Assessments oder dokumentierter Maßnahmen kann ein ernsthaftes Haftungsrisiko auslösen. Darauf zielt die Verschärfung im §38 BSIG ganz bewusst ab.

Haftungsmaßstab für Geschäftsführer: Was ist zu beachten?

Der Haftungsmaßstab im Rahmen von NIS2 und §38 BSIG richtet sich nach dem deutschen zivilrechtlichen Grundprinzip der Sorgfalt eines ordentlichen Geschäftsleiters (§43 GmbHG, §93 AktG). Entscheidend ist, ob das Handeln – oder das Unterlassen von Maßnahmen – als einfach oder grob fahrlässig, oder sogar vorsätzlich gewertet wird.

Bei einfacher Fahrlässigkeit kann eine D&O-Versicherung zumindest teilweise greifen. Bei grober Fahrlässigkeit oder vorsätzlichem Fehlverhalten greift hingegen ein umfassender persönlicher Haftungszugriff auf das Privatvermögen – unabhängig vom Unternehmensvermögen.

Persönliche Innenhaftung: Wann haften Geschäftsführer mit Privatvermögen?

Jenseits von abstrakten Vorschriften stellt sich für Geschäftsführer immer die konkrete Frage: “Wann bin ich persönlich dran?” Die Innenhaftung meint, dass nicht nur das Unternehmen, sondern die leitenden Organe selbst – mit ihrem Privatvermögen – für Pflichtverstöße einstehen müssen. Dieser Bereich rückt durch NIS2 verstärkt in den Fokus, weil Nachweispflichten härter sanktioniert und Beweislastregeln verschärft werden.

Wer als Geschäftsführer oder Vorstand die Sorgfaltsmaßstäbe missachtet, kann künftig von der eigenen Gesellschaft in Regress genommen werden oder direkt gegenüber einem geschädigten Dritten haften. Die Beweislastumkehr verschiebt zudem die Verantwortung: Im Streitfall muss die Geschäftsführung beweisen, alles Zumutbare zur Prävention ergriffen zu haben.

Im weiteren Verlauf dieses Abschnitts erfahren Sie nicht nur, wie schnell die Innenhaftung greifen kann, sondern auch, wie Gerichte aktuell entscheiden und in welchen Fällen wirklich das private Vermögen bedroht ist. Das Ziel: Risiken kennen, rechtzeitig vorbeugen und nicht unvorbereitet in die Haftungsfalle tappen.

Persönliche Haftung und Beweislastumkehr: Was Geschäftsführer wissen müssen

Mit dem Inkrafttreten der NIS2-Umsetzungsgesetze und besonders durch die Änderung des §38 BSIG wird die persönliche Haftung der Geschäftsleitung klarer gefasst und verschärft. Wer als Geschäftsführer oder Vorstand Pflichten vernachlässigt, kann nicht mehr nur auf das Unternehmensvermögen oder klassische Gesellschaftshaftung verweisen.

Eine Schlüsselfrage ist die sogenannte Beweislastumkehr: Im Ernstfall muss nicht der Kläger – etwa das Unternehmen selbst, Aufsichtsbehörden oder Dritte – die Pflichtverletzung beweisen. Stattdessen trägt die Geschäftsleitung die Last, nachzuweisen, dass sie “alle zumutbaren Maßnahmen” rechtzeitig und angemessen ergriffen hat. Fehlt es an lückenloser Dokumentation, klaren Protokollen oder nachweisbaren Schulungsmaßnahmen, wird diese Entlastung praktisch unmöglich.

Die persönliche Haftung greift besonders, wenn Entscheidungen ohne angemessenes Risikomanagement, Schulungspflicht oder dauerhafte Kontrolle von Zulieferern und Dienstleistern getroffen werden. Typische Fehler, die zur Haftungsfalle werden, sind etwa fehlende Risikoanalysen, unterlassene Berichte an den Aufsichtsrat oder das Verschieben von Sicherheitsmaßnahmen trotz bekannter Bedrohungen. Wer hier nicht aktiv dokumentiert und kontrolliert, ist im Problemfall praktisch schutzlos – und das Privatvermögen steht schnell im Feuer.

Es lohnt sich daher, auf routinemäßige Nachweisführung und beständige Kontrolle zu setzen. Nur proaktive Dokumentation – auch der eigenen Entscheidungen und der Beauftragung externer Dienstleister – schafft eine solide Verteidigungsbasis, falls die Beweislast plötzlich dreht.

Haften Geschäftsführer tatsächlich mit ihrem Privatvermögen?

Ja, Geschäftsführer haften unter bestimmten Umständen tatsächlich mit ihrem Privatvermögen. Das ist vor allem der Fall, wenn grobe Fahrlässigkeit oder Vorsatz vorliegt, also etwa Sicherheitsmaßnahmen absichtlich ignoriert oder Warnungen bewusst übergangen werden.

Auch bei gravierenden Pflichtverletzungen ohne ausreichende Nachweise kann es zu einer persönlichen Inanspruchnahme kommen. Gerade die NIS2-Regelung erhöht die praktische Eintrittswahrscheinlichkeit, weil Beweislastumkehr, dokumentationspflichtige Pflichten und klare Maßstäbe nun noch konsequenter durchgesetzt werden.

Pflichten der Geschäftsleitung nach NIS2: Strategie, Organisation und Nachweis

Mit NIS2 werden nicht nur die Haftungsrisiken verschärft, sondern auch die praktischen Pflichten der Geschäftsleitung tiefgreifend neu geregelt. Entscheidende Fragen lauten: Was müssen Sie konkret tun, damit Sie Ihrer Verantwortung gerecht werden? Und wie sichern Sie sich rechtssicher ab?

Der Fokus liegt klar auf organisatorischen, strategischen und vor allem dokumentatorischen Aufgaben. Dazu zählen Risikobewertungen, die dauerhafte Kontrolle von Compliance-Maßnahmen, die laufende Mitarbeiterschulung und die strukturierte Nachweisführung. Nur ein konsequentes Risikomanagement und solide Governance stellen sicher, dass Verstöße nicht als Fahrlässigkeit ausgelegt werden.

Gerade in komplexen Unternehmensstrukturen – mit mehreren Schnittstellen und externen IT-Dienstleistern – wird die Protokollierung und Nachweisführung oft unterschätzt. Die Geschäftsleitung kann, wie auf dieser Seite ausführlich dargestellt, ihre Aufgaben durch durchdachte IT-Compliance-Strukturen und vorausschauende Organisation absichern. Im Folgenden gehen wir konkret darauf ein, wie Sie Ihre Aufgaben anforderungssicher und vor allem haftungsvermeidend erfüllen.

Strategische und organisatorische Pflichten der Geschäftsleitung

  1. Etablierung einer Cybersicherheitsstrategie: Jede Geschäftsführung muss eine unternehmensweite, auf die NIS2-Risikolage angepasste Cybersicherheitsstrategie festlegen und regelmäßig anpassen. Das umfasst die Definition von Rollen und Verantwortlichkeiten und konkrete Zielsetzungen in der Cybersicherheit.
  2. Durchführung von Risikobewertungen: Sie sind verpflichtet, regelmäßig und anlassbezogen IT-Risikoanalysen durchzuführen. So erkennen Sie Schwachstellen in Ihrer Infrastruktur und können gezielt Maßnahmen zur Abwehr entwickeln – eine Pflicht, die auch gegenüber Aufsichtsbehörden nachgewiesen werden muss.
  3. Dauerhafte Governance und Überwachung: Eine effektive Governance-Struktur sichert, dass neue Risiken laufend überwacht und Maßnahmen dokumentiert werden. Das schließt die Überprüfung der Einhaltung externer Normen wie ISO 27001 ein und die Koordination mit anderen Compliance-Systemen (etwa der DSGVO).
  4. Schulung und Sensibilisierung der Belegschaft: Alle Mitarbeiter – einschließlich der Geschäftsleitung – müssen mit Schulungsinitiativen kontinuierlich in IT-Sicherheit und Awareness trainiert werden. Die Umsetzung und Teilnahme der Geschäftsleitung selbst ist Pflicht.
  5. Kontrolle von Drittanbietern und Lieferkettensicherheit: Vor der Beauftragung von IT-Dienstleistern müssen Due-Diligence-Prüfungen erfolgen, um die Konformität mit NIS2 zu gewährleisten. Nach Vertragsabschluss ist eine laufende Kontrolle und ggf. Vertragsanpassung notwendig, damit auch externe Partner NIS2-Anforderungen dauerhaft erfüllen.

Weitere Details und praxisrelevante Tipps, wie Sie diese Aufgaben ins Tagesgeschäft integrieren, finden Sie auch hier: IT-Sicherheit & Compliance.

Dokumentationspflichten und Beweislastumkehr: Wie der Nachweis gelingt

  1. Dokumentation aller Entscheidungsprozesse: Beschlüsse der Geschäftsführung zu IT-Sicherheitsmaßnahmen, Freigaben für Budgets, Ergebnisse von Risikoanalysen und die Zuweisung von Verantwortlichkeiten müssen lückenlos und revisionssicher protokolliert werden. Ohne diese Nachweise fehlt im Zweifel jede Entlastungsgrundlage.
  2. Regelmäßige Statusberichte und Compliance-Protokolle: Sie sollten laufend Berichte über die Security-Lage, Fortschrittsmeldungen zu geplanten Maßnahmen, interne oder externe Auditergebnisse und Schulungsteilnahmen einfordern und archivieren. Diese Dokumente dienen im Ernstfall der Beweisführung.
  3. Protokollierung von Drittanbieter-Checks: Vor Vertragsabschluss und laufend während der Geschäftsbeziehung muss die Prüfung der Cybersicherheit externer IT-Dienstleister schriftlich festgehalten werden. Dieser Nachweis ist Pflicht gegenüber Aufsichtsbehörden und bei Regressforderungen.
  4. Nutzung von Vorlagen und Checklisten: Der Arbeitsalltag wird durch Musterprotokolle, Checklisten und digitale Audit-Tools erleichtert – damit keine Schlüsselentscheidung oder Umsetzungsschritt vergessen wird. Regelmäßige Kontrolle der Aufbewahrungsfristen und Archivierung sind selbstverständlich einzuhalten.
  5. Berücksichtigung der Beweislastumkehr: Weil im Streitfall Sie als Geschäftsleitung nachweisen müssen, dass alles Zumutbare getan wurde, hat ein geordneter Nachweis höchste Priorität. Eine lückenlose Dokumentationspraxis ist der wichtigste Schutz gegen die persönliche Haftungsfalle.

Praxisnah: Es empfiehlt sich, für alle Entscheidungen und risikobehafteten Prozesse eine konsistente Ablage und Protokollstruktur zu wählen. So können Sie im Ernstfall beweisen, dass Sie Ihrer Sorgfaltspflicht als Geschäftsführer nachgekommen sind.

Konsequenzen bei NIS2-Verstößen: Bußgelder, persönliche Risiken und mehr

Wer NIS2-Pflichten ignoriert oder die Anforderungen halbherzig umsetzt, setzt das Unternehmen und sich selbst erheblichen Sanktionen aus. Besonders ins Gewicht fallen die teils massiven Bußgelder, die seitens der Aufsichtsbehörden verhängt werden können. Dabei ist die Bemessung nach Einrichtungskategorie und Schwere des Verstoßes fein abgestuft und im §65 NIS2-UmsuCG festgelegt.

Doch damit nicht genug: Verstöße ziehen nicht nur finanzielle Strafen für das Unternehmen nach sich. Unter bestimmten Bedingungen geraten auch Geschäftsführer und Vorstände persönlich ins Visier – etwa bei grober Fahrlässigkeit, unterlassener Überwachung oder fehlender Dokumentation. Die Haftungsfalle schnappt also schnell zu, wenn das Tagesgeschäft nicht sauber aufgesetzt ist.

Im Folgenden erläutern wir konkret, wie Bußgelder bemessen werden, welche Typen von Fehlern besonders teuer werden können und ab wann es gefährlich wird – auch für das private Vermögen der Geschäftsleitung.

Bußgelder nach §65: Höhe, Staffelung und Schweregrade

  • Bußgeldrahmen nach Einrichtungskategorie: Für Betreiber wesentlicher Dienste (“wichtige Einrichtungen”) gelten in der Regel Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes. Bei “kritischen Einrichtungen” steigt die Bußgeldobergrenze auf 10 Millionen Euro bzw. 2 % des globalen Umsatzes.
  • Abstufung nach Schwere Des Verstoßes: Leichte Verstöße, etwa reine Formalien- oder Meldeversäumnisse, werden milder geahndet. Bei strukturellem Organisationsversagen oder Ignorieren von Managementpflichten ist mit dem oberen Bußgeldrahmen zu rechnen.
  • Konkrete Bußgeldtatbestände: Bußgelder werden insbesondere bei fehlender Risikoanalyse, unterlassener Meldung von Vorfällen, mangelhafter Dokumentation oder fehlender Umsetzung angemessener Maßnahmen verhängt.
  • Individueller Ermessensspielraum der Behörden: Die jeweilige Aufsichtsbehörde setzt das Bußgeld anhand von Risikopotenzial, Unternehmensgröße und Schwere der Pflichtverletzung fest.

So entstehen starke Anreize, sämtliche Compliance-Pflichten rechtzeitig, vollständig und lückenlos zu erfüllen.

Haftungsfalle: Persönliche Konsequenzen für Geschäftsführer

  1. Persönliche Bußgelder: Unter bestimmten Umständen – wie Missachtung offensichtlicher Risiken, fehlender Kontrolle oder bewusstem Übergehen von Warnhinweisen – kann die Aufsichtsbehörde ein Bußgeld direkt gegen einzelne Geschäftsführer oder Vorstände verhängen.
  2. Regressforderungen der Gesellschaft: Das Unternehmen kann im Innenverhältnis Geschäftsführer in Regress nehmen, falls sich Pflichtverletzungen schädigend ausgewirkt haben. Dann droht unmittelbar der Zugriff auf das Privatvermögen.
  3. Rufschädigung und Compliance-Probleme: Persönliche Haftungsfälle führen regelmäßig zu erheblichem Imageschaden, Vertrauensverlust bei Banken oder Geschäftspartnern und im Ernstfall sogar zu Ermittlungsverfahren oder Rücktrittsforderungen.
  4. Typische Fallstricke: Besonders häufig passiert ein Haftungszugriff bei unterlassener Berichtsführung, viel zu später Einleitung von Gegenmaßnahmen oder fehlender Aufsicht über ausgelagerte IT-Dienstleistungen. Wer nicht genau dokumentiert und aktiv steuert, kann sich im Schadensfall kaum verteidigen.

Fazit: Persönliche Exponierung ist mehr als ein theoretisches Risiko – sie ist mit NIS2 handfeste Realität.

Schutzmaßnahmen: Absicherung und Entlastung für die Geschäftsführung

Die neuen Haftungsrisiken rund um NIS2 verlangen nach cleveren und wirksamen Absicherungsmaßnahmen für die Geschäftsführung. Der Fokus liegt dabei nicht nur auf typischen Versicherungsprodukten wie der D&O-Versicherung, sondern vor allem auf dem Aufbau nachhaltiger Compliance-Strukturen und persönlicher Präventionsmaßnahmen.

Keine Versicherung schützt pauschal gegen alle Risiken; viele Haftungslücken entstehen durch eigene Nachlässigkeit oder fehlende Dokumentation. Das Ziel: durch konsequente Governance, vorausschauendes Risikomanagement und regelmäßige Prüfungen die persönliche Verantwortung abfedern.

Mehr zu den Möglichkeiten, Grenzen und klugen Praxistipps zur vollständigen Risikominimierung erfahren Sie in den folgenden Abschnitten.

Die Rolle der D&O-Versicherung bei der NIS2-Haftung

Die D&O-Versicherung ist in vielen Unternehmen etabliert, um Leitungsorgane gegen Vermögensschäden aus Pflichtverletzungen abzusichern. Auch in Bezug auf die NIS2-Haftung stellt sich die Frage: Wie weit reicht dieser Schutz, und wo sind Grenzen?

Wichtig: Die D&O-Police deckt grundsätzlich nur fahrlässige Pflichtverletzungen ab – sobald grobe Fahrlässigkeit oder Vorsatz im Spiel ist, greift der Versicherungsschutz meist nicht mehr. Das heißt, bei bewusster Missachtung von Sicherheitsstandards, Vernachlässigung der Dokumentationspflicht oder wiederholter Missachtung von Warnhinweisen springt die Versicherung üblicherweise nicht ein.

Eine Besonderheit im Kontext von NIS2 ist das gesetzliche Verbot des Haftungsverzichts für die Geschäftsleitung. Das macht D&O-Versicherungen zwar sinnvoll, sie sind aber keinesfalls ein Freifahrtschein. Entscheidend ist die individuelle Ausgestaltung der Police, die ausdrücklich Pflichtverletzungen im Bereich Cybersecurity einschließen sollte – bestenfalls mit klaren Ausschlusskriterien.

Fazit: Die D&O-Versicherung bleibt ein wichtiger, aber begrenzter Schutz. Wer sich vollumfänglich absichern will, muss zusätzlich Wert auf professionelle Nachweisführung und operative Compliance legen.

Praktische Handlungsempfehlungen: So reduzieren Geschäftsführer ihr Haftungsrisiko

  • Sofortmaßnahmen: Nehmen Sie innerhalb von Tagen interne Schulungen zu NIS2, Cybersicherheit und Compliance auf. Starten Sie direkt mit einem Risiko-Assessment, um erste Schwachstellen zu identifizieren.
  • Mittelfristige Schritte: Bauen Sie ein strukturiertes Risikomanagement und regelmäßige Überwachungsmechanismen auf. Entwickeln und implementieren Sie eine unternehmensweite Sicherheitspolicy, die auch den Umgang mit Drittanbietern sauber regelt.
  • Langfristige Maßnahmen: Nutzen Sie Compliance-Tools, digitale Dokumentationssysteme und regelmäßige Audits. Halten Sie die Geschäftsleitung konsequent auf dem aktuellen Stand und passen Sie Prozesse sowie Governance-Strukturen kontinuierlich an.
  • Wissen und Verantwortung stärken: Auch Mitglieder der Geschäftsleitung sollten regelmäßig an spezialisierten Fortbildungen teilnehmen. Durch regelmäßige Statusberichte und eigene Protokolle können Sie lückenlos Ihre Sorgfalt und aktive Steuerung belegen.

Wer sich an diese Empfehlungen hält, minimiert das Risiko persönlicher und finanzieller Konsequenzen entscheidend.

NIS2 in der Praxis: Umsetzungsschritte, Fristen und Delegation

Die gesetzlichen Neuerungen rund um NIS2 werfen in der Managementpraxis viele Fragen auf. Wie integrieren Sie die Vorgaben so, dass Risiken minimiert und Fristen nicht verpasst werden? Und wie weit können Sie Aufgaben an Experten oder einen Informationssicherheitsbeauftragten delegieren, ohne Ihre persönliche Verantwortung abzugeben?

Gerade die operative Umsetzung entscheidet über Haftung und die Wirksamkeit Ihrer Compliance-Maßnahmen. Denn selbst wenn Sie Aufgaben delegieren, bleibt die “finale” Verantwortung und Kontrolle immer in der Geschäftsleitung. Die Einhaltung der Übergangsfristen – aktuell bis spätestens März 2026 – ist dabei genauso kritisch wie eine aktive Steuerung und laufende Anpassung der Cyber-Security-Struktur.

Welche Maßnahmen nötig sind und wie Delegation funktioniert, erfahren Sie im nächsten Schritt detailliert.

Maßnahmen, Fristen und zeitlicher Rahmen für die NIS2-Umsetzung

  • Fristen beachten: Die nationale Umsetzung erfolgt stufenweise bis März 2026. Beginnen Sie frühzeitig mit der Bestandsaufnahme und Risikoeinschätzung.
  • Maßnahmen-Checkliste: Zu den Pflichtmaßnahmen zählen Risikoanalyse, Einführung von Managementsystemen, Erstellung eines Incident-Response-Plans und Schulungsmaßnahmen für alle relevanten Mitarbeiter.
  • Kontinuierliche Steuerung: Setzen Sie regelmäßige Meetings zur Überprüfung des Fortschritts an und passen Sie Maßnahmen in Echtzeit an neue Bedrohungslagen an.
  • Typische Stolpersteine: Vermeiden Sie es, Maßnahmen zu lange zu verschieben – besonders, wenn Sie auf externe Dienstleister angewiesen sind. Dokumentieren Sie jede Änderung und Entscheidung.

Delegation der NIS2-Verantwortung: Was bleibt Chefsache?

Grundsätzlich kann die operative Umsetzung der NIS2-Pflichten an einen Informationssicherheitsbeauftragten (ISB), externe Dienstleister oder interne Spezialisten delegiert werden. Doch Achtung: Die grundlegende Verantwortung und Steuerung liegt immer bei der Geschäftsleitung selbst.

Das bedeutet: Geschäftsleiter müssen klare Vorgaben machen, die Auswahl und Überwachung geeigneter Personen oder Dienstleister selbst verantworten und sich regelmäßig über Statusberichte, Auditergebnisse und kritische Vorfälle informieren lassen. Eine “Weg-Delegation” der gesamten Verantwortung ist rechtlich ausgeschlossen. Kontroll- und Überwachungspflichten – wie das Einfordern von Berichten und die Freigabe kritischer Entscheidungen – sind unverzichtbar.

Auch bei ausgelagerten Diensten (z.B. in der Cloud oder im Managed Security Service) muss die Einhaltung der NIS2-Anforderungen fortlaufend geprüft und dokumentiert werden. Wichtig: Laufende Anpassungen an Verträge und Prozesse sichern die “Chefsache” NIS2 – alles andere ist ein erhebliches Haftungsrisiko.

Fazit: Prüfen Sie regelmäßig, ob Ihre Delegationsstrukturen noch funktionieren und holen Sie sich, wenn nötig, externe Unterstützung – aber bleiben Sie als Geschäftsleiter immer in der aktiven Kontrollrolle.

FAQ zur NIS2-Geschäftsführerhaftung und häufig gestellte Fragen

NIS2 und die neue Haftung werfen in der Praxis viele Fragen auf. Wer muss was tun? Ab wann gilt die Regelung für kleine Unternehmen? Wie verhält sich die persönliche Haftung bei unterschiedlichen Gesellschaftsformen und was bringt die D&O-Versicherung wirklich?

Auch besondere Fälle – wie die Haftung von Aufsichtsräten, Besonderheiten im Beirat oder Wechselwirkungen mit der DSGVO – werden regelmäßig diskutiert. Ziel dieses Abschnitts ist ein kompakter Überblick über die wichtigsten FAQ, damit Sie als Geschäftsführer den Überblick behalten und sicher durch den Compliance-Dschungel navigieren.

Im Folgenden finden Sie die häufigsten Fragen und prägnanten Antworten – für einen schnellen, praxisnahen Einstieg.

Die wichtigsten Antworten auf häufig gestellte Fragen (FAQ)

  • Gilt NIS2 auch für kleine Unternehmen? In der Regel betrifft NIS2 nur Organisationen einer bestimmten Größe oder besonderer Kritikalität. Kleinere Unternehmen sind meist ausgenommen, aber prüfen Sie immer Ihre Einstufung nach Sektor und Größe.
  • Müssen GmbH-Geschäftsführer persönlich haften? Ja, auch GmbH-Geschäftsführer sind bei grober Fahrlässigkeit oder Vorsatz umfassend persönlich haftbar – das neue Haftungsregime macht keinen Unterschied zur AG oder anderen Rechtsformen.
  • Wie ist die Haftung von Aufsichtsrat oder Beirat geregelt? Zwar liegt der Schwerpunkt der Haftung bei der Geschäftsleitung, aber auch Aufsichtsräte und Beiräte müssen sicherstellen, dass IT-Risiko und NIS2-Compliance regelmäßig berichtet und bewertet werden. Bei schwerem Kontrollversagen droht auch hier persönliche Haftung.
  • Deckt die D&O-Versicherung NIS2-Haftung ab? Nur zum Teil: Die Police greift bei (einfacher) Fahrlässigkeit und muss Cybersecurity ausdrücklich umfassen. Bei Vorsatz oder grober Fahrlässigkeit bleibt der Geschäftsführer auf dem Risiko sitzen.
  • Was ist bei Überschneidungen mit DSGVO oder ISO 27001 zu beachten? Viele Prozesse und Nachweispflichten ähneln sich, aber es gibt feine Unterschiede. Nutzen Sie Synergien beim Risikomanagement, passen Sie Prozesse an und dokumentieren Sie alles mit Blick auf beide Anforderungen.

Diese FAQ bieten einen schnellen Überblick und unterstützen dabei, gravierende Fehler und Missverständnisse zu vermeiden. Prüfen Sie im Zweifel immer Ihre spezifische Unternehmenssituation anhand der geltenden Vorschriften und holen Sie rechtlichen oder fachlichen Rat ein.

Fazit und Empfehlungen: Nächste Schritte für Geschäftsführer

NIS2 bringt deutliche Pflichten und verschärfte Haftungsrisiken für Geschäftsführer. Persönliche Haftung, umfassende Nachweis- und Dokumentationspflichten sowie hohe Bußgelder machen ein proaktives und strukturiertes Vorgehen unverzichtbar. Wer das Thema unterschätzt, riskiert schnell Bußgelder oder den Ernstfall der Inanspruchnahme mit dem Privatvermögen.

Handeln Sie frühzeitig: Prüfen Sie bestehende Compliance-Strukturen kritisch, integrieren Sie NIS2 in Ihr Risikomanagement, nutzen Sie Synergien zu DSGVO und anderen Standards (DSGVO, MaRisk, ISO 27001), dokumentieren Sie alle Entscheidungen lückenlos und sichern Sie sich mit einer D&O-Versicherung ab. Delegation und Kontrolle, besonders bei Drittanbietern, bleiben Chefsache. Bleiben Sie am Ball und verschaffen Sie sich regelmäßig einen Überblick über aktuelle Anforderungen und Fristen.