NIS2-Haftung: Pflichten für Geschäftsführer und Vorstände

Das Wichtigste in Kürze

• NIS2 ist Leitungsaufgabe. Geschäftsführung und Vorstand müssen die erforderlichen Cybersicherheitsmaßnahmen umsetzen und deren Umsetzung überwachen.
• Delegierbar sind Aufgaben, nicht die Leitungsverantwortung. Die Geschäftsleitung braucht klare Zuständigkeiten, entscheidungsfähige Berichte und wirksame Kontrollen.
• Persönliche Haftung ist möglich, aber kein Automatismus. Erforderlich sind grundsätzlich eine schuldhafte Pflichtverletzung, ein Schaden der Einrichtung und Kausalität.
• Gute Dokumentation ist zentral. Risikoanalysen, Beschlüsse, Budgets, Restrisiken, Schulungen und Management-Reviews sollten nachvollziehbar festgehalten werden.

Warum betrifft NIS2 die Geschäftsleitung persönlich?

Die zentrale Vorschrift ist § 38 BSIG. Danach sind Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Zusätzlich müssen sie regelmäßig an Schulungen teilnehmen.

Damit genügt es nicht, NIS2 als Projekt der IT-Abteilung zu behandeln. Die Geschäftsleitung muss die organisatorischen Voraussetzungen schaffen, wesentliche Risiken verstehen, Prioritäten und Ressourcen festlegen sowie kontrollieren, ob beschlossene Maßnahmen tatsächlich umgesetzt werden und wirksam sind.

Die Pflicht ist fortlaufend. Systeme, Dienstleister, Bedrohungen und Geschäftsprozesse verändern sich. Ein einmaliger Beschluss oder eine punktuelle Bestandsaufnahme ersetzt deshalb kein dauerhaftes Cyberrisiko-Management.

Wer gilt nach dem BSI-Gesetz als Geschäftsleitung?

Geschäftsleitung ist nach § 2 Nummer 13 BSIG eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer wichtigen oder besonders wichtigen Einrichtung berufen ist.

In der Praxis betrifft das insbesondere:

• Geschäftsführer einer GmbH,
• Vorstandsmitglieder einer Aktiengesellschaft,
• geschäftsführende Direktoren sowie
• je nach Rechtsform geschäftsführende oder persönlich haftende Gesellschafter.

CISO, IT-Leitung, Informationssicherheitsbeauftragte, Datenschutzbeauftragte und Compliance-Verantwortliche können wichtige Umsetzungs- und Kontrollaufgaben übernehmen. Allein durch ihre Funktion werden sie jedoch nicht zur Geschäftsleitung im Sinne des BSI-Gesetzes und ersetzen nicht die Verantwortung der gesetzlichen Leitungsorgane.

Welche Pflichten hat die Geschäftsleitung konkret?

§ 38 BSIG nennt Umsetzung, Überwachung und Schulung. In der Unternehmenspraxis lassen sich daraus sechs zentrale Leitungsaufgaben ableiten:

1. Betroffenheit und Scope klären: Die Geschäftsleitung muss veranlassen, dass die betroffenen Gesellschaften, Dienste, Standorte und Systeme bestimmt werden.
2. Governance festlegen: Rollen, Berichtslinien, Entscheidungsbefugnisse und Eskalationswege müssen eindeutig geregelt sein.
3. Risiken und Maßnahmen bewerten: Die Leitung braucht einen verständlichen Überblick über wesentliche Cyberrisiken, bestehende Kontrollen, Lücken und Restrisiken.
4. Prioritäten und Ressourcen entscheiden: Maßnahmen benötigen Verantwortliche, Termine, Budgets und gegebenenfalls Übergangslösungen.
5. Umsetzung und Wirksamkeit überwachen: Statusberichte allein genügen nicht. Kritische Abweichungen müssen eskaliert, Entscheidungen nachverfolgt und Kontrollen auf ihre Wirksamkeit geprüft werden.
6. Schulung und Nachweise sicherstellen: Geschäftsleitungsmitglieder müssen ihre eigene Schulungspflicht erfüllen und wesentliche Entscheidungen und Kontrollen nachvollziehbar dokumentieren.

Die technischen und organisatorischen Pflichtfelder ergeben sich aus § 30 BSIG. Dazu gehören unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Krisenmanagement, Lieferkettensicherheit, Schwachstellenmanagement, Wirksamkeitskontrollen, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung.

Kann die Geschäftsleitung NIS2 an die IT delegieren?

Ja, operative und fachliche Aufgaben dürfen delegiert werden. Die IT kann technische Maßnahmen umsetzen, die Informationssicherheit kann Risiken bewerten und Compliance oder Recht können regulatorische Anforderungen einordnen.

Nicht delegierbar ist die Verantwortung, eine geeignete Organisation einzurichten und deren Funktion zu überwachen. Eine belastbare Delegation setzt deshalb mindestens voraus:

• eine klare und dokumentierte Aufgabenbeschreibung,
• fachlich geeignete und ausreichend unabhängige Verantwortliche,
• angemessene personelle, technische und finanzielle Ressourcen,
• feste Berichts- und Eskalationswege,
• regelmäßige Kontrollen der Umsetzung und Wirksamkeit sowie
• eine Rückgabe an die Geschäftsleitung, wenn Risiken oder Zielkonflikte nicht operativ gelöst werden können.

Wann haftet die Geschäftsleitung persönlich?

Eine persönliche Haftung folgt weder automatisch aus einem NIS2-Verstoß noch aus einem Cyberangriff. § 38 Absatz 2 BSIG knüpft die Haftung grundsätzlich an die für die jeweilige Rechtsform geltenden gesellschaftsrechtlichen Regeln. Für GmbH-Geschäftsführer ist insbesondere § 43 GmbHG, für Vorstandsmitglieder einer Aktiengesellschaft insbesondere § 93 AktG relevant.

Für einen Innenhaftungsanspruch der Einrichtung müssen grundsätzlich vier Punkte zusammenkommen:

1. Das Geschäftsleitungsmitglied hat eine ihm obliegende Pflicht verletzt.
2. Die Pflichtverletzung erfolgte schuldhaft, also vorsätzlich oder fahrlässig.
3. Der Einrichtung ist ein ersatzfähiger Schaden entstanden.
4. Die Pflichtverletzung war für diesen Schaden ursächlich.

Typische Risikosituationen sind beispielsweise:

• Die NIS2-Betroffenheit wird trotz erkennbarer Anhaltspunkte nicht geprüft.
• Wesentliche Sicherheitslücken sind bekannt, werden aber weder bewertet noch bearbeitet.
• Erforderliche Budgets werden ohne belastbare Risikoabwägung abgelehnt.
• Es fehlen klare Melde-, Notfall- oder Eskalationsprozesse.
• Kritische Dienstleister- und Lieferkettenrisiken werden ignoriert.
• Die Geschäftsleitung erhält keine regelmäßigen Risikoberichte oder reagiert nicht auf eskalierte Abweichungen.
• Schulungen, Entscheidungen und Kontrollen werden nicht nachweisbar dokumentiert.

Der Schwerpunkt von § 38 Absatz 2 BSIG liegt auf der Innenhaftung gegenüber der eigenen Einrichtung. Ansprüche von Kunden, Geschäftspartnern oder betroffenen Personen können daneben aus anderen Rechtsgrundlagen entstehen, etwa aus Vertrags-, Delikts- oder Datenschutzrecht. Sie sind gesondert zu prüfen.

Welche Rolle spielt die Business Judgment Rule?

Die Business Judgment Rule ist vor allem bei unternehmerischen Auswahl-, Priorisierungs- und Budgetentscheidungen relevant. Sie schützt jedoch nicht die Entscheidung, verbindliche gesetzliche Pflichten überhaupt nicht zu erfüllen.

Der entscheidende Unterschied lautet:

• Kein unternehmerisches Ermessen besteht darüber, ob NIS2-Pflichten beachtet werden. Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame Maßnahmen ergreifen.
• Gestaltungsspielraum besteht bei der konkreten Umsetzung. Welche Maßnahme in welcher Reihenfolge angemessen ist, hängt unter anderem von Risikoexposition, Unternehmensgröße, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle ab.

Haftungsentlastend wirkt deshalb nicht allein das Ergebnis einer Entscheidung, sondern vor allem ein ordnungsgemäßer Entscheidungsprozess. Dazu gehören eine angemessene Informationsgrundlage, eine nachvollziehbare Risikobewertung, die Prüfung realistischer Handlungsalternativen, der Umgang mit Restrisiken und die spätere Kontrolle der Umsetzung.

Führt ein Cyberangriff automatisch zur Haftung?

Nein. NIS2 verlangt ein angemessenes Risikomanagement, aber keinen lückenlosen Schutz vor jedem Angriff. Auch ein gut vorbereitetes Unternehmen kann Opfer eines Sicherheitsvorfalls werden.

Für die Haftungsfrage ist deshalb nicht allein entscheidend, ob ein Angriff erfolgreich war. Maßgeblich ist, ob die Geschäftsleitung vor dem Vorfall angemessene Maßnahmen organisiert, wesentliche Risiken überwacht und erkennbare Defizite bearbeitet hat.

Nach einem Vorfall wird besonders relevant, ob Risikoanalysen, Zuständigkeiten, Sicherheitsmaßnahmen, Notfall- und Meldeprozesse, Tests, Leitungsentscheidungen und Management-Kontrollen nachvollziehbar belegt werden können.

Welche Dokumentation schützt die Geschäftsleitung?

Dokumentation ersetzt keine wirksamen Sicherheitsmaßnahmen. Sie macht aber sichtbar, dass Risiken erkannt, Entscheidungen auf einer angemessenen Grundlage getroffen und beschlossene Maßnahmen überwacht wurden.

Geschäftsleitungen sollten insbesondere folgende Nachweise vorhalten:

1. Betroffenheits- und Scope-Vermerk: Welche Gesellschaften, Dienste, Standorte und Systeme sind erfasst?
2. Governance und Verantwortlichkeiten: Wer entscheidet, wer setzt um, wer kontrolliert und wer eskaliert?
3. Managementgerechte Risikoanalyse: Welche wesentlichen Risiken, Lücken und Abhängigkeiten bestehen?
4. Beschlüsse und Budgetentscheidungen: Welche Maßnahmen wurden priorisiert, finanziert, verschoben oder abgelehnt und warum?
5. Maßnahmen- und Risikobehandlungsplan: Wer erledigt was bis wann und welche Übergangskontrollen gelten?
6. Status- und Wirksamkeitsberichte: Wurden Maßnahmen nur eingeführt oder funktionieren sie tatsächlich?
7. Incident- und Meldeprozess: Sind Bewertung, Eskalation und gesetzliche Meldungen innerhalb der Fristen organisatorisch abgesichert und getestet?
8. Lieferketten- und Dienstleisterkontrollen: Werden kritische Abhängigkeiten, Sicherheitsanforderungen und Meldewege angemessen gesteuert?
9. Schulungs- und Review-Nachweise: Wann wurde die Geschäftsleitung geschult und wann hat sie den Umsetzungsstand überprüft?

Die Unterlagen sollten aktuell, konsistent und im Ernstfall auffindbar sein. Ein umfangreicher Dokumentenbestand hilft wenig, wenn Beschlüsse, Risikoberichte und tatsächliche Umsetzung einander widersprechen.

Was verlangt die Schulungspflicht?

Geschäftsleitungsmitglieder wichtiger und besonders wichtiger Einrichtungen müssen nach § 38 Absatz 3 BSIG regelmäßig an Schulungen teilnehmen. Ziel ist, Risiken und Risikomanagementpraktiken im Bereich der IT-Sicherheit erkennen und bewerten sowie ihre Auswirkungen auf die erbrachten Dienste beurteilen zu können.

Eine Geschäftsleitungsschulung sollte deshalb nicht bei allgemeinen Phishing-Hinweisen stehen bleiben. Sie sollte die Leitung in die Lage versetzen, insbesondere folgende Fragen zu beantworten:

• Welche NIS2-Pflichten und wesentlichen Cyberrisiken betreffen unsere Einrichtung?
• Welche Risikomanagementmaßnahmen bestehen und wo gibt es kritische Lücken?
• Welche Kennzahlen und Berichte benötigen wir zur Überwachung?
• Wie funktionieren Eskalation, Krisenorganisation und gesetzliche Meldungen?
• Welche Entscheidungen müssen wir selbst treffen und dokumentieren?

Das Gesetz nennt keinen starren jährlichen Turnus. Das Unternehmen sollte daher ein nachvollziehbares, risikoorientiertes Schulungskonzept festlegen und Anlassschulungen etwa bei wesentlichen Änderungen der Risikolage, Organisation oder Rechtslage vorsehen. Datum, Teilnehmende, Inhalte und Unterlagen sollten dokumentiert werden. Das BSI stellt hierzu eine Handreichung zur Geschäftsleitungsschulung bereit.

Welche weiteren Folgen können Pflichtverstöße haben?

Persönliche Innenhaftung, Unternehmensbußgelder und aufsichtsrechtliche Maßnahmen sind voneinander zu unterscheiden.

• Innenhaftung: Ein Geschäftsleitungsmitglied kann der eigenen Einrichtung für einen schuldhaft verursachten Schaden haften.
• Bußgelder: Verstöße gegen zentrale Pflichten des BSI-Gesetzes können erhebliche Geldbußen gegen die Einrichtung auslösen. Einzelheiten behandelt unser Beitrag zu den NIS2-Bußgeldern.
• Aufsichtsmaßnahmen: Das BSI kann unter den gesetzlichen Voraussetzungen Prüfungen, Nachweise, Mängelbeseitigungspläne und konkrete Umsetzungsmaßnahmen verlangen.

Für besonders wichtige Einrichtungen sieht § 61 Absatz 9 BSIG als letztes Mittel auch eine vorübergehende Untersagung der Leitungstätigkeit vor. Dafür genügt nicht irgendein Verstoß. Voraussetzung ist insbesondere, dass die Einrichtung einer Anordnung des BSI trotz Fristsetzung nicht nachkommt; die zuständige Aufsichtsbehörde entscheidet über die Maßnahme gegenüber einer als unzuverlässig bewerteten Geschäftsleitung.

Hilft eine D&O-Versicherung bei NIS2-Haftung?

Eine D&O-Versicherung kann Abwehr- und gegebenenfalls Schadensersatzkosten abdecken. Sie ersetzt aber weder die NIS2-Umsetzung noch eine sorgfältige Leitungsorganisation.

Geschäftsleitungen sollten insbesondere prüfen lassen:

• ob Cyber- und Compliance-Risiken vom Versicherungsschutz erfasst sind,
• ob Innenhaftungsansprüche und Verteidigungskosten gedeckt sind,
• welche Ausschlüsse, insbesondere für vorsätzliche Pflichtverletzungen, gelten,
• welche Anzeige- und Mitwirkungsobliegenheiten bestehen und
• ob ausreichende Deckungssummen und Nachmeldefristen vereinbart sind.

Ob Versicherungsschutz besteht, hängt stets vom konkreten Vertrag, dem erhobenen Vorwurf und dem geltend gemachten Schaden ab. Bußgelder und andere Sanktionen sind versicherungsrechtlich besonders sensibel und dürfen nicht pauschal als gedeckt angesehen werden.

Management-Check: Ist die Geschäftsleitung belastbar aufgestellt?

Wenn die folgenden Fragen nicht klar und mit aktuellen Nachweisen beantwortet werden können, besteht regelmäßig Handlungsbedarf:

1. Ist die NIS2-Betroffenheit für alle relevanten Gesellschaften dokumentiert?
2. Sind Registrierung und zuständige Kontaktstellen geklärt?
3. Kennt die Geschäftsleitung die wesentlichen Cyberrisiken und kritischen Abhängigkeiten?
4. Sind Verantwortlichkeiten, Berichtslinien und Eskalationswege verbindlich festgelegt?
5. Gibt es einen priorisierten Maßnahmenplan mit Verantwortlichen, Terminen und Budgets?
6. Werden kritische Abweichungen und Restrisiken ausdrücklich auf Leitungsebene entschieden?
7. Wird die Wirksamkeit der Maßnahmen regelmäßig geprüft und nicht nur deren Existenz bestätigt?
8. Wurde der Prozess für erhebliche Sicherheitsvorfälle einschließlich der NIS2-Meldefristen getestet?
9. Sind wesentliche Dienstleister und Lieferketten in das Risikomanagement einbezogen?
10. Sind Schulungen, Management-Reviews und zentrale Entscheidungen vollständig dokumentiert?

Ein belastbares NIS2-System verbindet diese Punkte zu einem wiederkehrenden Leitungsprozess: informieren, entscheiden, umsetzen, kontrollieren und nachsteuern.

NIS2-Beratung für Geschäftsleitungen

NIS2-Verantwortung und Haftungsrisiken strukturiert prüfen

Wir prüfen Ihre NIS2-Betroffenheit, Governance, Leitungsentscheidungen und Nachweise und zeigen, welche Maßnahmen jetzt priorisiert werden sollten.

Unverbindliches Erstgespräch anfragen

Persönliche Ersteinschätzung · Praxisorientierte Handlungsempfehlungen · Klare nächste Schritte

Häufige Fragen zur NIS2-Haftung

Haftet ein Geschäftsführer persönlich für NIS2-Verstöße?

Eine persönliche Haftung ist möglich, aber kein Automatismus. Maßgeblich sind die auf die Rechtsform anwendbaren gesellschaftsrechtlichen Regeln. Erforderlich sind grundsätzlich eine schuldhafte Pflichtverletzung, ein Schaden der Einrichtung und ein ursächlicher Zusammenhang.

Kann die Geschäftsleitung NIS2 vollständig an die IT delegieren?

Nein. Operative und technische Aufgaben können delegiert werden. Die Verantwortung für eine geeignete Organisation, angemessene Ressourcen, Überwachung und Leitungsentscheidungen bleibt bei Geschäftsführung und Vorstand.

Muss jedes Geschäftsleitungsmitglied geschult werden?

§ 38 Absatz 3 BSIG verpflichtet die Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen zur regelmäßigen Teilnahme an Schulungen. Die Schulung muss ausreichende Kenntnisse und Fähigkeiten vermitteln, um Cyberrisiken und Risikomanagementmaßnahmen beurteilen zu können.

Schützt die Business Judgment Rule bei NIS2-Entscheidungen?

Sie kann unternehmerische Entscheidungen über die konkrete Ausgestaltung und Priorisierung von Maßnahmen schützen, wenn diese auf einer angemessenen Informationsgrundlage und zum Wohl der Gesellschaft getroffen werden. Sie rechtfertigt jedoch nicht, verbindliche gesetzliche Pflichten unbeachtet zu lassen.

Reicht ein Cyberangriff für eine persönliche Haftung aus?

Nein. Ein Angriff allein beweist keine Pflichtverletzung. Entscheidend ist, ob die Geschäftsleitung angemessene Maßnahmen organisiert, wesentliche Risiken überwacht und erkennbare Defizite bearbeitet hat.

Was sollte die Geschäftsleitung zuerst tun?

Am Anfang steht eine dokumentierte Betroffenheits- und Scope-Prüfung. Danach sollten Governance, wesentliche Risiken, Registrierung, Maßnahmenplan, Schulung, Berichtswesen sowie Incident- und Meldeprozesse priorisiert werden.

Hinweis