Zurück zum Blog
1. März 20259 Min.

Daniel Weller· Gründer, NIS2coPilot

NIS2 Geschäftsführerhaftung: Persönliche Haftung, Bußgelder und Schutzmaßnahmen

NIS2 macht Geschäftsführer persönlich haftbar für Cybersicherheit. Erfahren Sie, welche Bußgelder drohen, was § 38 BSIG bedeutet und wie Sie sich schützen.

Geschäftsführerhaftung unter NIS2 — was Sie wissen müssen

Die NIS2-Richtlinie bringt eine fundamentale Neuerung für die deutsche Unternehmenslandschaft: Geschäftsführer haften persönlich für die Umsetzung von Cybersicherheitsmaßnahmen. Das ist keine abstrakte Drohung — § 38 BSIG macht die Verantwortung unmissverständlich klar.

Was sagt § 38 BSIG konkret?

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) regelt in § 38 BSIG die Pflichten der Geschäftsleitung:

  • Die Geschäftsleitung muss die Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG überwachen
  • Diese Pflicht ist nicht delegierbar — sie kann nicht an den CISO oder die IT-Abteilung abgeschoben werden
  • Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen
  • Bei Pflichtverletzung haftet die Geschäftsleitung dem Unternehmen gegenüber nach den gesellschaftsrechtlichen Regeln

Wichtig: Die Beweislast liegt beim Geschäftsführer. Nicht das BSI muss nachweisen, dass Sie nichts getan haben — Sie müssen nachweisen, dass Sie Ihre Pflichten erfüllt haben.

Welche Bußgelder drohen?

Die Höhe der Bußgelder richtet sich nach der Einstufung Ihres Unternehmens:

KategorieMaximales BußgeldAlternative
Besonders wichtige Einrichtungen10 Mio. Eurooder 2% des weltweiten Jahresumsatzes
Wichtige Einrichtungen7 Mio. Eurooder 1,4% des weltweiten Jahresumsatzes

Es gilt jeweils der höhere Betrag. Bei einem Unternehmen mit 600 Mio. Euro Umsatz wäre das Bußgeld für eine besonders wichtige Einrichtung bis zu 12 Mio. Euro (2% von 600 Mio.).

Persönliche Konsequenzen für Geschäftsführer

Neben den Unternehmensbußgeldern drohen Geschäftsführern:

  • Schadensersatzansprüche des eigenen Unternehmens bei Pflichtverletzung
  • Abberufung von Leitungsaufgaben durch die Aufsichtsbehörde
  • Haftung mit dem Privatvermögen nach gesellschaftsrechtlichen Grundsätzen
  • Reputationsschäden durch öffentliche Bekanntmachung von Verstößen

D&O-Versicherung unter NIS2

Viele Geschäftsführer verlassen sich auf ihre D&O-Versicherung (Directors and Officers). Doch Vorsicht:

Was typische D&O-Policen abdecken

  • Verteidigungskosten bei Haftungsansprüchen
  • Schadensersatzforderungen Dritter
  • Kosten für Krisenmanagement

Was oft NICHT abgedeckt ist

  • Bußgelder und Strafen — die meisten D&O-Policen schließen behördliche Bußgelder aus
  • Vorsätzliche Pflichtverletzungen — wenn Sie nachweislich Cybersicherheit ignoriert haben
  • Wissentliche Verstöße — wenn Sie von Mängeln wussten und nichts unternommen haben

Empfehlung: Lassen Sie Ihre D&O-Police von einem spezialisierten Makler auf NIS2-Deckung prüfen. Fragen Sie explizit nach Cyber-Erweiterungsklauseln.

5 Schritte zum Schutz als Geschäftsführer

1. Dokumentieren Sie alles

Führen Sie ein NIS2-Compliance-Log: Welche Maßnahmen wurden wann beschlossen? Welche Budgets wurden freigegeben? Welche Risiken wurden bewertet? Im Streitfall ist Dokumentation Ihr wichtigster Schutz.

2. Nehmen Sie an Schulungen teil

§ 38 BSIG verlangt explizit, dass die Geschäftsleitung an Cybersicherheitsschulungen teilnimmt. Dokumentieren Sie jede Teilnahme mit Datum, Thema und Anbieter.

3. Setzen Sie ein Risikomanagement auf

Implementieren Sie einen strukturierten Risikomanagement-Prozess für alle 10 NIS2-Maßnahmenbereiche. Die NIS2coPilot Gap-Analyse bewertet Ihren Reifegrad in jedem Bereich.

4. Stellen Sie Budget bereit

Cybersicherheit braucht angemessene Ressourcen. Dokumentieren Sie Budgetfreigaben und die Begründung für die Mittelallokation.

5. Etablieren Sie Berichtswege

Sorgen Sie dafür, dass Cybersicherheitsthemen regelmäßig auf der Geschäftsleitungsebene besprochen werden. Protokollieren Sie diese Besprechungen.

Häufige Fehler vermeiden

  • "Das macht die IT-Abteilung" — Die Pflicht ist nicht delegierbar. Sie müssen überwachen.
  • "Wir sind zu klein für Cyberangriffe" — Die Größe schützt nicht vor Bußgeldern.
  • "Unsere D&O deckt das ab" — Prüfen Sie die Police. Meistens nicht.
  • "Wir haben ja eine Firewall" — NIS2 verlangt ein umfassendes Risikomanagement, nicht nur technische Maßnahmen.

Fazit

Die persönliche Haftung unter NIS2 ist kein theoretisches Risiko. Sie ist geltendes Recht. Geschäftsführer, die jetzt nicht handeln, setzen nicht nur ihr Unternehmen, sondern auch ihr persönliches Vermögen aufs Spiel.

Der beste Schutz ist proaktives Handeln: Risiken identifizieren, Maßnahmen umsetzen, alles dokumentieren.

NIS2coPilot unterstützt Sie dabei mit Gap-Analyse, Dokumentengenerator und Schulungsmodulen — starten Sie jetzt kostenlos.

NIS2-Updates erhalten

Praxistipps, Checklisten und aktuelle NIS2-Entwicklungen direkt ins Postfach — kostenlos, kein Spam.

Kein Spam. Jederzeit abmeldbar.