Geschäftsführerhaftung unter NIS2 — was Sie wissen müssen
Die NIS2-Richtlinie bringt eine fundamentale Neuerung für die deutsche Unternehmenslandschaft: Geschäftsführer haften persönlich für die Umsetzung von Cybersicherheitsmaßnahmen. Das ist keine abstrakte Drohung — § 38 BSIG macht die Verantwortung unmissverständlich klar.
Was sagt § 38 BSIG konkret?
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) regelt in § 38 BSIG die Pflichten der Geschäftsleitung:
- Die Geschäftsleitung muss die Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG überwachen
- Diese Pflicht ist nicht delegierbar — sie kann nicht an den CISO oder die IT-Abteilung abgeschoben werden
- Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen
- Bei Pflichtverletzung haftet die Geschäftsleitung dem Unternehmen gegenüber nach den gesellschaftsrechtlichen Regeln
Wichtig: Die Beweislast liegt beim Geschäftsführer. Nicht das BSI muss nachweisen, dass Sie nichts getan haben — Sie müssen nachweisen, dass Sie Ihre Pflichten erfüllt haben.
Welche Bußgelder drohen?
Die Höhe der Bußgelder richtet sich nach der Einstufung Ihres Unternehmens:
| Kategorie | Maximales Bußgeld | Alternative |
|---|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. Euro | oder 2% des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. Euro | oder 1,4% des weltweiten Jahresumsatzes |
Es gilt jeweils der höhere Betrag. Bei einem Unternehmen mit 600 Mio. Euro Umsatz wäre das Bußgeld für eine besonders wichtige Einrichtung bis zu 12 Mio. Euro (2% von 600 Mio.).
Persönliche Konsequenzen für Geschäftsführer
Neben den Unternehmensbußgeldern drohen Geschäftsführern:
- Schadensersatzansprüche des eigenen Unternehmens bei Pflichtverletzung
- Abberufung von Leitungsaufgaben durch die Aufsichtsbehörde
- Haftung mit dem Privatvermögen nach gesellschaftsrechtlichen Grundsätzen
- Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
D&O-Versicherung unter NIS2
Viele Geschäftsführer verlassen sich auf ihre D&O-Versicherung (Directors and Officers). Doch Vorsicht:
Was typische D&O-Policen abdecken
- Verteidigungskosten bei Haftungsansprüchen
- Schadensersatzforderungen Dritter
- Kosten für Krisenmanagement
Was oft NICHT abgedeckt ist
- Bußgelder und Strafen — die meisten D&O-Policen schließen behördliche Bußgelder aus
- Vorsätzliche Pflichtverletzungen — wenn Sie nachweislich Cybersicherheit ignoriert haben
- Wissentliche Verstöße — wenn Sie von Mängeln wussten und nichts unternommen haben
Empfehlung: Lassen Sie Ihre D&O-Police von einem spezialisierten Makler auf NIS2-Deckung prüfen. Fragen Sie explizit nach Cyber-Erweiterungsklauseln.
5 Schritte zum Schutz als Geschäftsführer
1. Dokumentieren Sie alles
Führen Sie ein NIS2-Compliance-Log: Welche Maßnahmen wurden wann beschlossen? Welche Budgets wurden freigegeben? Welche Risiken wurden bewertet? Im Streitfall ist Dokumentation Ihr wichtigster Schutz.
2. Nehmen Sie an Schulungen teil
§ 38 BSIG verlangt explizit, dass die Geschäftsleitung an Cybersicherheitsschulungen teilnimmt. Dokumentieren Sie jede Teilnahme mit Datum, Thema und Anbieter.
3. Setzen Sie ein Risikomanagement auf
Implementieren Sie einen strukturierten Risikomanagement-Prozess für alle 10 NIS2-Maßnahmenbereiche. Die NIS2coPilot Gap-Analyse bewertet Ihren Reifegrad in jedem Bereich.
4. Stellen Sie Budget bereit
Cybersicherheit braucht angemessene Ressourcen. Dokumentieren Sie Budgetfreigaben und die Begründung für die Mittelallokation.
5. Etablieren Sie Berichtswege
Sorgen Sie dafür, dass Cybersicherheitsthemen regelmäßig auf der Geschäftsleitungsebene besprochen werden. Protokollieren Sie diese Besprechungen.
Häufige Fehler vermeiden
- "Das macht die IT-Abteilung" — Die Pflicht ist nicht delegierbar. Sie müssen überwachen.
- "Wir sind zu klein für Cyberangriffe" — Die Größe schützt nicht vor Bußgeldern.
- "Unsere D&O deckt das ab" — Prüfen Sie die Police. Meistens nicht.
- "Wir haben ja eine Firewall" — NIS2 verlangt ein umfassendes Risikomanagement, nicht nur technische Maßnahmen.
Fazit
Die persönliche Haftung unter NIS2 ist kein theoretisches Risiko. Sie ist geltendes Recht. Geschäftsführer, die jetzt nicht handeln, setzen nicht nur ihr Unternehmen, sondern auch ihr persönliches Vermögen aufs Spiel.
Der beste Schutz ist proaktives Handeln: Risiken identifizieren, Maßnahmen umsetzen, alles dokumentieren.
NIS2coPilot unterstützt Sie dabei mit Gap-Analyse, Dokumentengenerator und Schulungsmodulen — starten Sie jetzt kostenlos.