Die Geschäftsführerhaftung ist eine der wichtigsten Neuerungen des NIS2-Umsetzungsgesetzes (NIS2UmsuCG): § 38 BSIG macht die Geschäftsleitung persönlich dafür verantwortlich, dass die Risikomanagementmaßnahmen nach § 30 BSIG umgesetzt werden. Diese Pflicht kann nicht an den CISO oder die IT-Abteilung delegiert werden — die Geschäftsleitung muss die Umsetzung selbst überwachen und regelmäßig an Schulungen teilnehmen.
Was § 38 BSIG konkret verlangt
- Die Geschäftsleitung muss die Umsetzung der Risikomanagementmaßnahmen überwachen
- Diese Pflicht ist nicht delegierbar
- Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen
- Bei Pflichtverletzung haftet die Geschäftsleitung dem Unternehmen gegenüber nach den gesellschaftsrechtlichen Regeln
Wichtig: Die Beweislast liegt beim Geschäftsführer. Nicht das BSI muss Ihnen Versäumnisse nachweisen — Sie müssen nachweisen können, dass Sie Ihre Pflichten erfüllt haben.
Welche Konsequenzen drohen?
- Schadensersatzansprüche des eigenen Unternehmens bei Pflichtverletzung
- Haftung mit dem Privatvermögen nach gesellschaftsrechtlichen Grundsätzen
- Abberufung von Leitungsaufgaben durch die Aufsichtsbehörde
- Reputationsschäden durch öffentliche Bekanntmachung von Verstößen
Hinzu kommen Unternehmensbußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes — Details unter NIS2-Bußgelder.
Schützt eine D&O-Versicherung?
Nur eingeschränkt. Typische D&O-Policen decken Verteidigungskosten und Schadensersatzforderungen Dritter ab. Behördliche Bußgelder sind jedoch meist ausgeschlossen, ebenso vorsätzliche oder wissentliche Pflichtverletzungen — etwa wenn Sie von Sicherheitsmängeln wussten und nichts unternommen haben. Lassen Sie Ihre Police von einem spezialisierten Makler auf NIS2-Deckung prüfen.
Wie Sie sich als Geschäftsführer schützen
- Dokumentieren Sie alles: Beschlüsse, Budgetfreigaben, Risikobewertungen — im Streitfall ist Dokumentation Ihr wichtigster Schutz.
- Nehmen Sie an Schulungen teil und dokumentieren Sie jede Teilnahme mit Datum, Thema und Anbieter.
- Setzen Sie ein Risikomanagement auf, das alle 10 NIS2-Maßnahmenbereiche abdeckt.
- Stellen Sie Budget bereit und dokumentieren Sie die Freigaben samt Begründung.
- Etablieren Sie Berichtswege: Cybersicherheit gehört regelmäßig und protokolliert auf die Agenda der Geschäftsleitung.
Ob Ihr Unternehmen überhaupt unter NIS2 fällt, klären Sie im kostenlosen Betroffenheitscheck. Vertiefend: unser Artikel zur NIS2-Geschäftsführerhaftung.