NIS2-Geschäftsführerhaftung: Was Verantwortliche jetzt wissen müssen

NIS2 bringt neue Pflichten und Verantwortlichkeiten

In der EU gilt sie bereits, in Deutschland steht die Umsetzung in nationales Recht noch an: Die NIS2-Richtlinie der EU verpflichtet mehr Unternehmen und Branchen als bisher dazu, Sicherheitsvorkehrungen zu treffen, um die Auswirkungen von Cyberattacken auf den Geschäftsbetrieb zu reduzieren und Informationen und Daten in Unternehmen besser zu schützen.

Dafür schreibt die Richtlinie verschiedene Maßnahmen vor, zum Beispiel Verfahren zur Cyberhygiene, Notfallpläne und regelmäßige Sicherheitsüberprüfungen und Risikobewertungen. Geschäftsführer sind laut Artikel 20 der neuen NIS2-Richtlinie dazu verpflichtet, die Einhaltung der Vorgaben persönlich zu überwachen.  

Der Gesetzgeber erwartet von der Geschäftsleitung unter anderem, aktiv zu handeln und ein solides Sicherheitsmanagement im Unternehmen zu etablieren. Neu ist die Vorgabe, dass die Geschäftsführung dazu verpflichtet ist, selbst an Sicherheitsschulungen teilzunehmen.

Da die NIS2-Richtlinie für mehr Unternehmen gilt als ihre Vorgängerin, müssen sich künftig auch mehr Führungsebenen mit IT-Sicherheit auseinandersetzen. Allerdings tun Geschäftsführer auch heute schon gut daran, das Thema Informationssicherheit ernst zu nehmen.

Status quo Geschäftsführerhaftung: Das gilt bis zum Inkrafttreten von NIS2

Die Umsetzung der NIS2-Richtlinie für Deutschland steht voraussichtlich Ende 2025 an, I m Zuge der Umsetzung wird auch das BSI-Gesetz (BSIG) novelliert. Geschäftsführer unterliegen allerdings schon heute einer Sorgfalts-, Legalitäts- und Überwachungspflicht. Diese Pflicht ergibt sich aus § 43 des GmbH-Gesetzes (GmbHG) und § 93 des Aktiengesetzes (AktG). Demnach gilt:

• IT- und Informationssicherheit ist Teil der Geschäftsführungsaufgabe.

• Auch ohne besondere Gesetze wie das BSIG oder die DSGVO müssen Geschäftsführer ein angemessenes Risikomanagement einführen.

• Wer dabei fahrlässig oder vorsätzlich seine Pflichten verletzt, kann zivilrechtlich haftbar gemacht werden, insbesondere gegenüber der eigenen Gesellschaft.

Beispiel: Kommt es infolge mangelnder Cybersicherheit zu einem Schaden, etwa durch einen Ransomware-Angriff, und wäre der Schaden bei ordnungsgemäßer Sorgfalt vermeidbar gewesen, kann die Geschäftsleitung mit ihrem Privatvermögen haftbar gemacht werden.

Was ändert NIS2 an der Geschäftsführerhaftung?

Die NIS2-Richtlinie bringt keine grundlegenden Neuerungen bei der Haftung der Geschäftsleistung, aber sie konkretisiert und verschärft bestehende Pflichten.

Entsprechend des aktuellen Referentenentwurfs von Juni 2025 soll NIS2 konkret folgendes regeln:

• Explizite Verantwortung der Geschäftsleitung für Cybersicherheit: Leitungsorgane müssen die Sicherheitsmaßnahmen billigen, überwachen und sind verantwortlich für deren Einhaltung (Art. 20 Abs. 1 NIS2; § 38 BSIG-E).

• Verpflichtende Schulungen für Geschäftsführer: Mindestens alle 3 Jahre müssen Führungskräfte Schulungen zu Cyberrisiken und Sicherheitsmaßnahmen absolvieren (§ 38 Abs. 3 BSIG-E).

• Haftungsverschärfung durch gesetzliche Klarstellung: Die Haftung ergibt sich wie bisher aus GmbHG oder AktG. Doch § 38 BSIG-E formuliert das nun explizit für den Bereich Cybersicherheit. Für Geschäftsformen ohne klare gesellschaftsrechtliche Haftung wie Stiftungen oder eingetragene Vereine enthält § 38 BSIG-E einen Auffangtatbestand zur direkten Haftung.

• Unverzichtbarkeit der Haftung: Ein Verzicht auf die Haftung durch Verträge wie die Gesellschaftervereinbarung soll nicht zulässig sein (§ 38 Abs. 2 S. 3 BSIG-E).

NIS2-Haftung: Welche Konsequenzen drohen Geschäftsführern?

Halten Unternehmen die Vorgaben der NIS2-Richtlinie nicht ein, müssen sie im schlimmsten Fall mit empfindlichen Geldstrafen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes rechnen.  

Die Folgen von Verstößen gegen die NIS2-Richtlinie sind allerdings nicht nur finanzieller Natur, sondern gefährden die Reputation eines Unternehmens und können darüber hinaus die Geschäftsführung treffen.

Erfolgt ein Cyberangriff auf das Unternehmen, weil keine ausreichenden Sicherheitsmaßnahmen implementiert wurden, kann die Führungsebene dafür persönlich haftbar gemacht werden. Das gilt auch, wenn ein Verstoß auf Unachtsamkeit oder Nachlässigkeit der IT-Abteilung zurückzuführen ist.  

Die folgenden Szenarien zeigen beispielhaft, wie sich mangelhafte Schutzvorkehrungen auswirken können:

• In der IT-Infrastruktur bestehen Schwachstellen, die über längere Zeit nicht behoben wurden und Angreifern als Einfallstor dienten.

• Das Unternehmen hat keine angemessenen Mitarbeiterschulungen zur Cybersicherheit durchgeführt, weshalb Angreifer mit einer Phishing-Attacke Erfolg hatten.

• Es ist keine angemessene Risikobewertung oder Sicherheitsüberprüfung der eingesetzten Systeme erfolgt, wodurch Datenlecks entstanden und Informationen in die falschen Hände geraten sind.

Besonders kritisch können solche Fehler für verantwortliche Personen werden, wenn man ihnen grobe Fahrlässigkeit oder sogar Vorsatz nachweisen kann.

Was bedeutet Informationssicherheit konkret und was ist der Unterschied zur IT-Sicherheit? Jetzt nachlesen!

Wie können Unternehmen und Geschäftsführer sich absichern?

Geschäftsführer sind verpflichtet, sich über die Anforderungen der NIS2 zu informieren und sicherzustellen, dass alle notwendigen Maßnahmen ergriffen werden. Außerdem müssen sie dafür sorgen, dass in ihrem Unternehmen Schulungen für die Cybersicherheit stattfinden und selbst daran teilnehmen.

Proaktives Handeln ist entscheidend, wenn Führungskräfte ihr Unternehmen und sich selbst vor rechtlichen Konsequenzen schützen wollen. Um die Haftung zu minimieren, sollten Geschäftsführer und IT-Verantwortliche deshalb eine Reihe von Maßnahmen ergreifen:

• Schulungen anbieten und wahrnehmen: Alle Mitarbeiter inklusive der Geschäftsführung müssen regelmäßig an Datenschutzschulungen teilnehmen, um über die neuesten Cyberbedrohungen und Sicherheitslösungen informiert zu sein.

• Audits durchführen lassen: Regelmäßige Sicherheitsaudits sorgen dafür, dass Schwachstellen frühzeitig identifiziert und effektiv behoben werden können.

• Sicherheitslösungen etablieren: Unternehmen sollten in geeignete Netzwerksicherheits- und Datenschutzsoftware investieren, die den aktuellen Bedrohungen gewachsen ist.

• Up to date bleiben: Damit im Unternehmen ausreichend Know-how vorhanden ist, um Cyberangriffe abzuwehren, empfiehlt es sich, neben Schulungen auf die Zusammenarbeit mit externen Experten und Datenschutzbeauftragten zu setzen. So stellen Unternehmen sicher, dass sie neben der NIS2 auch andere Richtlinien wie die DSGVO korrekt umsetzen.

Tipp: Ein Informationssicherheitsmanagementsystem (ISMS) hilft Ihnen, Ihr Unternehmen effektiv und strategisch gegen Gefahren aus dem Cyberraum abzusichern und gibt Ihnen die Chance, sich eine begehrte ISO-27001-Zertifizierung zu sichern.

Fazit zur NIS2-Haftung: Informationssicherheit lieber früher als später stärken

Geschäftsführer sind schon heute verpflichtet, für angemessene Informationssicherheit zu sorgen – NIS2 macht diese Pflicht nur sichtbarer, überprüfbarer und haftungssicherer. Wer Informationssicherheit bisher aufschiebt, riskiert nicht nur Bußgelder, sondern haftet im schlimmsten Fall sogar persönlich.