NIS2-Geschäftsführerhaftung: Was Verantwortliche jetzt wissen müssen

NIS2 bringt neue Pflichten und Verantwortlichkeiten

Die NIS2-Richtlinie der EU ist seit dem 6. Dezember 2025 auch in Deutschland in Kraft. Die Regelung der EU verpflichtet mehr Unternehmen und Branchen als bisher dazu, Sicherheitsvorkehrungen zu treffen, um die Auswirkungen von Cyberattacken auf den Geschäftsbetrieb zu reduzieren und Informationen und Daten in Unternehmen besser zu schützen. Rund 29.500 Unternehmen in Deutschland sind betroffen – ein Anstieg von bisher ca. 4.500 regulierten Organisationen.

Dafür schreibt die Richtlinie verschiedene Maßnahmen vor, zum Beispiel Verfahren zur Cyberhygiene, Notfallpläne und regelmäßige Sicherheitsüberprüfungen und Risikobewertungen. Geschäftsführer sind laut Artikel 20 der neuen NIS2-Richtlinie dazu verpflichtet, die Einhaltung der Vorgaben persönlich zu überwachen. Mindestens alle 3 Jahre müssen Führungskräfte Schulungen zu Cyberrisiken und Sicherheitsmaßnahmen absolvieren.

Der Gesetzgeber erwartet von der Geschäftsleitung unter anderem, aktiv zu handeln und ein solides Sicherheitsmanagement im Unternehmen zu etablieren. Neu ist die Vorgabe, dass die Geschäftsführung dazu verpflichtet ist, selbst an Sicherheitsschulungen teilzunehmen.

Da die NIS2-Richtlinie für mehr Unternehmen gilt als ihre Vorgängerin, müssen sich künftig auch mehr Führungsebenen mit IT-Sicherheit auseinandersetzen. Allerdings tun Geschäftsführer auch heute schon gut daran, das Thema Informationssicherheit ernst zu nehmen.

Persönliche Haftung als Geschäftsführer vermeiden?

NIS2 macht Cybersicherheit zur Chefsache und verschärft die Geschäftsführerhaftung. Prüfen Sie kostenlos, ob Ihr Unternehmen betroffen ist und welche Maßnahmen Sie jetzt ergreifen müssen.

Kostenlosen NIS2-Check starten

Geschäftsführerhaftung: Rechtliche Grundlagen und aktuelle Regelungen

Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Im Zuge der Umsetzung wurde auch das BSI-Gesetz (BSIG) novelliert. Geschäftsführer unterliegen allerdings schon seit jeher einer Sorgfalts-, Legalitäts- und Überwachungspflicht. Diese Pflicht ergibt sich aus § 43 des GmbH-Gesetzes (GmbHG) und § 93 des Aktiengesetzes (AktG). Demnach gilt:

• IT- und Informationssicherheit ist Teil der Geschäftsführungsaufgabe.

• Auch ohne besondere Gesetze wie das BSIG oder die DSGVO müssen Geschäftsführer ein angemessenes Risikomanagement einführen.

• Wer dabei fahrlässig oder vorsätzlich seine Pflichten verletzt, kann zivilrechtlich haftbar gemacht werden, insbesondere gegenüber der eigenen Gesellschaft.

Beispiel: Kommt es infolge mangelnder Cybersicherheit zu einem Schaden, etwa durch einen Ransomware-Angriff, und wäre der Schaden bei ordnungsgemäßer Sorgfalt vermeidbar gewesen, kann die Geschäftsleitung mit ihrem Privatvermögen haftbar gemacht werden.

Was ändert NIS2 an der Geschäftsführerhaftung?

Die NIS2-Richtlinie bringt keine grundlegenden Neuerungen bei der Haftung der Geschäftsleistung, aber sie konkretisiert und verschärft bestehende Pflichten.

Das seit 6. Dezember 2025 geltende NIS2-Umsetzungsgesetz regelt konkret folgendes:

• Explizite Verantwortung der Geschäftsleitung für Cybersicherheit: Leitungsorgane müssen die Sicherheitsmaßnahmen billigen, überwachen und sind verantwortlich für deren Einhaltung (Art. 20 Abs. 1 NIS2; § 38 BSIG-E).

• Verpflichtende Schulungen für Geschäftsführer: Mindestens alle 3 Jahre müssen Führungskräfte Schulungen zu Cyberrisiken und Sicherheitsmaßnahmen absolvieren (§ 38 Abs. 3 BSIG-E).

• Haftungsverschärfung durch gesetzliche Klarstellung: Die Haftung ergibt sich wie bisher aus GmbHG oder AktG. Doch § 38 BSIG-E formuliert das nun explizit für den Bereich Cybersicherheit. Für Geschäftsformen ohne klare gesellschaftsrechtliche Haftung wie Stiftungen oder eingetragene Vereine enthält § 38 BSIG-E einen Auffangtatbestand zur direkten Haftung.

• Unverzichtbarkeit der Haftung: Ein Verzicht auf die Haftung durch Verträge wie die Gesellschaftervereinbarung soll nicht zulässig sein (§ 38 Abs. 2 S. 3 BSIG-E).

NIS2-Haftung: Welche Konsequenzen drohen Geschäftsführern?

Halten Unternehmen die Vorgaben der NIS2-Richtlinie nicht ein, müssen sie im schlimmsten Fall mit empfindlichen Geldstrafen. Die Höhe variiert je nach Einrichtungsart:

Bußgelder:

• Besonders wichtige Einrichtungen: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist)

Die Folgen von Verstößen gegen die NIS2-Richtlinie sind allerdings nicht nur finanzieller Natur, sondern gefährden die Reputation eines Unternehmens und können darüber hinaus die Geschäftsführung treffen.

Erfolgt ein Cyberangriff auf das Unternehmen, weil keine ausreichenden Sicherheitsmaßnahmen implementiert wurden, kann die Führungsebene dafür persönlich haftbar gemacht werden. Das gilt auch, wenn ein Verstoß auf Unachtsamkeit oder Nachlässigkeit der IT-Abteilung zurückzuführen ist.  

Die folgenden Szenarien zeigen beispielhaft, wie sich mangelhafte Schutzvorkehrungen auswirken können:

• In der IT-Infrastruktur bestehen Schwachstellen, die über längere Zeit nicht behoben wurden und Angreifern als Einfallstor dienten.

• Das Unternehmen hat keine angemessenen Mitarbeiterschulungen zur Cybersicherheit durchgeführt, weshalb Angreifer mit einer Phishing-Attacke Erfolg hatten.

• Es ist keine angemessene Risikobewertung oder Sicherheitsüberprüfung der eingesetzten Systeme erfolgt, wodurch Datenlecks entstanden und Informationen in die falschen Hände geraten sind.

Besonders kritisch können solche Fehler für verantwortliche Personen werden, wenn man ihnen grobe Fahrlässigkeit oder sogar Vorsatz nachweisen kann.

Was bedeutet Informationssicherheit konkret und was ist der Unterschied zur IT-Sicherheit? Jetzt nachlesen!

Wie können Unternehmen und Geschäftsführer sich absichern?

Geschäftsführer sind verpflichtet, sich über die Anforderungen der NIS2 zu informieren und sicherzustellen, dass alle notwendigen Maßnahmen ergriffen werden. Außerdem müssen sie dafür sorgen, dass in ihrem Unternehmen Schulungen für die Cybersicherheit stattfinden und selbst daran teilnehmen.

Bei NIS2 alles richtig machen

Informieren Sie sich darüber, wer von NIS2 betroffen ist, welche Anforderungen Ihr Unternehmen erfüllen muss und wie wir Sie dabei effizient unterstützen.

Jetzt mit Proliance compliant werden

Proaktives Handeln ist entscheidend, wenn Führungskräfte ihr Unternehmen und sich selbst vor rechtlichen Konsequenzen schützen wollen. Um die Haftung zu minimieren, sollten Geschäftsführer und IT-Verantwortliche deshalb eine Reihe von Maßnahmen ergreifen:‍

• ‍Umfassende NIS2-Anforderungen erfüllen: Die konkreten Anforderungen der NIS2-Richtlinie umfassen Registrierung beim BSI, Risikomanagement, Meldeprozesse, Business Continuity Management und technische Sicherheitsmaßnahmen. Einen detaillierten Überblick über alle Pflichten und Schritte zur Umsetzung finden Sie in unserem Artikel zu den NIS2-Anforderungen an Unternehmen.‍
• Sicherheitslösungen etablieren: Unternehmen sollten in geeignete Netzwerksicherheits- und Datenschutzsoftware investieren, die den aktuellen Bedrohungen gewachsen ist.
• ‍Verpflichtende Geschäftsführerschulungen wahrnehmen: Mindestens alle 3 Jahre müssen Geschäftsführer an Schulungen zu Cyberrisiken und Sicherheitsmaßnahmen teilnehmen. Diese Schulungspflicht ist nicht delegierbar und liegt in der persönlichen Verantwortung der Geschäftsleitung. Auch alle Mitarbeiter müssen regelmäßig zu Cybersicherheitsthemen geschult werden.
• ‍Betroffenheit prüfen und registrieren: Nutzen Sie den NIS2-Check von Proliance für eine erste Einschätzung Ihrer NIS2-Compliance. Regelmäßige Sicherheitsaudits sorgen dafür, dass Schwachstellen frühzeitig identifiziert und effektiv behoben werden können. Die Registrierung beim BSI muss unverzüglich erfolgen – besonders wichtige Einrichtungen haben bis zum 6. März 2026 Zeit, wichtige Einrichtungen müssen sich sofort registrieren.
• ‍Externe Expertise einbinden: Damit im Unternehmen ausreichend Know-how vorhanden ist, um Cyberangriffe abzuwehren, empfiehlt es sich, neben Schulungen auf die Zusammenarbeit mit externen Datenschutzbeauftragten und ISB zu setzen. So stellen Unternehmen sicher, dass sie neben NIS2 auch andere Richtlinien wie die DSGVO korrekt umsetzen.

Tipp: Ein Informationssicherheitsmanagementsystem (ISMS) hilft Ihnen, Ihr Unternehmen effektiv und strategisch gegen Gefahren aus dem Cyberraum abzusichern und gibt Ihnen die Chance, sich eine begehrte ISO-27001-Zertifizierung zu sichern.

Fazit zur NIS2-Haftung: Informationssicherheit lieber früher als später stärken

Geschäftsführer sind verpflichtet, für angemessene Informationssicherheit zu sorgen – NIS2 macht diese Pflicht nur sichtbarer, überprüfbarer und haftungssicherer. Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland in Kraft – ohne Übergangsfrist. Betroffene Unternehmen und ihre Geschäftsführer müssen sofort handeln. Wer Informationssicherheit bisher aufschiebt, riskiert nicht nur Bußgelder, sondern haftet im schlimmsten Fall sogar persönlich.