NIS-2 persönliche Haftung: Was droht Geschäftsführern?
Kurz und klar
Seit dem 6. Dezember 2025 haften Geschäftsführer besonders wichtiger und wichtiger Einrichtungen nach § 38 BSIG neuer Fassung persönlich für die Umsetzung und Überwachung von Cybersicherheits-Risikomanagementmaßnahmen. Die Pflicht kann nicht delegiert werden. Ein Haftungsverzicht durch Gesellschaftervertrag oder Satzung ist gesetzlich ausgeschlossen. Bei Verstößen drohen Bußgelder bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes gegen das Unternehmen sowie persönliche Innenhaftung gegenüber der Gesellschaft. Zusätzlich können sich Geschäftsleiter bei schweren Vorfällen strafbar machen – über Untreue (§ 266 StGB), Aufsichtspflichtverletzung (§ 130 OWiG) und in Ausnahmefällen weitere Delikte. Enthaftung gelingt nur durch dokumentierte Billigung der Maßnahmen, aktive Überwachung und regelmäßige Schulungen.
Inhaltsverzeichnis
1. Ausgangslage: NIS-2 seit 6. Dezember 2025 in Kraft
2. Wer ist adressiert? Der neue Anwendungsbereich
3. Die drei Kernpflichten der Geschäftsleitung
4. Zivilrechtliche Innenhaftung – die schnellere Kaskade
5. Bußgelder nach § 65 BSIG – Rahmen und Praxis
6. Strafrechtliche Risiken – wo NIS-2 auf StGB und OWiG trifft
7. Enthaftung: Wie Sie sich konkret absichern
8. Praxis-Insight aus der Cybersecurity-Perspektive
1. Ausgangslage: NIS-2 seit 6. Dezember 2025 in Kraft
Mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist die europäische NIS-2-Richtlinie am 6. Dezember 2025 in deutsches Recht überführt worden. Kern der Neuregelung ist eine Verschärfung des Bundesgesetzes zur Informationssicherheit (BSIG) – mit deutlich erweitertem Anwendungsbereich, konkretisierten Risikomanagement-Pflichten und einer bislang beispiellosen persönlichen Haftung der Geschäftsleitung.
Für Unternehmen der betroffenen Kategorien bedeutet das: Die Zeit der abstrakten Cybersecurity-Verantwortung ist vorbei. Wer als Geschäftsführer, Vorstand oder Prokurist mit Leitungsbefugnis handelt, ist rechtlich adressiert – nicht mehr über den Umweg der allgemeinen Aufsichtspflicht, sondern direkt durch § 38 BSIG.
Für Verteidiger, Aufsichtsräte, Investoren und Compliance-Verantwortliche ist damit eine neue Risikoachse aktiv, die in vielen Unternehmen noch nicht adäquat abgebildet ist.
2. Wer ist adressiert? Der neue Anwendungsbereich
NIS-2 unterscheidet zwei Kategorien:
Besonders wichtige Einrichtungen – die Nachfolge der bisherigen KRITIS-Betreiber, aber deutlich weiter gefasst. Erfasst sind unter anderem Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung und Weltraum.
Wichtige Einrichtungen – erstmals systematisch erfasst: Post- und Kurierdienste, Abfallwirtschaft, Herstellung und Vertrieb bestimmter chemischer Stoffe, Lebensmittelverarbeitung und -vertrieb, produzierendes Gewerbe in definierten Bereichen (u. a. Medizinprodukte, Elektronik, Maschinen, Fahrzeuge), digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke) und Forschungseinrichtungen.
Größenschwelle: Grundsätzlich mindestens 50 Mitarbeitende oder 10 Millionen Euro Jahresumsatz. In einzelnen Sektoren gelten unabhängig davon strengere Schwellen (etwa bei DNS-Diensten, Cloud-Anbietern, Datenzentren).
Neu erfasst und praxisrelevant:
Wachsende Startups und Scale-ups im SaaS-, Fintech-, HealthTech- und Cybersecurity-Bereich – häufig überraschte Adressaten.
Zulieferer und Auftragsverarbeiter, wenn sie selbst die Schwellen erreichen.
Digitalunternehmen mit europäischem Kundenkreis, auch wenn der Firmensitz außerhalb Deutschlands liegt.
Die Selbstidentifikation ist Pflicht. Wer nicht registriert und nicht meldet, verletzt bereits eine Grundpflicht – ohne dass es zu einem Vorfall gekommen sein muss.
3. Die drei Kernpflichten der Geschäftsleitung
§ 38 BSIG neuer Fassung legt drei Pflichten der Geschäftsleitung fest, die weder delegierbar noch abwählbar sind.
3.1 Billigung der Risikomanagementmaßnahmen
Die Geschäftsleitung muss die nach § 30 BSIG zu treffenden Risikomanagementmaßnahmen aktiv genehmigen. Ein informelles „Machen Sie mal" reicht nicht. Die Billigung muss dokumentiert sein – idealerweise als Geschäftsleitungsbeschluss mit Datum, Teilnehmern und den konkret gebilligten Maßnahmen. In der Praxis heißt das: einen strukturierten CISO-Bericht oder ein zusammenfassendes ISMS-Dokument mit den Maßnahmen prüfen, unterschrieben abnehmen, im Protokoll festhalten.
3.2 Überwachung der Umsetzung
Die Billigung allein reicht nicht. § 38 Abs. 1 verlangt darüber hinaus die aktive Überwachung der Umsetzung. Konkret: regelmäßige Berichte einfordern, Abweichungen kritisch hinterfragen, dokumentierte Reviews. Der Umfang muss der Größe und Komplexität der Einrichtung entsprechen – wo bei einem 60-Personen-Unternehmen ein quartalsweiser CISO-Report ausreichen kann, sind bei komplexen Konzernstrukturen mehrschichtige Berichtslinien erforderlich.
3.3 Teilnahme an Cybersecurity-Schulungen
§ 38 Abs. 3 verpflichtet die Geschäftsleitung selbst zur regelmäßigen Teilnahme an Cybersicherheits-Schulungen. Ziel: Die Geschäftsleitung soll die Risiken bewerten können, ohne allein auf die Aussagen der IT- oder Compliance-Abteilung angewiesen zu sein. In der Praxis ist das ein Pflichttermin, kein Optional – die Teilnahme muss dokumentiert werden.
Nicht delegierbar: § 38 stellt ausdrücklich klar, dass die Beauftragung Dritter zur Erfüllung dieser Pflichten unzulässig ist. Ein externer Berater kann unterstützen – die Pflichterfüllung bleibt bei den Geschäftsleitern.
Kein Haftungsverzicht: Ein Haftungsausschluss durch Gesellschaftervertrag, Satzung oder Beschluss ist gesetzlich ausgeschlossen. Anders als bei anderen Innenhaftungstatbeständen greift hier keine Entlastungspraxis.
4. Zivilrechtliche Innenhaftung – die schnellere Kaskade
Die persönliche Haftung nach § 38 BSIG konkretisiert die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten. § 43 GmbHG (Sorgfaltspflicht des Geschäftsführers), § 93 AktG (Sorgfaltspflicht des Vorstands) und die entsprechenden Normen für Aufsichtsorgane bleiben Anspruchsgrundlage. Neu ist, dass NIS-2 den erwarteten Sorgfaltsstandard konkret ausformuliert – und damit die Nachweislast für die Geschäftsleitung erhöht.
Praktisch bedeutet das:
Kommt es zu einem Cybervorfall mit finanziellen Folgen (Bußgelder, Wiederherstellungskosten, Betriebsunterbrechung, Reputationsschaden), kann die Gesellschaft Regressansprüche gegen die Geschäftsleitung geltend machen.
Aufsichtsräte, die diese Ansprüche pflichtwidrig nicht verfolgen, haften ihrerseits.
Insolvenzverwalter im Ernstfall der Insolvenz haben eine erweiterte Grundlage für Haftungsverfolgungsansprüche.
Business Judgment Rule: Sie greift nur, wenn die Entscheidung auf angemessener Informationsgrundlage getroffen wurde. Ohne dokumentierte Risikobewertung, ohne CISO-Berichte, ohne Cybersecurity-Schulungen bricht dieser Schutz zusammen. Die Beweislast trifft im Regressverfahren die Geschäftsleitung.
D&O-Versicherung: In vielen bestehenden D&O-Policen sind Cyber-Vorfälle nur unzureichend abgedeckt oder unter Umständen ausgeschlossen. Eine Überprüfung der Deckung – und ggf. Erweiterung – ist Teil der eigenen Pflicht zur Sorgfalt.
5. Bußgelder nach § 65 BSIG – Rahmen und Praxis
§ 65 BSIG neuer Fassung sieht Bußgelder in zwei Stufen vor:
Bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes – bei besonders wichtigen Einrichtungen für schwere Pflichtverletzungen: fehlende Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG, Verletzung der Meldepflichten nach § 32 BSIG, Ignorieren von behördlichen Anordnungen.
Bis 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes – bei wichtigen Einrichtungen für dieselben Grundtatbestände.
Weitere Tatbestände: Verstöße gegen die Registrierungspflicht, Verstöße gegen die Informationspflichten gegenüber dem BSI, Verstöße gegen die Frühwarn- und Meldepflichten (24 Stunden / 72 Stunden / 1 Monat).
Adressat der Bußgelder: Zunächst das Unternehmen. § 30 OWiG erlaubt aber die Verhängung von Geldbußen auch gegen die Leitungsperson persönlich, wenn sie die Aufsichtspflicht verletzt oder selbst tatbestandsmäßig gehandelt hat. In der Praxis werden Doppelbußgelder verhängt.
Nebenfolgen: Bußgelder gegen Leitungspersonen sind zusätzlich zur zivilrechtlichen Innenhaftung möglich. Berufliche Konsequenzen (Amtsniederlegung, Amtsenthebung), reputationsrelevante Veröffentlichungen und aufsichtsrechtliche Konsequenzen für regulierte Branchen (BaFin, ITK-Regulierer) können hinzukommen.
6. Strafrechtliche Risiken – wo NIS-2 auf StGB und OWiG trifft
NIS-2 selbst enthält keine Kriminalstrafen. Aber die durch NIS-2 konkretisierten Pflichten schlagen unmittelbar auf bestehende Straftatbestände durch:
6.1 § 130 OWiG – Aufsichtspflichtverletzung
Der Klassiker. Wenn im Unternehmen eine Straftat oder Ordnungswidrigkeit begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre, haftet die Geschäftsleitung. NIS-2 gibt dem Merkmal „gehörige Aufsicht" im Cybersecurity-Kontext einen klaren Inhalt: nichts weniger als die Erfüllung der § 38 BSIG-Pflichten. Wer die Cybersecurity-Aufsicht nicht dokumentiert, verletzt § 130 OWiG regelmäßig automatisch mit.
6.2 § 266 StGB – Untreue
Wenn die Nichteinhaltung der NIS-2-Pflichten zu einem finanziellen Schaden bei der Gesellschaft führt – Bußgelder, Cybervorfall-Kosten, Regressforderungen –, kann eine Untreue vorliegen. Voraussetzung: Vermögensbetreuungspflicht (bei Geschäftsführern und Vorständen gegeben), Pflichtverletzung (NIS-2-Verstoß), Vermögensnachteil, Vorsatz. Praxisrelevant vor allem, wenn Cybersecurity-Budgets bewusst gekürzt oder verweigert wurden, obwohl konkrete Risiken bekannt waren.
6.3 § 42 BDSG und § 4 KRITIS-DachG
Bei personenbezogenen Datenverletzungen und Angriffen auf kritische Infrastrukturen können weitere Straftatbestände hinzutreten – Datenschutzstrafrecht, KRITIS-Verletzungen, ggf. Verstöße gegen sanktionsrechtliche Vorschriften bei Ransomware-Zahlungen (§ 18 AWG).
6.4 § 283 StGB – Bankrott
In der Insolvenz eines Unternehmens, das an einem Cybervorfall gescheitert ist, kann die pflichtwidrige Nichtumsetzung von NIS-2-Maßnahmen als Bankrott-Handlung gewertet werden – wenn nachweisbar ist, dass angemessene Cybersecurity-Maßnahmen den Vorfall verhindert oder wesentlich abgemildert hätten.
6.5 Praxis: Vom Vorfall zur Anklage
Der typische Weg: Cybervorfall – Untersuchung durch das BSI – Bußgeldverfahren gegen das Unternehmen – parallele staatsanwaltschaftliche Ermittlungen gegen die Geschäftsleitung, oft angeregt durch die Aufsichtsräte, die Investoren, den Insolvenzverwalter oder die Aufsichtsbehörde. In Verfahren mit Beteiligung sensibler Daten und großen Schadenshöhen ist die Anklageerhebung nicht ungewöhnlich.
7. Enthaftung: Wie Sie sich konkret absichern
Enthaftung ist möglich – aber nur mit belastbarer Dokumentation und aktiver Umsetzung. Die entscheidenden Bausteine:
7.1 Dokumentierte Billigung
Geschäftsleitungsbeschluss zur Billigung der § 30-Maßnahmen, mit Datum, Teilnehmern, konkret bezeichneten Maßnahmen
Aktualisierung mindestens jährlich
Bei Änderungen im Risikoprofil (neues Produkt, Akquisition, neuer Zulieferer, Vorfall) ad hoc
7.2 ISMS oder gleichwertiges Managementsystem
Ein dokumentiertes Informationssicherheits-Managementsystem, das die Maßnahmen strukturiert, umsetzt und überprüfbar macht
Idealerweise nach anerkannten Standards (ISO/IEC 27001, BSI IT-Grundschutz oder branchenspezifische Frameworks)
Regelmäßige interne oder externe Audits mit dokumentierten Ergebnissen
7.3 Aktive Überwachung
Quartalsweise CISO-Reports mit Metriken, Vorfällen, Reifegrad
Behandlung dieser Reports in Geschäftsleitungs- und ggf. Aufsichtsratssitzungen mit Protokollierung
Eskalation von Abweichungen mit dokumentierten Maßnahmen zur Behebung
7.4 Schulungen
Regelmäßige Schulungen der Geschäftsleitung (jährlich, bei Bedarf öfter)
Themen: aktuelle Bedrohungslage, regulatorische Änderungen, Rollen und Pflichten
Teilnehmerlisten, Zertifikate, Feedback dokumentieren
7.5 Incident-Response-Plan
Dokumentierter, geübter Plan für den Ernstfall
Klare Rollen (CEO, CISO, Kommunikation, Rechtsberatung, IT-Forensik)
Definierte 24-/72-/30-Tage-Meldepfade
Vertragliche Kurzwahl-Zugriffe auf externe Incident-Responder und Kanzleien
7.6 D&O-Deckung überprüfen
Prüfen, ob Cyber-Vorfälle und regulatorische Bußgelder abgedeckt sind
Grenzen, Ausschlüsse und Zusatzbausteine kennen
Anpassung bei Bedarf
8. Praxis-Insight aus der Cybersecurity-Perspektive
Als Gründer und CEO eines Compliance-Automation-Unternehmens für Cybersicherheit und als Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU sehe ich NIS-2 seit Jahren in Umsetzung. Drei Beobachtungen, die für die Verteidigung entscheidend sind:
Erstens: Die Unternehmen unterschätzen den Anwendungsbereich. Ich erlebe regelmäßig, dass Geschäftsführer sich für nicht adressiert halten – „wir sind kein KRITIS-Betreiber". Der neue Anwendungsbereich ist aber erheblich weiter. Wer 50+ Mitarbeitende hat und in einem der wichtigen Sektoren tätig ist, sollte die Selbstprüfung sehr genau durchführen. Die Nicht-Registrierung ist selbst eine Pflichtverletzung.
Zweitens: Die Dokumentation entscheidet über die Enthaftung, nicht die eigentliche Sicherheit. Ein technisch schlecht geschütztes Unternehmen mit lückenloser Dokumentation der Geschäftsleitungs-Bemühungen kann besser verteidigt werden als ein technisch gut geschütztes Unternehmen ohne Beschlüsse und Schulungsnachweise. Das ist juristisch ernüchternd, aber praxisrelevant. Die Weichen werden im Beschluss-Protokoll gestellt, nicht im Firewall-Regelwerk.
Drittens: Die Kaskade Cybervorfall → Bußgeld → Innenregress → Strafverfahren läuft schneller, als die meisten glauben. Wenn ein größerer Vorfall auftritt, arbeiten BSI, Aufsichtsräte, Investoren, Datenschutzaufsicht und Staatsanwaltschaft heute deutlich koordinierter. Verteidigung muss daher nicht nur den Vorfall bewältigen, sondern gleichzeitig die eigene Enthaftungslinie aufbauen – idealerweise vor dem Vorfall dokumentiert, im Ernstfall unter Beweis gestellt.
9. Häufige Fragen
Welche Unternehmen sind von NIS-2 betroffen?
Besonders wichtige und wichtige Einrichtungen mit typischerweise mindestens 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem der definierten Sektoren – Energie, Verkehr, Gesundheit, digitale Infrastruktur, Verwaltung von IKT-Diensten, Post, Chemie, Lebensmittel, produzierendes Gewerbe in bestimmten Bereichen, digitale Dienste und Forschung. In einzelnen Sektoren gelten strengere Schwellen. Die Selbstprüfung ist Pflicht.
Können Geschäftsführer die NIS-2-Pflichten an den CISO delegieren?
Nein. § 38 BSIG stellt ausdrücklich klar, dass die Beauftragung Dritter zur Erfüllung der Pflichten unzulässig ist. Externe Unterstützung ist erlaubt, die Pflichterfüllung bleibt bei der Geschäftsleitung. Ein CISO kann vorbereiten, berichten, umsetzen – die Billigung, Überwachung und persönliche Schulung sind Geschäftsleitungssache.
Kann ich mich durch einen Haftungsverzicht in der Satzung absichern?
Nein. Ein Haftungsverzicht durch Gesellschaftervertrag, Satzung oder Beschluss ist gesetzlich ausgeschlossen. Anders als bei einigen anderen Innenhaftungstatbeständen greift hier keine Entlastungspraxis.
Wie hoch sind die Bußgelder in der Praxis?
Der Rahmen reicht bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bei besonders wichtigen Einrichtungen und bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen. In der Praxis werden Bußgelder je nach Schwere, Kooperation und Compliance-Reifegrad gestaffelt. Bei Erstverstößen mit funktionierender Compliance ist mit deutlich niedrigeren Beträgen zu rechnen als bei struktureller Nicht-Umsetzung.
Muss ich als GmbH-Geschäftsführer eines mittelständischen SaaS-Unternehmens NIS-2 umsetzen?
Wenn Ihr Unternehmen zu einem der definierten Sektoren gehört (digitale Dienste, Cloud-Anbieter, IT-Managed-Services) und die Größenschwelle überschreitet: Ja. Auch schnell wachsende Scale-ups fallen erfahrungsgemäß häufig unter die Verpflichtungen – und werden davon überrascht.
Was passiert, wenn wir einen Cybervorfall hatten, aber NIS-2 gut umgesetzt haben?
Der Vorfall selbst begründet nicht automatisch eine Haftung. Zentral ist der Nachweis, dass die Geschäftsleitung die Pflichten aus § 38 BSIG erfüllt hat. Wer aktives Risikomanagement, dokumentierte Billigungen, Überwachung und Schulungen nachweisen kann, hat die Enthaftungslinie – auch wenn der Vorfall trotzdem eingetreten ist. Absolute Sicherheit ist rechtlich nicht geschuldet.
Können auch Aufsichtsräte in Haftung genommen werden?
Ja. Aufsichtsräte trifft die Pflicht, die Geschäftsleitung bei der Erfüllung ihrer NIS-2-Pflichten zu überwachen. Wer dies pflichtwidrig nicht tut, haftet nach § 116 AktG bzw. den entsprechenden Normen. In der Praxis wird die Aufsichtsratshaftung im Cyber-Kontext bislang selten geltend gemacht – der Trend wird sich mit NIS-2 aber ändern.
Wie sichert man sich als Geschäftsführer konkret ab?
Vier Bausteine: (1) Formaler Geschäftsleitungsbeschluss zur Billigung der § 30-Maßnahmen, jährlich aktualisiert. (2) ISMS oder gleichwertiges System, idealerweise nach ISO 27001. (3) Quartalsweise Reviews mit dokumentierter Behandlung in Sitzungen. (4) Persönliche Schulungsnachweise. Ergänzend: D&O-Prüfung, Incident-Response-Plan, externe Fachanwälte auf Kurzwahl.
Fazit
NIS-2 hat die persönliche Haftung von Geschäftsführern im Cybersecurity-Kontext auf ein neues Niveau gehoben. Wer als Geschäftsleiter eines betroffenen Unternehmens die Pflichten aus § 38 BSIG nicht aktiv umsetzt und dokumentiert, riskiert eine schnelle Kaskade aus Bußgeld gegen das Unternehmen, Innenregress durch die Gesellschaft und – bei größeren Vorfällen oder Insolvenzen – strafrechtlichen Ermittlungen.
Die Weichen werden vor dem Vorfall gestellt: dokumentierte Billigung, aktive Überwachung, persönliche Schulung. Diese drei Bausteine sind rechtlich nicht optional, und sie sind die Enthaftungslinie im Ernstfall. Wer sie nicht hat, entscheidet nicht mehr über sein persönliches Risiko – sondern über die Höhe des Schadens.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht sowie Compliance-Beratung für regulierte Unternehmen. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.