NIS2-Geschäftsführerhaftung in Deutschland: Was die Geschäftsleitung verantwortet

Welche Pflichten trifft die Geschäftsleitung?

Zuerst muss feststehen, ob die Einrichtung als besonders wichtig oder wichtig erfasst ist und welche Pflichten tatsächlich anwendbar sind. Branche und Mitarbeiterzahl allein genügen dafür nicht immer. § 28 Abs. 5–7 enthält beispielsweise besondere Zuordnungen für bestimmte Energie-, Telekommunikations-, Finanz- und Telematikeinrichtungen. Eine Nichtanwendung des § 38 in einer solchen Konstellation beseitigt nicht automatisch andere Leitungs- oder Sicherheitsverantwortung. § 28 BSIG.

„Geschäftsleitung“ meint nach § 2 Nr. 13 natürliche Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Geschäftsführung und Vertretung berufen sind. Ein CISO, IT-Leiter oder externer Dienstleister wird nicht allein durch seine technische Funktion zu diesem gesetzlichen Organ. Umgekehrt beschränkt sich der Begriff nicht auf den Titel „Geschäftsführer“. § 2 Nr. 13 BSIG.

1. Maßnahmen umsetzen

Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen. Das umfasst eine Organisation, in der Zuständigkeiten, Mittel und Entscheidungen die wirksame Durchführung ermöglichen. Die zehn Bereiche reichen von Risikoanalyse und Vorfallbewältigung bis zu Lieferkette, Schulung, Kryptografie und Zugriffsschutz. Der erforderliche Umfang hängt vom Risiko und den gesetzlichen Konkretisierungen ab. § 38 Abs. 1, § 30 BSIG.

Praktisch heißt das etwa: Ein relevantes Ausfallrisiko darf nicht dauerhaft zwischen IT, Einkauf und Dienstleister liegen bleiben. Die Leitung braucht eine Entscheidung über die notwendige Maßnahme, ihre Finanzierung, Zuständigkeit und Umsetzung. Eine bewusst risikogerechte Lösung kann anders aussehen als ein bestimmtes Standardprodukt; das bloße Weglassen einer erforderlichen Maßnahme wird nicht dadurch zulässig, dass es im Risikoregister steht.

2. Die Umsetzung überwachen

§ 38 Abs. 1 verlangt zusätzlich Überwachung. Dafür braucht die Leitung aussagekräftige Informationen, nachvollziehbare Kontrollen und einen Umgang mit Abweichungen. Ein monatliches Zahlenblatt ist wenig hilfreich, wenn es kritische Restprobleme nicht zeigt.

Ein geeigneter Bericht beantwortet beispielsweise: Welche wesentlichen Risiken sind offen? Welche Fristen werden verfehlt? Welche Wiederherstellung wurde erfolgreich erprobt? Welche Lieferanten reagieren nicht? Welche Entscheidung benötigt die Leitung? Rhythmus und Tiefe richten sich nach dem tatsächlichen Risiko; ein einzelner Scanner-Score ersetzt diese Informationen nicht.

3. Selbst regelmäßig an Schulungen teilnehmen

§ 38 Abs. 3 verpflichtet die Geschäftsleitung zur regelmäßigen Teilnahme an Schulungen. Sie sollen die erforderlichen Kenntnisse zur Erkennung und Bewertung von Risiken und zur Beurteilung der Risikomanagementpraxis und ihrer Auswirkungen auf die Dienste vermitteln. Die Leitung muss deshalb Zusammenhänge beurteilen können; sie muss nicht jede technische Konfiguration selbst bearbeiten.

Das Gesetz nennt weder einen festen jährlichen Rhythmus noch eine Mindeststundenzahl. Auch die aktuelle BSI-Handreichung, Version 1.0 vom 17. April 2026, legt Dauer und Wiederholung risikobezogen an: Vorkenntnisse, Aufgabe, veränderte Risiken und Änderungen in der Einrichtung sind relevant. Eine pauschale Regel „vier Stunden alle drei Jahre“ ist daraus nicht abzuleiten. Die Handreichung erläutert die Verwaltungssicht; sie ist kein zusätzliches Gesetz. BSI: Schulung der Geschäftsleitung, insbesondere Abschnitte 1.2 und 1.5.

Dokumentieren Sie Inhalt, Zeitpunkt, Dauer und Teilnahme, damit die durchgeführte Schulung nachvollziehbar bleibt. Eine Teilnahmebescheinigung allein belegt weder ausreichende Inhalte noch eine wirksame Sicherheitsorganisation.

Wann kommt persönliche Haftung in Betracht?

§ 38 Abs. 2 betrifft die Haftung gegenüber der eigenen Einrichtung. Er verweist vorrangig auf die für deren Rechtsform geltenden Regeln. Die unmittelbare Haftung nach dem BSIG greift subsidiär, wenn solche Regeln fehlen. Der Absatz begründet keine automatische Zahlungspflicht gegenüber jedem geschädigten Kunden. § 38 Abs. 2 BSIG.

Bei einer GmbH sind insbesondere die Sorgfalts- und Ersatzregeln des § 43 GmbHG relevant, bei einer Aktiengesellschaft § 93 AktG. § 93 Abs. 2 Satz 2 enthält eine besondere Beweislastregel für die Sorgfalt von Vorstandsmitgliedern. Daraus darf keine einheitliche, wortgleiche Beweislastregel für jede Geschäftsleitung und jede Rechtsform gemacht werden. § 43 GmbHG, § 93 AktG.

Die unternehmerische Entscheidung nach § 93 Abs. 1 Satz 2 AktG betrifft Entscheidungen auf angemessener Informationsgrundlage zum Wohl der Gesellschaft. Sie ist kein allgemeiner Freibrief, gesetzliche Pflichten außer Acht zu lassen. Ob ein Vorwurf eine unternehmerische Auswahlentscheidung, eine verbindliche Pflicht oder deren Überwachung betrifft, muss konkret unterschieden werden.

Zwei Fälle zeigen den Unterschied

Fall A: Angriff trotz angemessener Vorsorge. Ein Unternehmen wird über eine bis dahin unbekannte Schwachstelle angegriffen. Maßnahmen und Überwachung waren risikogerecht organisiert; der Vorfall wird sachgerecht bearbeitet. Der Schaden macht die Geschäftsleitung nicht automatisch haftbar. Ob eine Pflichtverletzung vorliegt, lässt sich nicht aus dem bloßen Angriffserfolg ableiten.

Fall B: Bekanntes wesentliches Risiko bleibt unbearbeitet. Die Leitung erhält belastbare Hinweise, dass ein geschäftskritischer Dienst nicht wiederherstellbar ist. Eine erforderliche Abhilfe und angemessene Kontrolle unterbleiben schuldhaft. Entsteht deshalb ein vermeidbarer Schaden, kann Innenhaftung in Betracht kommen. Es bleiben Umfang der Pflicht, Vorwerfbarkeit, Kausalität und Schadenshöhe zu prüfen.

Beide Beispiele sind synthetisch. Sie bilden keine gerichtliche Entscheidung und kein Urteil über einen tatsächlichen Schadensfall ab.

Was lässt sich delegieren?

Technische und organisatorische Arbeiten können qualifizierte Beschäftigte oder Dienstleister übernehmen. Dazu gehören beispielsweise Administration, Risikoanalysen, Schulungsorganisation und Vorbereitung von Meldungen. Aus dem Auftrag an einen Dienstleister folgt aber keine Entlassung der Geschäftsleitung aus der Pflicht des § 38 Abs. 1.

Eine tragfähige Delegation verbindet einen klaren Auftrag mit geeigneter Auswahl, Befugnissen, Ressourcen, Berichtswegen und Kontrolle. Bei erkennbaren Problemen muss die Leitung reagieren. Welche Überwachung im Einzelfall erforderlich ist, hängt von Aufgabe, Risiken, Organisation und Rechtsform ab; das BSIG enthält dafür keinen universellen Delegationsvertrag.

Auch die Aufteilung innerhalb einer mehrköpfigen Geschäftsleitung ist keine pauschale Haftungsbefreiung für alle anderen Mitglieder. Die konkrete Geschäftsverteilung und verbleibende Organisations- und Überwachungspflichten sind gesondert zu beurteilen.

Weitere Haftungsarten getrennt behandeln

Zivilrechtlicher Innenregress, Ansprüche Dritter und öffentlich-rechtliche Sanktionen sind verschiedene Fragen. Für Ansprüche Dritter braucht es eine eigene Anspruchsgrundlage. Bei Ordnungswidrigkeiten sind unter anderem die Organ- und Vertretungszurechnung nach § 9 OWiG und Geldbußen gegen juristische Personen oder Personenvereinigungen nach § 30 OWiG relevant. Weder „es trifft immer nur die Firma“ noch „der Geschäftsführer zahlt immer privat“ beschreibt diese Regeln korrekt. § 9, § 30 OWiG.

Eine Versicherung ist ebenfalls kein Haftungsurteil. Ob ein konkreter Anspruch gedeckt ist, hängt von den tatsächlichen Bedingungen, Ausschlüssen und dem Sachverhalt ab; die Existenz einer D&O-Police beweist keine vollständige Absicherung.

Welche Bußgelder und Aufsichtsmaßnahmen drohen?

Die folgenden Zahlen sind Höchstrahmen für bestimmte Tatbestände, keine Sanktion für jeden Sicherheitsmangel und keine automatische persönliche Rechnung an die Geschäftsleitung. § 65 unterscheidet die Pflicht, den Adressaten und den Verstoß; die dort genannten Tatbestände erfassen je nach Regelung vorsätzliches oder fahrlässiges Handeln. § 65 BSIG.

Es gilt daher nicht pauschal „NIS2-Verstoß gleich 10 Millionen“. Ebenso wenig sollten NIS2- und DSGVO-Höchstbeträge einfach addiert werden: § 65 Abs. 11 berücksichtigt den Fall, dass wegen desselben Verhaltens bereits eine Geldbuße nach der DSGVO verhängt wurde.

Als weitere Maßnahme sieht § 61 Abs. 9 unter engen Voraussetzungen ein vorübergehendes Verbot der Wahrnehmung von Leitungsaufgaben bei besonders wichtigen Einrichtungen vor. Dafür genügt weder ein Vorfall noch ein niedriger technischer Score. Die Norm knüpft an nicht befolgte behördliche Anordnungen trotz Fristsetzung an. Das BSI informiert die zuständige Aufsichtsbehörde; diese kann als letztes Mittel unzuverlässigen Geschäftsleitungsmitgliedern die Wahrnehmung von Leitungsaufgaben vorübergehend untersagen. Maßnahme und unerfüllte Anordnung müssen zusammenhängen; die Untersagung gilt bis zur Erfüllung der Anforderungen. § 61 Abs. 9 BSIG.

Fünf Schritte für eine belastbare Leitungsorganisation

1. Betroffenheit begründen. Rechtsträger, tatsächliche Leistungen, Unternehmensverbindungen, Schwellen und Sonderregeln festhalten. Bei Änderungen neu bewerten; ein alter Branchencheck genügt nicht dauerhaft.
2. Maßnahmen und Entscheidungen verbinden. Wesentliche Risiken, Zuständige, Mittel, Termine und Abweichungen sichtbar machen. Gesetzlich erforderliche Maßnahmen nicht durch eine reine Risikoakzeptanz ersetzen.
3. Überwachung nachweisbar betreiben. Aussagekräftige Berichte und Prüfungen anfordern, offene Mängel verfolgen und Entscheidungen dokumentieren. Eine vollständig grüne Präsentation ohne Prüfumfang ist kein verlässlicher Beleg.
4. Eigene Schulung planen. Inhalte und Wiederholung an Aufgaben, Vorkenntnissen und Änderungen ausrichten. Mitarbeiterschulung und Leitungsqualifikation getrennt nachhalten.
5. Melde- und Krisenfähigkeit erproben. Zuständigkeiten, Vertretung, Zugänge und sichere Kommunikation vor dem Ernstfall klären. Die interne Freigabekette darf gesetzliche Meldefristen nicht blockieren.

Diese Schritte sind eine Organisationshilfe. Sie begründen weder eine feste gesetzliche Form der Geschäftsleitungsakte noch eine Zusage, dass dokumentierte Sorgfalt jeden Anspruch ausschließt.

Welche Unterlagen jetzt helfen

Für die nächste Leitungssitzung sind eine begründete Betroffenheitsbewertung, die wichtigsten offenen Risiken, ein Maßnahmenbericht und der aktuelle Stand von Schulung und Meldebereitschaft sinnvoll. Technische Scanbefunde können einzelne Risiken erläutern; sie bestätigen keine vollständige Pflichterfüllung und keine Haftungsfreiheit.

Die NIS2-Checkliste ordnet die zehn Maßnahmenbereiche. Der Ratgeber zur Meldepflicht erklärt Fristen und Zuständigkeiten. NIS2 und ISO 27001 zeigt, wie ein vorhandenes Managementsystem helfen kann und welche Pflichten daneben bestehen.