Welche Haftung trägt die Geschäftsleitung bei NIS2?

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was Art. 20 NIS2 wörtlich verlangt

Art. 20 NIS2 sieht zwei Kernpflichten der Leitungsorgane vor:

1. Genehmigung und Überwachung der Risikomanagement-Maßnahmen nach Art. 21.
2. Schulungs-Teilnahme und Anbieten gleichwertiger Schulungen für Mitarbeitende, um Wissen über Cybersicherheits-Risiken zu erhalten.

Der entscheidende Punkt: Diese Pflichten treffen die Leitungsorgane als natürliche Personen, nicht das Unternehmen als juristische Person. Sie ergänzen die unternehmensbezogenen Pflichten aus Art. 21.

Mitgliedstaaten sind verpflichtet, sicherzustellen, dass Leitungsorgane für Pflichtverletzungen zur Verantwortung gezogen werden können. Die konkrete Ausgestaltung dieser Verantwortlichkeit wird im nationalen Recht, in Deutschland im NIS2UmsuCG sowie im allgemeinen Gesellschaftsrecht, geregelt.

Bußgelder nach Art. 34 NIS2

Die Bußgeld-Rahmen unterscheiden zwischen wesentlichen und wichtigen Einrichtungen:

Maßgeblich ist der Konzern-Jahresumsatz des vorangegangenen Geschäftsjahres, nicht der Umsatz der einzelnen rechtlichen Einheit.

Die zuständige Aufsichtsbehörde, in Deutschland im Regelfall das BSI, muss bei der Bußgeld-Bemessung gemäß Art. 34 Abs. 6 NIS2 berücksichtigen:

• Schwere und Dauer der Pflichtverletzung.
• Vorsätzlichkeit oder Fahrlässigkeit.
• Verursachte Schäden (materielle und immaterielle).
• Vorherige Pflichtverletzungen.
• Grad der Kooperation mit der Behörde.
• Umsetzung von Maßnahmen zur Schadens-Minimierung.

Bei einer ersten geringfügigen Pflichtverletzung mit guter Kooperation ist mit dem unteren Rand zu rechnen. Bei wiederholten oder vorsätzlichen Verstößen, insbesondere wenn Meldepflichten ignoriert wurden, ist der obere Rand möglich.

Persönliche Haftung der Geschäftsleitung: direkt und indirekt

NIS2 sieht zwei Hebel vor, mit denen Aufsichtsbehörden direkt gegen Leitungsorgane vorgehen können:

Hebel 1, Tätigkeitsuntersagung (Art. 32 Abs. 5 NIS2): Bei wesentlichen Einrichtungen kann die Behörde im Wiederholungsfall verlangen, dass eine natürliche Person mit Leitungsfunktion zeitweilig ihre Leitungsaufgaben nicht mehr wahrnehmen darf, bis die Pflichtverletzung beendet ist. Diese Sanktion zielt direkt auf die Person, nicht auf das Unternehmen.

Hebel 2, Bußgelder gegen Organe: Mitgliedstaaten können vorsehen, dass Bußgelder auch direkt gegen Leitungspersonen verhängt werden. Das deutsche NIS2UmsuCG sieht entsprechende Sanktionsmöglichkeiten vor.

Zusätzlich ergibt sich indirekte persönliche Haftung aus dem deutschen Gesellschaftsrecht:

• AG: § 93 AktG, Vorstand haftet für Pflichtverletzungen mit seinem Privatvermögen gegenüber der Gesellschaft (Innenhaftung).
• GmbH: § 43 GmbHG, Geschäftsführer haften für Pflichtverletzungen.
• eG: § 34 GenG, analoge Regelung für Genossenschaften.

Wenn die NIS2-Pflichten als Teil der allgemeinen Sorgfaltspflicht im Sinne dieser Normen anerkannt werden, was die herrschende Meinung bejaht, führt eine NIS2-Pflichtverletzung mit Schaden für das Unternehmen zur Innenhaftung. Beispiel: Geschäftsführung versäumt Implementierung von Mindestmaßnahmen, ein Ransomware-Angriff legt den Betrieb für zwei Wochen lahm, Bußgeld + Schaden = ggf. Regress-Anspruch gegen den Geschäftsführer.

D&O-Versicherung: was sie deckt und was nicht

D&O-Versicherungen (Directors & Officers) decken in der Regel:

• Vermögensschäden, die das Unternehmen gegen Organe geltend macht (Innenhaftung).
• Vermögensschäden, die Dritte gegen Organe geltend machen (Außenhaftung).
• Verteidigungs-Kosten bei aufsichtsrechtlichen Verfahren.

D&O-Versicherungen decken in der Regel nicht:

• Bußgelder, die direkt gegen das Unternehmen verhängt werden.
• Vorsätzlich verursachte Schäden.
• Bußgelder gegen Organe sind je nach Policen-Wording teils versicherbar (in Deutschland nur Ordnungsgelder, keine Strafen), teils ausgeschlossen.

Mit NIS2 ist die Wahrscheinlichkeit eines Bußgeld-Verfahrens gegen das Unternehmen, und damit eines Regress-Versuchs gegen die Geschäftsleitung, gestiegen. Bestehende D&O-Verträge sollten auf Cyber-Klauseln und NIS2-spezifische Ausschlüsse geprüft werden.

Wie Bußgelder in der Praxis bemessen werden

Die Bußgeld-Höhe wird durch die Aufsichtsbehörde anhand der in Art. 34 Abs. 6 NIS2 genannten Kriterien bemessen. Zwei Beispiele zur Veranschaulichung, illustrativ, keine Präjudizen für konkrete Fälle:

Beispiel A, Erst-Verstoß, gute Kooperation: Mittelständischer Maschinenbauer (wichtige Einrichtung, 80 Mio. Euro Umsatz) meldet einen Sicherheits-Vorfall mit 12-stündiger Verspätung an das BSI, weil die Eskalations-Matrix nicht klar war. Kein vorheriger Verstoß, vollständige nachträgliche Kooperation, dokumentierter Verbesserungs-Plan. Erwartungs-Bereich: unteres Bußgeld-Niveau, oft im niedrigen sechs-stelligen Bereich oder Verzicht zugunsten von Auflagen.

Beispiel B, Wiederholter Verstoß, Schweigen: Energie-Versorger (wesentliche Einrichtung, 500 Mio. Euro Umsatz) verschweigt einen Datenabfluss über mehrere Monate. Erst durch externe Quelle wird das Aufsichts-Verfahren ausgelöst. Vorherige Auflagen waren bereits ergangen. Erwartungs-Bereich: oberes Bußgeld-Niveau, im Millionen-Bereich. Plus Tätigkeitsuntersagung gegen Verantwortliche.

Die Spanne zwischen beiden Szenarien ist erheblich. Sie wird primär durch das Verhalten nach dem Verstoß und durch die Vorgeschichte bestimmt, nicht durch den ursprünglichen Vorfall.

Was die Aufsichtspflicht konkret bedeutet

Die Aufsichtspflicht aus Art. 20 NIS2 ist eine „Bring-Schuld" der Geschäftsleitung. Sie kann nicht durch die bloße Benennung eines CISO erfüllt werden. Konkret muss die Geschäftsleitung:

• Die in Art. 21 NIS2 geforderten Risikomanagement-Maßnahmen formell genehmigen, typischerweise per dokumentiertem Beschluss.
• Sich regelmäßig berichten lassen, Frequenz nach Risiko, mindestens jährlich, bei wesentlichen Vorfällen oder Audit-Findings ad hoc.
• Die Wirksamkeit prüfen, nicht nur die Existenz von Maßnahmen, sondern den tatsächlichen Schutzbeitrag.
• Schulungen absolvieren, die Risiko-Sensibilität auf Leitungsebene aufbauen. Format: in der Regel jährlich, dokumentiert mit Teilnahme-Nachweis.

Eine reine „Abnicke"-Genehmigung ohne fachliche Auseinandersetzung wird nicht ausreichen, um sich später im Haftungsfall zu exkulpieren.

FAQ

Haftet die Geschäftsleitung bei NIS2 persönlich mit dem Privatvermögen?

Direkt aus NIS2 ergibt sich keine Privatvermögens-Haftung. Indirekt, über § 93 AktG, § 43 GmbHG oder § 34 GenG, kann eine NIS2-Pflichtverletzung als Verletzung der allgemeinen Sorgfaltspflicht gewertet werden. Das Unternehmen kann dann Schäden gegen das Organ-Mitglied im Innenverhältnis geltend machen, was das Privatvermögen erreichen kann.

Reicht die Benennung eines CISO, um die Aufsichtspflicht zu erfüllen?

Nein. Die Benennung eines CISO ist eine Form der operativen Delegation. Die Aufsichtspflicht, Auswahl, Anweisung, Kontrolle, bleibt bei der Geschäftsleitung. Sie muss sich regelmäßig berichten lassen, die Wirksamkeit der Maßnahmen prüfen und die Genehmigung dokumentieren. Eine reine Benennung ohne fortlaufende Überwachung erfüllt die Pflicht nicht.

Kann ein Unternehmen Bußgelder über D&O versichern?

Direkte Bußgelder gegen das Unternehmen sind im deutschen Versicherungsrecht nicht versicherbar. D&O-Policen decken in der Regel Verteidigungs-Kosten und zivilrechtliche Schadens-Ersatzansprüche, aber keine staatlichen Sanktionen gegen das Unternehmen. Bußgelder gegen Organe persönlich sind je nach Police teils gedeckt, teils ausgeschlossen, Police-Wording prüfen.

Was bedeutet die Tätigkeitsuntersagung in Art. 32 Abs. 5 NIS2 praktisch?

Bei wiederholten Pflichtverletzungen wesentlicher Einrichtungen kann die Aufsichtsbehörde anordnen, dass eine bestimmte Leitungsperson ihre Aufgaben vorübergehend nicht mehr wahrnehmen darf. Die Sanktion zielt nicht auf das Unternehmen, sondern direkt auf die Person, ein scharfes Schwert, das mit dem deutschen Sanktions-Recht (etwa § 6 GmbHG, Inhabilitäts-Tatbestände) eng abgestimmt sein muss.

Wie dokumentiert man die Genehmigung der Risikomanagement-Maßnahmen sauber?

Praxisbewährt: ein formeller Beschluss des Leitungsorgans, der die wesentlichen Risikomanagement-Maßnahmen einzeln auflistet und genehmigt, dazu Verweis auf das zugrundeliegende Sicherheitskonzept und das Datum der letzten Risiko-Bewertung. Der Beschluss wird ins Beschluss-Buch aufgenommen und mit dem Sicherheitskonzept revisionssicher abgelegt. Jährliche Re-Genehmigung bei Material-Änderungen.