Welche Haftung trägt die Geschäftsleitung bei NIS2?

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Was Art. 20 NIS2 wörtlich verlangt

Art. 20 NIS2 sieht zwei Kernpflichten der Leitungsorgane vor:

1. Genehmigung und Überwachung der Risikomanagement-Maßnahmen nach Art. 21.
2. Schulungs-Teilnahme der Mitglieder der Leitungsorgane, um Risiken erkennen und Risikomanagement-Praktiken bewerten zu können. Ähnliche Schulungen für Mitarbeitende sollen die Mitgliedstaaten lediglich fördern (Art. 20 Abs. 2 NIS2); eine Pflicht der Leitung ist das nicht.

Der entscheidende Punkt: Diese Pflichten sind Pflichten der Leitungsorgane, nicht nur des Unternehmens. Das BSIG definiert die Geschäftsleitung ausdrücklich als natürliche Person, die zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist (§ 2 Nr. 13 BSIG). Die Leitungspflichten ergänzen die unternehmensbezogenen Pflichten aus Art. 21 NIS2 bzw. § 30 BSIG.

Mitgliedstaaten sind verpflichtet, sicherzustellen, dass Leitungsorgane für Pflichtverletzungen zur Verantwortung gezogen werden können (Art. 20 Abs. 1 NIS2). In Deutschland regelt das § 38 BSIG: Abs. 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen, Abs. 2 ordnet die Haftung gegenüber der Einrichtung an, Abs. 3 die regelmäßige Schulungspflicht.

Bußgelder nach Art. 34 NIS2 und § 65 BSIG

Art. 34 Abs. 4 und 5 NIS2 geben einen Mindestrahmen vor, den die Mitgliedstaaten umsetzen. In Deutschland heißen die „wesentlichen" Einrichtungen „besonders wichtige Einrichtungen" (§ 28 BSIG). Für Verstöße etwa gegen die Risikomanagement- und Meldepflichten (§ 65 Abs. 2 Nr. 2 bis 5 BSIG) gilt:

Gesamtumsatz ist die Summe aller Umsatzerlöse, die das Unternehmen, dem die Einrichtung angehört, im vorausgegangenen Geschäftsjahr weltweit erzielt hat, nicht der Umsatz der einzelnen rechtlichen Einheit (§ 65 Abs. 8 BSIG).

Die zuständige Aufsichtsbehörde, in Deutschland im Regelfall das BSI (§ 65 Abs. 10 BSIG), muss nach Art. 34 Abs. 3 i. V. m. Art. 32 Abs. 7 NIS2 unter anderem berücksichtigen:

• Schwere und Dauer der Pflichtverletzung.
• Vorsätzlichkeit oder Fahrlässigkeit.
• Verursachte Schäden (materielle und immaterielle).
• Vorherige Pflichtverletzungen.
• Grad der Kooperation mit der Behörde.
• Umsetzung von Maßnahmen zur Schadens-Minimierung.

Eine erste, geringfügige Pflichtverletzung mit guter Kooperation spricht nach diesen Kriterien für eine Bemessung im unteren Bereich. Wiederholte Verstöße und unterlassene Meldungen erheblicher Sicherheitsvorfälle gelten nach Art. 32 Abs. 7 lit. a NIS2 in jedem Fall als schwerwiegend.

Persönliche Haftung der Geschäftsleitung: direkt und indirekt

NIS2 sieht zwei Hebel vor, mit denen Aufsichtsbehörden direkt gegen Leitungsorgane vorgehen können:

Hebel 1, Tätigkeitsuntersagung (Art. 32 Abs. 5 NIS2, § 61 Abs. 9 BSIG): Bleiben Durchsetzungsmaßnahmen bei einer wesentlichen Einrichtung wirkungslos und wird auch eine gesetzte Frist nicht eingehalten, kann eine vorübergehende Untersagung von Leitungsfunktionen verlangt werden. In Deutschland gilt das für besonders wichtige Einrichtungen: Kommen sie Anordnungen des BSI trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen, bis die Anordnungen befolgt sind. Diese Maßnahme zielt direkt auf die Person, nicht auf das Unternehmen.

Hebel 2, Haftung der Geschäftsleitung (Art. 32 Abs. 6 NIS2, § 38 Abs. 2 BSIG): Die Mitgliedstaaten müssen sicherstellen, dass verantwortliche natürliche Personen für die Verletzung ihrer Pflichten haftbar gemacht werden können. § 38 Abs. 2 BSIG setzt das als Haftung gegenüber der Einrichtung um. Ein Verstoß gegen die Geschäftsleitungspflichten aus § 38 BSIG ist im Bußgeldkatalog des § 65 BSIG nicht eigens aufgeführt.

Die Haftung richtet sich nach den Regeln der Rechtsform (§ 38 Abs. 2 Satz 1 BSIG); nur wenn diese keine Haftungsregelung enthalten, haftet die Geschäftsleitung nach dem BSIG selbst (§ 38 Abs. 2 Satz 2 BSIG):

• AG: § 93 AktG, Vorstand haftet für Pflichtverletzungen mit seinem Privatvermögen gegenüber der Gesellschaft (Innenhaftung).
• GmbH: § 43 GmbHG, Geschäftsführer haften für Pflichtverletzungen.
• eG: § 34 GenG, analoge Regelung für Genossenschaften.

Weil § 38 Abs. 2 BSIG die Haftung ausdrücklich anordnet, kann eine schuldhafte Verletzung der Pflichten aus § 38 Abs. 1 BSIG mit Schaden für die Einrichtung zur Innenhaftung führen. Beispiel: Geschäftsführung versäumt Implementierung von Mindestmaßnahmen, ein Ransomware-Angriff legt den Betrieb für zwei Wochen lahm, Bußgeld + Schaden = ggf. Regress-Anspruch gegen den Geschäftsführer.

D&O-Versicherung: was sie deckt und was nicht

D&O-Versicherungen (Directors & Officers) decken in der Regel:

• Vermögensschäden, die das Unternehmen gegen Organe geltend macht (Innenhaftung).
• Vermögensschäden, die Dritte gegen Organe geltend machen (Außenhaftung).
• Verteidigungs-Kosten bei aufsichtsrechtlichen Verfahren.

D&O-Versicherungen decken in der Regel nicht:

• Bußgelder, die direkt gegen das Unternehmen verhängt werden.
• Vorsätzlich verursachte Schäden.
• Ob Bußgelder gegen Organe versicherbar sind, ist rechtlich umstritten; entscheidend ist das Wording der jeweiligen Police.

Mit NIS2 ist die Wahrscheinlichkeit eines Bußgeld-Verfahrens gegen das Unternehmen, und damit eines Regress-Versuchs gegen die Geschäftsleitung, gestiegen. Bestehende D&O-Verträge sollten auf Cyber-Klauseln und NIS2-spezifische Ausschlüsse geprüft werden.

Wie Bußgelder in der Praxis bemessen werden

Die Bußgeld-Höhe bemisst die Aufsichtsbehörde anhand der Umstände des Einzelfalls, etwa der in Art. 32 Abs. 7 NIS2 genannten Kriterien (Verweis in Art. 34 Abs. 3). Zwei fiktive Beispiele zur Veranschaulichung des Rahmens, keine Prognose für konkrete Fälle:

Beispiel A, Erst-Verstoß, gute Kooperation: Mittelständischer Maschinenbauer (wichtige Einrichtung, 80 Mio. Euro Umsatz) meldet einen erheblichen Sicherheitsvorfall mit 12-stündiger Verspätung an das BSI, weil die Eskalations-Matrix nicht klar war. Eine verspätete Meldung ist nach § 65 Abs. 2 Nr. 4 BSIG bußgeldbewehrt; der Rahmen liegt bei bis zu 7 Mio. Euro, weil der Umsatz unter der 500-Mio.-Schwelle bleibt. Kein vorheriger Verstoß, vollständige Kooperation und ein dokumentierter Verbesserungs-Plan sprechen nach Art. 32 Abs. 7 NIS2 für eine Bemessung am unteren Ende des Rahmens.

Beispiel B, Wiederholter Verstoß, Schweigen: Logistikunternehmen (besonders wichtige Einrichtung, 800 Mio. Euro Gesamtumsatz) meldet einen erheblichen Sicherheitsvorfall über mehrere Monate nicht. Erst durch eine externe Quelle wird das Aufsichts-Verfahren ausgelöst; frühere Anordnungen waren bereits ergangen. Der Rahmen reicht hier bis 2 % des Gesamtumsatzes, also bis 16 Mio. Euro (§ 65 Abs. 6 BSIG). Wiederholte Verstöße und eine unterlassene Meldung gelten nach Art. 32 Abs. 7 lit. a NIS2 in jedem Fall als schwerwiegend. Werden Anordnungen des BSI trotz Fristsetzung nicht befolgt, kommt zusätzlich eine Untersagung nach § 61 Abs. 9 BSIG in Betracht.

Die Spanne zwischen beiden Szenarien ist erheblich. Neben Schwere und Dauer des Verstoßes fließen nach Art. 32 Abs. 7 NIS2 auch das Verhalten nach dem Verstoß (Kooperation, Schadensminderung) und die Vorgeschichte ein.

Was die Aufsichtspflicht konkret bedeutet

Die Überwachungspflicht aus Art. 20 NIS2 und § 38 Abs. 1 BSIG ist eine eigene Pflicht der Geschäftsleitung. Sie kann nicht durch die bloße Benennung eines CISO erfüllt werden. Wie sie die Überwachung organisiert, schreibt das Gesetz nicht im Einzelnen vor; in der Praxis gehört dazu:

• Die Risikomanagement-Maßnahmen formell genehmigen (Art. 20 Abs. 1 NIS2), typischerweise per dokumentiertem Beschluss.
• Sich regelmäßig berichten lassen, in einer nach Risiko festgelegten Frequenz, bei wesentlichen Vorfällen oder Audit-Findings ad hoc.
• Die Wirksamkeit prüfen, nicht nur die Existenz von Maßnahmen, sondern den tatsächlichen Schutzbeitrag.
• Schulungen absolvieren, die Risiko-Sensibilität auf Leitungsebene aufbauen. § 38 Abs. 3 BSIG verlangt die Teilnahme „regelmäßig"; ein Teilnahme-Nachweis dokumentiert das.

Eine reine „Abnicke"-Genehmigung ohne fachliche Auseinandersetzung wird nicht ausreichen, um sich später im Haftungsfall zu exkulpieren.

FAQ

Haftet die Geschäftsleitung bei NIS2 persönlich mit dem Privatvermögen?

Ja, im Innenverhältnis. § 38 Abs. 2 BSIG ordnet an, dass Geschäftsleitungen, die ihre Pflichten aus § 38 Abs. 1 BSIG verletzen, ihrer Einrichtung für schuldhaft verursachte Schäden haften, und zwar nach den Regeln der Rechtsform, etwa § 93 AktG, § 43 GmbHG oder § 34 GenG. Das Unternehmen kann dann Schäden gegen das Organ-Mitglied geltend machen, was das Privatvermögen erreichen kann.

Reicht die Benennung eines CISO, um die Aufsichtspflicht zu erfüllen?

Nein. Die Benennung eines CISO ist eine Form der operativen Delegation. Die Aufsichtspflicht, Auswahl, Anweisung, Kontrolle, bleibt bei der Geschäftsleitung. Sie muss sich regelmäßig berichten lassen, die Wirksamkeit der Maßnahmen prüfen und die Genehmigung dokumentieren. Eine reine Benennung ohne fortlaufende Überwachung erfüllt die Pflicht nicht.

Kann ein Unternehmen Bußgelder über D&O versichern?

Nicht über die D&O: Sie versichert Organmitglieder, nicht das Unternehmen, und deckt je nach Vertrag Verteidigungs-Kosten und zivilrechtliche Schadensersatzansprüche. Ob Geldbußen überhaupt versicherbar sind, ist rechtlich umstritten; das Police-Wording entscheidet.

Was bedeutet die Tätigkeitsuntersagung in Art. 32 Abs. 5 NIS2 praktisch?

Voraussetzung ist nicht schon ein Wiederholungsfall: Art. 32 Abs. 5 NIS2 greift erst, wenn Durchsetzungsmaßnahmen wirkungslos geblieben sind und eine gesetzte Frist verstrichen ist. In Deutschland kann nach § 61 Abs. 9 BSIG die zuständige Aufsichtsbehörde, wenn eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht befolgt, als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen. Die Untersagung gilt nur, bis die Anordnungen befolgt sind.

Wie dokumentiert man die Genehmigung der Risikomanagement-Maßnahmen sauber?

Praxisbewährt: ein formeller Beschluss des Leitungsorgans, der die wesentlichen Risikomanagement-Maßnahmen einzeln auflistet und genehmigt, dazu Verweis auf das zugrundeliegende Sicherheitskonzept und das Datum der letzten Risiko-Bewertung. Der Beschluss wird ins Beschluss-Buch aufgenommen und mit dem Sicherheitskonzept revisionssicher abgelegt. Jährliche Re-Genehmigung bei Material-Änderungen.