NIS2 für Familienunternehmen: Was ist anders?

NIS2 unterscheidet rechtlich nicht zwischen familiengeführten und nicht-familiengeführten Einrichtungen. In der praktischen Anwendung treffen die Anforderungen des Art. 20 NIS2 jedoch auf typische Strukturen von Familienunternehmen, Beirat, mehrstufige Gesellschafterkreise, Übergaben, und erzeugen dort spezifische Strukturfragen. Dieser Beitrag ordnet sie ein, ohne pauschale Lösungsversprechen.

Welche regulatorischen Vorgaben sind einschlägig?

Nach Art. 20 Abs. 1 NIS2 stellen die Mitgliedstaaten sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagement-Maßnahmen nach Art. 21 NIS2 billigen, ihre Umsetzung überwachen und für Verstöße der Einrichtung verantwortlich gemacht werden können. Nach Art. 20 Abs. 2 NIS2 müssen die Mitglieder der Leitungsorgane an Schulungen teilnehmen; die Einrichtungen sollen lediglich dazu angehalten werden, auch ihren Beschäftigten regelmäßig entsprechende Schulungen anzubieten. In Deutschland verpflichtet § 38 Abs. 1 BSIG die Geschäftsleitungen, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen; § 38 Abs. 2 BSIG regelt die Haftung gegenüber der Einrichtung nach dem jeweiligen Gesellschaftsrecht, § 38 Abs. 3 BSIG die regelmäßige Schulungspflicht.

Das deutsche Umsetzungsrecht spricht statt von „Leitungsorganen“ von der Geschäftsleitung (§ 38 BSIG). § 2 Nr. 13 BSIG definiert sie als natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist, bei der GmbH also die Geschäftsführer, bei der AG der Vorstand, bei der KG die geschäftsführungs- und vertretungsberechtigten persönlich haftenden Gesellschafter.

Bei Familienunternehmen kommen ergänzend gesellschaftsrechtliche Strukturen hinzu, die nicht unmittelbar im handelsregisterlichen Geschäftsführungs-Status abgebildet sind:

• Beirat / Aufsichtsrat (oft mit weitreichenden Mitspracherechten in Familienunternehmen), die Einbeziehung in die NIS2-Berichts- und Aufsichtsstruktur ist abhängig von der konkreten Geschäftsordnung.
• Familienpool / Familienholding / Familienstiftung, die wirtschaftliche Steuerungs-Kompetenz kann von der formalen Geschäftsführung abweichen.
• Stille Gesellschafter, formal nicht in der Geschäftsführung, faktisch oft mit Einfluss.
• Externe Geschäftsführung (Fremdmanagement bei Senior-/Junior-Übergangen), die Verteilung der NIS2-Verantwortung zwischen Familienseite und externer Geschäftsführung ist vertraglich zu regeln.

Welche Konstellation passt zu deinem Unternehmen?

Die einschlägige Strukturierung hängt vom Aufbau ab:

• Klassische GmbH mit einem Geschäftsführer und überschaubarem Gesellschafterkreis ohne Beirat: Die NIS2-Verantwortung ist eindeutig dem Geschäftsführer zugeordnet; spezifische Familienunternehmens-Strukturfragen sind regelmäßig nicht relevant.
• Familienunternehmen mit Beirat oder Aufsichtsrat: Die Berichts- und Schulungs-Struktur sollte den Beirat einbeziehen, sofern dieser nach Geschäftsordnung Mitsprache- oder Überwachungsrechte über IT-/Compliance-Themen hat.

• Mehrgenerationen-Familienunternehmen mit verteilten Gesellschafter-Funktionen: Eine formale Compliance-Owner-Bestellung auf Geschäftsleitungs- oder Prokurist-Ebene schafft eine stabile Anker-Rolle über Generationen-Übergänge hinweg.
• Familienunternehmen vor Generations- oder Inhaberwechsel: Eine vorausschauende Compliance-Übergabe-Struktur (Asset-Inventar, Dienstleisterverträge, Maßnahmen-Status) ist regelmäßig sinnvoll, sie ist nicht NIS2-spezifisch, wird durch NIS2 aber schwerer aufschiebbar.

Welcher Aufbau-Rahmen ist verbreitet?

In Familienunternehmen mit mehrstufigen Strukturen sind die folgenden Bausteine verbreitet, die konkrete Ausgestaltung hängt von Gesellschaftsform und Gesellschaftervereinbarung ab:

Schriftliche Zuweisungsmatrix für die NIS2-Berichtskette: Eine eigenständige, in die Geschäftsordnung eingebettete Übersicht regelt, welche Person (mit Name und Funktion) NIS2-Berichte erhält, in welchem Rhythmus und mit welchem Detaillierungsgrad. Sie ersetzt nicht die gesellschaftsrechtliche Geschäftsführungs-Struktur, ergänzt sie aber um die NIS2-spezifischen Kommunikationswege.

Formale Compliance-Owner-Funktion: Eine intern benannte Person, häufig aus dem kaufmännischen Bereich, ein IT-Hintergrund ist nicht zwingend, fungiert als operative Schnittstelle zur Geschäftsführung, zu externen Dienstleistern und ggf. zur Aufsichtsbehörde. Diese Rolle ist über Generations-Übergänge hinweg stabil und ist Anker-Punkt für externe Auditoren. Der Aufwand hängt von Größe und Komplexität ab; regelmäßige Fortbildung gehört dazu.

Compliance-Übergabe-Dokumentation für Nachfolge-Phasen: Eine strukturierte Übergabe-Dokumentation umfasst Asset-Inventar, Liste aller IT-Dienstleister mit Vertragsstand, Status der einschlägigen Mindestmaßnahmen, offene Maßnahmen mit Verantwortlichen und Fristen. Diese Dokumentation ist Bestandteil einer professionellen Nachfolge-Vorbereitung, sie ist nicht NIS2-exklusiv, wird durch NIS2 aber unverzichtbar.

Transaktionsstruktur-bewusste Vertragsgestaltung bei Unternehmensnachfolge:

• Bei einem Share-Deal (Anteilsverkauf) bleibt die juristische Person identisch, NIS2-Pflichten bleiben bei der Gesellschaft; die persönliche Verantwortung nach Art. 20 NIS2 wechselt mit der Geschäftsführung.
• Bei einem Asset-Deal (Verkauf einzelner Vermögensgegenstände) ist die NIS2-Pflichtenstellung des Erwerbers gesondert zu prüfen; die Registrierung beim BSI nach § 33 BSIG (spätestens drei Monate, nachdem der Erwerber als Einrichtung gilt) und die Übergabe der Dokumentation sind vertraglich zu regeln.
• Übliche Garantie- und Freistellungsklauseln in Kaufverträgen sind Verhandlungsgegenstand; Laufzeit und Umfang sollten NIS2-Pflichten ausdrücklich einbeziehen.

Förderprogramme zur IT-Sicherheits-Investition: Das Bundesprogramm „go-digital“ ist am 31.12.2024 ausgelaufen. Aktuelle Programme bieten einzelne Länder und Förderbanken an; ihr Stand ist vor Antragstellung bei der zuständigen Stelle oder IHK zu prüfen. Förderanträge müssen typischerweise vor Projektstart gestellt werden, die Förderlogik ist in den NIS2-Fahrplan zu integrieren.

Welche Konstellationen erfordern abweichendes Vorgehen?

Der hier skizzierte Strukturrahmen ist nicht ausreichend oder nicht das geeignete Modell, sofern eine der folgenden Konstellationen vorliegt:

• Besonders wichtige Einrichtung nach § 28 Abs. 1 BSIG: Nach § 61 BSIG kann das BSI ihr gegenüber Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen und frühestens drei Jahre nach Inkrafttreten des Gesetzes Nachweise verlangen. Eine schlanke Compliance-Owner-Funktion allein trägt dann in der Regel nicht; die Umsetzungs- und Überwachungspflicht nach § 38 BSIG bleibt bei der Geschäftsleitung.
• Betreiber kritischer Anlagen (bis zum Inkrafttreten der Rechtsverordnung nach dem KRITIS-Dachgesetz weiterhin nach BSI-Kritisverordnung bestimmt, § 66 BSIG): Die Pflichten nach §§ 30, 31 BSIG und die Nachweispflicht nach § 39 BSIG (erstmals zu einem vom BSI festgelegten Zeitpunkt, danach alle drei Jahre) gelten unabhängig von der Eigentümerstruktur und sind durch familienunternehmens-typische Vereinfachungen nicht ersetzbar.

• Komplexe Familienholding-Struktur mit verbundenen Unternehmen: Für Mitarbeiterzahl, Umsatz und Bilanzsumme gilt nach § 28 Abs. 4 BSIG die Empfehlung 2003/361/EG. Daten von Partner- oder verbundenen Unternehmen werden jedoch nicht hinzugerechnet, wenn das Unternehmen mit Blick auf Beschaffenheit und Betrieb seiner IT-Systeme, Komponenten und Prozesse von ihnen unabhängig ist. Diese Unabhängigkeit ist je Gesellschaft zu prüfen und zu dokumentieren.
• Aktive Transaktion (Verkauf, Spaltung, Verschmelzung) während des NIS2-Implementierungsfensters: Eine gesellschafts- und transaktionsrechtliche Begleitung ist regelmäßig zwingend.
• Mehrjurisdiktionale Familienunternehmen mit EU- oder Drittlands-Töchtern: Die Zuständigkeits-Klärung nach Art. 26 NIS2 ist gesondert zu prüfen.

Nächster Schritt

Eine erste Einordnung des voraussichtlichen NIS2-Status liefert der NIS2-Scope-Check. Bei Konzern- oder Familienholding-Strukturen ist die Scope-Klärung Ausgangspunkt für die anschließende gesellschaftsrechtliche Strukturierung.

Bei mehrstufigen Gesellschafterkreisen, Beirats-Strukturen oder anstehenden Generations-Übergängen ist eine Begleitung durch eine auf Gesellschafts- und Compliance-Recht spezialisierte Anwaltskanzlei in Verbindung mit einer IT-Sicherheits-Beratung regelmäßig sinnvoll. Die hier dargestellten Informationen sind redaktionell aufbereitet und ersetzen keine Rechtsberatung im Einzelfall.

Hintergrund zur persönlichen Haftung der Leitungsorgane: NIS2 Bußgelder und Haftung der Geschäftsleitung.