NIS2 und Geschäftsleiterhaftung in Deutschland

Geschäftsleiterhaftung nach NIS2 im Überblick

Die Geschäftsleiterhaftung nach NIS2 ist am 6.12.2025 Teil des deutschen Rechts geworden, als das geänderte BSI-Gesetz (BSIG) zur Umsetzung der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) wirksam wurde. Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung „besonders wichtiger“ und „wichtiger“ Einrichtungen die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen im Bereich der Cybersicherheit umsetzen und ihre Umsetzung überwachen. Geschäftsleiter, die diese Pflichten verletzen, haften ihrer Einrichtung für schuldhaft verursachte Schäden nach den für die Rechtsform der Einrichtung geltenden gesellschaftsrechtlichen Regeln (§ 38 Abs. 2 BSIG). Geschäftsleiter müssen zudem regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG).

Die Vorschriften machen Cybersicherheit zu einer persönlichen Verantwortung der Geschäftsleiter und rücken die Geschäftsleiterhaftung damit in den Mittelpunkt der Cybersicherheits-Compliance. „Geschäftsleitung“ bezeichnet die natürlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind (§ 2 Nr. 13 BSIG) – in der Praxis die Geschäftsführer einer GmbH und die Mitglieder des Vorstands einer AG. Die Pflicht kann nicht vollständig an die IT-Abteilung oder einen Chief Information Security Officer delegiert werden: Die Geschäftsleitung kann die Umsetzung durch andere organisieren, bleibt aber für die Entscheidungen und die Überwachung verantwortlich.

Welche Unternehmen betroffen sind

Die Pflichten gelten für besonders wichtige Einrichtungen und wichtige Einrichtungen im Sinne von § 28 BSIG. Vereinfacht gesagt sind Unternehmen aus den in den Anlagen 1 und 2 des BSIG aufgeführten Sektoren – darunter Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, Herstellung bestimmter Waren, Chemie, Lebensmittel, Post- und Kurierdienste sowie Abfallbewirtschaftung – erfasst, wenn sie mindestens 50 Beschäftigte haben oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. Euro aufweisen.

Zu den besonders wichtigen Einrichtungen gehören Betreiber kritischer Anlagen sowie in den Sektoren der Anlage 1 Unternehmen mit mindestens 250 Beschäftigten oder einem Jahresumsatz von über 50 Mio. Euro und einer Jahresbilanzsumme von über 43 Mio. Euro. Vernachlässigbare Geschäftstätigkeiten können bei der Zuordnung eines Unternehmens zu einem Sektor unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).

Erfasste Einrichtungen mussten sich innerhalb von drei Monaten, nachdem sie unter das Gesetz fallen, beim BSI registrieren (§ 33 BSIG). Unternehmen, die noch nicht geprüft haben, ob sie vom BSIG erfasst sind, sollten diese Prüfung dringend nachholen, denn die Pflichten der Geschäftsleitung gelten unabhängig von der Registrierung.

Was die Geschäftsleitung nach § 38 BSIG tun muss

Umsetzung und Überwachung

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit von IT-Systemen zu vermeiden und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Die Maßnahmen müssen einem gefahrenübergreifenden Ansatz folgen und mindestens Konzepte für Risikoanalyse und Informationssicherheit, die Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung, Bewertung der Wirksamkeit, grundlegende Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung umfassen. Die Einhaltung dieser Anforderungen ist zu dokumentieren.

Die Geschäftsleitung muss sicherstellen, dass diese Maßnahmen tatsächlich umgesetzt werden, und ihre Wirksamkeit überwachen. In der Praxis bedeutet das, die Informationssicherheitsstrategie und das Budget zu genehmigen, regelmäßige Berichte entgegenzunehmen, sie kritisch zu hinterfragen und Defiziten nachzugehen.

Schulungen

Geschäftsleiter müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken im Bereich der IT-Sicherheit und ihrer Auswirkungen auf die Dienste der Einrichtung zu erwerben (§ 38 Abs. 3 BSIG). Das Gesetz legt weder die Häufigkeit noch das Format der Schulungen fest. Schulungen sollten dokumentiert und wiederholt werden, wenn sich die Risiken oder der Rechtsrahmen ändern.

Wie die Geschäftsleiterhaftung nach NIS2 im deutschen Gesellschaftsrecht funktioniert

§ 38 Abs. 2 BSIG schafft für die Geschäftsleiterhaftung kein eigenständiges neues Haftungsregime, sondern verweist auf das bestehende Gesellschaftsrecht. Für eine AG ist das § 93 des Aktiengesetzes (AktG), für eine GmbH § 43 des GmbH-Gesetzes (GmbHG). Das BSIG selbst begründet eine Haftung nur, soweit das anwendbare Gesellschaftsrecht keine Haftungsregelung enthält.

Aus diesem Verweis folgen mehrere Konsequenzen für die Geschäftsleiterhaftung:

• Innenhaftung: Geschäftsleiter haften der Gesellschaft, nicht unmittelbar Dritten. Kunden oder andere Betroffene haben in der Regel keinen unmittelbaren Anspruch aus § 38 BSIG, auch wenn Gläubiger einer AG in bestimmten Fällen den Anspruch der Gesellschaft selbst geltend machen können (§ 93 Abs. 5 AktG).
• Sorgfaltsmaßstab: Geschäftsleiter müssen die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anwenden. Nach der Business Judgement Rule in § 93 Abs. 1 S. 2 AktG liegt keine Pflichtverletzung vor, wenn der Geschäftsleiter vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln. Die Pflichten nach dem BSIG sind jedoch gesetzliche Pflichten, und die Einhaltung gesetzlicher Pflichten ist keine Frage unternehmerischen Ermessens.
• Beweislast: Im Streitfall muss der Geschäftsleiter beweisen, dass er mit der gebotenen Sorgfalt gehandelt hat (§ 93 Abs. 2 S. 2 AktG, von der Rechtsprechung in der GmbH entsprechend angewandt). Die sorgfältige Dokumentation von Entscheidungen ist daher für jeden Geschäftsleiter unerlässlich.
• Durchsetzung: In der AG muss der Aufsichtsrat nach ständiger Rechtsprechung des Bundesgerichtshofs Schadensersatzansprüche gegen Vorstandsmitglieder prüfen und grundsätzlich verfolgen. In der GmbH ist ein Gesellschafterbeschluss erforderlich (§ 46 Nr. 8 GmbHG).
• Verzicht und Weisungen: In der AG kann die Gesellschaft erst nach drei Jahren und mit Zustimmung der Hauptversammlung auf Ansprüche verzichten oder sich über sie vergleichen (§ 93 Abs. 4 S. 3 AktG). In der GmbH können die Gesellschafter grundsätzlich Weisungen erteilen und auf Ansprüche verzichten, vorbehaltlich der Gläubigerschutzvorschriften.

Konzerne

Im Konzern wird jede juristische Person nach § 28 BSIG gesondert beurteilt, und die Pflichten der Geschäftsleitung nach § 38 BSIG gelten für die Geschäftsleitung jeder erfassten Einrichtung. Die Geschäftsführer einer Tochtergesellschaft können sich nicht auf die Informationssicherheitsfunktion der Muttergesellschaft verlassen, ohne zu prüfen, ob die Konzernmaßnahmen ihre Einrichtung tatsächlich abdecken und § 30 BSIG genügen. Umgekehrt muss der Vorstand der Muttergesellschaft im Rahmen seiner allgemeinen Pflicht zur Organisation des Konzerns sicherstellen, dass die Tochtergesellschaften die Anforderungen erfüllen können. Konzernweite Informationssicherheitsmanagementsysteme sind in der Praxis verbreitet und effizient, sie sollten aber Zuständigkeiten klar verteilen, Berichte auf Ebene der einzelnen Einrichtungen vorsehen und dokumentieren, wie die Geschäftsleitung jeder Tochtergesellschaft die Umsetzung überwacht.

Fallbeispiel

Fallbeispiel (hypothetisch): Ein mittelständisches deutsches Logistikunternehmen mit 400 Beschäftigten ist eine besonders wichtige Einrichtung. Seine Geschäftsführer haben Anfang 2026 ein Informationssicherheitsprogramm genehmigt, sind aber einem externen Audit, das eine fehlende Multi-Faktor-Authentifizierung für den Fernzugriff feststellte, nicht nachgegangen. Monate später nutzen Angreifer gestohlene Zugangsdaten, um die Systeme des Unternehmens zu verschlüsseln, was Verluste durch Ausfallzeiten und Wiederherstellung verursacht. Die Gesellschafter prüfen Ansprüche gegen die Geschäftsführer nach § 43 GmbHG. Die Geschäftsführer müssten in einem solchen Verfahren beweisen, dass sie mit der gebotenen Sorgfalt gehandelt haben. Protokolle, aus denen hervorgeht, warum die Feststellungen des Audits nicht umgesetzt wurden, oder dass Budget und Umsetzung genehmigt und überwacht wurden, wären entscheidend.

Bußgelder und Aufsichtsmaßnahmen

Neben der Geschäftsleiterhaftung nach NIS2 drohen der Einrichtung selbst empfindliche Bußgelder durch die zuständigen Behörden. Nach § 65 BSIG können das Unterlassen oder die fehlende Dokumentation von Risikomanagementmaßnahmen, unterlassene Meldungen von Vorfällen oder die Nichtbefolgung bestimmter Anordnungen bei besonders wichtigen Einrichtungen mit bis zu 10 Mio. Euro und bei wichtigen Einrichtungen mit bis zu 7 Mio. Euro geahndet werden, bei Unternehmen mit einem Gesamtumsatz von mehr als 500 Mio. Euro mit bis zu 2 % beziehungsweise 1,4 % des weltweiten Umsatzes. Bußgelder gegen die Gesellschaft können zu Regressansprüchen gegen Geschäftsleiter führen, wenn das Bußgeld auf einer schuldhaften Pflichtverletzung beruht, wobei im deutschen Recht umstritten ist, ob Bußgelder an Geschäftsleiter weitergegeben werden können.

Das BSI verfügt zudem über weitreichende Aufsichtsbefugnisse gegenüber den erfassten Einrichtungen. Werden Anordnungen des BSI bei besonders wichtigen Einrichtungen trotz Fristsetzung nicht befolgt, kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitern vorübergehend untersagen, ihre Leitungsaufgaben wahrzunehmen, bis die Einrichtung die Anforderungen erfüllt (§ 61 Abs. 9 BSIG).

Cybervorfälle betreffen in der Praxis häufig auch personenbezogene Daten von Kunden oder Beschäftigten, sodass Datenschutzaufsichtsbehörden dieselben Vorgänge nach Art. 32 DSGVO prüfen können. Um Doppelsanktionen zu vermeiden, bestimmt § 65 Abs. 11 BSIG, dass kein weiteres Bußgeld nach dem BSIG verhängt werden darf, wenn eine Datenschutzaufsichtsbehörde für einen Verstoß, der sich aus demselben Verhalten ergibt, bereits ein DSGVO-Bußgeld verhängt hat. Für Geschäftsleiter mindert dies die Bedeutung der BSIG-Pflichten nicht: Eine unzureichende Sicherheitsorganisation kann zugleich zu DSGVO-Bußgeldern, Maßnahmen des BSI und zivilrechtlichen Ansprüchen führen, und jede dieser Folgen kann die Grundlage eines Schadensersatzanspruchs der Gesellschaft gegen ihre Geschäftsleitung bilden.

D&O-Versicherung und interne Organisation

Eine Directors-and-Officers-Versicherung (D&O-Versicherung) kann Ansprüche aus der Geschäftsleiterhaftung nach NIS2 abdecken, die Policen sollten aber auf Cyber-Ausschlüsse, die Behandlung von Bußgeldern und die Deckung von Abwehrkosten in BSI-Verfahren geprüft werden. Für Vorstandsmitglieder einer AG ist ein Selbstbehalt von mindestens 10 % des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung zwingend (§ 93 Abs. 2 S. 3 AktG).

Intern sollte die Geschäftsleitung:

1. feststellen, ob das Unternehmen eine besonders wichtige oder wichtige Einrichtung ist, und es registrieren;
2. die Zuständigkeit für Informationssicherheit innerhalb der Geschäftsleitung zuweisen und Berichtslinien festlegen;
3. auf Grundlage einer Risikoanalyse ein Informationssicherheitsmanagementsystem und ein Budget genehmigen;
4. regelmäßige Berichte und Kennzahlen entgegennehmen und Erörterungen und Entscheidungen dokumentieren;
5. Schulungen für alle Geschäftsleiter absolvieren und dokumentieren;
6. Prozesse für die Reaktion auf Vorfälle und deren Meldung einrichten und in Übungen testen;
7. Verträge mit Lieferanten und IT-Dienstleistern auf Sicherheitsanforderungen überprüfen.

Aufsichtsräte sollten die Cybersicherheit ausdrücklich in ihre Überwachung der Geschäftsleitung einbeziehen.

Nach § 107 Abs. 3 AktG kann sich ein Prüfungsausschuss insbesondere mit der Wirksamkeit des internen Kontrollsystems und des Risikomanagementsystems befassen, und Cyberrisiken sind offensichtlich Teil beider Systeme. Aufsichtsräte sollten vom Vorstand regelmäßige Berichte zum Stand der NIS2-Compliance, zu erheblichen Vorfällen und zu Prüfungsfeststellungen anfordern und sicherstellen, dass ihre eigenen Mitglieder über ausreichendes Verständnis verfügen, um diese Informationen zu bewerten. Siehe unseren Beitrag zur Reaktion auf einen Cyberangriff.

So unterstützt TRW & Co bei der Geschäftsleiterhaftung nach NIS2

Wir beraten Vorstände, Geschäftsführer und Aufsichtsräte zur Geschäftsleiterhaftung nach NIS2: zur Prüfung, ob das BSIG anwendbar ist, zur Gestaltung von Governance und Berichtswesen, zur Dokumentation von Entscheidungen, zu Schulungen der Geschäftsleitung und zur D&O-Versicherung. Wir unterstützen Unternehmen gemeinsam mit ihren IT- und Sicherheitsteams bei der Umsetzung der Maßnahmen nach § 30 BSIG, bei der Meldung von Vorfällen und in Verfahren vor dem BSI, und wir beraten zu Haftungsansprüchen und deren Abwehr. Siehe unsere Seiten zu Cybersicherheit und NIS2 und zu Compliance-Management-Systemen oder kontaktieren Sie uns.