Geschäftsführerhaftung NIS2 rückt seit der europäischen NIS2-Richtlinie und ihrer schrittweisen Umsetzung in nationales Recht zunehmend in den Fokus mittelständischer Geschäftsführungen. Anders als frühere IT-Sicherheitsregelungen adressiert NIS2 nicht nur das Unternehmen als solches, sondern nimmt ausdrücklich die Leitungsorgane in die persönliche Pflicht. Wer als Geschäftsführer glaubt, Cybersicherheit sei ausschließlich Aufgabe der IT-Abteilung, unterschätzt die rechtliche Tragweite dieser Neuausrichtung erheblich. Dieser Beitrag ordnet ein, welche Unternehmen betroffen sind, welche persönlichen Pflichten sich für die Geschäftsführung ergeben und mit welchen organisatorischen Maßnahmen sich Haftungsrisiken wirksam begrenzen lassen.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von Scott Graham auf Unsplash.
Anwendungsbereich der NIS2-Richtlinie im Überblick
Die NIS2-Richtlinie erweitert den Kreis betroffener Unternehmen im Vergleich zur Vorgängerregelung erheblich. Erfasst werden Unternehmen aus einer Vielzahl von Sektoren, die als „wesentlich“ oder „wichtig“ eingestuft werden, darunter Energie, Verkehr, Gesundheitswesen, digitale Infrastruktur, verarbeitendes Gewerbe bestimmter Größenordnung und Anbieter digitaler Dienste. Die Einstufung richtet sich regelmäßig nach Unternehmensgröße und Branche, wobei bereits mittelständische Unternehmen ab einer bestimmten Mitarbeiterzahl und Umsatzschwelle in den Anwendungsbereich fallen können, auch wenn sie sich selbst nicht primär als sicherheitskritisch verstehen.
Besonders relevant für den Mittelstand ist, dass NIS2 nicht nur unmittelbar betroffene Unternehmen erfasst, sondern über Lieferkettenanforderungen auch Zulieferer und Dienstleister mittelbar in die Pflicht nimmt. Ein Unternehmen, das selbst nicht in den unmittelbaren Anwendungsbereich fällt, aber wesentlicher Zulieferer eines betroffenen Unternehmens ist, sieht sich regelmäßig mit vertraglich weitergereichten Sicherheitsanforderungen konfrontiert.
Persönliche Pflichten der Geschäftsführung nach NIS2
Der zentrale Unterschied zu früheren Regelungen liegt in der ausdrücklichen persönlichen Verantwortung der Leitungsorgane. Die Richtlinie verpflichtet Geschäftsführungen betroffener Unternehmen, Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen, deren Umsetzung zu überwachen und sich hierzu regelmäßig schulen zu lassen. Diese Pflichten lassen sich nicht vollständig an die IT-Abteilung oder externe Dienstleister delegieren, da die Verantwortung für die Billigung und Überwachung ausdrücklich bei der Unternehmensleitung verbleibt.
Kernpflichten im Überblick
- Billigung der von der Organisation getroffenen Risikomanagementmaßnahmen im Bereich Cybersicherheit.
- Überwachung der Umsetzung dieser Maßnahmen durch geeignete interne Kontrollmechanismen.
- Teilnahme an speziellen Schulungen zur Erkennung und Bewertung von Cybersicherheitsrisiken.
- Sicherstellung einer angemessenen Meldeorganisation für erhebliche Sicherheitsvorfälle innerhalb der gesetzlich vorgesehenen Fristen.
- Dokumentation der getroffenen Entscheidungen und Kontrollmaßnahmen zur Nachweisführung im Streit- oder Prüfungsfall.
Haftungsrisiken bei Pflichtverletzung
Verstößt die Geschäftsführung gegen ihre Aufsichts- und Organisationspflichten im Bereich Cybersicherheit, drohen sowohl aufsichtsrechtliche Sanktionen gegen das Unternehmen als auch eine persönliche Inanspruchnahme der Geschäftsführung. Die persönliche Haftung stützt sich dabei regelmäßig auf die allgemeinen gesellschaftsrechtlichen Grundsätze der Organhaftung, etwa nach § 43 GmbH-Gesetz oder § 93 Aktiengesetz, wonach Geschäftsleiter für Schäden haften, die durch Verletzung ihrer Sorgfaltspflichten entstehen. NIS2 konkretisiert diese allgemeine Sorgfaltspflicht speziell für den Bereich der Cybersicherheit und erleichtert damit tendenziell den Nachweis einer Pflichtverletzung, wenn grundlegende Vorgaben wie Risikoanalysen oder Schulungen schlicht unterlassen wurden.
Zusätzlich zur zivilrechtlichen Haftung gegenüber dem eigenen Unternehmen können bei schwerwiegenden Sicherheitsvorfällen auch Ansprüche Dritter relevant werden, etwa von Geschäftspartnern oder Kunden, deren Daten oder Systeme durch eine mangelhaft abgesicherte IT-Infrastruktur des Unternehmens beeinträchtigt wurden. Der vollständige Text der Richtlinie (EU) 2022/2555 ist über das EU-Amtsblatt unter eur-lex.europa.eu öffentlich einsehbar und bildet die europarechtliche Grundlage für die nationalen Umsetzungsgesetze.
Verhältnis zu bestehenden IT-Sicherheitspflichten
NIS2 tritt nicht isoliert neben bestehende Pflichten, sondern überschneidet sich in der Praxis mit datenschutzrechtlichen Anforderungen der Datenschutz-Grundverordnung, mit branchenspezifischen Vorgaben etwa im Finanzsektor und mit allgemeinen Organisationspflichten aus dem Gesellschaftsrecht. Für die Geschäftsführung ergibt sich daraus die Notwendigkeit, Cybersicherheit nicht als isoliertes IT-Thema, sondern als Querschnittsaufgabe zu behandeln, die Compliance, Datenschutz und operative IT-Sicherheit zusammenführt.
Abgrenzung der Regelungsbereiche
| Regelungsbereich | Schwerpunkt | Verantwortliche Stelle |
|---|---|---|
| NIS2-Umsetzungsgesetz | Risikomanagement, Meldepflichten, persönliche Leitungspflichten | Geschäftsführung, IT-Sicherheitsbeauftragter |
| Datenschutz-Grundverordnung | Schutz personenbezogener Daten, Meldepflicht bei Datenpannen | Datenschutzbeauftragter, Geschäftsführung |
| Gesellschaftsrecht (GmbHG, AktG) | Allgemeine Sorgfalts- und Organisationspflichten der Leitung | Geschäftsführung, Aufsichtsrat |
Meldepflichten bei Sicherheitsvorfällen
Ein zentrales Element von NIS2 ist ein gestuftes Meldesystem für erhebliche Sicherheitsvorfälle. Betroffene Unternehmen müssen der zuständigen nationalen Behörde einen erheblichen Sicherheitsvorfall innerhalb sehr kurzer Fristen anzeigen, gefolgt von einer detaillierteren Meldung innerhalb eines etwas längeren Zeitraums und einem abschließenden Bericht nach Abschluss der Bearbeitung. Diese gestufte Meldelogik unterscheidet sich bewusst von einer einmaligen Meldung, weil sie berücksichtigt, dass unmittelbar nach Entdeckung eines Vorfalls oft noch nicht alle Informationen vorliegen, gleichzeitig aber eine schnelle Erstinformation für die Behörden und betroffene Dritte wichtig ist.
Für die Geschäftsführung bedeutet dies, dass interne Meldewege so ausgestaltet sein müssen, dass ein Sicherheitsvorfall nicht erst nach Tagen oder Wochen die Entscheidungsebene erreicht. Ein IT-Sicherheitsvorfall, der zunächst nur auf technischer Ebene bearbeitet wird, ohne dass die Geschäftsführung informiert wird, kann bereits für sich genommen eine Pflichtverletzung darstellen, wenn dadurch die gesetzlichen Meldefristen gegenüber der Behörde versäumt werden. Ein dokumentierter Eskalationsprozess mit klaren Schwellenwerten, ab wann ein Vorfall als erheblich einzustufen ist und wer wann zu informieren ist, gehört daher zu den Mindestanforderungen einer rechtssicheren Organisation.
Verhältnis zur bisherigen Rechtslage im deutschen Recht
Vor der Umsetzung von NIS2 in nationales Recht bestanden bereits Pflichten für Betreiber kritischer Infrastrukturen nach dem BSI-Gesetz, die sich in ihrer Grundstruktur ähneln, jedoch einen deutlich engeren Anwendungsbereich hatten. Die nationale Umsetzung der NIS2-Richtlinie erweitert diesen Kreis erheblich und übernimmt zugleich die europarechtlich vorgegebene ausdrückliche persönliche Verantwortung der Leitungsorgane, die im bisherigen BSI-Gesetz in dieser Deutlichkeit nicht vorgesehen war. Unternehmen, die bereits nach bisherigem Recht als Betreiber kritischer Infrastrukturen eingestuft waren, sollten ihre bestehenden Compliance-Strukturen daher nicht unverändert fortführen, sondern gezielt auf die neuen, strengeren Anforderungen hin überprüfen.
Für Unternehmen, die erstmals in den erweiterten Anwendungsbereich fallen, empfiehlt sich ein strukturierter Gap-Vergleich zwischen den bestehenden IT-Sicherheitsmaßnahmen und dem in der Richtlinie vorgesehenen Mindestkatalog an Risikomanagementmaßnahmen, der unter anderem Konzepte für Risikoanalyse, Vorfallbewältigung, Business Continuity, Lieferkettensicherheit und Multi-Faktor-Authentifizierung umfasst.
Rolle des Aufsichtsrats und der Compliance-Funktion
In Unternehmen mit Aufsichtsrat oder Beirat stellt sich zusätzlich die Frage, welche Rolle dieses Kontrollorgan bei der Umsetzung von NIS2-Anforderungen einnimmt. Da die Geschäftsführung gegenüber dem Aufsichtsrat ohnehin über wesentliche Risiken zu berichten hat, gehört die Cybersicherheitslage nach NIS2 zu den Themen, die regelmäßig und nicht nur anlassbezogen auf die Tagesordnung von Aufsichtsratssitzungen gehören sollten. Ein Aufsichtsrat, der diese Berichterstattung nicht einfordert, läuft seinerseits Gefahr, seine eigene Überwachungspflicht zu verletzen, auch wenn die primäre operative Verantwortung bei der Geschäftsführung verbleibt.
Größere mittelständische Unternehmen richten zunehmend eine eigene Compliance-Funktion oder einen Chief Information Security Officer ein, der die Geschäftsführung bei der Erfüllung ihrer NIS2-Pflichten unterstützt. Wichtig ist dabei die klare Trennung zwischen operativer Umsetzung, die delegiert werden kann, und der Billigungs- und Überwachungspflicht, die als persönliche Pflicht bei der Geschäftsführung verbleibt. Eine rein formale Benennung einer verantwortlichen Person entbindet die Geschäftsführung nicht von der eigenen Sorgfaltspflicht, regelmäßig zu prüfen, ob die getroffenen Maßnahmen tatsächlich wirksam sind.
Schritt-für-Schritt-Vorgehen zur Absicherung der Geschäftsführung
- Prüfen, ob das eigene Unternehmen unmittelbar oder als Zulieferer mittelbar in den Anwendungsbereich der NIS2-Umsetzung fällt.
- Eine dokumentierte Risikoanalyse für die eigene IT- und OT-Infrastruktur durchführen lassen.
- Risikomanagementmaßnahmen formell durch die Geschäftsführung billigen lassen und dies protokollieren.
- Verantwortlichkeiten für Umsetzung und laufende Überwachung schriftlich einer benannten Person oder Funktion zuordnen.
- Regelmäßige Schulungen der Geschäftsführung zu Cybersicherheitsrisiken nachweisbar durchführen.
- Meldeprozesse für erhebliche Sicherheitsvorfälle mit klaren Fristen und Zuständigkeiten einrichten.
- D&O-Versicherung daraufhin prüfen, ob Cybersicherheitsrisiken und NIS2-bezogene Pflichtverletzungen ausreichend abgedeckt sind.
- Jährliche Überprüfung der getroffenen Maßnahmen fest im Compliance-Kalender verankern.
Praxisbeispiel: Mittelständischer Zulieferer der Automobilindustrie
Ein Zulieferunternehmen mit rund 300 Mitarbeitern stellte im Rahmen einer Vertragsprüfung fest, dass ein wichtiger Abnehmer aus dem Automobilsektor als wesentliches Unternehmen unter NIS2 fällt und entsprechende Sicherheitsanforderungen vertraglich an seine Zulieferer weiterreicht. Obwohl das Zulieferunternehmen selbst nicht unmittelbar erfasst war, entschied sich die Geschäftsführung, die Kernanforderungen freiwillig zu übernehmen, um die Geschäftsbeziehung nicht zu gefährden und gleichzeitig das eigene Haftungsrisiko im Fall eines Sicherheitsvorfalls zu begrenzen.
„Die eigentliche Frage war nicht mehr, ob wir formal unter das Gesetz fallen, sondern ob wir es uns leisten können, im Ernstfall nachzuweisen, dass wir angemessen vorgesorgt haben.“ (Sinngemäße Einordnung aus der unternehmerischen Praxis)
Die Geschäftsführung ließ daraufhin eine externe Risikoanalyse durchführen, dokumentierte die Billigung der resultierenden Maßnahmen im Protokoll der Geschäftsführersitzung und nahm an einer speziell für Leitungsorgane konzipierten Schulung teil. Dieses Vorgehen lässt sich unabhängig von der formalen Anwendbarkeit von NIS2 auf viele mittelständische Unternehmen übertragen, die über Lieferketten mittelbar betroffen sind.
D&O-Versicherung und NIS2-spezifische Risiken
Bestehende D&O-Versicherungen wurden in vielen Fällen zu einem Zeitpunkt abgeschlossen, als Cybersicherheitspflichten noch keine vergleichbare Bedeutung hatten. Geschäftsführungen sollten daher prüfen lassen, ob der bestehende Versicherungsschutz auch Pflichtverletzungen im Zusammenhang mit Cybersicherheitsanforderungen abdeckt oder ob hierfür gesonderte Ausschlüsse gelten. Insbesondere grob fahrlässiges Verhalten, etwa das vollständige Unterlassen jeglicher Risikoanalyse trotz eindeutiger gesetzlicher Verpflichtung, kann je nach Versicherungsbedingungen zu Deckungslücken führen. Eine regelmäßige Abstimmung mit dem Versicherungsmakler zur Aktualisierung des Versicherungsschutzes gehört daher zu den sinnvollen Begleitmaßnahmen bei der Umsetzung von NIS2-Anforderungen.
Bußgelder und aufsichtsrechtliche Konsequenzen
Neben der zivilrechtlichen Organhaftung sieht die nationale Umsetzung von NIS2 auch eigenständige Bußgeldtatbestände gegen das Unternehmen vor, die sich in ihrer Größenordnung an den aus dem Datenschutzrecht bekannten Sanktionsmechanismen orientieren. Für wesentliche Einrichtungen sind dabei deutlich höhere Bußgeldrahmen vorgesehen als für lediglich wichtige Einrichtungen, was die praktische Bedeutung einer korrekten Einstufung des eigenen Unternehmens zusätzlich unterstreicht. Ein Bußgeld gegen das Unternehmen schließt eine zusätzliche persönliche Haftung der Geschäftsführung im Innenverhältnis nicht aus, wenn das Bußgeld auf eine nachweisbare Pflichtverletzung der Leitungsebene zurückzuführen ist.
Zuständige Aufsichtsbehörden erhalten im Rahmen der NIS2-Umsetzung zudem erweiterte Prüf- und Anordnungsbefugnisse, die von der Anforderung ergänzender Nachweise bis zur vorübergehenden Untersagung bestimmter Geschäftstätigkeiten reichen können, sofern gravierende Sicherheitsmängel festgestellt werden. Unternehmen sollten sich daher nicht nur auf die Vermeidung eines Sicherheitsvorfalls konzentrieren, sondern auch auf die Fähigkeit, gegenüber der Aufsichtsbehörde jederzeit eine nachvollziehbare Dokumentation der getroffenen Maßnahmen vorlegen zu können.
Empfehlungen für die praktische Umsetzung im Mittelstand
Für mittelständische Unternehmen ohne große interne IT-Sicherheitsabteilung empfiehlt sich ein pragmatisches, aber konsequentes Vorgehen. Anstatt ein umfassendes, oft überdimensioniertes Sicherheitskonzept anzustreben, sollten zunächst die zentralen Pflichten, Risikoanalyse, Meldeorganisation und Schulung der Geschäftsführung, mit begrenztem, aber realistischem Aufwand umgesetzt und sauber dokumentiert werden. Externe Dienstleister und spezialisierte Berater können hierbei wertvolle Unterstützung leisten, ersetzen aber nicht die persönliche Auseinandersetzung der Geschäftsführung mit den grundlegenden Risiken des eigenen Unternehmens.
Ein regelmäßiger, mindestens jährlicher Termin, an dem sich die Geschäftsführung gezielt mit dem Stand der Cybersicherheitsmaßnahmen befasst, ähnlich einer Bilanzsitzung, hat sich in der Praxis als wirksames Instrument erwiesen, um die formale Pflicht zur Billigung und Überwachung mit Substanz zu füllen, anstatt sie zu einer reinen Formalie verkommen zu lassen.
Typische Stolperfallen in der Umsetzung
- Die Geschäftsführung delegiert die gesamte Verantwortung an die IT-Abteilung, ohne die eigene Billigungs- und Überwachungspflicht wahrzunehmen.
- Risikoanalysen werden durchgeführt, aber die Ergebnisse nicht formell durch die Geschäftsführung protokolliert.
- Schulungen der Leitungsebene werden als verzichtbar eingestuft, obwohl sie ausdrücklicher Bestandteil der gesetzlichen Pflichten sind.
- Die mittelbare Betroffenheit als Zulieferer wird übersehen, weil das Unternehmen sich fälschlich als nicht anwendungsbereichsrelevant einstuft.
- Meldeprozesse für Sicherheitsvorfälle existieren nur auf dem Papier und werden im Ernstfall nicht eingehalten.
FAQ
Welche Unternehmen fallen unter die NIS2-Richtlinie?
Erfasst werden Unternehmen bestimmter Sektoren wie Energie, Verkehr, Gesundheitswesen und digitale Infrastruktur ab bestimmten Größenschwellen, wobei auch Zulieferer betroffener Unternehmen mittelbar über vertragliche Anforderungen einbezogen werden können.
Haftet die Geschäftsführung persönlich bei Verstößen gegen NIS2?
Ja, die Richtlinie konkretisiert die allgemeine gesellschaftsrechtliche Sorgfaltspflicht der Geschäftsleitung im Bereich Cybersicherheit und erleichtert damit tendenziell den Nachweis einer Pflichtverletzung bei unterlassenen Schutzmaßnahmen.
Kann die Geschäftsführung ihre NIS2-Pflichten vollständig delegieren?
Nein, die Billigung der Risikomanagementmaßnahmen und deren Überwachung verbleiben als persönliche Pflicht bei der Geschäftsführung, auch wenn die operative Umsetzung delegiert werden kann.
Sind auch kleinere Zulieferunternehmen betroffen?
Häufig ja, mittelbar über vertragliche Sicherheitsanforderungen, die größere, unmittelbar erfasste Abnehmerunternehmen an ihre Zulieferer weiterreichen.
Deckt eine bestehende D&O-Versicherung NIS2-bezogene Haftungsrisiken automatisch ab?
Nicht zwangsläufig, weshalb eine Überprüfung des bestehenden Versicherungsschutzes auf Cybersicherheitsrisiken empfehlenswert ist.
Welche Dokumentation sollte die Geschäftsführung vorhalten?
Protokolle über die Billigung von Risikomanagementmaßnahmen, Nachweise über absolvierte Schulungen sowie eine dokumentierte Risikoanalyse und Meldeorganisation.
