Die NIS2-Richtlinie hat die Spielregeln für IT-Sicherheit in Europa grundlegend verändert. Was viele Geschäftsführer dabei unterschätzen: Die Richtlinie richtet sich nicht nur an Unternehmen als juristische Personen, sondern adressiert ausdrücklich auch die persönliche Verantwortung der Leitungsebene. Wer als Geschäftsführer die Anforderungen ignoriert oder verschleppt, riskiert deutlich mehr als eine Abmahnung.
Seit der Umsetzung der NIS2-Richtlinie in nationales Recht stehen Geschäftsführer in betroffenen Unternehmen vor einer neuen Realität: NIS2-Compliance ist keine freiwillige Selbstverpflichtung, sondern ein gesetzliches Gebot mit messbaren Konsequenzen bei Verstößen. Dieser Artikel erklärt, was konkret auf dem Spiel steht.
Persönliche Haftung nach NIS2: Was das Gesetz konkret vorschreibt
Die NIS2-Richtlinie verpflichtet Leitungsorgane betroffener Einrichtungen ausdrücklich dazu, Cybersicherheitsmaßnahmen zu genehmigen, deren Umsetzung zu überwachen und selbst an Schulungen teilzunehmen. Diese Anforderungen sind in Artikel 20 der Richtlinie verankert und wurden in Deutschland über das NIS2UmsuCG in nationales Recht überführt. Damit ist die Verantwortung für Informationssicherheit nicht mehr delegierbar im klassischen Sinne: Geschäftsführer tragen eine direkte Aufsichtspflicht.
Das bedeutet in der Praxis, dass Unwissenheit keine Schutzwirkung entfaltet. Wer als Geschäftsführer geltend macht, von einem Sicherheitsvorfall oder mangelhaften Schutzmaßnahmen nichts gewusst zu haben, kann sich damit nicht von der Haftung befreien, wenn die gesetzlich vorgeschriebene Aufsicht nachweislich gefehlt hat. Die Pflicht zur aktiven Steuerung der IT-Sicherheit liegt damit unmittelbar bei der Unternehmensführung.
Bußgelder, Haftungsansprüche und Amtsenthebung als Konsequenzen
Bei NIS2-Verstößen drohen Unternehmen empfindliche Bußgelder. Für wesentliche Einrichtungen sind Sanktionen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Entscheidend ist dabei, dass die Aufsichtsbehörden nicht nur das Unternehmen, sondern auch einzelne Mitglieder der Geschäftsleitung persönlich belangen können.
Konkret sieht die Richtlinie vor, dass natürliche Personen in Leitungspositionen bei nachgewiesener Pflichtverletzung persönlich haftbar gemacht werden können. In schwerwiegenden Fällen kann dies bis zur vorübergehenden Untersagung der Ausübung von Leitungsaufgaben führen, was einer faktischen Amtsenthebung gleichkommt. Hinzu kommen zivilrechtliche Haftungsansprüche, die Aktionäre, Gesellschafter oder das Unternehmen selbst gegen die Geschäftsführung geltend machen können, wenn nachweisbare Versäumnisse zu einem Schaden geführt haben.
Welche Branchen und Unternehmensgrößen besonders betroffen sind
NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen, wobei die Einstufung von Branche und Unternehmensgröße abhängt. Als wesentliche Einrichtungen gelten unter anderem Unternehmen aus den Bereichen Energie, Transport, Gesundheitswesen, Trinkwasser, digitale Infrastruktur und Finanzmarktinfrastruktur. Wichtige Einrichtungen umfassen beispielsweise Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelverarbeitung, Chemie, Maschinenbau und digitale Anbieter.
Die Schwellenwerte orientieren sich an der EU-Definition für mittlere Unternehmen: ab 50 Mitarbeitern und einem Jahresumsatz von mehr als 10 Millionen Euro können Unternehmen in den Anwendungsbereich fallen. Besonders der produzierende Mittelstand, Automobilzulieferer und Logistikdienstleister sind häufig betroffen, ohne sich dessen bewusst zu sein. Wer unsicher ist, ob das eigene Unternehmen in den Geltungsbereich fällt, sollte eine strukturierte Betroffenheitsanalyse durchführen lassen.
Typische Versäumnisse, die zur Haftung führen
In der Praxis zeigen sich immer wieder ähnliche Muster, die Geschäftsführer in eine persönliche Haftungssituation bringen. Eines der häufigsten Probleme ist das Fehlen eines dokumentierten Risikomanagements. NIS2 verlangt explizit, dass Unternehmen Risiken systematisch erfassen, bewerten und mit geeigneten Maßnahmen adressieren. Fehlt diese Dokumentation, lässt sich im Schadensfall kaum nachweisen, dass die Geschäftsführung ihrer Aufsichtspflicht nachgekommen ist.
Weitere typische Versäumnisse umfassen:
- Fehlende oder unzureichende Meldeprozesse bei Sicherheitsvorfällen (NIS2 schreibt konkrete Meldefristen vor, unter anderem eine Erstmeldung innerhalb von 24 Stunden)
- Keine Regelungen zur Lieferkettensicherheit, obwohl Drittanbieter und Dienstleister explizit in die Risikobetrachtung einzubeziehen sind
- Mangelnde Schulungen der Leitungsebene, die nach NIS2 verpflichtend vorgesehen sind
- Fehlende Business-Continuity-Planung und ungetestete Wiederherstellungsverfahren
- Unzureichende Zugriffskontrollen und veraltete Patch-Stände in kritischen Systemen
Jedes dieser Versäumnisse kann im Rahmen einer behördlichen Prüfung oder nach einem Sicherheitsvorfall als Beleg für eine unzureichende Erfüllung der Leitungspflichten gewertet werden.
Maßnahmen, mit denen Geschäftsführer ihre Haftung begrenzen
Haftungsminimierung beginnt mit Dokumentation. Wer nachweisen kann, dass Risiken systematisch bewertet, Maßnahmen beschlossen und deren Umsetzung überwacht wurden, steht bei einer behördlichen Prüfung deutlich besser da als jemand, der auf informelle Abläufe verweist. Ein formales Informationssicherheitsmanagementsystem (ISMS), auch unterhalb der vollen ISO-27001-Zertifizierung, schafft diese Nachweisbarkeit.
Darüber hinaus empfiehlt sich:
- Eine strukturierte Betroffenheitsanalyse, um den eigenen Pflichtenkatalog verbindlich zu bestimmen
- Die Einrichtung klarer Verantwortlichkeiten, etwa durch einen externen Informationssicherheitsbeauftragten, der geprüfte Expertise einbringt und gleichzeitig die Geschäftsführung entlastet
- Regelmäßige Sicherheitsreviews und dokumentierte Beschlüsse der Leitungsebene zu sicherheitsrelevanten Themen
- Technische Basismaßnahmen wie 24/7-Monitoring, Schwachstellen-Scans und ein strukturiertes Patchmanagement
- Nachweisbare Teilnahme der Geschäftsführung an Schulungen zur Cybersicherheit
Entscheidend ist, dass diese Maßnahmen nicht als einmaliges Projekt verstanden werden. NIS2 ist auf dauerhafte Konformität ausgelegt. Behörden können jederzeit Nachweise einfordern, und ein Sicherheitsvorfall nach einer Phase der Vernachlässigung kann die persönliche Haftung erheblich verschärfen.
Wie UBESAFE bei der NIS2-Umsetzung unterstützt
UBESAFE macht die NIS2-Umsetzung für Geschäftsführer beherrschbar: von der ersten Betroffenheitsprüfung über den Aufbau von Governance und Meldeprozessen bis zur technischen Umsetzung. Das NIS2-Audit analysiert den aktuellen Stand, bewertet Anwendbarkeit und Reifegrad und legt mit einer GAP-Analyse konkrete Handlungsschritte offen. Der anschließende Managed Service sorgt dafür, dass NIS2 nicht einmalig erfüllt, sondern dauerhaft aufrechterhalten wird.
Das Leistungsspektrum umfasst:
- Betroffenheitsanalyse und vollständiges Pflichtenbild für die Geschäftsführung
- Aufbau von Risikomanagement, Meldeprozessen und ISMS-Dokumentation
- Technische Maßnahmen wie 24/7-Monitoring, Schwachstellen-Scans, SIEM und Patchmanagement
- Externer Informationssicherheitsbeauftragter (ISB/CISO) als dauerhafter Ansprechpartner
- Flexible Buchung als vollumfängliches Paket oder als einzelne Komponenten
Wer als Geschäftsführer die eigene Haftungssituation konkret einschätzen möchte, kann mit einem kostenlosen Erstgespräch beginnen und prüfen lassen, wo das Unternehmen heute steht.