Wie können sich Geschäftsführer vor NIS2-Haftungsrisiken schützen?

Alexander Brütsch · 03 Aug. 2026

Seit die NIS2-Richtlinie in deutsches Recht überführt wurde, stehen Geschäftsführer vor einer neuen Realität: Informationssicherheit ist keine rein technische Angelegenheit mehr, die an die IT-Abteilung delegiert werden kann. Das Gesetz schreibt ausdrücklich vor, dass die Unternehmensleitung persönlich für die Einhaltung der Anforderungen verantwortlich ist. Wer die eigene Betroffenheit nicht kennt oder Maßnahmen verschleppt, riskiert nicht nur Bußgelder gegen das Unternehmen, sondern haftet unter Umständen mit seinem Privatvermögen.

Für viele Geschäftsführer mittelständischer Unternehmen ist das eine unbequeme Neuigkeit. Die Frage, wie man sich als Führungsperson wirksam vor NIS2 Haftungsrisiken schützt, lässt sich nicht pauschal beantworten. Sie hängt davon ab, welche Pflichten konkret gelten, wo typische Lücken entstehen und welche Schritte tatsächlich Schutzwirkung entfalten.

Persönliche Haftung unter NIS2: Was Geschäftsführer konkret trifft

Die NIS2-Richtlinie und das daraus abgeleitete deutsche Umsetzungsgesetz sehen vor, dass Leitungsorgane Cybersicherheitsmaßnahmen aktiv billigen und deren Umsetzung überwachen müssen. Das ist keine Formalie. Behörden können Geschäftsführer bei nachgewiesenen Verstößen direkt in Haftung nehmen, und zwar unabhängig davon, ob das Unternehmen selbst sanktioniert wird.

Konkret bedeutet das: Wer nachweislich von Risiken wusste oder hätte wissen müssen und keine angemessenen Maßnahmen veranlasst hat, kann persönlich für entstandene Schäden oder Bußgelder herangezogen werden. Der Bußgeldrahmen für wesentliche Einrichtungen liegt bei bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes. Auch Einrichtungen der zweiten Kategorie sehen empfindliche Sanktionen vor. Die persönliche Haftung der Geschäftsführung kommt dabei obendrauf.

NIS2-Pflichten der Geschäftsführung im Überblick

NIS2 definiert einen konkreten Katalog an Maßnahmen, den betroffene Unternehmen umsetzen müssen. Die Geschäftsführung trägt dabei nicht nur die formale Verantwortung, sondern muss aktiv an der Steuerung beteiligt sein.

Zu den zentralen Pflichten gehören:

Risikoanalyse und Sicherheitskonzepte für Netz- und Informationssysteme
Maßnahmen zur Aufrechterhaltung des Betriebs im Störungsfall (Business Continuity)
Sicherheit in der Lieferkette, einschließlich Bewertung von Dienstleistern und Zulieferern
Meldeprozesse für erhebliche Sicherheitsvorfälle gegenüber dem BSI
Schulung und Sensibilisierung der Mitarbeitenden
Einsatz von Kryptografie und Zugangskontrolle

Die Geschäftsführung muss diese Maßnahmen nicht selbst technisch umsetzen, aber sie muss nachweisen können, dass sie das Thema aktiv steuert, Ressourcen bereitstellt und den Fortschritt regelmäßig überprüft. Ohne dokumentierte Entscheidungen und klare Verantwortlichkeiten fehlt im Ernstfall der Nachweis pflichtgemäßen Handelns.

Typische Schutzlücken, die Haftungsrisiken vergrößern

In der Praxis entstehen Haftungsrisiken selten durch vollständige Untätigkeit. Häufiger sind es strukturelle Lücken, die im Tagesgeschäft unbemerkt bleiben, bis ein Vorfall oder eine Behördenanfrage sie sichtbar macht.

Eine häufige Schwachstelle ist die fehlende Betroffenheitsanalyse. Viele Unternehmen haben schlicht nicht geprüft, ob sie unter NIS2 fallen und als welche Art von Einrichtung sie eingestuft werden. Wer diese Grundlage nicht kennt, kann weder die richtigen Maßnahmen planen noch glaubhaft nachweisen, dass er seine Pflichten kennt.

Weitere typische Lücken:

Keine dokumentierten Meldeprozesse: Sicherheitsvorfälle müssen innerhalb enger Fristen gemeldet werden. Fehlt ein funktionierender Prozess, droht allein dadurch ein Verstoß.
Lieferkette nicht bewertet: NIS2 schreibt vor, Sicherheitsanforderungen auch gegenüber Dienstleistern und Lieferanten durchzusetzen. Viele Unternehmen haben dafür noch keine Grundlage geschaffen.
Keine regelmäßigen Überprüfungen: Einmalige Maßnahmen genügen nicht. Ohne kontinuierliche Kontrolle lässt sich Compliance nicht dauerhaft belegen.
Fehlende Schulungsnachweise: Sensibilisierung der Mitarbeitenden ist explizit gefordert. Ohne Dokumentation fehlt der Nachweis.

Diese Lücken entstehen nicht aus Gleichgültigkeit, sondern weil NIS2 Compliance ein breites Spektrum an Anforderungen abdeckt, das intern kaum vollständig abzubilden ist.

Maßnahmen zum wirksamen Schutz vor NIS2-Haftung

Wirksamer Schutz beginnt mit Klarheit über die eigene Situation. Wer weiß, ob und wie das Unternehmen betroffen ist, kann gezielt handeln, statt auf Verdacht Maßnahmen umzusetzen, die am eigentlichen Pflichtenbild vorbeigehen.

Dokumentation als Haftungsschutz

Im Fall einer Behördenprüfung zählt, was nachweisbar ist. Geschäftsführer sollten sicherstellen, dass Entscheidungen zur Informationssicherheit schriftlich festgehalten werden, Risikoanalysen aktuell sind und Maßnahmen mit Datum und Verantwortlichkeit dokumentiert vorliegen. Dokumentation ist kein bürokratischer Selbstzweck, sondern das wichtigste Instrument, um im Ernstfall pflichtgemäßes Handeln zu belegen.

Meldeprozesse einrichten und testen

NIS2 schreibt vor, erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden beim BSI zu melden. Wer diesen Prozess nicht vorab definiert und erprobt hat, wird ihn unter Druck nicht fehlerfrei ausführen. Ein funktionierender Meldeprozess mit klaren Zuständigkeiten, vorbereiteten Meldeformaten und einem definierten Eskalationspfad gehört zu den Grundvoraussetzungen.

Lieferkette systematisch einbeziehen

Sicherheitsanforderungen hören nicht an der eigenen Unternehmensgrenze auf. Verträge mit wesentlichen Dienstleistern sollten Sicherheitsanforderungen enthalten, und deren Einhaltung sollte regelmäßig überprüft werden. Das schützt nicht nur vor regulatorischen Risiken, sondern verringert die tatsächliche Angriffsfläche.

Externe Unterstützung als Haftungsminimierung

NIS2 Compliance lässt sich intern kaum vollständig stemmen, wenn gleichzeitig das operative Geschäft läuft. Externe Experten bringen nicht nur Fachkenntnis mit, sondern auch eine unabhängige Perspektive, die interne Betriebsblindheit ausgleicht.

Ein externer Informationssicherheitsbeauftragter (ISB) oder CISO übernimmt die strategische Steuerung der Informationssicherheit, hält das Wissen aktuell und stellt sicher, dass Maßnahmen nicht nur einmalig umgesetzt, sondern dauerhaft gepflegt werden. Für Geschäftsführer ist das auch haftungsrechtlich relevant: Wer nachweislich qualifizierte Unterstützung eingekauft und deren Empfehlungen umgesetzt hat, steht deutlich besser da als jemand, der das Thema intern ohne Expertise verwaltet hat.

Wichtig ist dabei, dass externe Unterstützung nicht bedeutet, Verantwortung abzugeben. Die Geschäftsführung bleibt in der Pflicht, muss aber nicht jede technische Detailentscheidung selbst treffen. Die Kombination aus klarer interner Governance und externer Fachkompetenz ist in der Praxis der realistischste Weg zur dauerhaften NIS2-Konformität.

Wie UBESAFE bei der NIS2-Umsetzung unterstützt

UBESAFE macht die NIS2-Umsetzung für Geschäftsführer beherrschbar, von der ersten Betroffenheitsprüfung bis zur technischen Umsetzung und dauerhaften Überwachung. Das Angebot deckt den gesamten Weg ab:

NIS2-Audit: Analyse des aktuellen Stands, Bewertung der Anwendbarkeit und Einstufung, GAP-Analyse mit konkretem Maßnahmenplan
Aufbau von Governance-Strukturen, Meldeprozessen und Risikoanalyse-Methodik
Technische Maßnahmen wie 24/7-Monitoring, Schwachstellen-Scans, SIEM und Patchmanagement
Externer ISB oder CISO für strategische Steuerung und Unabhängigkeit
Managed Service für kontinuierliche Überwachung, Reviews und Anpassung an neue Anforderungen

Audit, Meldeprozesse und technische Maßnahmen werden dabei flexibel als vollumfängliches Paket oder als einzelne Komponenten angeboten. Wer wissen möchte, wo das eigene Unternehmen heute steht, kann mit einem kostenlosen Erstaudit starten und bekommt eine belastbare Grundlage für alle weiteren Schritte.