NIS2 · Geschäftsführung
NIS2 und Geschäftsführerhaftung: Was die Leitung wissen muss
Lesezeit etwa 6 Minuten · Stand Oktober 2026
NIS2 macht Informationssicherheit zur nicht-delegierbaren Chefsache. Nach § 38 BSIG müssen Geschäftsführer und Vorstände die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Verletzen sie diese Pflicht, haften sie ihrem Unternehmen gegenüber nach den allgemeinen Regeln des Gesellschaftsrechts. Delegieren lässt sich die Aufgabe, die Verantwortung nicht.
NIS2 verlagert die Verantwortung nach oben.
Die Umsetzung ist delegierbar, die Haftung bleibt bei der Leitung.
Warum nimmt NIS2 die Geschäftsleitung in die Pflicht?
Weil wirksame Informationssicherheit eine Führungsentscheidung ist. Die NIS2-Richtlinie (EU) 2022/2555 adressiert in Artikel 20 ausdrücklich die Leitungsorgane. In Deutschland setzt das BSIG diese Vorgabe um. § 38 BSIG verpflichtet die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen, sich aktiv um die Risikomanagementmaßnahmen nach § 30 BSIG zu kümmern.
Der Gedanke dahinter ist einfach. Sicherheit, die nur in der IT-Abteilung stattfindet, scheitert an fehlendem Budget und fehlender Priorität. Deshalb zieht NIS2 die Verantwortung dorthin, wo über beides entschieden wird. Ob Ihr Unternehmen überhaupt unter die Pflichten fällt, klären Sie vorab mit unserem Wegweiser zur NIS2-Betroffenheit. Den vollständigen Rahmen liefert unsere Seite NIS2 umsetzen.
Was heißt es, Maßnahmen zu billigen und zu überwachen?
§ 38 Absatz 1 BSIG verlangt 2 konkrete Handlungen. Die Leitung muss die Risikomanagementmaßnahmen formal billigen und ihre Umsetzung laufend überwachen. Billigen heißt, eine dokumentierte Entscheidung zu treffen und sie zu verantworten. Billigung ohne Kontrolle genügt nicht, Kontrolle ohne vorherige Billigung ebenso wenig.
Praktisch bedeutet das einen festen Platz der Informationssicherheit auf der Leitungsagenda: regelmäßige Berichte, nachvollziehbare Beschlüsse und ein Blick auf die Kennzahlen. Welche 10 Maßnahmenbereiche überhaupt umzusetzen sind, zeigt unser Beitrag zu den NIS2-Maßnahmen nach § 30 BSIG. Die folgende Übersicht fasst die Leitungspflichten zusammen.
| Pflicht nach § 38 BSIG | Was die Leitung konkret tut | Typischer Nachweis |
|---|---|---|
| Billigen | Die Risikomanagementmaßnahmen nach § 30 BSIG bewusst entscheiden und freigeben | Beschlussprotokoll, freigegebene Leitlinie |
| Überwachen | Die Umsetzung laufend verfolgen und bei Abweichungen nachsteuern | Kennzahlenbericht, Management-Review |
| Schulen | Regelmäßig an Schulungen zu Cyberrisiken teilnehmen | Teilnahmenachweis, Schulungsplan |
Wie oft gehört Informationssicherheit auf die Leitungsagenda?
Eine feste Frequenz schreibt das Gesetz nicht vor, in der Praxis hat sich ein Quartalsrhythmus bewährt. Einmal im Quartal blickt die Leitung auf die wichtigsten Kennzahlen, offene Maßnahmen und neue Risiken, mindestens einmal im Jahr im Rahmen einer formalen Managementbewertung. Dazwischen zählt, dass schwerwiegende Vorfälle sofort nach oben gemeldet werden.
Je regelmäßiger dieser Takt ist, desto geringer wird der Aufwand pro Termin, weil nichts liegen bleibt. Genau diesen Rhythmus unterstützt ein Dashboard, das Kennzahlen laufend aktuell hält, statt sie vor jedem Termin mühsam zusammenzusuchen.
Welche Schulungspflicht trifft Geschäftsführer und Vorstände?
§ 38 Absatz 3 BSIG verpflichtet die Leitungsorgane, regelmäßig an Schulungen teilzunehmen. Ziel ist, dass sie Risiken und deren Auswirkungen auf die Organisation selbst einschätzen können. Der Gesetzgeber nennt bewusst keinen festen Stichtag und keine Stundenzahl. Maßstab ist, dass die Schulung zum Risikoprofil des Unternehmens passt und nachweisbar stattfindet.
Sinnvoll ist, vergleichbare Schulungen auch den Mitarbeitern anzubieten, denn die Leitung kann nur steuern, was die Organisation versteht. Formate und Nachweisführung behandelt unser Beitrag zur Anti-Phishing-Schulung. Die operative Koordination übernimmt in der Regel der Informationssicherheitsbeauftragte, die Verantwortung bleibt bei der Leitung.
Informationssicherheit auf der Leitungsagenda verankern?
Wir zeigen Geschäftsführung und Vorstand in einem kompakten Gespräch, welche NIS2-Pflichten nicht delegierbar sind und wie ein belastbares Reporting dafür aussieht.
Wie haften Leitungsorgane bei Pflichtverletzungen persönlich?
Verletzt die Leitung ihre Pflichten aus § 38 BSIG, greift die allgemeine Organhaftung des Gesellschaftsrechts. Geschäftsführer einer GmbH haften nach § 43 GmbHG, Vorstände einer Aktiengesellschaft nach § 93 AktG. Sie haften gegenüber der eigenen Gesellschaft für den entstandenen Schaden. Das ist die sogenannte Innenhaftung.
Davon zu trennen sind die Bußgelder gegen das Unternehmen. Die NIS2-Vorgaben sehen für besonders wichtige Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 %. Diese Summen zahlt die Einrichtung, nicht die Person. Die persönliche Haftung entsteht erst, wenn die Leitung ihre Sorgfaltspflicht verletzt und daraus ein Schaden folgt. Die folgende Tabelle trennt beide Ebenen.
| Dimension | Bußgeld gegen das Unternehmen | Organhaftung der Leitung |
|---|---|---|
| Rechtsgrundlage | NIS2-Vorgaben, umgesetzt im BSIG | § 43 GmbHG, § 93 AktG |
| Wer trägt die Folge | die Einrichtung als Ganzes | die Geschäftsführer oder Vorstände persönlich |
| Auslöser | Verstoß gegen die Maßnahmenpflichten | schuldhafte Verletzung der Leitungspflicht mit Schaden |
| Höhe | bis 10 Mio. Euro oder 2 % des Umsatzes | Ersatz des konkret entstandenen Schadens |
Wie weist die Leitung ihre Sorgfalt nach?
Über Dokumentation. Wer billigt, überwacht und schult, muss das im Zweifel belegen können. Das heißt: Beschlüsse protokollieren, Kennzahlen regelmäßig vorlegen und Schulungsteilnahmen festhalten. Eine gelebte Dokumentation ist zugleich der beste Schutz vor dem Vorwurf, man habe die Lage nicht gekannt.
Genau hier setzt VANTARIS an. Die Plattform bündelt Risiken, Maßnahmen und Nachweise an einer Stelle und liefert der Leitung ein Dashboard, das Entscheidungen auf einen Blick belegt. Wie ein ISMS die NIS2-Pflichten insgesamt abdeckt, zeigt unser Beitrag zu NIS2 und ISO 27001.
Welche typischen Fehler macht die Geschäftsleitung?
3 Muster tauchen immer wieder auf. Das erste ist die stille Delegation: Die Leitung übergibt das Thema an die IT und hakt es ab. Das zweite ist die fehlende Dokumentation, sodass im Ernstfall niemand belegen kann, dass Maßnahmen gebilligt und überwacht wurden. Das dritte ist die aufgeschobene Schulung, die dann im Audit fehlt.
Alle 3 Fehler haben eine gemeinsame Wurzel: Informationssicherheit wird als reines IT-Projekt behandelt, nicht als Leitungsaufgabe. Wer die Verantwortung einmal angenommen und in feste Routinen gegossen hat, vermeidet sie fast von selbst.
Sind Sie überhaupt von NIS2 betroffen?
Haftung entsteht nur, wo die Pflicht greift. Mit dem NIS2-Betroffenheits-Check ordnen Sie in wenigen Minuten ein, ob Ihr Unternehmen zu den wichtigen oder besonders wichtigen Einrichtungen zählt.
Häufige Fragen zur NIS2-Geschäftsführerhaftung
Gilt die Geschäftsführerhaftung auch für kleine Unternehmen?
Entscheidend ist nicht die Größe allein, sondern ob Ihr Unternehmen unter NIS2 fällt. Trifft das zu, gelten die Pflichten des § 38 BSIG unabhängig von der Rechtsform. Kleine Einrichtungen unterhalb der Schwellenwerte sind in der Regel nicht direkt betroffen, können aber über die Lieferkette gefordert werden.
Kann die Geschäftsführung die NIS2-Pflichten an die IT delegieren?
Die operative Umsetzung ja, die Verantwortung nein. Die Leitung darf Aufgaben an IT, Informationssicherheitsbeauftragten oder Dienstleister übertragen. Billigung, Überwachung und die eigene Schulung bleiben jedoch bei ihr. Diese Kernpflichten sind nach § 38 BSIG nicht delegierbar.
Haftet die Geschäftsführung mit dem Privatvermögen?
Im Innenverhältnis ja. Nach § 43 GmbHG und § 93 AktG haften Geschäftsführer und Vorstände der Gesellschaft gegenüber für schuldhaft verursachte Schäden, grundsätzlich mit dem Privatvermögen. Die NIS2-Bußgelder dagegen treffen das Unternehmen. Eine pauschale persönliche Außenhaftung gegenüber Dritten entsteht durch NIS2 nicht.
Müssen auch Aufsichtsräte an den Schulungen teilnehmen?
Die Schulungspflicht des § 38 BSIG richtet sich an die Leitungsorgane, also an Geschäftsführer und Vorstände. Ein Aufsichtsrat ist kein Leitungsorgan, trägt aber eine Überwachungsfunktion. Eine Schulung ist deshalb auch für Aufsichtsgremien sinnvoll, zwingend vorgeschrieben ist sie für sie nicht.
Wie oft müssen sich Leitungsorgane schulen lassen?
Das Gesetz sagt regelmäßig, nennt aber keine feste Frequenz. In der Praxis hat sich eine jährliche Schulung bewährt, ergänzt um einen kurzen Austausch bei wesentlichen Änderungen der Bedrohungslage. Wichtig ist, dass die Teilnahme dokumentiert wird und zum Risikoprofil des Unternehmens passt.
Was unterscheidet § 30 von § 38 BSIG?
§ 30 BSIG beschreibt, welche Risikomanagementmaßnahmen eine betroffene Einrichtung umsetzen muss. § 38 BSIG richtet sich an die Leitung und regelt deren Pflichten dazu: billigen, überwachen und schulen. Kurz gesagt beschreibt der eine Paragraf das Was, der andere die Verantwortung dafür.
Das könnte Sie auch interessieren
Fakten und Quellen zur NIS2-Geschäftsführerhaftung auf einen Blick
| Punkt | Fakt |
|---|---|
| Rechtsrahmen | Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, in Deutschland umgesetzt im BSIG |
| Leitungspflichten | § 38 BSIG: Maßnahmen billigen, Umsetzung überwachen, regelmäßig schulen |
| Maßnahmenpflicht | § 30 BSIG: Risikomanagementmaßnahmen der Einrichtung |
| Persönliche Haftung | § 43 GmbHG, § 93 AktG: Innenhaftung gegenüber der Gesellschaft |
| Bußgeldrahmen (Unternehmen) | besonders wichtig bis 10 Mio. Euro oder 2 %, wichtig bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes |
| Quellen | EUR-Lex 2022/2555, BSI (NIS2), gesetze-im-internet (GmbHG, AktG) |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.