Top Themen in der Informationssicherheit:
Bisher konnte die Geschäftsführung das Thema Cybersicherheit an ihre IT-Abteilung delegieren. Mit der NIS2-Richtlinie ändert sich das grundlegend: Informationssicherheit wird zur persönlichen Chefsache – mit direkter Haftung bei Verstößen.
Die NIS2-Geschäftsführerhaftung macht Geschäftsführer, Vorstände und andere Leitungsorgane persönlich für Cybersicherheitsmaßnahmen verantwortlich. Anders als bisher können sich Führungskräfte nicht mehr auf fehlendes technisches Wissen berufen oder die Verantwortung vollständig delegieren.
Die rechtliche Grundlage bildet § 38 des novellierten BSI-Gesetzes (BSIG). Dieser setzt die EU-Richtlinie NIS2 in deutsches Recht um. Das NIS-2-Gesetz konkretisiert dabei die Pflichten für deutsche Unternehmen.
Die drei Kernpflichten:
Bei schuldhafter Pflichtverletzung haften Geschäftsführer ihrer eigenen Gesellschaft gegenüber – mit dem persönlichen Vermögen.
Cyberangriffe gehören zum unternehmerischen Alltag. Ransomware legt Produktionen still, Datenlecks gefährden Kundeninformationen, DDoS-Attacken bringen Webshops zum Erliegen. Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland. Rund 30.000 Unternehmen müssen handeln. Geschäftsführer haften unter Umständen persönlich mit ihrem Privatvermögen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenBetroffen sind alle Unternehmen, die als „wichtige“ oder „besonders wichtige“ Einrichtungen nach § 28 BSIG gelten. Die NIS-2-Richtlinie definiert klare Schwellenwerte:
Das betrifft längst nicht mehr nur klassische kritische Infrastrukturen wie Energieversorger oder Krankenhäuser.
Die NIS2-Geschäftsführerhaftung reagiert auf drei Entwicklungen:
1. Verschärfte Bedrohungslage
Das BSI registriert täglich Hunderttausende neue Schadprogramme. Laut Bitkom entstand der deutschen Wirtschaft 2024 ein Schaden von 266,6 Milliarden Euro durch Cyberangriffe. Phishing-Awareness wird damit zur unverzichtbaren Schutzmaßnahme.
2. Governance-Defizite
In der Praxis zeigte sich: Informationssicherheit war operativ bei IT-Abteilungen angesiedelt, aber auf Leitungsebene fehlten Verantwortlichkeiten und Budget-Prioritäten. IT-Abteilungen entwickelten Sicherheitskonzepte – die Geschäftsführung blockierte notwendige Budgets.
3. EU-Vorgaben
Artikel 20 der NIS2-Richtlinie verpflichtet Leitungsorgane ausdrücklich, Cybersicherheitsmaßnahmen zu billigen und zu überwachen. Deutschland musste diese Vorgabe in nationales Recht umsetzen.
Ist Ihr Unternehmen betroffen? Finden Sie es in 4 Fragen heraus.
Verstöße gegen NIS2 haben zwei Konsequenzen: Bußgelder gegen das Unternehmen und persönliche Haftung der Geschäftsführung.
Bußgelder gegen das Unternehmen:
Persönliche Haftung der Geschäftsführung:
Die Geschäftsführung haftet, wenn sie ihre Pflichten nach § 38 BSIG schuldhaft verletzt. Ein typisches Szenario: Die IT meldet kritische Sicherheitslücken, die Geschäftsführung verschiebt Updates aus Kostengründen. Nach einem Ransomware-Angriff haftet sie für den entstandenen Schaden.
Wichtig: Die Haftung greift auch, wenn die operative Verantwortung an einen Informationssicherheitsbeauftragten delegiert wurde. Die strategische Verantwortung bleibt bei der Geschäftsführung.
Mit konkreten Maßnahmen lassen sich Haftungsrisiken deutlich reduzieren:
1. Betroffenheit klären und registrieren
Das BSI bietet einen kostenlosen Online-Check. Bei Betroffenheit gilt:
2. Risikomanagement etablieren
§ 30 BSIG schreibt konkrete Maßnahmen vor: Risikoanalyse, Sicherheitsrichtlinien, Notfallpläne, Incident Management und Lieferkettenkontrolle. Ein Informationssicherheitsmanagementsystem (ISMS) hilft, diese Anforderungen systematisch zu erfüllen.
3. Schulungen wahrnehmen
Die Schulungspflicht ist nicht delegierbar. Geschäftsführer müssen persönlich teilnehmen – mindestens alle drei Jahre. Eine Security Awareness Schulung vermittelt die notwendigen Grundlagen. Ergänzend empfiehlt sich ein Datenschutz E-Learning für die DSGVO-Anforderungen.
4. Kontinuierlich dokumentieren
Diese Dokumentation ist im Ernstfall der Nachweis, dass die Geschäftsführung ihre Sorgfaltspflicht erfüllt hat – entscheidend für die Abwehr persönlicher Haftungsansprüche. Ein externer Datenschutzbeauftragter kann dabei unterstützen.
Die NIS2-Geschäftsführerhaftung macht Cybersicherheit zur persönlichen Chefsache. Wer seine Pflichten ignoriert, riskiert nicht nur Bußgelder für das Unternehmen, sondern haftet unter Umständen persönlich. Die gute Nachricht: Mit strukturiertem Risikomanagement, verpflichtenden Schulungen und professioneller Dokumentation lassen sich die Haftungsrisiken deutlich reduzieren.
Regeltermine, ISMS-Software, E-Learning (LMS), persönlicher Ansprechpartner – und weitere Extras – inklusive.
Wir helfen Unternehmen dabei, ein wirksames Managementsystem für Informationssicherheit aufzubauen und die Anforderungen nach ISO 27001, NIS-2 oder TISAX umzusetzen – digital, effizient und zu fixen Konditionen. Als erfahrener Beratungsdienstleister und externer ISB sorgen wir dafür, dass sensible Informationen geschützt bleiben und Sicherheitsrisiken minimiert werden.
Registrieren Sie sich für unseren kostenlosen Newsletter mit lesenswerten Neuigkeiten zur Informationssicherheit und Best-Practices zur Umsetzung.
* Pflichtfeld. Mit der Registrierung erklären Sie Ihr Einverständnis zum Erhalt des Cortina Legal-Updates mit Mailchimp sowie zur Interessen-Analyse durch Auswertung individueller Öffnungs- und Klickraten. Zu Ihrer und unserer Sicherheit senden wir Ihnen vorab noch eine E-Mail mit einem Bestätigungs-Link (sog. Double-Opt-In); die Anmeldung wird erst mit Klick auf diesen Link aktiv. Dadurch stellen wir sicher, dass kein Unbefugter Sie in unser Newsletter-System eintragen kann. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft und ohne Angabe von Gründen widerrufen; z. B. durch Klick auf den Abmeldelink am Ende jedes Newsletters. Nähere Informationen zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen