NIS2-Managerhaftung ist die persönliche Verantwortung der Geschäftsleitung für die Cybersicherheit nach § 38 BSIG. Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die gesetzlichen Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und haften bei Verstößen gegenüber der Einrichtung.
Grundlage ist das NIS2-Umsetzungsgesetz, mit dem Deutschland die europäische NIS2-Richtlinie umgesetzt hat. Es hat das BSI-Gesetz neu gefasst und gilt seit dem 6. Dezember 2025.
Die Pflichten betreffen nur Einrichtungen im Anwendungsbereich des Gesetzes. Als besonders wichtige Einrichtung gelten neben Betreibern kritischer Anlagen vor allem Unternehmen bestimmter Sektoren mit mindestens 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme. Als wichtige Einrichtung gelten Unternehmen dieser und weiterer Sektoren ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Umsatz und Bilanzsumme (§ 28 BSIG). Welche Sektoren erfasst sind, regeln die Anlagen 1 und 2 zum Gesetz. Reine Planungsbüros gehören zu keinem der dort genannten Sektoren und fallen deshalb meist nicht darunter. Wer daneben andere Geschäftsfelder betreibt, sollte es trotzdem prüfen.
Die Geschäftsleiterpflichten nach § 38 BSIG betreffen Umsetzung, Überwachung und Schulung. Hinzu kommt die Meldepflicht der Einrichtung, für deren Funktionieren die Geschäftsleitung ebenfalls sorgen muss:
Aufgaben darf die Geschäftsleitung delegieren, etwa an einen Informationssicherheitsbeauftragten. Eine Delegation an einen CISO entlastet aber nicht von der Verantwortung. Die Geschäftsleitung muss sich berichten lassen, Entscheidungen treffen und die Umsetzung kontrollieren. Diese Steuerung von oben wird oft als Cyber-Governance bezeichnet.
Verletzt die Geschäftsleitung ihre Pflichten schuldhaft, haftet sie der Einrichtung nach den Regeln ihrer Rechtsform, bei der GmbH also nach § 43 GmbHG (§ 38 Abs. 2 BSIG). Eine eigene Haftung nach dem BSI-Gesetz greift nur dort, wo das Gesellschaftsrecht keine Regelung enthält. Gegen die Einrichtung selbst können zusätzlich Bußgelder verhängt werden (§ 65 BSIG).
Auch außerhalb von NIS2 sind IT-Sicherheit und Datenschutz Leitungsaufgaben. Wer sie vernachlässigt, kann nach den allgemeinen Regeln haften (Datenschutzverstoß (Organhaftung)). Ähnliche Fragen stellen sich beim Einsatz von KI (EU-KI-Verordnung). Bei der Absicherung muss man trennen: Eine Cyberversicherung trägt Eigenschäden des Unternehmens nach einem Angriff. Die D&O schützt die Geschäftsleitung, wenn sie wegen Versäumnissen in Anspruch genommen wird (Cyberrisiken in der D&O-Versicherung).
Abgrenzung:
Synonyme: § 38 BSIG, Umsetzungs- und Überwachungspflicht, NIS2-Geschäftsleiterhaftung.
Klären Sie zuerst, ob Ihr Unternehmen nach Sektor und Größe unter NIS2 fällt, und halten Sie das Ergebnis schriftlich fest. Fällt es darunter, sollten Sie die Pflichten als Geschäftsleitung sichtbar wahrnehmen: Schulungen besuchen, sich regelmäßig über den Stand der IT-Sicherheit berichten lassen und Entscheidungen protokollieren. Legen Sie fest, wer im Ernstfall innerhalb von 24 Stunden meldet. Prüfen Sie außerdem, ob eine Cyberversicherung die Eigenschäden des Unternehmens nach einem Angriff abdeckt, denn die D&O schützt nur Sie persönlich.
Ein Entsorgungsunternehmen mit 120 Beschäftigten fällt als wichtige Einrichtung unter NIS2. Der Geschäftsführer hat die IT-Sicherheit dem IT-Leiter übertragen und lässt sich nie berichten. Eine Multi-Faktor-Authentifizierung gibt es nicht. Nach einem Ransomware-Angriff steht der Betrieb zwei Wochen still. Die GmbH verlangt auf Beschluss der Gesellschafter vom Geschäftsführer Ersatz des Schadens.
Haftungsseite: Über § 38 Abs. 2 BSIG haftet der Geschäftsführer nach § 43 GmbHG. Die Delegation war zulässig, die fehlende Überwachung ist aber eine eigene Pflichtverletzung, und er muss seine Sorgfalt beweisen.
Deckungsseite: Den Betriebsausfall selbst trägt, wenn vorhanden, die Cyberversicherung des Unternehmens. Für den Anspruch gegen den Geschäftsführer kommt die D&O in Betracht, sofern sie keinen Cyber-Ausschluss enthält. Ein Bußgeld gegen das Unternehmen trägt die D&O nicht, und versicherbar ist es nach überwiegender Ansicht auch sonst nicht.
Unternehmen, die einem der in den Anlagen zum BSI-Gesetz genannten Sektoren angehören und die Größenschwellen erreichen, also in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Dazu kommen Betreiber kritischer Anlagen und einige Sonderfälle unabhängig von der Größe.
Sie muss die vorgeschriebenen Maßnahmen zur IT-Sicherheit umsetzen und deren Umsetzung überwachen. Außerdem muss sie regelmäßig an Schulungen teilnehmen und sicherstellen, dass erhebliche Sicherheitsvorfälle fristgerecht gemeldet werden.
Nicht für den Angriff selbst, wohl aber für eigene Versäumnisse. Hat er gebotene Schutzmaßnahmen nicht umgesetzt oder nicht kontrolliert, kann ihn die Gesellschaft nach den Regeln ihrer Rechtsform in Anspruch nehmen.
Die Ausführung ja, die Verantwortung nein. Die Geschäftsleitung muss sich berichten lassen, wesentliche Entscheidungen selbst treffen und kontrollieren, ob die Maßnahmen wirken.
Für Ansprüche der Gesellschaft gegen die Geschäftsleitung kann eine D&O grundsätzlich leisten. Manche Bedingungswerke enthalten jedoch Ausschlüsse für Cyberrisiken, und Bußgelder gegen das Unternehmen sind nicht versicherbar.