NIS-2 und § 38 BSIG: Wann Du als Geschäftsführer persönlich haftest
Cybersicherheit war lange ein Thema für die IT-Abteilung. Seit dem NIS2UmsuCG ist sie ausdrücklich Chefsache, mit einer persönlichen Haftung der Geschäftsleitung gegenüber der eigenen Gesellschaft, wenn Umsetzung, Überwachung oder Schulung nach § 38 BSIG unterbleiben.
Das Wichtigste in Kürze
- Als Geschäftsführer kannst Du Deiner Gesellschaft gegenüber persönlich haften, wenn Umsetzung, Überwachung oder Schulung nach § 38 BSIG schuldhaft unterbleiben, bei der GmbH nach § 43 GmbHG.
- Die Pflichten treffen die Geschäftsleitung selbst: Risikomanagementmaßnahmen umsetzen, ihre Umsetzung aktiv überwachen und regelmäßig an Schulungen teilnehmen, auch wenn die operative Umsetzung delegiert wird.
- Dem Unternehmen drohen Bußgelder bis zu EUR 10.000.000,00 bei besonders wichtigen und bis zu EUR 7.000.000,00 bei wichtigen Einrichtungen.
- D&O-Versicherung und Cyberversicherung können finanzielle Folgen abmildern, beseitigen die persönliche Verantwortung nach § 38 BSIG aber nicht.
Worum es bei NIS-2 wirklich geht
Die europäische NIS-2-Richtlinie zielt darauf ab, das Cybersicherheitsniveau kritischer und wichtiger Einrichtungen in der EU zu erhöhen. In Deutschland wurde sie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in das BSI-Gesetz (BSIG) überführt. Der Kern für Dich als Unternehmer oder Geschäftsführer: Cybersicherheit ist jetzt ausdrücklich Chefsache, mit persönlichen Konsequenzen, wenn Du diese Verantwortung nicht wahrnimmst.
Seit wann das gilt und wer betroffen ist
Das NIS2UmsuCG ist seit dem 06.12.2025 in Kraft, ohne Übergangsfrist. Betroffen sind schätzungsweise rund 30.000 Unternehmen in Deutschland, deutlich mehr als bislang unter vergleichbare IT-Sicherheitsvorgaben fielen. Besonders wichtige und wichtige Einrichtungen müssen sich binnen drei Monaten beim BSI registrieren, für bereits betroffene Einrichtungen endete die Frist am 06.03.2026. Ob Du zu den betroffenen Einrichtungen zählst, hängt von Branche, Größe und teils vom konkreten Tätigkeitsfeld ab, eine Selbsteinschätzung solltest Du nicht auf die lange Bank schieben.
Die drei Pflichten der Geschäftsleitung nach § 38 BSIG
§ 38 BSIG richtet sich ausdrücklich an die Geschäftsleitung selbst, nicht nur an die IT-Abteilung. Drei Pflichten stehen im Zentrum: Erstens die Umsetzung der Risikomanagementmaßnahmen für die Cybersicherheit nach § 30 BSIG. Zweitens die aktive Überwachung ihrer Umsetzung, ein bloßes Zur-Kenntnis-Nehmen reicht nicht aus. Drittens eine Schulungspflicht für die Geschäftsleitung selbst, die das Gesetz als regelmäßige Teilnahme ausgestaltet. Die NIS-2-Richtlinie (Art. 20) spricht zusätzlich von einer Billigung der Maßnahmen durch die Leitung, im BSIG steht dieses Wort nicht. Die strategische Verantwortung und die Überwachungspflicht bleiben dabei durchgehend bei der Geschäftsleitung, auch wenn die operative Umsetzung delegiert wird.
Beispiel: Deine IT-Abteilung meldet eine kritische Sicherheitslücke und empfiehlt ein zeitnahes Update. Aus Kostengründen wird die Umsetzung verzögert. Kurz darauf folgt ein Ransomware-Angriff über genau diese Lücke. In einem solchen Fall kann die Geschäftsleitung ihrer Gesellschaft gegenüber persönlich zum Schadensersatz verpflichtet sein (bei der GmbH nach § 43 GmbHG), wenn sich nachweisen lässt, dass sie ihre Überwachungspflicht schuldhaft verletzt hat.
Bußgelder für das Unternehmen
Neben der persönlichen Haftung drohen dem Unternehmen selbst empfindliche Bußgelder. Besonders wichtige Einrichtungen riskieren bis zu EUR 10.000.000,00, wichtige Einrichtungen bis zu EUR 7.000.000,00. Nur bei einem weltweiten Gesamtumsatz über EUR 500.000.000,00 gelten alternativ bis zu 2 % (besonders wichtige Einrichtungen) bzw. 1,4 % (wichtige Einrichtungen) des Gesamtumsatzes (§ 65 Abs. 6 und 7 BSIG). Das sind Größenordnungen, die für das Unternehmen existenzbedrohend sein können.
D&O-Versicherung schützt nicht vollständig
Eine D&O-Versicherung kann einen Teil des finanziellen Risikos abfedern, sie beseitigt die persönliche Haftung aber nicht vollständig. Auch eine zusätzliche Cyberversicherung ändert daran nichts, sie kann finanzielle Folgen abmildern, die persönliche Verantwortung nach § 38 BSIG bleibt davon unberührt.
Was Du jetzt konkret tun solltest
Prüfe zunächst, ob Dein Unternehmen als besonders wichtige oder wichtige Einrichtung unter das BSIG fällt und ob die Registrierung bereits erfolgt ist. Lasse Dir die Risikomanagementmaßnahmen für die Cybersicherheit von der zuständigen Fachebene konkret und schriftlich vorlegen, bevor Du sie freigibst und dokumentiere sowohl die Freigabe als auch Deine laufende Überwachung. Plane die Schulungspflicht für die Geschäftsleitung von vornherein ein, statt sie erst bei einer Prüfung nachzuholen.
Häufige Fragen
Haftet die Geschäftsleitung persönlich für Cybersicherheit nach NIS-2?
Welche drei Pflichten hat die Geschäftsleitung nach § 38 BSIG?
Schützt mich eine D&O- oder Cyberversicherung vor der persönlichen Haftung?
Rechtsstand: Oktober 2026. Allgemeine Information, ersetzt keine Beratung im Einzelfall.
