NIS-2: Die persönliche Haftung der Geschäftsleitung
Unter NIS-2 wird Cybersicherheit zur Chefsache: Die Geschäftsleitung muss Maßnahmen billigen, überwachen und sich schulen — und haftet bei Versäumnissen persönlich.
Viele Cybersicherheits-Themen lassen sich an die IT delegieren. NIS-2 macht hier einen entscheidenden Unterschied: Die Verantwortung liegt ausdrücklich bei der Geschäftsleitung — und sie ist nicht vollständig delegierbar.
Drei konkrete Pflichten der Leitung
NIS-2 nimmt Geschäftsführer und Vorstände direkt in die Pflicht. Sie müssen:
- Billigen — die Risikomanagement-Maßnahmen aktiv genehmigen, nicht nur abnicken.
- Überwachen — die Umsetzung kontrollieren und nachhalten.
- Sich schulen — regelmäßig an Schulungen teilnehmen, um Risiken beurteilen zu können (§ 38 Abs. 3 BSIG). Grundlegende Schulungen und Sensibilisierungsmaßnahmen für die Mitarbeitenden verlangt daneben § 30 Abs. 2 Nr. 7 BSIG. Was beide Schulungen enthalten müssen, wie oft sie fällig sind und wie sie nachzuweisen sind: NIS-2-Schulungspflicht.
Was „persönliche Haftung” konkret bedeutet
Kommt die Leitung diesen Pflichten nicht nach, kann sie für Schäden persönlich in die Verantwortung genommen werden. Cybersicherheit ist damit keine reine IT-Frage mehr, sondern eine Leitungsaufgabe mit unmittelbarer Konsequenz für die Verantwortlichen.
Die Dimension der Bußgelder
NIS-2 sieht spürbare Sanktionen vor — gestaffelt nach Einrichtungstyp:
- Wesentliche Einrichtungen: Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (der höhere Wert gilt).
- Wichtige Einrichtungen: Bußgelder bis zu 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.
Hinzu kommen aufsichtsrechtliche Maßnahmen des BSI bis hin zu Anordnungen, die den Geschäftsbetrieb berühren können.
Wie sich die Leitung absichert
- Betroffenheit klären und dokumentieren — die Feststellung ist selbst eine Leitungsaufgabe.
- Maßnahmen formal billigen und die Genehmigung dokumentieren.
- Reporting etablieren, das der Leitung die Überwachung tatsächlich ermöglicht.
- Schulungen für Leitung und Belegschaft fest einplanen.
Der erste Schritt — die Betroffenheit — ist schnell gemacht: Unser kostenloser NIS-2-Betroffenheits-Check gibt Ihnen in zwei Minuten eine fundierte Einordnung.
Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Rechtsberatung.