NIS2 Geschäftsführerhaftung – Ihr persönliches Risiko bei Verstößen

Inhalt in Kürze

• Die Geschäftsleitung steht in der Pflicht: Sie muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1) – und haftet bei einer Pflichtverletzung ihrer eigenen Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2).
• § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen nach § 30 umzusetzen, ihre Umsetzung zu überwachen (Abs. 1) und regelmäßig an Schulungen teilzunehmen (Abs. 3).
• Bußgelder bis 10 Mio. Euro — ab 500 Mio. Euro Gesamtumsatz stattdessen bis zu 2 % davon drohen bei Verstößen.
• Delegation schützt nicht. Auch wenn Sie einen CISO oder IT-Leiter haben – die Verantwortung bleibt bei Ihnen.

Seit Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft. Damit hat sich für Geschäftsführer in Deutschland etwas Grundlegendes verändert: Cybersicherheit ist keine IT-Aufgabe mehr. Sie ist Chefsache. Und zwar nicht im übertragenen Sinn – sondern im juristischen.

Wer als Geschäftsführer seine NIS2-Pflichten ignoriert, haftet persönlich. Mit dem eigenen Vermögen. Ohne Obergrenze. Und ohne die Möglichkeit, diese Haftung vertraglich auszuschließen.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der Leitfaden für den deutschen Mittelstand” (200 Seiten, Ausgabe 2026) ausführlich behandelt. Jetzt herunterladen →

Was § 38 BSIG von Ihnen verlangt

Der § 38 BSIG – die zentrale Vorschrift aus dem NIS2-Umsetzungsgesetz – richtet sich direkt an Sie als Geschäftsführer, Vorstand oder Mitglied der Geschäftsleitung. Die Pflichten sind klar definiert:

Absatz 1 – Genehmigung und Überwachung: Sie müssen die Risikomanagement-Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen — so der Wortlaut von § 38 Abs. 1. Die europäische Richtlinie spricht vom „Billigen“; das deutsche Gesetz verlangt mehr. Das bedeutet: Sie müssen verstehen, welche Cyberrisiken Ihr Unternehmen hat, welche Maßnahmen ergriffen werden und ob diese ausreichen. Außerdem müssen Sie die Umsetzung aktiv überwachen.

Absatz 2 – Persönliche Haftung: Verletzen Sie diese Pflichten schuldhaft, haften Sie Ihrer Gesellschaft gegenüber auf Schadensersatz. Die Haftung richtet sich nach den jeweiligen gesellschaftsrechtlichen Regelungen – § 43 GmbHG, § 93 AktG. Ein vertraglicher Haftungsverzicht ist ausdrücklich ausgeschlossen.

Absatz 3 – Schulungspflicht: Sie müssen regelmäßig an Schulungen teilnehmen, um Cyberrisiken bewerten und angemessene Maßnahmen beurteilen zu können. Branchenüblich sind Schulungen alle drei Jahre mit einem Umfang von etwa vier Stunden.

Warum viele Geschäftsführer das Risiko unterschätzen

Die Erfahrung zeigt: Viele Geschäftsführer wissen nicht, dass sie persönlich haften. Sie behandeln Cybersicherheit wie Datenschutz vor zehn Jahren – als lästige Pflicht, die „irgendwer in der IT” erledigt.

Es kam wirklich häufig vor, dass es dann ein Aha-Erlebnis war. Die Geschäftsleitung sagte: Das war mir so gar nicht bewusst. Ich dachte, Datenschutz ist dafür da, um mich zu ärgern.

Nils OehmichenDatenschutzberater bei frag.hugo

Dieses Muster wiederholt sich jetzt bei NIS2. Nur sind die Konsequenzen härter. Denn anders als bei der DSGVO richtet sich die NIS2-Haftung nicht nur an das Unternehmen. Sie richtet sich an die Person, die das Unternehmen leitet.

Was passiert bei einem Verstoß?

Die Konsequenzen eines NIS2-Verstoßes treffen Sie auf mehreren Ebenen:

Bußgelder gegen das Unternehmen

Für besonders wichtige Einrichtungen drohen Bußgelder bis 10 Mio. € — ab einem Gesamtumsatz über 500 Mio. € treten nach § 65 Abs. 6 BSIG 2 % des Gesamtumsatzes an die Stelle dieses Betrags. Für wichtige Einrichtungen liegt die Grenze bei 7 Mio. € (ab 500 Mio. € Gesamtumsatz stattdessen bis zu 1,4 % davon).

Persönlicher Schadensersatz

Entsteht Ihrem Unternehmen ein Schaden durch mangelnde Cybersicherheit, kann das Unternehmen Sie persönlich in Regress nehmen. Ein Ransomware-Angriff, der den Betrieb für zwei Wochen lahmlegt, kann siebenstellige Schäden verursachen. Wenn nachweisbar ist, dass Sie Ihre Überwachungspflichten verletzt haben, haften Sie dafür.

Behördliche Maßnahmen

Das BSI kann Audits anordnen, Nachweise verlangen und bei Verstößen Maßnahmen bis hin zur vorübergehenden Untersagung der Geschäftsführertätigkeit einleiten. Seit März 2026 prüft das BSI aktiv.

Checkliste: Ihre Pflichten als Geschäftsführer unter NIS2

Diese Punkte müssen Sie als Geschäftsführer persönlich sicherstellen:

• Betroffenheit prüfen: Fällt Ihr Unternehmen unter NIS2? Prüfen Sie Branche und Schwellenwerte.
• Risikomanagement umsetzen und überwachen: Entscheiden Sie über die Maßnahmen nach § 30 BSIG und lassen Sie sich den Umsetzungsstand berichten – schriftlich und dokumentiert (§ 38 Abs. 1).
• Umsetzung überwachen: Lassen Sie sich regelmäßig über den Stand der Cybersicherheit berichten. Mindestens quartalsweise.
• Schulung absolvieren: Nehmen Sie an einer NIS2-Schulung teil. Dokumentieren Sie Datum und Inhalt.
• Meldeprozesse einrichten: Stellen Sie sicher, dass Sicherheitsvorfälle innerhalb von 24 Stunden gemeldet werden können.
• Lieferkette absichern: Fordern Sie Nachweise zur Cybersicherheit von Ihren Lieferanten und Dienstleistern.
• Dokumentation führen: Halten Sie alle Maßnahmen, Entscheidungen und Schulungen nachweisbar fest.
• BSI-Registrierung prüfen: Besonders wichtige Einrichtungen mussten sich bis März 2026 registrieren.

Wie Sie sich als Geschäftsführer absichern

Die gute Nachricht: Sie können Ihr Haftungsrisiko erheblich reduzieren. Nicht durch Wegschauen – sondern durch nachweisbares Handeln.

1. Lassen Sie eine Gap-Analyse durchführen. Wo steht Ihr Unternehmen heute? Was fehlt? Eine strukturierte Bestandsaufnahme zeigt Ihnen die Lücken – und gibt Ihnen einen konkreten Maßnahmenplan. So funktioniert auch der Schritt-für-Schritt-Prozess zur NIS2-Umsetzung.

2. Dokumentieren Sie alles. Im Haftungsfall entscheidet die Dokumentation. Können Sie nachweisen, dass Sie sich mit Cybersicherheit befasst haben? Dass Sie Maßnahmen genehmigt und deren Umsetzung überwacht haben? Dann wird ein Gericht deutlich milder urteilen als bei einem Geschäftsführer, der das Thema ignoriert hat.

3. Holen Sie sich externe Unterstützung. Niemand erwartet, dass Sie als Geschäftsführer ein IT-Sicherheitsexperte sind. Aber Sie müssen nachweisen, dass Sie sich kompetent beraten lassen. Ein externer Datenschutz- und Sicherheitsberater kann die fachliche Grundlage liefern, auf der Sie Ihre Entscheidungen treffen.

4. Schulungen ernst nehmen. Die Schulungspflicht ist keine Formalie. Sie ist Ihr Schutzschild. Wer nachweislich geschult ist und auf dieser Basis entscheidet, dem kann man schwer Fahrlässigkeit vorwerfen.

Ihr nächster Schritt

Geschäftsführerhaftung in Hamburg: Was NIS2 für Sie bedeutet

In Hamburg sitzen zahlreiche Geschäftsführer von Logistik-, Energie- und IT-Unternehmen, die direkt unter NIS2 fallen. Die Handelskammer Hamburg hat bereits auf die verschärfte Haftungslage hingewiesen. Wer als Geschäftsführer in der Hansestadt die NIS2-Pflichten noch nicht umgesetzt hat, trägt ein konkretes persönliches Risiko. Unsere NIS2-Beratung in Hamburg zeigt Ihnen in einem Erstgespräch, wo Sie stehen und was noch fehlt.

Häufige Fragen (FAQ)

Haften Geschäftsführer persönlich bei NIS2-Verstößen?

Ja. Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1). Verletzt sie diese Pflicht, haftet sie ihrer eigenen Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2) — nicht gegenüber Dritten. Die operative Arbeit darf sie an Mitarbeiter oder Dienstleister verteilen; die Kontrolle darüber bleibt bei ihr.

Welche Pflichten haben Geschäftsführer unter NIS2 konkret?

Die Geschäftsleitung muss die Maßnahmen nach § 30 BSIG umsetzen, ihre Umsetzung überwachen (§ 38 Abs. 1) und regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3).

Kann ich die NIS2-Verantwortung an den IT-Leiter delegieren?

Die operative Umsetzung können Sie delegieren. Die Pflicht selbst bleibt bei der Geschäftsleitung: Sie muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1). Verletzt sie diese Pflicht, haftet sie ihrer eigenen Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2) — nicht gegenüber Dritten.

Drohen mir als Geschäftsführer persönlich Bußgelder?

Nein. Die Bußgelder des § 65 BSIG richten sich gegen die Einrichtung: bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen). § 38 steht nicht im Katalog des § 65.

Ab wann gilt die persönliche Geschäftsführerhaftung nach NIS2?

Die Haftung gilt ab Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes. Da das Gesetzgebungsverfahren läuft, sollten Geschäftsführer jetzt handeln – wer erst nach Inkrafttreten reagiert, riskiert bereits Haftungsansprüche.