NIS-2: Geschäftsführerhaftung nach § 38 BSIG

Was NIS-2 ist und wen es trifft

NIS-2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Deutschland hat sie mit dem NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das im Kern das BSI-Gesetz (BSIG) ändert. Die EU-Frist zum 17. Oktober 2024 hat Deutschland deutlich verpasst; das Gesetz trat erst am 6. Dezember 2025 in Kraft.

Der Kreis der Betroffenen ist massiv gewachsen: von rund 4.500 bislang regulierten KRITIS-Betreibern auf etwa 29.500 Einrichtungen in 18 Sektoren – eine Vervielfachung um mehr als das Sechsfache. Das Gesetz unterscheidet „besonders wichtige" und „wichtige" Einrichtungen. Die groben Schwellenwerte: mehr als 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz, tätig in einem der erfassten Sektoren – dazu zählen jetzt auch verarbeitendes Gewerbe, Lebensmittel, Abfallwirtschaft und IT-Dienstleister.

Ein wichtiger Punkt für den Mittelstand: die Lieferkette

Viele KMU denken, das Thema gehe an ihnen vorbei, weil sie unter den Schwellenwerten liegen. Das ist oft ein Irrtum – nicht wegen direkter Betroffenheit, sondern über die Lieferkette. NIS-2 verpflichtet die betroffenen Unternehmen ausdrücklich, ihre IT-Lieferkette abzusichern. Wer als Zulieferer oder IT-Dienstleister für eine regulierte Einrichtung arbeitet, wird künftig Sicherheitsnachweise erbringen müssen. Wer sie nicht liefern kann, verliert Aufträge. So wirkt NIS-2 faktisch weit über den unmittelbaren Adressatenkreis hinaus.

Die NIS-2-Geschäftsführerhaftung nach § 38 BSIG

Das ist der Kern für jeden Geschäftsführer. § 38 Abs. 1 BSIG verpflichtet die Leitungsorgane, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Diese Gesamtverantwortung lässt sich nicht vollständig delegieren. Die konkrete Umsetzung kann an IT-Abteilung oder externe Dienstleister übertragen werden – die Verantwortung dafür, dass geeignete Maßnahmen veranlasst und kontrolliert werden, bleibt bei der Geschäftsleitung.

§ 38 Abs. 2 BSIG regelt die Haftung: Geschäftsleitungen, die ihre Pflichten verletzen, haften ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts. Es handelt sich also um eine Innenhaftung – die Gesellschaft, nicht das BSI oder ein Dritter, nimmt den Geschäftsführer in Regress. Zwei Punkte werden dabei häufig übersehen:

• Ein Haftungsverzicht im Voraus ist ausgeschlossen. In der GmbH kann die Gesellschafterversammlung zwar unter engen Voraussetzungen auf Ansprüche verzichten (§ 46 Nr. 8 GmbHG), aber nicht pauschal und nicht vorab.
• D&O-Versicherungen greifen nicht automatisch. Viele Policen enthalten Cyber-Ausschlüsse oder decken Vorsatz nicht. Wer wissentlich keine Maßnahmen ergreift, riskiert die Einordnung als bedingter Vorsatz.

Die persönliche Haftung von Geschäftsführern ist im Grundsatz nichts Neues – § 43 GmbHG kennt sie seit jeher. Neu ist, dass NIS-2 ausdrücklich benennt, was im Bereich Cybersicherheit zur Sorgfaltspflicht gehört. Unwissenheit schützt nicht mehr.

Fristen, Registrierung und Bußgelder

Betroffene Unternehmen müssen sich beim BSI registrieren – über das Portal MUK, wofür ein ELSTER-Organisationszertifikat nötig ist. Die dreimonatige Erstregistrierungsfrist lief am 6. März 2026 ab. Eine verspätete Registrierung ist weiterhin möglich und ratsam, denn die Nichtregistrierung ist nach § 65 BSIG ein eigenständiger Bußgeldtatbestand – ganz ohne dass ein Sicherheitsvorfall eingetreten sein muss.

Bei Sicherheitsvorfällen gelten nach § 32 BSIG gestaffelte Meldefristen: eine unverzügliche Frühwarnung spätestens binnen 24 Stunden, eine aktualisierte Meldung mit Bewertung (Schweregrad, Kompromittierungsindikatoren) binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats. Die Bußgelder sind nach DSGVO-Vorbild gestaffelt: für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %.

Ehrlich muss man sagen: Einzelne Aspekte der Haftung sind gerichtlich noch nicht geklärt – etwa der genaue Umfang der Darlegungslast und die Reichweite von D&O-Deckungen. Das ist kein Grund zur Untätigkeit, aber ein Grund für saubere Dokumentation.

Handlungsempfehlung

Prüfen Sie zuerst die Betroffenheit – Ihre eigene und die aus der Lieferkette. Holen Sie die BSI-Registrierung nach, falls das noch aussteht. Bauen Sie ein dokumentiertes Risikomanagement nach § 30 BSIG auf; wer bereits ein ISMS nach ISO 27001 betreibt, erfüllt einen großen Teil der Anforderungen. Sorgen Sie für die vom Gesetz verlangte Schulung der Geschäftsleitung und dokumentieren Sie die Teilnahme. Und lassen Sie Ihre D&O-Police auf NIS-2-Szenarien prüfen, bevor der Ernstfall eintritt. Der Schlüssel zur Enthaftung ist Nachweisbarkeit.