Persönliche Haftung nach Artikel 20 NIS2: Was Geschäftsführer bei Verstößen riskieren – und wie sie sich schützen

Viele Geschäftsführer und Vorstandsmitglieder gehen davon aus, dass NIS2 allein das Unternehmen betrifft – nicht sie persönlich. Das greift zu kurz. Artikel 20 der NIS-2-Richtlinie (EU) 2022/2555 verpflichtet die Mitgliedstaaten, die Leitungsorgane für das Cybersicherheits-Risikomanagement in die Verantwortung zu nehmen; in Deutschland setzt §38 BSIG in der Fassung des NIS2UmsuCG dies um. Die Haftung richtet sich dabei nach dem Gesellschaftsrecht der jeweiligen Rechtsform. Dieser Beitrag erklärt die vier Kernthemen: Umsetzungs- und Überwachungspflicht, persönliche Haftung, vorübergehendes Tätigkeitsverbot und Schulungspflicht – und warum sich die Rechtslage für GmbH und AG unterschiedlich gestaltet.

Was Artikel 20 NIS2 und §38 BSIG von der Geschäftsleitung fordern

Artikel 20 Absatz 1 der NIS-2-Richtlinie verpflichtet die Mitgliedstaaten sicherzustellen, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Cybersicherheits-Risikomanagementmaßnahmen nach Artikel 21 billigen, ihre Umsetzung überwachen und für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden können [1]. Als Richtlinienbestimmung wirkt Artikel 20 allerdings nicht unmittelbar gegenüber Geschäftsführern: Er richtet sich an die Mitgliedstaaten und musste in nationales Recht umgesetzt werden.

Das deutsche Umsetzungsgesetz NIS2UmsuCG hat dies in §38 BSIG geregelt [2] – mit einer anderen Formulierung als die Richtlinie. Absatz 1 verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, „die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen“. Eine ausdrückliche Billigungspflicht enthält die Endfassung des §38 BSIG nicht. Absatz 2 regelt die Haftung der Geschäftsleitung gegenüber der Einrichtung, Absatz 3 die regelmäßige Teilnahme an Schulungen. Die Absätze greifen ineinander: Wer die Umsetzung der §30-Maßnahmen nicht sicherstellt oder nicht überwacht, riskiert eine Haftung nach Absatz 2; die Schulungen nach Absatz 3 sollen die Geschäftsleitung befähigen, Risiken und Maßnahmen sachgerecht zu beurteilen.

Eine bestimmte Form – etwa einen förmlichen Beschluss – schreibt §38 Abs. 1 BSIG nicht vor. Nach §30 Abs. 1 Satz 3 BSIG ist die Einhaltung der Risikomanagementpflichten jedoch durch die Einrichtungen zu dokumentieren [3]. In der Praxis empfiehlt es sich deshalb, Entscheidungen und Überwachungsschritte der Geschäftsleitung nachvollziehbar festzuhalten – etwa in einem Beschluss mit Datum, Beteiligten und den behandelten Maßnahmen. Ein solcher Nachweis ist ein Beweismittel, keine gesetzliche Formvorgabe. Die Einordnung, ob eine Einrichtung unter NIS2 fällt, erläutert unser NIS-2-Grundlagenüberblick.

Persönliche Haftung: Was konkret auf dem Spiel steht

§38 Absatz 2 BSIG regelt die Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften „für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts“ [2]. Schuldhaft umfasst Vorsatz und Fahrlässigkeit. Praktisch relevant wird dies etwa, wenn ein Schaden durch einen Cyberangriff entsteht, der bei ordnungsgemäßer Umsetzung und Überwachung der §30-Maßnahmen vermeidbar gewesen wäre. Maßgeblich sind für GmbH-Geschäftsführer §43 GmbHG [4], für AG-Vorstandsmitglieder §93 AktG [5]. Nur wenn das für die Einrichtung maßgebliche Gesellschaftsrecht keine solche Haftungsregelung enthält, haften Geschäftsleitungen nach §38 Abs. 2 Satz 2 BSIG unmittelbar nach dem BSIG [2].

Drei Aspekte werden in der Praxis regelmäßig unterschätzt:

• Kein eigenes Verzichtsverbot im BSIG – aber gesellschaftsrechtliche Grenzen. Die Endfassung des §38 BSIG enthält keine eigene Regel zu Verzicht oder Vergleich über Ersatzansprüche [2]. Ob und unter welchen Voraussetzungen eine Einrichtung auf Ansprüche verzichten kann, richtet sich nach dem Gesellschaftsrecht: Bei der AG ist ein Verzicht oder Vergleich nach §93 Abs. 4 Satz 3 AktG grundsätzlich erst drei Jahre nach Entstehung des Anspruchs und nur mit Zustimmung der Hauptversammlung möglich [5]. Bei der GmbH bestehen zwingende Grenzen insbesondere bei Ansprüchen nach §43 Abs. 3 GmbHG, soweit der Ersatz zur Befriedigung der Gläubiger erforderlich ist [4]. Vor einem Verzicht oder einer Generalbereinigung sollte rechtlicher Rat eingeholt werden.
• Gesamtschuldnerische Haftung mehrerer Leitungsorgane. Verletzen mehrere Geschäftsführer oder Vorstandsmitglieder ihre Pflichten, haften sie der Gesellschaft „solidarisch“ (§43 Abs. 2 GmbHG) bzw. „als Gesamtschuldner“ (§93 Abs. 2 AktG) [4][5]. Eine Ressortverteilung entbindet die übrigen Mitglieder nach verbreiteter Auffassung nicht vollständig; ihnen verbleiben Überwachungspflichten. Bei der AG tragen die Vorstandsmitglieder im Streitfall zudem die Beweislast dafür, dass sie die gebotene Sorgfalt angewandt haben (§93 Abs. 2 Satz 2 AktG) [5].
• D&O-Versicherungen decken NIS2-Szenarien nicht automatisch ab. Je nach Police können Cyber-Ausschlüsse oder Ausschlüsse für Geldbußen und behördliche Sanktionen bestehen; der Deckungsumfang ist im Einzelfall zu prüfen. Für AG-Vorstandsmitglieder schreibt §93 Abs. 2 Satz 3 AktG bei einer D&O-Versicherung zudem einen Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung vor [5].

Die Bußgelder nach §65 BSIG reichen für die zentralen Pflichtverstöße (etwa bei Risikomanagementmaßnahmen nach §30 oder Meldungen nach §32) bis zu 10 Mio. Euro bei besonders wichtigen und bis zu 7 Mio. Euro bei wichtigen Einrichtungen; nur bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Mio. Euro kann der Rahmen stattdessen bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes betragen [6]. Diese Bußgelder richten sich in der Regel gegen die Einrichtung. Einen eigenen Bußgeldtatbestand für Verstöße gegen die Leitungspflichten aus §38 BSIG enthält §65 BSIG nicht [6]. Ausgeschlossen ist eine persönliche Bußgeldverantwortung von Organmitgliedern damit nicht: Nach den allgemeinen Regeln des Ordnungswidrigkeitenrechts können Pflichten der Einrichtung über §9 OWiG (Handeln für einen anderen) auch vertretungsberechtigte Organmitglieder treffen, und §130 OWiG ahndet die Verletzung von Aufsichtspflichten in Betrieben und Unternehmen [7][8]. Wie weit diese Regeln im NIS2-Kontext praktisch angewandt werden, ist – soweit ersichtlich – noch nicht durch Rechtsprechung geklärt. Davon zu unterscheiden ist die zivilrechtliche Haftung gegenüber dem Unternehmen nach §38 Abs. 2 BSIG. Alle Bußgeldtatbestände nach §65 BSIG finden Sie in unserer Übersicht der NIS2-Sanktionen; wie sich die Managementhaftung nach NIS2 insgesamt einordnet, behandelt ein eigener Beitrag.

Vorübergehendes Tätigkeitsverbot – das letzte Mittel der Aufsicht

Die weitreichendste personenbezogene Maßnahme im deutschen NIS2-Recht ist keine Geldbuße, sondern das vorübergehende Tätigkeitsverbot nach §61 Absatz 9 BSIG [9]. Die Befugnis liegt nicht beim BSI selbst: Kommt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nach, kann das BSI dies der jeweils zuständigen Aufsichtsbehörde mitteilen. Diese kann dann – wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht – „als letztes Mittel“ eine nach dem Fachrecht erteilte Genehmigung vorübergehend aussetzen und „unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind“, vorübergehend untersagen [9]. §61 Abs. 9 BSIG ist nach seinem Wortlaut auf besonders wichtige Einrichtungen beschränkt; auch Artikel 32 Absatz 5 der NIS-2-Richtlinie sieht ein solches Verbot nur für wesentliche Einrichtungen vor [1].

Die Voraussetzungen sind damit eng: eine besonders wichtige Einrichtung, eine trotz Fristsetzung nicht befolgte BSI-Anordnung, eine Mitteilung an die zuständige Aufsichtsbehörde, ein Zusammenhang zwischen Anordnung und Durchsetzungsmaßnahme und der Einsatz nur als letztes Mittel. Die Untersagung ist nur so lange zulässig, bis die Einrichtung der Anordnung nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurde [9]. Welche gesellschaftsrechtlichen Folgen ein solches Verbot etwa für Organstellung, Vertretungsbefugnis oder Anstellungsvertrag hat, regelt das BSIG nicht; dies ist im Einzelfall rechtlich zu prüfen. Schon die Möglichkeit eines solchen Eingriffs ist für besonders wichtige Einrichtungen ein gewichtiges Argument, BSI-Anordnungen fristgerecht umzusetzen.

GmbH und AG im Vergleich: Unterschiedliche Haftungsrahmen

§38 BSIG gilt für GmbH-Geschäftsführer und AG-Vorstände gleichermaßen. Die gesellschaftsrechtliche Ausgestaltung der persönlichen Haftung und die Durchsetzungswege unterscheiden sich jedoch erheblich:

Kriterium	GmbH (§43 GmbHG)	AG (§93 AktG)
Haftungsgrundlage	§43 Abs. 2 GmbHG: Haftung gegenüber der Gesellschaft bei Verletzung der Sorgfalt eines ordentlichen Geschäftsmannes (§43 Abs. 1)	§93 Abs. 2 AktG: Sorgfaltspflichtverletzung; Beweislast beim Vorstandsmitglied; Business Judgment Rule (§93 Abs. 1 Satz 2) nur bei unternehmerischen Entscheidungen
Geltendmachung	Anspruch der Gesellschaft; Entscheidung über die Geltendmachung durch die Gesellschafter (§46 Nr. 8 GmbHG) [10]; in der Insolvenz in der Regel durch den Insolvenzverwalter	Aufsichtsrat vertritt die Gesellschaft gegenüber dem Vorstand (§112 AktG); Hauptversammlung kann die Geltendmachung beschließen, eine Minderheit kann gerichtlich besondere Vertreter beantragen (§147 AktG) [11]
Haftungsverzicht	Grundsätzlich Sache der Gesellschafter; zwingende Grenzen u. a. bei Ansprüchen nach §43 Abs. 3 GmbHG (Gläubigerschutz); §38 BSIG enthält kein eigenes Verzichtsverbot	Verzicht oder Vergleich erst drei Jahre nach Entstehung des Anspruchs, mit Zustimmung der HV und ohne Widerspruch einer Minderheit von 10 % des Grundkapitals (§93 Abs. 4 Satz 3 AktG)
Aufsichtsgremium	Gesellschafterversammlung; Aufsichtsrat nach dem DrittelbG erst bei in der Regel mehr als 500 Arbeitnehmern obligatorisch	Obligatorischer Aufsichtsrat mit Überwachungspflichten
NIS2-Praxisrisiko	Ansprüche stehen der Gesellschaft zu, nicht einzelnen Gesellschaftern; im Insolvenzfall erhöhtes Risiko, dass Ansprüche verfolgt werden	AR muss Ansprüche nach der Rechtsprechung grundsätzlich prüfen und verfolgen; AR-Untätigkeit kann eine eigene Haftung des AR begründen (§116 AktG)

Besonders relevant für Aktiengesellschaften: Unterlässt der Aufsichtsrat die Verfolgung von Haftungsansprüchen gegen Vorstandsmitglieder, die ihre NIS2-Pflichten verletzt haben, ohne hinreichenden Grund, kann er sich seinerseits gegenüber der Gesellschaft schadensersatzpflichtig machen; für Aufsichtsratsmitglieder gilt §93 AktG nach §116 AktG sinngemäß [5]. Daraus kann sich eine Haftungskette ergeben, die von der Geschäftsleitung bis in das Aufsichtsgremium reicht.

Schulungspflicht nach §38 Abs. 3 BSIG

§38 Absatz 3 BSIG schreibt vor, dass die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen „regelmäßig an Schulungen teilnehmen“ müssen [2]. Ziel ist, ausreichende Kenntnisse und Fähigkeiten zu erlangen, um Risiken und Risikomanagementpraktiken im Bereich der IT-Sicherheit zu erkennen und zu bewerten sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste beurteilen zu können [2][12]. Ein festes Intervall nennt das Gesetz nicht: Nach der Handreichung des BSI macht das BSIG zu Intervall und Dauer „keine konkreten Vorgaben über den Begriff ‚regelmäßig‘ hinaus“. Das BSI empfiehlt eine ausführliche initiale Schulung mit anschließenden regelmäßigen Folgeschulungen, deren Intervall sich an der Risikoexposition und an Anlässen wie einem Wechsel in der Geschäftsleitung orientiert [12]. Da §38 Abs. 3 BSIG die Geschäftsleitungen selbst adressiert, kann ein Mitarbeiter die Teilnahme nicht stellvertretend übernehmen.

Was nach der BSI-Handreichung eine aussagekräftige Dokumentation mindestens enthalten sollte [12]:

• Angaben zum Schulungsanbieter bzw. zur internen Stelle
• Angaben zu den geschulten Teilnehmenden (Name, Rolle/Funktion) – für jedes Mitglied der Geschäftsleitung nachvollziehbar
• Datum, Uhrzeit und Dauer der Schulungseinheiten sowie die behandelten Inhalte und ihr Bezug zu §38 Abs. 3 BSIG

Nach Auffassung des BSI ist diese Dokumentation intern aufzubewahren und auf Verlangen dem BSI bzw. den von ihm beauftragten Stellen vorzulegen [12]; bei besonders wichtigen Einrichtungen kann das BSI nach §61 Abs. 1 BSIG ausdrücklich auch Audits oder Prüfungen zur Schulungspflicht nach §38 Abs. 3 anordnen [9]. Die Schulungspflicht der Leitungsebene ist von den grundlegenden Schulungen und Sensibilisierungsmaßnahmen nach §30 Abs. 2 Nr. 7 BSIG zu trennen, die Teil der Risikomanagementmaßnahmen der Einrichtung sind [3]. Anforderungen an Cybersicherheitsschulungen für die gesamte Organisation erläutert unsere Seite zu den NIS2-Schulungsanforderungen.

Fünf Schritte zur Absicherung vor persönlicher Haftung

1. Leitungsentscheidungen dokumentieren. Halten Sie die Entscheidungen der Geschäftsleitung zu den §30-Risikomanagementmaßnahmen nachvollziehbar fest – etwa in einem Beschluss mit Datum, Teilnehmerliste und den behandelten Maßnahmen. §38 BSIG verlangt keine bestimmte Form, ein solcher Nachweis erleichtert aber die Darlegung im Prüf- oder Haftungsfall. Die Business Judgment Rule (§93 Abs. 1 Satz 2 AktG) schützt nur unternehmerische Entscheidungen auf angemessener Informationsgrundlage; ob gesetzliche Pflichten erfüllt werden, ist keine solche Ermessensfrage.
2. Ressortverantwortung schriftlich verankern. Eine im Geschäftsverteilungsplan verankerte, klare Zuordnung der NIS2-Verantwortung mit nachweisbarem Berichtssystem schafft Klarheit; sie entbindet die übrigen Mitglieder der Geschäftsleitung jedoch nicht von ihrer Überwachungspflicht. Die Zuordnung sollte intern nachvollziehbar dokumentiert sein.
3. Regelmäßige Überwachungsberichte einrichten. §38 Abs. 1 BSIG fordert nicht nur die Umsetzung, sondern auch die Überwachung der Maßnahmen. Definieren Sie messbare Kennzahlen für die Informationssicherheit und lassen Sie diese dem Leitungsgremium in festen Abständen berichten – zum Beispiel quartalsweise – mit Datum und Archivierung.
4. Schulungspflicht regelmäßig und individuell erfüllen. Planen Sie eine initiale Schulung aller Mitglieder der Geschäftsleitung und regelmäßige Folgeschulungen in einem risikoangemessenen Intervall, und archivieren Sie die Nachweise individuell.
5. D&O-Versicherung auf NIS2-Lücken überprüfen. Lassen Sie die Police gezielt auf Cyber-Ausschlüsse und den Umgang mit Geldbußen und behördlichen Sanktionen prüfen, und prüfen Sie, ob Deckungssummen und Ausschlussklauseln zum Risikoprofil passen.

Häufig gestellte Fragen

Gilt die persönliche Haftung auch für Geschäftsführer kleiner GmbHs?
Ja – sofern die GmbH als besonders wichtige oder wichtige Einrichtung unter NIS2 fällt. Die Einordnung hängt von Sektor, Mitarbeiterzahl, Jahresumsatz und Bilanzsumme ab (für einzelne Einrichtungsarten auch unabhängig von der Größe), nicht von der Rechtsform. Ob eine Einrichtung betroffen ist, erläutert unser NIS-2-Grundlagenüberblick.

Können wir die Haftung auf den CISO übertragen?
Nein. §38 BSIG adressiert die Geschäftsleitung. Die operative Ausführung der Maßnahmen kann delegiert werden; die Pflicht, die Umsetzung sicherzustellen und zu überwachen, und die Haftung nach §38 Abs. 2 BSIG verbleiben bei der Geschäftsleitung [2][12].

Ab wann gilt die Schulungspflicht?
Das NIS2UmsuCG (BGBl. 2025 I Nr. 301) trat am 6. Dezember 2025 in Kraft. Eine Übergangsfrist für die Schulungspflicht nach §38 Abs. 3 BSIG ist nicht vorgesehen. Schulungen sollten daher zeitnah eingeplant werden.

Was passiert bei einem Tätigkeitsverbot nach §61 Abs. 9 BSIG?
Die betroffene Person darf ihre Leitungstätigkeit vorübergehend nicht ausüben – längstens, bis die Einrichtung der zugrunde liegenden BSI-Anordnung nachkommt. Möglich ist dies nur bei besonders wichtigen Einrichtungen und nur als letztes Mittel der zuständigen Aufsichtsbehörde [9]. Die gesellschaftsrechtlichen Folgen, etwa für Vertretung und Anstellungsvertrag, regelt das BSIG nicht; die Gesellschaft muss Leitungsfunktionen in diesem Fall kurzfristig neu organisieren. Das Verbot beseitigt das Sicherheitsrisiko nicht automatisch – ein Grund mehr, BSI-Anordnungen fristgerecht umzusetzen.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsordnung und Unternehmenstyp variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

• Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), Art. 20 und Art. 32 — EUR-Lex [1]
• §38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen — Gesetze im Internet [2]
• §30 BSIG: Risikomanagementmaßnahmen — Gesetze im Internet [3]
• §43 GmbHG: Haftung der Geschäftsführer — Gesetze im Internet [4]
• §93 AktG: Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder — Gesetze im Internet [5]
• §65 BSIG: Bußgeldvorschriften — Gesetze im Internet [6]
• §9 OWiG: Handeln für einen anderen — Gesetze im Internet [7]
• §130 OWiG: Verletzung der Aufsichtspflicht in Betrieben und Unternehmen — Gesetze im Internet [8]
• §61 BSIG: Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen — Gesetze im Internet [9]
• §46 GmbHG: Aufgabenkreis der Gesellschafter — Gesetze im Internet [10]
• §147 AktG: Geltendmachung von Ersatzansprüchen — Gesetze im Internet [11]
• NIS-2-Geschäftsleitungsschulung: Handreichung zur Schulungspflicht nach §38 Abs. 3 BSIG — BSI [12]