NIS2 und die Geschäftsleitung: Was Sie persönlich riskieren — Geld, Amt und eine Schulung, die das BSI prüfen darf

Die Frage, die seit dem Inkrafttreten des deutschen NIS2-Gesetzes am 6. Dezember 2025 in die Geschäftsführungen getragen wird, ist immer dieselbe: „Hafte ich persönlich?“ Die ehrliche Antwort ist präziser als die Angst dahinter. Persönlich riskieren Sie drei Dinge — Geld über die Innenhaftung gegenüber der eigenen Gesellschaft, das Amt über eine vorübergehende Tätigkeitsuntersagung und eine prüfbare Schulungspflicht, die Sie als Organ tragen. Was Sie nicht riskieren, ist die Zahl, die alle zitieren: Die Zehn-Millionen-Buße trifft nicht den Geschäftsführer. Sie trifft die Einrichtung — und der Bußgeldkatalog nennt die Norm, die Sie betrifft, nicht einmal.

Dieser Beitrag geht die Haftungskette so durch, wie das Gesetz sie gebaut hat: wer Geschäftsleitung im Sinne des Paragraf 2 Nummer 13 BSIG ist, was Paragraf 38 diese Person tatsächlich zu tun verpflichtet, auf welchen drei Wegen ein Verstoß die Person erreicht — und warum der Sanktionsrahmen des Paragraf 65 stattdessen auf das Unternehmen zeigt. Für jede Geschäftsführung einer wichtigen oder besonders wichtigen Einrichtung nach Paragraf 28 BSIG ist das die Paragraphen-Architektur, die man vor dem ersten Vorfall kennen sollte, nicht danach.

Wer Geschäftsleitung ist — und warum der IT-Leiter es nicht ist

Paragraf 2 Nummer 13 BSIG definiert die Geschäftsleitung als natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen oder wichtigen Einrichtung berufen ist. Das ist der Geschäftsführer der GmbH, der Vorstand der AG, der persönlich haftende geschäftsführende Gesellschafter der KG. Es ist bewusst eine natürliche Person — nicht der IT-Leiter, nicht der CISO, nicht der externe Sicherheitsdienstleister. Das Gesetz legt die Pflicht dorthin, wo das Gesellschaftsrecht die Verantwortung ohnehin verortet: auf das Organ, das im Unternehmen zur Rechenschaft gezogen werden kann.

Die Konsequenz schneidet in beide Richtungen. Das Unternehmen kann die Pflicht nicht durch die Einstellung eines Sicherheitsbeauftragten in die Organisation absenken — und der Beauftragte kann sie nicht dadurch erben, dass er die Arbeit tut. Die Ausführung darf delegiert werden, die Überwachung nicht. Diese Asymmetrie ist das Scharnier der gesamten Haftungsfrage.

Was Paragraf 38 Absatz 1 anordnet — umsetzen und überwachen

Der operative Satz des Paragraf 38 Absatz 1 BSIG ist kurz: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die nach Paragraf 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Zwei Verben — und die deutsche Fassung ist schärfer als die Richtlinie, die sie umsetzt. Artikel 20 der NIS2-Richtlinie spricht vom Genehmigen der Maßnahmen; das deutsche Gesetz verlangt ihre Umsetzung und die laufende Überwachung — einen fortgesetzten Akt, keine Unterschrift.

Überwachung in diesem Sinn ist ein dokumentierter Zustand, keine Absicht. Sie bedeutet: Die Geschäftsleitung weiß, welche der zehn Maßnahmenbereiche des Paragraf 30 Absatz 2 von wem mit welcher Restlücke abgedeckt sind — und kann zeigen, dass sie es geprüft hat. Was geprüft wird, bleibt dabei von der Verhältnismäßigkeitsklausel des Paragraf 30 Absatz 1 Satz 2 begrenzt: Ein Hersteller mit sechzig Beschäftigten schuldet Maßnahmen im Maßstab seiner Risikoexposition, keinen Konzern-Apparat. Aber in welchem Maßstab auch immer — die Überwachung selbst lässt sich nicht wegproportionieren.

Weg eins: Die Innenhaftung — Paragraf 38 Absatz 2 trifft das Privatvermögen

Paragraf 38 Absatz 2 BSIG bestimmt, dass Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden haften — nach den Regeln des Gesellschaftsrechts, die für die Rechtsform der Einrichtung gelten. Für die GmbH ist das der Mechanismus des Paragraf 43 Absatz 2 GmbHG — der Geschäftsführer, der seine Sorgfaltspflichten schuldhaft verletzt, haftet der Gesellschaft —, für die AG die Parallelregel des Paragraf 93 Absatz 2 AktG. Die Richtung ist entscheidend: Die Gesellschaft nimmt ihr eigenes Organ in Anspruch — privat, mit dem eigenen Vermögen in der Waagschale.

Was als Schaden zählt, ist die praktische Frage. Sanierungs- und Wiederherstellungskosten nach einem Vorfall, den eine überwachte Umsetzung eingedämmt hätte, Drittschäden, die die Einrichtung ausgleicht, und die Kosten behördlich angeordneter Maßnahmen kommen grundsätzlich in Betracht. Ob eine gegen die Gesellschaft verhängte Geldbuße selbst auf das Organ durchgereicht werden kann, ist streitig — die Buße ahndet die Einrichtung, und eine Durchreichung würde genau diese Konstruktion stumpf machen. Unstreitig ist: Die Kette braucht Verschulden. Eine Geschäftsleitung, die die Maßnahmen beschlossen, umgesetzt und ihre Wirksamkeit dokumentiert kontrolliert hat, hat den Haftungstatbestand beseitigt, bevor ein Gericht über die Schadenshöhe spricht.

Weg zwei: Die Tätigkeitsuntersagung — das letzte Mittel des Paragraf 61 Absatz 9

Das schärfste Instrument des Gesetzes sitzt am Ende einer Vollzugskette, die die wenigsten Geschäftsführer gelesen haben. Kommt eine besonders wichtige Einrichtung einer Anordnung des Bundesamtes trotz Fristsetzung nicht nach, erlaubt Paragraf 61 Absatz 9 Nummer 2 BSIG der zuständigen Fachaufsichtsbehörde — nicht dem BSI selbst —, einer unzuverlässigen Geschäftsleitung die Ausübung der Tätigkeit, zu der sie berufen ist, vorübergehend zu untersagen. Es ist ausdrücklich als letztes Mittel angelegt, es ist an die missachtete Anordnung gebunden, und es endet, sobald die Einrichtung nachkommt.

Zwei Grenzen halten das Instrument selten. Der Wortlaut adressiert nur besonders wichtige Einrichtungen; für wichtige Einrichtungen öffnet Paragraf 62 BSIG eine ex-post-Prüfung, wenn Tatsachen die Annahme der Nichtumsetzung rechtfertigen — und die Untersagungsnorm ist für sie nicht formuliert. Und der Auslöser ist beharrliche Nichtbefolgung nach Anordnung und Frist, nicht eine entdeckte Lücke. Der Weg zum untersagten Geschäftsführer führt über eine ignorierte Weisung, nicht über einen Vorfall.

Weg drei: Die Schulung, die das BSI prüfen darf — Paragraf 38 Absatz 3

Paragraf 38 Absatz 3 BSIG verpflichtet Geschäftsleitungen zur regelmäßigen Teilnahme an Schulungen, mit einem bestimmten Inhalt: ausreichende Kenntnisse und Fähigkeiten, um Risiken und Risikomanagementpraktiken der Informationssicherheit zu erkennen und zu bewerten sowie ihre Auswirkungen auf die eigenen Dienste beurteilen zu können. Es ist eine Pflicht, genug zu verstehen, um zu überwachen — keine Pflicht, Ingenieur zu werden, und keine Einmaligkeit.

Die Norm ist nicht bußgeldbewehrt — Paragraf 65 listet sie nicht —, aber sie ist prüfbar, und das ist das Detail, das man markieren sollte. Paragraf 61 Absatz 1 erlaubt dem BSI, Audits ausdrücklich auch zu Paragraf 38 Absatz 3 anzuordnen; Paragraf 62 öffnet dieselbe Prüfung für wichtige Einrichtungen im Verdachtsfall. Wenn ein Prüfer fragt, was die Leitung getan hat, sind die Antworten dokumentiert oder sie sind Behauptungen. Datum, Inhalt und Teilnehmer sind ein Drei-Zeilen-Nachweis, der eine Pflicht in einen Beleg verwandelt.

Was der Bußgeldkatalog nicht enthält — warum Paragraf 65 nicht auf Sie zeigt

Die Zahl, die alle zitieren — zehn Millionen Euro oder zwei Prozent des Umsatzes — stammt aus Paragraf 65 BSIG, und ihr Katalog nennt Verstöße gegen die Maßnahmenpflichten des Paragraf 30, die Meldefristen des Paragraf 32, die Registrierungspflicht des Paragraf 33 und den Ungehorsam gegenüber Anordnungen des Paragraf 61. Paragraf 38 kommt in der Liste nicht vor. Es gibt keine persönliche Bußgeldzeile für eine bequeme Leitung.

Die Architektur ist gewollt. Die hohen Rahmen — zehn Millionen für besonders wichtige, sieben Millionen für wichtige Einrichtungen und die Umsatzregel von zwei beziehungsweise 1,4 Prozent erst oberhalb von fünfhundert Millionen Weltjahresumsatz — adressieren die Einrichtung. Paragraf 65 Absatz 9 geht weiter und schließt in diesen Rahmen Paragraf 17 Absatz 2 des Ordnungswidrigkeitengesetzes aus — jenen Mechanismus, mit dem sonst die Person gebüßt wird, die eine fremde Pflicht verletzt hat. Der Gesetzgeber hält die große Buße beim Unternehmen und die persönliche Ebene dort, wo er sie verortet hat: bei der Innenhaftung, den prüfbaren Pflichten und — bei besonders wichtigen Einrichtungen — der Untersagung als letztem Mittel.

Die Zeitachse: Was bereits gilt und was erst kommt

Die Hälfte der Verunsicherung im Markt kommt daher, dass jede Stufe als bereits aktiv behandelt wird. Der eigene Fahrplan des Gesetzes trennt sie:

Gelesen für eine Geschäftsleitung im September 2026: Die Pflichten des Paragraf 38 gelten bereits vollständig und sind bereits im Einzelfall prüfbar. Was noch nicht läuft, ist die flächendeckende Nachweiswelle — vor Dezember 2028 kann das BSI nicht systematisch von jeder besonders wichtigen Einrichtung Belege anfordern. Die Exposition konzentriert sich heute auf die einzelne Anordnung, den verdächtigen Vorfall und die bußgeldbewehrten Pflichten, nicht auf eine Massenprüfung.

Vier Dokumente, die eine Geschäftsleitung heute vorhalten sollte

Paragraf 38 benotet keine Absichten; er wird in der Dokumentation erfüllt oder verletzt. Vier Unterlagen decken die drei Wege oben ab:

Nichts davon braucht einen Berater. Es braucht, dass das Sicherheitsgespräch dort stattgefunden hat, wo das Gesetz es verortet — am Organtisch — und dass es jemand aufgeschrieben hat. Die Akte, die ein Audit beantwortet, ist dieselbe Akte, die den D&O-Fragebogen beantwortet und dieselbe, die einen Innenhaftungsanspruch erledigt, bevor er formuliert ist.

Der ehrliche Rest: Was das Gesetz nicht verlangt

Drei Leerstellen sind so viel wert wie die Pflichten. Das Gesetz verlangt vom Organ keine technische Tiefe — die Schulung zielt auf die Fähigkeit zu beurteilen, nicht zu administrieren. Es verlangt kein fehlerfreies Ergebnis — der Haftungstatbestand ist die schuldhafte Pflichtverletzung, nicht der eingetretene Vorfall; eine angegriffene Gesellschaft mit überwachter Umsetzung hat eine Antwort, eine stille hat keine. Und es erlaubt keine Abgabe — wer die Arbeit an einen Dienstleister gibt, behält die Überwachung genau dort, wo Paragraf 38 sie hingesetzt hat.

Wer nur einen Satz aus diesem Beitrag mitnimmt: Das persönliche Risiko unter NIS2 ist real, aber schmal — es läuft über die Dokumentation, nicht über die Zehn-Millionen-Schlagzeile. Das Gesetz ist so geschrieben, dass das Organ nicht sagen kann, es habe es nicht gewusst — und dass das Organ, das seine Pflicht tat, beweisen kann, dass es sie tat.

Häufige Fragen zur NIS2-Haftung der Geschäftsleitung