NIS2 für Geschäftsführer: Pflichten, Haftung und was Sie belegen müssen

Marcel Rieger

Managing Director, Cyber Risk

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, das das BSI-Gesetz (BSIG) neu gefasst hat. Für die Geschäftsleitung betroffener Unternehmen enthält es eine eigene Vorschrift, § 38 BSIG, die in vielen Präsentationen auf die Worte "persönliche Haftung" verkürzt wird. Dieser Artikel ordnet ein, was dort tatsächlich steht, wie die Haftung juristisch funktioniert und welche Unterlagen Sie als Geschäftsführer haben sollten, um Ihre Sorgfalt zu belegen.

Welche Entscheidungen jetzt konkret anstehen, behandelt der zweite Teil: NIS2 für Geschäftsführer: Was Sie jetzt entscheiden müssen.

Für wen die Pflichten gelten

Die Pflichten treffen die Geschäftsleitung von "besonders wichtigen" und "wichtigen" Einrichtungen. Ob Ihr Unternehmen dazugehört, ergibt sich aus § 28 BSIG und zwei Anlagen mit Sektoren. Neben Energie, Gesundheit, Wasser oder digitaler Infrastruktur stehen dort auch Branchen, mit denen viele Mittelständler nicht rechnen: Maschinenbau, Herstellung von Kraftwagen und Kraftwagenteilen, von elektrischen Ausrüstungen oder Medizinprodukten, Lebensmittel, Chemie, Abfallwirtschaft, Post- und Kurierdienste.

Hinzu kommt die Größe. Wichtige Einrichtung ist in der Regel, wer in einem dieser Sektoren mindestens 50 Beschäftigte hat oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro. In den Sektoren der Anlage 1 gilt als besonders wichtig, wer mindestens 250 Beschäftigte hat oder über 50 Millionen Euro Umsatz und zugleich über 43 Millionen Euro Bilanzsumme. Einige Einrichtungsarten, etwa Betreiber kritischer Anlagen, sind unabhängig von ihrer Größe erfasst. Verbundene Unternehmen werden grundsätzlich mitgezählt, die Ausnahmen regelt § 28 Absatz 4 BSIG. Das BSI rechnet mit rund 29.500 regulierten Einrichtungen. Eine erste Einordnung für Ihr Haus gibt unser NIS2-Check in wenigen Minuten.

Was § 38 BSIG verlangt

Der Paragraf hat drei Absätze, und jeder hat eine eigene Wirkung. Den Wortlaut finden Sie bei gesetze-im-internet.de.

Absatz 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Gemeint sind geeignete, verhältnismäßige und wirksame Maßnahmen, die mindestens zehn Bereiche abdecken müssen, von der Risikoanalyse über Vorfallbewältigung, Backup und Krisenmanagement bis zu Lieferkette, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Das BSI stellt in seiner Handreichung zur Geschäftsleitungsschulung klar, dass die Geschäftsleitung diese Aufgabe nicht delegieren kann. Sie kann die Arbeit verteilen. Die Verantwortung bleibt bei ihr.

Absatz 2 regelt die Haftung, dazu gleich mehr.

Absatz 3 verlangt, dass die Geschäftsleitung regelmäßig an Schulungen teilnimmt. Ziel ist, Risiken und Risikomanagementpraktiken erkennen und bewerten zu können und ihre Auswirkungen auf die Dienste des Unternehmens zu beurteilen.

Wie die Haftung funktioniert

§ 38 Absatz 2 BSIG schafft keine neue Haftung gegenüber Behörden oder Dritten. Er verweist auf das Gesellschaftsrecht: Wer seine Pflichten aus Absatz 1 verletzt, haftet der eigenen Gesellschaft für einen schuldhaft verursachten Schaden nach den Regeln, die für die Rechtsform gelten. Für GmbH-Geschäftsführer ist das § 43 GmbHG, für den Vorstand einer AG § 93 AktG. Nur wenn das Gesellschaftsrecht keine solche Regel enthält, haftet die Geschäftsleitung direkt nach dem BSIG.

Das klingt harmloser, als es ist. Ein typisches Szenario: Ein Ransomware-Angriff legt die Produktion zwei Wochen still. Später prüft die Gesellschaft, ein Insolvenzverwalter oder ein neuer Mehrheitsgesellschafter, ob die Geschäftsführung ihre Pflichten erfüllt hat. Wurden die Maßnahmen nie beschlossen, nie überwacht und nie mit Ressourcen ausgestattet, steht ein Schadensersatzanspruch im Raum. Gehaftet wird mit dem Privatvermögen, soweit keine D&O-Versicherung eintritt. Für Vorstände einer AG schreibt § 93 Absatz 2 AktG bei einer solchen Versicherung zudem einen Selbstbehalt vor. Klären Sie deshalb mit Ihrem Makler, ob Ihre Police solche Ansprüche abdeckt und welche Obliegenheiten sie Ihnen auferlegt.

Entscheidend ist die Beweislast. Für den Vorstand einer AG steht in § 93 Absatz 2 AktG ausdrücklich, dass er im Streitfall beweisen muss, sorgfältig gehandelt zu haben. Der Bundesgerichtshof wendet diese Grundsätze seit 2002 entsprechend auf GmbH-Geschäftsführer an (Urteil vom 4. November 2002, II ZR 224/00, BGHZ 152, 280). Praktisch heißt das: Die Gesellschaft muss nur darlegen und beweisen, dass ihr durch ein Verhalten im Pflichtenkreis des Geschäftsführers, das als pflichtwidrig in Betracht kommt, ein Schaden entstanden ist. Dann müssen Sie belegen, dass Sie sorgfältig gehandelt haben, dass Sie kein Verschulden trifft oder dass der Schaden auch bei pflichtgemäßem Verhalten eingetreten wäre. Die Dokumentation Ihrer Entscheidungen ist deshalb keine Bürokratie, sondern Ihr wichtigstes Beweismittel.

Getrennt davon stehen die Bußgelder nach § 65 BSIG. Sie richten sich in erster Linie gegen das Unternehmen. Ob daneben auch eine handelnde Person belangt werden kann, etwa wegen einer verletzten Aufsichtspflicht nach § 130 OWiG, richtet sich nach dem allgemeinen Ordnungswidrigkeitenrecht und ist im Einzelfall zu prüfen. Für Verstöße gegen die Risikomanagement- und Meldepflichten sind bei besonders wichtigen Einrichtungen bis zu 10 Millionen Euro möglich, bei wichtigen bis zu 7 Millionen Euro. Hat das Unternehmen mehr als 500 Millionen Euro weltweiten Gesamtumsatz, steigt die Obergrenze auf 2 beziehungsweise 1,4 Prozent davon. Eine fehlende oder falsche Registrierung kann bis zu 500.000 Euro kosten. Für besonders wichtige Einrichtungen sieht § 61 Absatz 9 BSIG als letztes Mittel sogar vor, unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend zu untersagen, solange Anordnungen des BSI nicht befolgt werden.

Was die Schulungspflicht praktisch bedeutet

Das Gesetz sagt nur "regelmäßig". Die Gesetzesbegründung versteht darunter Schulungen mindestens alle drei Jahre (BT-Drucksache 21/1501, S. 154). Das BSI hat im April 2026 eine überarbeitete Handreichung zur Geschäftsleitungsschulung veröffentlicht. Sie ist rechtlich nicht verbindlich, zeigt aber, woran das BSI Schulungen misst:

• Schulungspflichtig ist jede Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist. Bei mehreren Geschäftsführern also alle.
• Eine feste Dauer oder ein festes Intervall legt die Handreichung nicht fest. Das BSI empfiehlt eine ausführliche Erstschulung und danach Folgeschulungen, deren Abstand sich an der Risikolage richtet. Anlässe für eine neue Schulung sind etwa ein Wechsel in der Geschäftsleitung oder deutliche Änderungen der Geschäftsprozesse oder der Risikolage.
• Inhaltlich muss die Schulung drei Dinge abdecken: Risiken erkennen und bewerten, Risikomanagementmaßnahmen kennen und deren Auswirkungen auf das eigene Geschäft beurteilen. Eine Schulung, die nur Maßnahmen aufzählt, würde das BSI bei Aufsichtsmaßnahmen nach eigener Aussage als nicht ausreichend bewerten.
• Neben Vorträgen nennt das BSI Planspiele, Audit-Simulationen oder einen festen Quartalstermin mit dem Informationssicherheitsbeauftragten als geeignete Formate.
• Eine Prüfung am Ende ist nicht vorgeschrieben. Dokumentiert werden sollten Anbieter, Teilnehmende mit Funktion, Datum, Uhrzeit, Dauer und Inhalte mit Bezug zu § 38 Absatz 3.

Wie Sie diese Nachweise sauber aufbauen, zeigt unsere Seite zu NIS2-Schulungsnachweisen für die Geschäftsführung.

Welche Unterlagen Ihre Sorgfalt belegen

Wegen der Beweislast lohnt sich eine schlanke Akte, die im Ernstfall zeigt, dass die Geschäftsleitung ihre Aufgabe ernst genommen hat. Dafür reichen wenige Dokumente, wenn sie aktuell sind:

1. Die dokumentierte Prüfung, ob und als was das Unternehmen unter das BSIG fällt, mit Datum, verwendeten Zahlen und Begründung.
2. Die Registrierungsbestätigung aus dem BSI-Portal.
3. Ein Beschluss der Geschäftsführung, der Ziele, Verantwortliche und Budget für die Informationssicherheit festlegt.
4. Die Benennung einer verantwortlichen Person, intern oder extern, mit direkter Berichtslinie zur Geschäftsführung.
5. Regelmäßige Berichte an die Geschäftsführung, mindestens quartalsweise, mit Stand der Maßnahmen, offenen Risiken und Vorfällen, jeweils mit einem Protokoll, was daraufhin entschieden wurde.
6. Unterschriebene und befristete Risikoakzeptanzen für Risiken, die Sie bewusst tragen.
7. Die Schulungsnachweise der Geschäftsleitung.
8. Das Ergebnis mindestens einer Übung zum Meldeprozess bei einem erheblichen Sicherheitsvorfall.

Punkt 5 ist der wichtigste. Überwachen heißt nicht, einmal im Jahr eine Präsentation zu sehen. Es heißt, nachzufragen, wenn Maßnahmen verzögert sind, und das im Protokoll festzuhalten.

Beachten Sie außerdem, dass § 30 Absatz 1 BSIG vom Unternehmen verlangt, die Einhaltung der Risikomanagementpflichten zu dokumentieren. Eine fehlende Dokumentation ist nach § 65 BSIG selbst bußgeldbewehrt, im selben Rahmen wie fehlende Maßnahmen.

Ihr nächster Schritt

Wenn Sie noch nicht sicher wissen, ob Ihr Unternehmen betroffen ist, beginnen Sie mit dem NIS2-Check. Steht die Betroffenheit fest, ist die Frage, ob die Akte oben bei Ihnen vollständig ist. Genau das prüft unser Geschäftsführer-Check zum persönlichen NIS2-Risiko: Betroffenheit, Haftungslage und die Maßnahmen, die Ihr Risiko am schnellsten senken.