NIS2 Geschäftsführerhaftung: Was du jetzt entscheiden musst
NIS2 verschiebt Verantwortung sichtbar in die Geschäftsleitung: Risikomanagement muss beschlossen, umgesetzt und nachweisbar überwacht werden. Wer das nur „zur IT“ schiebt, reduziert Arbeit, aber nicht die Verantwortung.
- Persönliche Haftung entsteht vor allem durch Pflichtverletzungen und fehlende Nachweisführung.
- Bußgelder können bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes betragen (je nach Einstufung).
- KMU brauchen einen pragmatischen Plan: Betroffenheit klären, Gap-Analyse, Maßnahmenpriorisierung, Meldewege, Reporting.
Der schnellste Hebel ist ein sauberer Betrieb und ein sauberes Protokoll: Wer Incidents erkennt, dokumentiert und abarbeitet, senkt Risiko und reduziert Folgekosten.
Du sorgst dafür, dass M365 läuft. Wir sorgen dafür, dass niemand unbemerkt eindringt, heimlich mitliest und Schaden anrichtet.
Definition
NIS2 Geschäftsführerhaftung beschreibt die persönliche Verantwortlichkeit von Mitgliedern der Geschäftsleitung für das Veranlassen, Billigen und Überwachen von Cybersicherheits- und Risikomanagementmaßnahmen nach NIS2 und dem nationalen Umsetzungsgesetz (z. B. NIS2UmsuCG). Sie ist keine IT-Admin-Aufgabe, sondern eine Leitungs- und Nachweispflicht mit potenziellen Sanktionen bei Verstößen gegen gesetzliche Anforderungen.
Einleitung
NIS2 ist kein Thema, das „irgendwo in der IT“ verschwinden darf. Wenn dein Unternehmen betroffen ist, musst du als Geschäftsführer handeln: Entscheidungen treffen, Umsetzung einfordern, Nachweise sichern. Das Ziel ist nicht Papier, sondern weniger Ausfälle, weniger Erpressbarkeit und klare Abläufe, wenn etwas passiert.
Relevante Pflichten der Geschäftsführung unter NIS2
Die NIS-Richtlinie (NIS2) und ihre nationale Umsetzung verpflichten Leitungsorgane, Risikomanagementmaßnahmen für Cybersicherheit zu billigen und deren Umsetzung zu überwachen. Dazu gehört auch, dass Verantwortlichkeiten, Prozesse und Kontrollpunkte in der Organisation verankert sind.
Heißt konkret: Du brauchst eine nachvollziehbare Entscheidungskette. Wer entscheidet welche Maßnahme, wer betreibt sie, wer prüft Wirksamkeit, und wie wird an die Geschäftsleitung berichtet (Management-Review). Ohne diese Kette wird es schwer, im Audit oder nach einem Vorfall zu zeigen, dass du deiner Verantwortung nachgekommen bist.
Wann persönliche Haftung eintritt (und was Vermögensschutz wirklich bedeutet)
Persönliche Haftung wird typischerweise dann relevant, wenn Pflichten schuldhaft verletzt werden: Risiken werden ignoriert, Anforderungen nicht umgesetzt, Vorfälle nicht gemeldet oder Maßnahmen nur auf dem Papier geführt. Delegation an IT oder Dienstleister ist erlaubt, entbindet aber nicht von Verantwortung und Aufsicht.
Vermögensschutz ist deshalb zuerst Organisationsschutz: dokumentierte Beschlüsse, klare Zuständigkeiten, regelmäßige Kontrollen, belegbare Umsetzung. Eine D&O-Versicherung kann ein Baustein sein, ersetzt aber nicht das geforderte Handeln und keine Nachweisführung.
Bußgelder und Sanktionen: Was realistisch droht
Bei NIS2 können Bußgelder abhängig von der Kategorie (u. a. „wesentliche Einrichtungen“) erheblich sein, z. B. bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Dazu kommen mögliche Anordnungen der Aufsicht, Reputationsschäden, Vertragsfolgen und operative Kosten durch Stillstand.
Für die Entscheidung ist wichtig: Das teuerste Szenario ist selten das Bußgeld allein, sondern die Summe aus Incident, Betriebsunterbrechung, Forensik, Wiederanlauf, eventuell Datenabfluss und verlorenen Aufträgen. Gute Umsetzung senkt sowohl Eintrittswahrscheinlichkeit als auch Schadenshöhe.
Pragmatische Umsetzung für KMU: ein Plan, der funktioniert
KMU scheitern selten an einer einzelnen Maßnahme, sondern an fehlender Struktur und Ressourcen. Ein funktionierender Start kombiniert Organisations- und Technikbausteine so, dass sie messbar betrieben werden können.
- Gap-Analyse: Betroffenheit (NIS betroffen?) klären, Ist-Stand gegen Anforderungen prüfen, priorisierte Lückenliste erstellen.
- Risikomanagement: Risikoregister, Verantwortliche, Management-Review-Takt, Lieferantenmanagement für kritische Dienstleister.
- Betriebsfähige Sicherheitsmaßnahmen: MFA und Conditional Access, Incident Response, Security-Awareness-Training, Backup- und Wiederanlaufkonzept.
Operative Umsetzung heißt: nicht „einführen und vergessen“, sondern betreiben. Genau hier entsteht ROI: weniger manuelle Ad-hoc-Arbeit, weniger Blindflug, schnellere Eindämmung.
Checkliste: NIS2-Compliance in 30 Tagen anstoßen
Diese Leitfäden funktionieren als Minimalstart, ohne ein ISMS sofort zu überfrachten:
- Betroffenheit und Einordnung als wichtige/wesentliche Einrichtungen prüfen und dokumentieren.
- Gap-Analyse inkl. Nachweisführung: welche Policies, Protokolle, Trainings und Kontrollen fehlen?
- Incident Response aufsetzen: Meldewege, Rollen, Übungsfall, Vorlagen für Vorfallsdokumentation.
Hinweis zu Vorlagen/Templates: Nutze standardisierte Templates für Risikoregister, Management-Review und Incident-Dokumentation, aber passe sie an deine Organisation an. Ungepflegte Vorlagen sind im Ernstfall wertlos.
Mini-Beispiel: Haftungsrisiko entsteht durch fehlenden Betrieb
Ein KMU hat MFA aktiviert, aber keine durchgesetzten Conditional-Access-Regeln und keine Auswertung von Security-Alerts. Nach einem Ransomware-Angriff ist unklar, wann der Zugriff kompromittiert wurde und welche Entscheidungen die Geschäftsleitung zur Umsetzung getroffen hat. Die technische Lücke ist ein Teil des Problems, der größere Teil ist die fehlende Nachweisführung: keine regelmäßigen Reviews, keine belegte Kontrolle, kein geübter Incident-Response-Ablauf.
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung lohnt sich, wenn interne Ressourcen fehlen, um Anforderungen konkret umzusetzen, zu betreiben und nachzuweisen. Typische Auslöser sind: viele Microsoft-365-Security-Alerts ohne Triage, unklare Zuständigkeiten, keine belastbare Incident Response oder fehlende Audit-Dokumentation.
Für Geschäftsführer zählt dabei vor allem Planbarkeit: ein fester Betriebsprozess (Monitoring, Triage, Maßnahmen, Reporting) reduziert Risiken messbar und entlastet die Organisation, statt sie mit Projekt-Feuerwehr zu überziehen.
Nächste Schritte: sauberer Betrieb statt einmaliger Aktion
Wenn du NIS2 Geschäftsführerhaftung reduzieren willst, setze auf zwei Leitprinzipien: Risikomanagement entscheiden und Sicherheitsmaßnahmen dauerhaft betreiben. Im Microsoft-Umfeld ist der größte Hebel meist der aktive Betrieb von Entra ID und Defender XDR; für Nachweisführung und Korrelation über Quellen hinweg ist ein SIEM wie Microsoft Sentinel der typische Schritt, weil es Logging, Auswertung und Dokumentation zentralisiert und operativ Kosten spart.
Als Managed Microsoft 365 Security Provider übernehmen wir genau diesen Betrieb und die incident-nahe Dokumentation, damit Anforderungen nicht nur „erfüllt“, sondern im Alltag gelebt werden.
Fazit
NIS2 Geschäftsführerhaftung ist vor allem ein Führungs- und Nachweisthema: Entscheiden, Überwachen, Dokumentieren. Wer betriebsfähige Prozesse für Risikomanagement und Incident Response etabliert und Sicherheitsmaßnahmen dauerhaft betreibt, senkt Bußgeld- und Ausfallrisiken gleichzeitig. Für KMU ist der pragmatischste Weg eine klare 30-Tage-Startstruktur plus kontinuierlicher Betrieb statt einmaliger Projekte.
Häufige Fragen
Gilt NIS2 Geschäftsführerhaftung nur für Konzerne?
Nein. Betroffenheit hängt von Einstufung und Schwellen ab (z. B. als wichtige oder wesentliche Einrichtungen). Auch KMU können betroffen sein und müssen Anforderungen konkret umsetzen und nachweisen.
Wann haften Geschäftsführer persönlich unter NIS2?
Typisch bei schuldhaften Pflichtverletzungen: fehlende Billigung von Risikomanagementmaßnahmen, mangelnde Überwachung, fehlende Nachweisführung oder nicht funktionierende Incident-Response-Prozesse bei Verstößen gegen Anforderungen.
Welche Bußgelder sind möglich?
Je nach Kategorie können Bußgelder sehr hoch sein, z. B. bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Zusätzlich drohen Auflagen der Aufsicht und hohe Folgekosten durch Ausfälle.
Gibt es Templates oder Downloads für die NIS2-Umsetzung?
Ja, sinnvoll sind Vorlagen für Gap-Analyse, Risikoregister, Management-Review, Incident-Response-Runbooks und Vorfallsdokumentation. Wichtig ist, dass ihr die Templates eurem Unternehmen anpasst und regelmäßig pflegt, sonst fehlen im Ernstfall belastbare Nachweise.
