KRITIS-Gesetz und NIS-2: Management in der Haftungsfalle

Das neue KRITIS-Dachgesetz und die NIS-2-Richtlinie führen zu verschärfter persönlicher Haftung für Vorstände bei IT-Sicherheitsverstößen und setzen enge Umsetzungsfristen.

Deutschlands Vorstände und Geschäftsführer stehen ab sofort persönlich für IT-Sicherheit und Datenschutz ein. Der Grund: Zwei neue Gesetze verschärfen die Haftung massiv – und setzen Managern enge Fristen.

Anzeige

Angesichts der neuen Haftungsregeln für die Geschäftsführung ist eine proaktive Stärkung der IT-Sicherheit ohne Budget-Explosion entscheidend. Dieser kostenlose Leitfaden zeigt, wie Sie Ihr Unternehmen mit einfachen Maßnahmen schützen. IT-Sicherheit stärken ohne teure neue Mitarbeiter einzustellen

Neues Gesetz: KRITIS-Dachgesetz beschlossen

Der Bundesrat hat am 6. März 2026 das KRITIS-Dachgesetz gebilligt. Damit geht der Gesetzgeber deutlich über bisherige IT-Sicherheitsanforderungen hinaus. Betroffene Unternehmen – dazu zählen alle Einrichtungen, die mindestens 500.000 Menschen versorgen – müssen umfassende Resilienzmaßnahmen umsetzen. Sie haben nach erfolgreicher Registrierung nur neun Monate Zeit, detaillierte Risikoanalysen vorzulegen.

Gleichzeitig endete am selben Tag die erste Registrierungsfrist für die NIS-2-Richtlinie beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Wer diese dreimonatige Frist verpasst hat, riskiert bereits ohne konkreten Sicherheitsvorfall hohe Bußgelder. Experten sehen darin ein klares Signal: Die Behörden wollen die neuen Cybersicherheits-Regeln rigoros durchsetzen.

Paradigmenwechsel für die Führungsetage

Für Vorstände und Geschäftsführer bedeutet das einen fundamentalen Wandel. Juristen machen klar: Die Geschäftsleitung kann zunehmend persönlich für Versäumnisse haftbar gemacht werden. Das neue KRITIS-Dachgesetz verpflichtet sie, die Widerstandsfähigkeit ihrer Anlagen proaktiv zu sichern.

Die Folge sind umfangreiche organisatorische Anpassungen. Personalabteilungen, Führungskräfte und Betriebsräte müssen klare Strukturen schaffen, kontinuierlich schulen und aktuelle Regelwerke etablieren. Ein isolierter Blick auf Cyber-Risiken als rein technisches Problem genügt nicht mehr. Stattdessen fordern die Gesetze eine konsequente Verknüpfung der Informationssicherheit mit der betrieblichen Wertschöpfung.

KI-Governance wird zur Chefsache

Neben klassischen Sicherheitsthemen rückt auch der Umgang mit künstlicher Intelligenz in den Fokus. Die Organisation Digitalswitzerland veröffentlichte am 10. März 2026 einen praxisorientierten Leitfaden für Führungskräfte. Er soll vor allem kleinen und mittleren Unternehmen helfen, KI rechtssicher einzusetzen.

Ein zentraler Aspekt ist die sogenannte AI Governance – der Aufbau einer zukunftssicheren Infrastruktur, die auch den strengen europäischen Datenschutzvorgaben standhält. Experten betonen: Der menschliche Faktor spielt hier eine entscheidende Rolle. Gezielte Mitarbeiterschulungen und klare Vorgaben der Geschäftsführung sind essenziell, um KI-Initiativen erfolgreich und datenschutzkonform zu skalieren.

Anzeige

Da die EU-KI-Verordnung bereits in Kraft ist, müssen Unternehmen jetzt ihre KI-Systeme richtig klassifizieren und dokumentieren, um Bußgelder zu vermeiden. Ein kostenloser Leitfaden erklärt kompakt und ohne juristische Fachkenntnisse, welche Pflichten und Fristen für Ihr Unternehmen gelten. EU-KI-Verordnung kompakt: Umsetzungsleitfaden gratis sichern

Datenschutzbehörden im Transparenz-Modus

Der Druck wächst auch bei klassischen GDPR-Themen. Die europäischen Datenschutzaufsichtsbehörden haben für 2026 die Transparenz- und Informationspflichten nach den Artikeln 12 bis 14 der Datenschutz-Grundverordnung zum Schwerpunkt ihrer Prüfungen erklärt.

Für Unternehmen bedeutet das: Ihre Datenschutzerklärungen werden streng kontrolliert. Die Behörden prüfen detailliert, ob Datenverarbeiter Betroffene frühzeitig, in klarer Sprache und vollständig informieren. Bei Verstößen drohen nicht nur behördliche Maßnahmen, sondern auch Schadensersatzansprüche nach Artikel 82 der GDPR. Diese können bei vielen Betroffenen schnell zu erheblichen finanziellen Risiken führen.

Compliance-Landschaft verschmilzt

Die Ereignisse der ersten März-Woche 2026 zeigen einen übergreifenden Trend: Die früher getrennten Disziplinen Datenschutz, Informationssicherheit und KI-Compliance verschmelzen zu einem ganzheitlichen Governance-Ansatz. Internationale Konzerne und große Mittelständler stehen vor der komplexen Aufgabe, diese mehrschichtige Landschaft zu navigieren.

Besonders herausfordernd sind dezentrale Geschäftsmodelle. Eine rein zentralisierte Betrachtung der Compliance-Pflichten durch ein Mutterunternehmen genügt oft nicht mehr, da länderspezifische Bewertungen einzelner Tochtergesellschaften erforderlich sind. Das Ineinandergreifen von GDPR-Anforderungen, NIS-2-Meldepflichten und den neuen Resilienz-Zielen des KRITIS-Dachgesetzes zwingt Organisationen zu integrierten Management-Plattformen.

Was jetzt zu tun ist

Für das restliche Jahr 2026 müssen sich Unternehmen auf weiterhin hohe Regulierungsdichte einstellen. Mit dem erwarteten Digital Omnibus-Paket der EU-Kommission stehen weitere Reformen an, die das Zusammenspiel von Data Act, AI Act und GDPR neu justieren könnten.

Führungskräfte sind gut beraten, Datenschutz und Cybersicherheit nicht als lästige Pflicht, sondern als strategischen Wettbewerbsvorteil zu betrachten. In den kommenden Monaten wird es entscheidend sein, die vom KRITIS-Dachgesetz geforderten Risikoanalysen fristgerecht abzuschließen und interne Schulungsprograme an die neue Rechtslage anzupassen.