NIS2-Richtlinie: Geschäftsführer haften persönlich für Cybersicherheit

Neue Deloitte-Studie zeigt: Cybervorfälle betreffen fast alle Großunternehmen. NIS2-Richtlinie macht Chefs persönlich haftbar.

Über 60 Prozent waren sogar von sechs oder mehr Angriffen betroffen. Die Zahlen aus dem Deloitte Global Future of Cyber Survey zeigen: Technische Lösungen allein reichen nicht mehr.

Auf der Sicherheitskonferenz „STATE OF SECURITY“ am 3. Juni in Berlin diskutierten Fachleute über die wachsende Bedeutung einer integrierten Sicherheitsstrategie. Im Zentrum stand die Erkenntnis: Künstliche Intelligenz fungiert zunehmend als Katalysator für Cyberangriffe. Friedrich P. Kötter von KÖTTER Security betonte, dass der Schutz des Unternehmens zur Chefsache werden müsse.

Anzeige

IT-Sicherheit ist heute weit mehr als eine rein technische Aufgabe und erfordert die volle Aufmerksamkeit der Geschäftsführung. Wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen ohne hohe Investitionen erfüllen, zeigt dieses kostenlose E-Book. IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen

NIS2-Richtlinie verschärft Haftungsregeln

Ein wesentlicher Treiber für die Professionalisierung der Sicherheitskultur ist die Umsetzung der NIS2-Richtlinie in deutsches Recht. Das Gesetz (NIS2UmsuCG) wurde im November 2025 verabschiedet und trat um die Jahreswende in Kraft.

Betroffen sind Unternehmen ab 50 Mitarbeitern oder einem Jahresumsatz von zehn Millionen Euro in regulierten Sektoren wie Energie, Verkehr oder dem verarbeitenden Gewerbe. Die Neuregelung sieht eine Selbstidentifikationspflicht vor und unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen.

Kernpunkt: Die Geschäftsführung haftet persönlich für Versäumnisse im Risikomanagement. Experten betonen, dass die gesetzlichen Vorgaben das Sicherheitsmanagement von einer technischen Aufgabe zu einer zentralen Governance-Pflicht erhoben haben.

Cyberangriffe als Dauerbelastung

Die Dringlichkeit dieser Maßnahmen wird durch aktuelle Marktdaten untermauert. Rund zwei Drittel der Unternehmen planen eine Erhöhung ihrer Sicherheitsausgaben. Im Durchschnitt entfallen bereits 19 Prozent der IT-Budgets auf Cybersicherheit.

Besonders Cloud-Umgebungen rücken in den Fokus. Hier gilt das Modell der geteilten Verantwortung: Während Anbieter die Infrastruktur absichern, sind Kunden selbst für den Schutz ihrer Daten, Anwendungen und Konfigurationen verantwortlich. Fehlkonfigurationen und unzureichende Zugangskontrollen zählen zu den größten Risikofaktoren.

Im Jahr 2025 wurden zudem fast 50.000 neue Schwachstellen veröffentlicht. Das unterstreicht die Notwendigkeit kontinuierlicher Audits.

Physische Sicherheit bleibt Herausforderung

Neben der digitalen Sicherheit bleibt der Schutz von Mitarbeitenden vor physischer Gewalt zentral. Die Deutsche Bahn registrierte für 2025 rund 2.690 Angriffe auf Personal – eine Steigerung von elf Prozent. Als Reaktion startete das Unternehmen im Juni einen mehrmonatigen Test von Schutzhelmen für mobile Unterstützungsgruppen in Berlin.

Auch bei der klassischen Arbeitssicherheit werden Anforderungen präzisiert. Das DGUV Barometer Arbeitswelt 2026 erinnert an die gesetzlichen Vorgaben für betriebliche Erste Hilfe: In Betrieben mit zwei bis 20 Beschäftigten muss mindestens ein Ersthelfer anwesend sein. In größeren Verwaltungen liegt die Quote bei fünf Prozent, in sonstigen Betrieben bei zehn Prozent der anwesenden Versicherten.

Anzeige

Neben der physischen Sicherheit gewinnen rechtssichere Compliance-Strukturen im Unternehmen zunehmend an Bedeutung. Dieser kostenlose Praxisleitfaden zeigt Schritt für Schritt, wie Sie interne Meldestellen gemäß dem Hinweisgeberschutzgesetz rechtssicher und DSGVO-konform organisieren. Endlich Klarheit beim HinSchG: So setzen Sie das Gesetz sicher und DSGVO-konform um

Professionalisierung durch Ausbildung und Rechtssicherheit

Die Förderung der Sicherheitskultur schlägt sich auch in neuen Qualifizierungsangeboten nieder. Für November bis Dezember ist ein digitaler Fachkurs zur nuklearen Sicherheitskultur angekündigt, der Führungskräfte für spezifische Hochrisikosektoren schulen soll.

Gleichzeitig konkretisiert die Rechtsprechung den Rahmen für innerbetriebliche Compliance. Das Landesarbeitsgericht Niedersachsen wies Ende Mai die Klage zweier Manager auf Schadensersatz nach dem Hinweisgeberschutzgesetz ab. Die Entscheidung verdeutlicht: Ansprüche bestehen nur, wenn Meldungen über die vorgesehenen Kanäle erfolgen und die geltenden Meldefristen gewahrt werden.

Zusätzliche Anpassungen kommen auf Personalabteilungen durch die Novelle des Allgemeinen Gleichbehandlungsgesetzes (AGG) zu. Das Bundeskabinett beschloss diese am 6. Mai. Sie sieht unter anderem eine Verlängerung der Klagefristen von zwei auf vier Monate sowie einen erweiterten Schutz vor Diskriminierung und sexueller Belästigung vor.