NIS2-Richtlinie: Neue Haftungsrisiken für Geschäftsführer

Die NIS2-Richtlinie erweitert die Sorgfaltspflichten der Geschäftsführung und erhöht die Haftungsrisiken für Finanzverantwortliche deutlich.

Die regulatorischen Rahmenbedingungen für die Cybersicherheit in Deutschland haben sich durch die Umsetzung der europäischen NIS2-Richtlinie grundlegend gewandelt. Unternehmen stehen vor der Herausforderung, neue Sicherheits- und Compliance-Maßnahmen in ihre betrieblichen Abläufe zu integrieren, um den gesetzlichen Anforderungen gerecht zu werden. Ein zentraler Fokus liegt dabei auf der Stärkung der Resilienz gegenüber Cyberbedrohungen sowie der Etablierung klarer Verantwortlichkeiten auf Führungsebene.

Personalintegrität und Aufsichtspflichten der Geschäftsführung

Die gesetzlichen Vorgaben, die unter anderem im Gesetzentwurf BT-Drs. 21/1501 vom September 2025 konkretisiert wurden, sehen eine erhebliche Ausweitung der Pflichten für die Unternehmensleitung vor. Gemäß den Bestimmungen des neuen BSIG (§§ 30, 38 BSIG-neu) ist die Geschäftsführung zur Überwachung der Sicherheitsmaßnahmen verpflichtet. Ein wesentlicher Aspekt betrifft dabei den Personalbereich: Unternehmen müssen Sicherheitsrichtlinien implementieren, die auch die Integrität der Mitarbeiter sicherstellen.

Im Rahmen des KRITIS-Dachgesetzes, das die CER- und NIS2-Richtlinien in nationales Recht überführt, sind Betreiber kritischer Anlagen dazu angehalten, Personalüberprüfungen revisionssicher zu dokumentieren. Dies umfasst sowohl das Pre-Employment Screening vor der Einstellung als auch regelmäßige Re-Screenings sowie die Überprüfung externer Dienstleister. Hintergrund dieser strengen Anforderungen ist unter anderem die Erkenntnis, dass laut Erhebungen von PwC etwa 40 Prozent der Sicherheitsvorfälle auf menschliches Fehlverhalten zurückzuführen sind.

Haftungsrisiken und Fristen für Finanzverantwortliche

Für CFOs und Mitglieder der Geschäftsleitung ist die Einhaltung der neuen Regularien mit persönlichen Haftungsrisiken verbunden. Neben der NIS2-Richtlinie greifen hierbei auch Anforderungen aus der CSRD, dem Lieferkettensorgfaltspflichtengesetz (LkSG) und der DORA-Verordnung. Wichtige Fristen markieren den Zeitplan der Umsetzung: Während die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits bis zum 6. März 2026 erfolgen musste, trat die CSDDD (Omnibus I) am 18. März 2026 in Kraft. Bis zum 31. Dezember 2026 steht zudem der Abschluss des DORA-Übergangs sowie die Umstellung auf die B2B-E-Rechnung an.

Anzeige

Neben der NIS2-Richtlinie bringen auch neue KI-Gesetze zusätzliche Cyberrisiken und rechtliche Pflichten mit sich. Dieser kostenlose Report klärt auf, welche Anforderungen Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit zukunftssicher aufzustellen. Kostenloses E-Book zu Cyber-Security-Trends herunterladen

Um den Haftungsrisiken zu begegnen, wird die Etablierung dokumentierter Reporting-Linien sowie ein softwaregestütztes internes Kontrollsystem (IKS) für ESG-Kriterien empfohlen. Zudem gewinnen szenariobasierte 24-Monats-Forecasts im Sinne des StaRUG an Bedeutung. Experten weisen darauf hin, dass klassische D&O-Versicherungspolicen Klagen im Zusammenhang mit Cyber-Vorfällen oder ESG-Verstößen zunehmend nicht mehr vollumfänglich abdecken.

Management von Drittparteien und Lieferkettenrisiken

Ein kritischer Faktor für die IT-Sicherheit ist die Abhängigkeit von externen Partnern. Erfahrungen aus der Umsetzung der DORA-Verordnung im Finanzsektor zeigen laut Daten der FMA, dass mehr als 50 Prozent der Sicherheitsvorfälle bei Finanzinstituten durch IKT-Drittdienstleister verursacht werden. Die NIS2-Richtlinie verpflichtet Unternehmen daher zu einem umfassenden Management von Lieferkettenrisiken. Cyberresilienz wird somit zu einem unternehmensweiten Governance-Projekt, das eine nachweisbare Compliance und eine lückenlose Dokumentation erfordert.

Anzeige

Die zunehmende Vernetzung mit Drittdienstleistern erhöht das Risiko für gezielte Angriffe wie den CEO-Fraud massiv. Ein kostenloser Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie Unternehmen sich wirksam gegen Manipulation schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis anfordern

Auch für spezialisierte Sektoren gelten verbindliche Vorgaben. So unterstützt das BSI etwa Arzt- und Psychotherapiepraxen mit Handlungsempfehlungen zur Umsetzung der IT-Sicherheitsrichtlinie nach § 390 SGB V, die für vertragszahnärztliche Praxen seit Januar 2026 verbindlich ist.

Branchenspezifische Herausforderungen und Kritik

Wirtschaftsverbände wie der eco-Verband begleiten die regulatorische Entwicklung kritisch. Der Verband warnt vor möglichen sicherheitspolitischen Eingriffen durch das Zusammenspiel von NIS2, dem KRITIS-Dachgesetz sowie dem Cyber Resilience Act und dem Cybersecurity Act. Gefordert wird ein besseres Ineinandergreifen der verschiedenen Regularien, um Doppelpflichten für Unternehmen zu vermeiden. Das BSI solle Unternehmen primär befähigen, statt sie durch zusätzliche bürokratische Lasten zu behindern. Zudem plädiert der Verband dafür, dass staatliche Cyberabwehr-Initiativen wie der Cyberdome defensiv ausgerichtet bleiben müssen.

Bereits auf der it-sa im Herbst 2025 betonte Dr. Uwe Klapproth vom BSI die Notwendigkeit eines proaktiven Handelns der Unternehmen, um den steigenden Bedrohungslagen effektiv zu begegnen.

Unterstützungsangebote und technische Umsetzung

Zur Bewältigung der Anforderungen stehen verschiedene Hilfsmittel und Dienstleistungen zur Verfügung. Für die Leitungsorgane werden spezialisierte Management-Pflichtschulungen angeboten, wie etwa ein Online-Seminar am 4. September 2026, das die Pflichten nach § 38 BSIG und persönliche Haftungsfragen thematisiert. Die Kosten für solche Qualifizierungen liegen bei etwa 420 Euro zzgl. Mehrwertsteuer.

Auf technischer und organisatorischer Ebene bieten Dienstleister wie Bergnet strukturierte IT-Sicherheitsaufnahmen vor Ort an. Ab einem Preis von 1.980 Euro werden dabei die Anforderungen von Kunden, Lieferketten und Cyberversicherungen geprüft sowie eine juristische Ersteinschätzung zur NIS2-Betroffenheit erstellt. Für die Dokumentation nach dem BSI-IT-Grundschutz stehen Softwarelösungen wie das ISW Grundschutz++ Cockpit zur Verfügung, das die Anforderungen der Edition 2023 im OSCAL-Format lokal und ohne Cloud-Zwang verarbeitet.