NIS2-Bußgelder und Geschäftsleiterhaftung: Was Geschäftsführern droht

„Bis zu 10 Millionen Euro Strafe!“ — kaum eine NIS2-Schlagzeile kommt ohne diese Zahl aus. Sie stimmt, aber sie erzählt nur die halbe Geschichte. Wer verstehen will, was Geschäftsführern und Vorständen tatsächlich droht, muss zwei Ebenen auseinanderhalten: die Bußgelder gegen das Unternehmen und die persönliche Haftung der Geschäftsleitung gegenüber der eigenen Gesellschaft. Die zweite Ebene ist die unbequemere — und die weniger bekannte.

Dieser Artikel nennt die Zahlen, ordnet sie realistisch ein und erklärt die Haftungsmechanik des § 38 BSIG: welche Pflichten die Geschäftsleitung persönlich treffen, wann sie haftet und wie sie ihr Risiko durch nachweisbare Organisation drastisch senkt. Ohne Panikmache — aber auch ohne die Verharmlosung, das werde schon niemand kontrollieren.

Der Bußgeldrahmen: Die Zahlen im Überblick

Die Bußgeldvorschriften des neuen BSI-Gesetzes orientieren sich an den Vorgaben der EU-Richtlinie. Für die schwersten Verstöße — insbesondere gegen die Risikomanagementpflichten und die Meldepflichten — gelten folgende Obergrenzen:

Der Umsatzbezug hat es in sich: Bei einem Konzern mit einer Milliarde Euro Umsatz liegt die 2-Prozent-Grenze bei 20 Millionen Euro — die Festbeträge sind also Untergrenzen der Obergrenze, nicht deren Deckel. Wichtig ist auch die Breite der Tatbestände: Bußgeldbewehrt ist nicht erst der katastrophale Sicherheitsvorfall, sondern bereits die unterlassene Registrierung beim BSI, die versäumte Meldung oder die Missachtung einer BSI-Anordnung — unabhängig davon, ob je etwas passiert.

Einordnung: Wie realistisch sind Millionenbußgelder?

Die Höchstbeträge sind Obergrenzen für schwere, vorsätzliche oder beharrliche Verstöße — keine Standardtarife. Bei der Bemessung spielen Schwere und Dauer des Verstoßes, Verschulden, Kooperation mit der Behörde und die wirtschaftliche Leistungsfähigkeit eine Rolle. Drei realistische Einordnungen:

• Die Aufsichtspraxis ist jung. Das Gesetz gilt seit Dezember 2025; das BSI hat im ersten Jahr erkennbar auf Registrierung, Information und Kooperation gesetzt statt auf schnelle Exempel. Eine belastbare Bußgeldpraxis muss sich erst herausbilden (Stand: September 2026).
• Die DSGVO-Erfahrung als Maßstab: Auch dort blieben die Millionenbußgelder die Ausnahme — aber sie kamen, vor allem bei groben Organisationsmängeln, fehlender Kooperation und Wiederholungsfällen. Es gibt keinen Grund anzunehmen, dass es bei NIS2 anders läuft.
• Das teuerste Szenario ist die Kombination: Ein schwerer Sicherheitsvorfall trifft ein Unternehmen, das nicht registriert war, nicht fristgerecht gemeldet hat und keine dokumentierten Maßnahmen vorweisen kann. Dann addieren sich Bußgeld, Vorfallskosten, zivilrechtliche Ansprüche geschädigter Kunden und der Reputationsschaden.

Kurz: Angst vor der Schlagzeilenzahl ist ein schlechter Ratgeber — die Gleichgültigkeit, es werde „schon nichts passieren“, ist es genauso. Der rationale Umgang ist nachweisbare, priorisierte Umsetzung.

§ 38 BSIG: Welche Pflichten die Geschäftsleitung persönlich treffen

Neu am NIS2-Regime ist die ausdrückliche Verantwortung der Leitungsebene. § 38 BSIG adressiert die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen direkt — also Geschäftsführer, Vorstände und vergleichbare Leitungsorgane. Drei Pflichten stehen im Zentrum:

1. Billigungspflicht: Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG selbst billigen. Sie kann die Erarbeitung delegieren — die Entscheidung nicht.
2. Überwachungspflicht: Sie muss die Umsetzung der Maßnahmen laufend überwachen. Ein einmaliger Beschluss genügt nicht; erwartet wird ein kontinuierlicher Blick auf Umsetzungsstand, Wirksamkeit und Ressourcen.
3. Schulungspflicht: Alle Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen, um Risiken bewerten und Maßnahmen einordnen zu können. Diese Pflicht ist höchstpersönlich — die Teilnahme des IT-Leiters ersetzt sie nicht.

Diese Pflichten treffen ausdrücklich jedes Mitglied der Geschäftsleitung, nicht nur das für IT zuständige Ressort. Der kaufmännische Geschäftsführer kann sich also nicht darauf zurückziehen, Informationssicherheit sei Sache des technischen Kollegen.

Die Haftung: Wann Geschäftsleiter persönlich zahlen

Verletzt die Geschäftsleitung ihre Pflichten aus § 38 BSIG, haftet sie der eigenen Gesellschaft für den daraus entstehenden Schaden — nach den ohnehin geltenden Regeln des Gesellschaftsrechts, wie sie etwa § 43 GmbHG und § 93 AktG vorsehen. Das ist eine Innenhaftung: Anspruchsinhaber ist das Unternehmen, nicht der Kunde oder die Behörde. Praktisch relevant wird sie typischerweise so:

• Ein Sicherheitsvorfall verursacht Schäden — Betriebsunterbrechung, Wiederherstellungskosten, Bußgeld, Schadensersatz an Kunden.
• Es stellt sich heraus, dass die Geschäftsleitung die NIS2-Maßnahmen nie gebilligt, nicht überwacht oder erkennbare Lücken ignoriert hat.
• Die Gesellschaft — oder in der Insolvenz der Insolvenzverwalter, bei der AG unter Umständen die Aktionärsseite — nimmt die Geschäftsleitung in Regress. Auch D&O-Versicherer prüfen in solchen Fällen genau, ob Pflichtverletzungen den Deckungsumfang berühren.

Die gute Nachricht: Die Haftung knüpft an Pflichtverletzung und Verschulden, nicht an den Vorfall selbst. Wer nachweisen kann, auf informierter Grundlage vernünftig entschieden zu haben — Risikoanalyse beauftragt, Maßnahmen gebilligt, Budget bereitgestellt, Umsetzung kontrolliert, an Schulungen teilgenommen —, handelt im Rahmen des unternehmerischen Ermessens und haftet auch dann nicht, wenn trotzdem ein Angriff gelingt. Absolute Sicherheit schuldet niemand; organisierte Sorgfalt schon.

Jenseits des Bußgelds: Die unterschätzten Konsequenzen

Die Bußgeldtabelle ist nur ein Teil des Risikobildes. Mindestens ebenso spürbar sind:

• Aufsichtsmaßnahmen: Das BSI kann verbindliche Anordnungen erlassen, die Umsetzung konkreter Maßnahmen verlangen und deren Befolgung durchsetzen. Besonders wichtige Einrichtungen können zudem angewiesen werden, Sicherheitsmängel durch Audits auf eigene Kosten nachprüfen zu lassen.
• Kunden- und Vertragsfolgen: Wer als Lieferant eines regulierten Unternehmens Sicherheitszusagen verletzt, riskiert Vertragsstrafen, Auslistung und den Verlust laufender Rahmenverträge — oft schneller und teurer als jedes Behördenverfahren.
• Versicherung: Cyberversicherer fragen die NIS2-Umsetzung inzwischen im Antragsprozess ab. Falschangaben oder grobe Organisationsmängel gefährden im Schadenfall die Deckung.
• Reputation: Meldepflichtige Vorfälle bleiben selten geheim. Der Unterschied zwischen „Unternehmen hat professionell reagiert“ und „Unternehmen war nicht einmal registriert“ entscheidet über die öffentliche Wahrnehmung.

Hinzu kommt eine prozessuale Wechselwirkung, die oft übersehen wird: Ein Bußgeldverfahren des BSI und spätere Zivilprozesse hängen zusammen. Stellt die Aufsicht Organisationsmängel fest, liegt dieses Material später auf dem Tisch, wenn geschädigte Kunden Schadensersatz fordern oder die Gesellschaft ihre Geschäftsleitung in Regress nimmt. Umgekehrt entlastet eine saubere Dokumentation in beiden Verfahren zugleich. Wer Sicherheitsentscheidungen protokolliert, führt seine Verteidigung also schon im Normalbetrieb — nicht erst, wenn der Anwalt danach fragt.

Zusammengenommen gilt: Das wirtschaftliche Risiko der Untätigkeit liegt für die meisten Mittelständler weit über den Kosten einer soliden Umsetzung.

Enthaftung in der Praxis: So senken Sie Ihr persönliches Risiko

Für Geschäftsleiter läuft die Absicherung auf ein Prinzip hinaus: nachweisbare Organisation. Sechs Bausteine, die sich in der Praxis bewährt haben:

1. Betroffenheit und Registrierung dokumentieren: Prüfergebnis schriftlich festhalten, Registrierung erledigen — das ist die Basis, deren Fehlen kaum zu rechtfertigen ist.
2. Risikoanalyse und Maßnahmen förmlich billigen: Ein protokollierter Geschäftsleitungsbeschluss über das Sicherheitskonzept erfüllt die Billigungspflicht beweisbar.
3. Überwachung institutionalisieren: Ein fester Tagesordnungspunkt Informationssicherheit — quartalsweise Berichte über Umsetzungsstand, Vorfälle und Kennzahlen — dokumentiert die laufende Überwachung nebenbei.
4. Schulung nachweisen: Regelmäßige Teilnahme aller Geschäftsleitungsmitglieder, mit Teilnahmebescheinigung abgelegt.
5. Ressourcen bereitstellen: Budget- und Personalentscheidungen zur Sicherheit protokollieren. Eine erkannte Lücke ohne bereitgestellte Mittel ist das klassische Haftungsszenario.
6. Systematik statt Aktionismus: Ein Managementsystem nach ISO 27001 erzeugt genau die Nachweiskette — Risikoanalyse, Beschlüsse, Audits, Management-Reviews —, die im Streitfall die Sorgfalt belegt. Ein Zertifikat ist dafür nicht vorgeschrieben; der unabhängige Auditblick von außen erhöht die Belastbarkeit des Nachweises aber spürbar.

Wer diese sechs Punkte lebt, hat das persönliche Haftungsrisiko auf das reduziert, was unternehmerische Verantwortung immer bedeutet — und kann Sicherheitsvorfälle als das behandeln, was sie sind: ein Betriebsrisiko, kein Karriererisiko. Der Aufwand dafür ist überschaubar: Die meisten der genannten Nachweise entstehen als Nebenprodukt einer ordentlichen Sicherheitsorganisation — sie müssen nur konsequent abgelegt werden, damit sie im Ernstfall auffindbar sind.

Häufige Fragen

Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT

Begriffe in diesem Artikel

Verwandte Beiträge