NIS2-Pflichten der Geschäftsführung: umsetzen, überwachen — und beweisen können

„Wie haben Sie die Umsetzung überwacht?“

Diese Frage stellt selten eine Behörde. Gestellt wird sie vom Insolvenzverwalter, vom Anwalt eines neuen Gesellschafters oder vom Aufsichtsrat — Jahre nach einem Vorfall, in einem Verfahren, in dem es um Ihr Privatvermögen geht. Unangenehm ist sie nicht, weil sie schwer zu beantworten wäre. Unangenehm ist sie, weil Sie die Antwort belegen müssen.

Seit wann das gilt

Das Gesetz zur Umsetzung der NIS-2-Richtlinie — kurz NIS2UmsuCG — wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301) und trat am 6. Dezember 2025 in Kraft. Damit ist das neue BSI-Gesetz (BSIG) geltendes Recht, nicht mehr Entwurf. Maßgeblich für Ihre Pflichten ist seither das BSIG, nicht mehr der Text der europäischen Richtlinie.

Der Unterschied ist praktisch relevant: Im Gesetzgebungsverfahren kursierte etwa die Regelung, ein Verzicht der Gesellschaft auf Ersatzansprüche gegen die Geschäftsleitung sei unwirksam. Ein solcher Satz steht im verkündeten § 38 BSIG nicht. Wer mit älteren Zusammenfassungen arbeitet, arbeitet möglicherweise mit einem Stand, der es nie ins Bundesgesetzblatt geschafft hat.

Was § 38 BSIG von der Geschäftsleitung verlangt

Die Norm trägt die Überschrift „Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen“ und enthält drei Pflichten.

Erstens: umsetzen. Absatz 1 verpflichtet Geschäftsleitungen, „die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen“. Welche Maßnahmen das im Einzelnen sind, regelt § 30 BSIG — von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen bis zur Sicherheit der Lieferkette. Dieser Katalog verdient eine eigene Betrachtung; hier geht es um die Pflichten, die persönlich an der Leitungsebene hängen.

Zweitens: überwachen. Derselbe Absatz verlangt zusätzlich, „ihre Umsetzung zu überwachen“. Darauf kommt dieser Beitrag zurück, denn hier liegt das eigentliche Risiko.

Drittens: sich schulen lassen. Nach Absatz 3 müssen Geschäftsleitungen „regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen […]“.

Der Gesetzgeber verlagert die Verantwortung damit ausdrücklich auf die Leitungsebene, unabhängig davon, wie viel technisches Vorwissen dort vorhanden ist. Genau deshalb steht die Schulungspflicht im selben Paragrafen: Wer entscheiden soll, ob Sicherheitsmaßnahmen angemessen sind, muss verstehen, worüber er urteilt.

Wer davon betroffen ist

Das BSIG unterscheidet zwei Kategorien mit eigenen Schwellenwerten. Voraussetzung ist zunächst die Zugehörigkeit zu einem der Sektoren aus den Anlagen des BSIG. Ist das der Fall, entscheidet die Größe über die Einordnung:

Kategorie	Schwellenwerte nach § 28 BSIG
Besonders wichtige Einrichtungen (Anlage 1)	mindestens 250 Beschäftigte oder (Jahresumsatz über 50 Mio. Euro und Jahresbilanzsumme über 43 Mio. Euro)
Wichtige Einrichtungen (Anlagen 1 und 2)	mindestens 50 Beschäftigte oder (Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro)

Zwei Wege führen also in den Anwendungsbereich: die Beschäftigtenzahl oder die Finanzkennzahlen. Die Beschäftigtenzahl genügt allein; bei den Finanzkennzahlen müssen beide Werte erreicht sein.

Zwei Rechenbeispiele veranschaulichen die Verknüpfung — sie zeigen die Systematik und ersetzen keine Prüfung des eigenen Falls. Erstens: Bei 300 Beschäftigten und 8 Millionen Euro Umsatz ist die Schwelle über die Beschäftigtenzahl erreicht, obwohl die Finanzwerte darunter liegen. Zweitens: Bei 40 Beschäftigten wird die Beschäftigtenschwelle verfehlt; über Umsatz und Bilanzsumme von jeweils über 10 Millionen Euro greift jedoch der zweite Weg. Welche Kategorie sich daraus im konkreten Fall ergibt, hängt zusätzlich davon ab, welche Schwelle erreicht ist und unter welche Anlage der Sektor fällt.

Hinzu kommen Einrichtungstypen, die das BSIG unabhängig von der Größe erfasst: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter sowie DNS- und TLD-Registry-Anbieter. Telekommunikationsanbieter fallen ebenfalls ohne Größenschwelle darunter — die Größe entscheidet bei Telekommunikationsanbietern nur über die Kategorie.

Erfasst zu sein und den hier beschriebenen Leitungspflichten zu unterliegen, sind allerdings zwei verschiedene Fragen. § 28 Absatz 5 bis 7 BSIG nimmt bestimmte Sektoren von einer Reihe von Pflichten wieder aus — darunter ausdrücklich § 38 und damit die Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung. Betroffen sind unter anderem Telekommunikationsunternehmen, Teile des Energiesektors und die von der DORA-Verordnung erfassten Finanzunternehmen, für die eigene Regelwerke gelten. Wer in einem dieser Sektoren tätig ist, sollte diesen Schritt der Prüfung nicht überspringen.

Die Einordnung im Einzelfall lässt sich deshalb nicht allein ausrechnen — sie ist auch eine Auslegungsfrage. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt dafür eine Betroffenheitsprüfung als unverbindliche Orientierungshilfe bereit. Erfasste Einrichtungen müssen sich zudem nach § 33 BSIG beim BSI registrieren. Anders als die Meldefristen bei einem Sicherheitsvorfall (§ 32 BSIG) setzt diese Frist keinen Anlass voraus: Sie läuft allein deshalb, weil das Unternehmen erfasst ist.

Wann Geschäftsleitungen persönlich haften

Hier lohnt genaues Lesen, weil in der öffentlichen Diskussion viel durcheinandergeht.

Absatz 2 stellt klar: Verletzen Geschäftsleitungen ihre Pflichten nach Absatz 1 schuldhaft — also vorsätzlich oder fahrlässig —, haften sie gegenüber ihrer eigenen Einrichtung für den schuldhaft verursachten Schaden, und zwar nach den gesellschaftsrechtlichen Regeln, die für das Unternehmen ohnehin gelten. Das BSIG greift nur ersatzweise ein, also nur dann, wenn das Gesellschaftsrecht selbst keine solche Haftungsregel enthält.

Zwei Missverständnisse lassen sich damit ausräumen. Es geht um Innenhaftung gegenüber der eigenen Gesellschaft, nicht um eine Haftung gegenüber geschädigten Dritten oder gegenüber der Aufsichtsbehörde. Und das neue Recht erfindet keine neue Haftungsform, sondern verankert neue Pflichten, deren Verletzung nach den Haftungsregeln geahndet wird, die ohnehin gelten. Konkret sind das für die GmbH § 43 GmbHG und für die Aktiengesellschaft § 93 AktG.

Das klingt zunächst nach Entwarnung. Es ist das Gegenteil.

Verschulden: Fahrlässigkeit genügt

Ein verbreiteter Irrtum ist, persönliche Haftung setze grobe Verfehlungen voraus. Die Sorgfaltsmaßstäbe knüpfen an die Sorgfalt eines ordentlichen Geschäftsmannes an (§ 43 GmbHG) beziehungsweise an die eines ordentlichen und gewissenhaften Geschäftsleiters (§ 93 AktG). Beide Maßstäbe lassen sich bereits fahrlässig verletzen. Vorsatz ist nicht erforderlich.

Das typische Haftungsrisiko ist deshalb nicht die bewusste Missachtung von Sicherheitsanforderungen, sondern das schlichte Nichtbefassen. Wer die Überwachung der Cybersicherheit dauerhaft der IT überlässt, ohne sich selbst zu vergewissern, handelt nicht böswillig, möglicherweise aber fahrlässig.

Lässt sich die Verantwortung delegieren?

Die operative Umsetzung: ja. Die Überwachungspflicht: nein.

Aufgaben an eine IT-Abteilung, einen Dienstleister oder einen Sicherheitsverantwortlichen zu übertragen, ist zulässig und in der Praxis der Normalfall. Was dadurch nicht entfällt, ist die Pflicht der Geschäftsleitung, sich über die Umsetzung zu vergewissern. Delegation verwandelt die Umsetzungspflicht in eine Auswahl- und Kontrollpflicht. Aufgehoben wird die Verantwortung der Geschäftsleitung dadurch nicht.

Für die Nachweisführung heißt das — je nach Zuschnitt des Einzelfalls: Zu dokumentieren sind nicht nur die Maßnahmen des Dienstleisters, sondern auch, wann und auf welcher Grundlage die Geschäftsleitung diese Maßnahmen zur Kenntnis genommen hat.

Bußgelder treffen das Unternehmen. Die Haftung trifft Sie.

Das BSIG sieht je nach Verstoß empfindliche Bußgelder vor — bis zu 10 Millionen Euro für besonders wichtige und bis zu 7 Millionen Euro für wichtige Einrichtungen. Erst bei einem Gesamtumsatz über 500 Millionen Euro treten an deren Stelle die prozentualen Obergrenzen von 2 beziehungsweise 1,4 Prozent (§ 65 Absatz 6 und 7 BSIG). Für den Mittelstand sind also die festen Beträge maßgeblich, während die öffentliche Diskussion überwiegend die Prozentwerte zitiert.

Bemerkenswert ist etwas anderes: Für einen Verstoß gegen § 38 selbst sieht das Gesetz kein Bußgeld vor. In der Liste der Verstöße, die § 65 BSIG mit Bußgeld belegt, taucht der Paragraf nicht auf.

Ein Bußgeld nach § 65 BSIG richtet sich gegen die Einrichtung. Die Leitung persönlich trifft ein Bußgeld vor allem über einen eigenen Vorwurf: die Verletzung der Aufsichtspflicht (§ 130 in Verbindung mit § 9 OWiG). Die Innenhaftung nach § 38 Absatz 2 trifft dagegen unmittelbar das Privatvermögen. Dieser Anspruch setzt keinen behördlichen Vorgang voraus, sondern kann von der Gesellschaft selbst geltend gemacht werden — in der Praxis vor allem dann, wenn neue Gesellschafter oder ein Insolvenzverwalter zurückliegende Entscheidungen prüfen.

Der Punkt, den die meisten übersehen: die Beweislast

Wenn eine Gesellschaft ihren Geschäftsführer auf Schadensersatz in Anspruch nimmt, gilt eine Besonderheit. Nach § 93 Absatz 2 Satz 2 AktG, den die ständige Rechtsprechung des Bundesgerichtshofs auf den GmbH-Geschäftsführer nach § 43 GmbHG überträgt, muss der Geschäftsführer beweisen, dass er sorgfältig gehandelt hat. Die Gesellschaft muss das schadensstiftende Verhalten, den Schaden und den Zusammenhang zwischen Verhalten und Schaden darlegen. Den Nachweis, sorgfältig gehandelt zu haben, muss der Geschäftsführer selbst führen.

Dazu kommt ein zweiter Mechanismus, der in der Diskussion meist fehlt: die Business Judgment Rule. Nach § 93 Absatz 1 Satz 2 AktG (eine Regel, die die Rechtsprechung auch auf den GmbH-Geschäftsführer überträgt) liegt keine Pflichtverletzung vor, wenn die Leitung bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, „auf der Grundlage angemessener Information“ zum Wohle der Gesellschaft zu handeln.

Die Reichweite der Regel ist dabei genau abzugrenzen: Sie schützt unternehmerisches Ermessen, nicht das Unterlassen von Pflichten, die das Gesetz zwingend vorschreibt. Auf § 38 BSIG bezogen heißt das: Ob das Risikomanagement nach § 30 umgesetzt wird, steht nicht im Ermessen. Wie es im Rahmen der Verhältnismäßigkeit ausgestaltet wird, sehr wohl.

Und für diesen zweiten Teil hängt die Entlastung an einem Begriff: der angemessenen Information. Wer nicht zeigen kann, worauf er seine Entscheidung gestützt hat, steht nicht unter dem Schutz dieser Regel.

Für die Überwachungspflicht folgt daraus: Es genügt im Streitfall nicht, dass die Überwachung stattgefunden hat. Die Überwachung muss sich belegen lassen. Wer nach der Überwachung gefragt wird und auf regelmäßige Gespräche mit der IT verweist, von denen nichts festgehalten wurde, steht vor einem Beweisproblem, nicht vor einem Sicherheitsproblem.

Genau hier verschiebt das neue Recht die Anforderungen still, aber grundlegend: von „wir tun etwas“ zu „wir können zeigen, dass und wann wir es getan haben“.

Was einen Nachweis in der Praxis tragfähig macht

Daraus lässt sich ein Arbeitsmaßstab ableiten. Er ist kein Rechtssatz — welche Beweise ein Gericht überzeugen, entscheidet es frei (§ 286 ZPO), und auch Zeugenaussagen können tragen. Als Prüfraster für die eigene Dokumentation eignet er sich aber: Belastbar sind Nachweise über die Aufsichtstätigkeit dann, wenn sie zugleich zuordenbar, datiert und überprüfbar sind.

Eigenschaft	Frage, die sie beantwortet	Typische Lücke
zuordenbar	Wer hat entschieden oder zur Kenntnis genommen?	Beschluss ohne benannte Person
datiert	Wann geschah das — vor oder nach dem Vorfall?	Dokument ohne Zeitstempel
überprüfbar	Lässt sich das unabhängig von der Erinnerung der Beteiligten nachvollziehen?	Aussage ohne Beleg im System

Fehlt eine der drei Eigenschaften, wird die Entlastung schwerer. Ein Beschluss ohne benannte Person belegt nicht, wer hingesehen hat. Ein Dokument ohne Datum belegt nicht, dass vor dem Vorfall hingesehen wurde. Und eine Absprache, von der nirgends etwas festgehalten wurde, steht im Streitfall nur als Aussage gegen Aussage da.

Nachträglich erstellte Unterlagen schließen diese Lücke nur eingeschränkt: Solche Unterlagen dokumentieren zunächst den Zeitpunkt ihrer Erstellung, nicht den der Befassung.

Wie Sie Haftungsrisiken konkret senken

Aus der Beweislastverteilung ergeben sich vier Ansatzpunkte. Das gemeinsame Prinzip: Spuren entstehen, während Sie hinsehen — nicht rückwirkend. Was davon in Ihrem Unternehmen angemessen ist, hängt vom Einzelfall ab.

Protokollieren Sie die Befassung, nicht nur die Maßnahme. Üblicherweise wird dokumentiert, welche Sicherheitsmaßnahme umgesetzt wurde. Für § 38 zählt zusätzlich, wann sich die Geschäftsleitung damit befasst hat. Ein Tagesordnungspunkt mit Datum, Teilnehmern und Ergebnis leistet hier mehr als ein technischer Statusbericht.

Aussagekräftig wird ein solcher Eintrag durch drei Angaben: was vorlag (welcher Bericht, welche Kennzahl, mit welchem Stand), was daraufhin entschieden wurde und was offen blieb — mit Begründung. Eine Notiz, die nur „Sicherheitslage besprochen, alles im grünen Bereich“ festhält, belegt vor allem den Termin. Eine solche Notiz lässt später kaum erkennen, worauf die Einschätzung beruhte — und genau darauf kommt es an, wenn die Entlastung an der Frage hängt, ob auf Grundlage angemessener Information entschieden wurde.

Legen Sie Berichtswege fest — und halten Sie den Turnus dann auch ein. Wer in welchem Rhythmus an die Geschäftsleitung berichtet, sollte schriftlich geregelt sein, und die Berichte sollten tatsächlich in diesem Rhythmus vorliegen. Ein festgelegter, aber nicht gelebter Turnus ist im Rückblick belastender als gar keiner, weil die Lücke sichtbar wird.

Begründen Sie auch das Nichthandeln. Wo § 30 BSIG keine bestimmte Maßnahme vorschreibt, ist die bewusste Entscheidung, ein Restrisiko zu tragen, zulässig — genau solche Entscheidungen schützt die Business Judgment Rule. Entlastend wirkt eine solche Entscheidung aber nur, wenn erkennbar ist, dass die Entscheidung auf angemessener Information beruhte. Ein Risiko, das schlicht unbearbeitet blieb, sieht im Nachhinein aus wie Unaufmerksamkeit.

Dokumentieren Sie Ihre eigene Schulung. § 38 Absatz 3 verlangt Schulungen, sagt aber nichts über den Nachweis. Ohne Schulungsnachweise existiert die Teilnahme für die spätere Betrachtung nicht.

Wo ein Aufsichtsrat besteht, kommt eine Ebene darüber hinzu: Der Aufsichtsrat muss die Arbeit der Geschäftsleitung kontrollieren (§ 111 AktG, für die GmbH gegebenenfalls über § 52 GmbHG). Auch diese Befassung sollte protokolliert sein.

Wie Mahoney Control die technische Nachweisebene liefert

Nachweise entstehen in zwei Schichten. Die eine ist organisatorisch: Sitzungsprotokolle, Berichtsturnus, Schulungsnachweise. Die andere ist technisch: der Beleg, dass die Maßnahmen, über die berichtet wurde, tatsächlich liefen.

Genau diese Grundlage — worauf eine Entscheidung beruhte — deckt Mahoney Control ab, die Plattform von Mahoney IT. Die Live-Nachweis-Integration zieht Belege per Schnittstelle aus den Systemen, in denen die Arbeit ohnehin stattfindet: Patch-Stand, Endpoint-Schutz, Konfigurationen. Der Nachweis entsteht so aus dem Betrieb und muss nicht später aus Screenshots rekonstruiert werden.

Für zwei dieser drei Eigenschaften heißt das konkret: Jeder technische Nachweis trägt das Datum seiner letzten Prüfung und die Herkunft der Daten — ob er automatisiert aus dem Betrieb erhoben oder als Dokument hinterlegt wurde.

Die dritte Eigenschaft, die Zuordenbarkeit, betrifft vor allem die organisatorische Seite: Kontrollen, die sich technisch nicht messen lassen, werden namentlich bestätigt, mit Person, Zeitpunkt und hinterlegtem Beleg. Schulungsnachweise nach § 38 Absatz 3 gehören ausdrücklich dazu. Ein einmal hinterlegter organisatorischer Nachweis — etwa ein unterzeichneter Notfallplan — gilt dabei zugleich für die entsprechenden Kontrollen mehrerer Rahmenwerke, statt für jedes Rahmenwerk einzeln geführt zu werden.

Das Multi-Framework-Compliance-Mapping ordnet vorhandene Kontrollen Rahmenwerken wie ISO 27001, NIS 2 und SOC 2 Type II zu. Die Zertifizierung selbst wird von unabhängigen Auditoren erteilt — Mahoney Control bereitet Ihre Organisation auf diese Prüfung vor.

Die Grenze bleibt: Den Beleg dafür, dass eine Sitzung stattgefunden hat, in der Sie sich mit einem Bericht befasst haben, kann keine Software erzeugen — dieser Beleg gehört in Ihre Protokolle. Was die Plattform liefert, ist die dokumentierte Grundlage, auf die sich diese Befassung stützt. Mehr dazu auf der Governance-Seite von Mahoney Control.

Worauf es am Ende hinausläuft

Wer die Frage vom Anfang beantworten kann, hat nicht unbedingt bessere Technik als andere, sondern eine Spur hinterlassen, während hingesehen wurde. Das ist der ganze Unterschied. Und dieser Unterschied entsteht ausschließlich vorher.

Wenn Sie einordnen möchten, wie Ihre technische Nachweisebene heute abgebildet ist: Sprechen Sie uns an. 30 Minuten. Kein Verkaufsgespräch.

Häufige Fragen

Gilt § 38 BSIG auch für Geschäftsführer kleinerer Unternehmen?

Maßgeblich sind Sektorzugehörigkeit und Größenschwellen, die für besonders wichtige und wichtige Einrichtungen unterschiedlich ausfallen. Bestimmte Einrichtungstypen erfasst das BSIG unabhängig von der Größe. Ob Ihr Unternehmen darunterfällt, lässt sich nur anhand des konkreten Geschäftsmodells beurteilen — die Betroffenheitsprüfung des BSI ist dafür der erste Schritt. Die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten bestehen davon unabhängig fort.

Kann ein Kunde uns vertraglich zu NIS2-Anforderungen verpflichten?

Ja, und das ist in der Praxis der häufigere Weg. Zu den Risikomanagementmaßnahmen nach § 30 BSIG gehört die Sicherheit der Lieferkette. Erfasste Unternehmen geben entsprechende Anforderungen vertraglich an ihre Dienstleister weiter. Die Nachweispflicht entsteht dann nicht aus dem Gesetz, sondern aus dem Vertrag — mit demselben praktischen Ergebnis. Davon zu trennen ist die Frage, ob das eigene Unternehmen nach § 28 BSIG selbst erfasst ist; beides kann zugleich zutreffen.

Schützt eine D&O-Versicherung vor dieser Haftung?

Eine D&O-Versicherung (Haftpflichtversicherung für Geschäftsleitung und Aufsichtsorgane) deckt Innenhaftungsansprüche typischerweise ab, allerdings mit Ausschlüssen und mit Obliegenheiten, also Anzeige- und Mitwirkungspflichten, deren Verletzung den Schutz ganz oder teilweise kosten kann. Sie treffen nicht nur die Gesellschaft als Versicherungsnehmerin, sondern auch die versicherte Person selbst. Beides ist im Einzelfall zu prüfen. Vorsätzliche Verletzungen der Geschäftsleiterpflichten sind in aller Regel ausgeschlossen, Geldbußen üblicherweise nicht versichert. Eine Versicherung ersetzt die Nachweisführung nicht: Auch der Versicherer beurteilt, ob sorgfältig gehandelt wurde.

Reicht es, die Maßnahmen einmal zu beschließen?

Nein. § 38 Absatz 1 verlangt neben der Umsetzung ausdrücklich die Überwachung der Umsetzung. Das ist ein fortlaufender Vorgang, kein einmaliger Beschluss.

---

Zu den in diesem Beitrag genannten Rahmenwerken (ISO 27001, NIS 2 und SOC 2 Type II): Mahoney Control mappt Kundenkontrollen gegen diese Frameworks. Dies stellt keine Zertifizierung von Mahoney IT gegen diese Standards dar. Die Zertifizierung wird von unabhängigen Auditoren erteilt. Die einzige förmliche Zertifizierung, die Mahoney IT selbst hält, ist ISO 9001:2015, zertifiziert durch DEKRA. Diese Zertifizierung gilt für Mahoney IT Group Germany.

Dieser Beitrag gibt einen allgemeinen Überblick über die Rechtslage zum Zeitpunkt der Veröffentlichung und stellt keine Rechtsberatung dar. Ob und in welchem Umfang Ihr Unternehmen betroffen ist und welche Maßnahmen im Einzelfall geboten sind, klären Sie bitte mit rechtlicher Beratung.