Kann die Geschäftsleitung die NIS2-Verantwortung an den CISO delegieren?

Nein. §38 BSIG stellt klar, dass die Geschäftsleitung die Risikomanagement-Maßnahmen nach §30 BSIG persönlich billigen und deren Umsetzung überwachen muss. Auch Verzichts- und Vergleichsvereinbarungen über Ersatzansprüche sind nach §38 Abs. 4 unwirksam — das ist eine bewusste Verschärfung gegenüber dem allgemeinen Gesellschaftsrecht. Die operative Umsetzung einzelner Maßnahmen kann an den CISO, IT-Leiter oder externe Dienstleister delegiert werden. Die drei Kernpflichten der Geschäftsleitung bleiben jedoch nicht delegierbar: erstens die Billigung der Risikomanagement-Strategie, zweitens die regelmäßige Überwachung der Umsetzung und drittens die persönliche Teilnahme an Cybersicherheitsschulungen nach §38 Abs. 3. In der Praxis bedeutet das: Die Geschäftsleitung muss mindestens quartalsweise über den Stand der NIS2-Maßnahmen informiert werden und dies dokumentieren. Ein formaler GL-Beschluss zur NIS2-Compliance-Strategie ist der empfohlene erste Schritt.

Wie hoch sind die NIS2-Bußgelder für die Geschäftsleitung persönlich?

Die Bußgelder nach §65 BSIG richten sich zunächst an das Unternehmen: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen (BwE), bis zu 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen (WE). Zusätzlich haftet die Geschäftsleitung persönlich gegenüber der Gesellschaft auf Schadensersatz — diese Ansprüche können vertraglich nicht ausgeschlossen werden, was als Unabdingbarkeit nach §38 Abs. 4 bezeichnet wird. Konkret bedeutet das: Erleidet das Unternehmen durch einen Cybervorfall Schäden, die bei ordnungsgemäßer Umsetzung der NIS2-Maßnahmen vermeidbar gewesen wären, kann die Geschäftsleitung persönlich in Regress genommen werden. Weder Satzungsklauseln noch Vorstandsverträge können diese Haftung begrenzen. Eine D&O-Versicherung sollte daher auf NIS2-Deckung geprüft werden.

Deckt eine D&O-Versicherung NIS2-Haftungsrisiken ab?

Nicht automatisch. Viele bestehende D&O-Policen enthalten Ausschlussklauseln für Cybersicherheitsverstöße oder wissentliche Pflichtverletzungen, die bei unterlassener NIS2-Umsetzung greifen könnten. Prüfen Sie mit Ihrem Versicherungsmakler drei kritische Punkte: Erstens, ob Cybersicherheitsverstöße explizit im Deckungsumfang eingeschlossen sind. Zweitens, ob der Schutz auch bei unterlassener Schulung nach §38 Abs. 3 BSIG greift — denn fehlende GL-Schulung könnte als wissentliche Pflichtverletzung gewertet werden. Drittens, ob die Deckungssumme den neuen Bußgeldrahmen von bis zu 10 Mio. EUR standhält. Der Markt für Cyber-D&O-Policen entwickelt sich seit Inkrafttreten des NIS2UmsuCG dynamisch. Einige Versicherer bieten bereits spezielle NIS2-Erweiterungen an, die Compliance-Kosten, Verfahrenskosten und Regressansprüche abdecken. Dokumentieren Sie Ihre NIS2-Maßnahmen sorgfältig — das stärkt Ihre Position im Schadenfall.

Welche Schulungspflicht hat die Geschäftsleitung nach NIS2?

Nach §38 Abs. 3 BSIG muss sich die Geschäftsleitung regelmäßig in Cybersicherheit schulen lassen. Die Gesetzesbegründung zum NIS2UmsuCG empfiehlt einen Mindestumfang von 4 Stunden pro Jahr. Die Schulung muss dokumentiert werden — sowohl Inhalt als auch Teilnahme — und sollte vier Kernbereiche abdecken: die aktuelle Bedrohungslage und branchenspezifische Risiken, die konkreten NIS2-Pflichten nach §28–39 BSIG, Grundlagen des Risikomanagements und der ISMS-Steuerung sowie die Meldepflichten nach §32 BSIG mit den 24h/72h/30-Tage-Fristen. Die Schulungspflicht gilt für alle Mitglieder der Geschäftsleitung — auch für nicht-technische Geschäftsführer. Externe Schulungsanbieter mit NIS2-Zertifikat bieten maßgeschneiderte Formate an. Wichtig: Die Schulungsteilnahme ist ein Prüfpunkt bei NIS2-Audits und sollte im Compliance-Kalender fest eingeplant werden.

Persönliche Haftung: NIS2 als Chefsache

Auf einen Blick

Mit dem NIS2UmsuCG haftet die Geschäftsleitung persönlich für Cybersicherheit. §38 BSIG verlangt die persönliche Billigung und Überwachung aller Risikomanagement-Maßnahmen nach §30 — Delegation an CISO oder IT-Leiter ist ausdrücklich ausgeschlossen. Die Schulungspflicht (mind. 4 Stunden/Jahr) ist nicht abdingbar. Bußgelder steigen auf bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes — Faktor 200 gegenüber dem alten BSIG. Viele D&O-Versicherungen enthalten bereits NIS2-Ausschlussklauseln. Geschäftsführer, Vorstände und Aufsichtsräte müssen jetzt handeln.

Einer der gravierendsten Unterschiede zum alten KRITIS-Regime: Die Geschäftsleitung haftet jetzt persönlich für Cybersicherheit. §38 des neuen BSIG macht unmissverständlich klar — Delegation an den CISO oder IT-Leiter ist keine Option mehr.

Was fordert §38 BSIG von der Geschäftsleitung?

§38 BSIG begründet vier konkrete Pflichten für die Geschäftsleitung von besonders wichtigen und wichtigen Einrichtungen:

Billigungspflicht

Die Geschäftsleitung muss die vom Unternehmen ergriffenen Risikomanagement-Maßnahmen nach §30 BSIG persönlich billigen. Das bedeutet: Ein formaler GL-Beschluss ist erforderlich, der dokumentiert, dass die Maßnahmen geprüft und freigegeben wurden. Eine pauschale Kenntnisnahme reicht nicht aus — die Geschäftsleitung muss sich inhaltlich mit den Maßnahmen auseinandersetzen und deren Angemessenheit bestätigen.

Überwachungspflicht

Die Geschäftsleitung muss die Umsetzung der Maßnahmen aktiv überwachen. Es reicht nicht, einen Beschluss zu fassen und die Umsetzung an Fachabteilungen zu delegieren. Vielmehr sind regelmäßige Statusberichte, KPI-Tracking und dokumentierte Managementreviews erforderlich. Das BSI erwartet, dass die Geschäftsleitung nachweisen kann, wann und wie sie den Umsetzungsfortschritt geprüft hat.

Schulungspflicht nach §38 Abs. 3

Die Geschäftsleitung muss sich regelmäßig in Cybersicherheit schulen lassen. Die Gesetzesbegründung empfiehlt mindestens 4 Stunden pro Jahr. Die Schulung muss dokumentiert werden und sollte mindestens folgende Themen abdecken:

Aktuelle Bedrohungslage und branchenspezifische Risiken
Pflichten der Geschäftsleitung nach NIS2UmsuCG
Grundlagen des Risikomanagements für Informationssicherheit
Meldepflichten und Eskalationswege bei Sicherheitsvorfällen

Unabdingbarkeit der Verantwortung

Die Verantwortung kann nicht auf den CISO, IT-Leiter oder externe Berater übertragen werden. §38 Abs. 4 BSIG stellt klar: Verzichts- und Vergleichsvereinbarungen über Ersatzansprüche sind unwirksam. Selbst ein GL-Beschluss, der die Cybersicherheitsverantwortung an ein einzelnes Vorstandsmitglied delegiert, entbindet die übrigen Mitglieder nicht von ihrer Überwachungspflicht.

Zusätzlich: §20 KRITIS-DachG für Dual-Regime-Betroffene

Für KRITIS-Betreiber, die dem Dual-Regime aus NIS2 und DachG unterliegen, kommt die Verantwortung für physische Resilienz nach §20 KRITIS-DachG hinzu. Die Geschäftsleitung muss sicherstellen, dass physische Schutzmaßnahmen gegen Naturkatastrophen, Sabotage und Anschläge umgesetzt und aufrechterhalten werden. Auch hier gilt: persönliche Verantwortung, keine Delegation.

Welche Bußgelder drohen bei NIS2-Verstößen?

Die Bußgeldrahmen haben sich gegenüber dem alten BSIG um den Faktor 200 erhöht:

Kategorie	Maximales Bußgeld
Besonders wichtige Einrichtung (BWE)	10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes
Wichtige Einrichtung (WE)	7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes
KRITIS-Nachweis fehlerhaft	2 Mio. EUR
KRITIS-Nachweis nicht rechtzeitig	1 Mio. EUR
Zum Vergleich: altes BSIG (§8a)	100.000 EUR

Die Bußgelder richten sich nach dem Unternehmen — aber die persönliche Haftung der Geschäftsleitung kommt hinzu: Schadensersatzansprüche der Gesellschaft gegen ihre Organe nach §38 Abs. 4 BSIG können nicht durch Verzichts- oder Vergleichsvereinbarungen ausgeschlossen werden.

Warum Sie Ihre D&O-Versicherung jetzt prüfen sollten

Ein oft übersehenes Risiko: Viele D&O-Versicherungen enthalten bereits NIS2-Ausschlussklauseln oder schränken den Versicherungsschutz für Cybersicherheitsverstöße ein. Die Kombination aus persönlicher Haftung und eingeschränktem Versicherungsschutz kann für Geschäftsführer existenzbedrohend sein.

Prüfen Sie mit Ihrem Versicherungsmakler konkret:

Sind Cybersicherheitsverstöße explizit eingeschlossen oder ausgeschlossen?
Gilt der Versicherungsschutz auch bei wissentlichen Pflichtverletzungen (z. B. unterlassene Schulung)?
Wie hoch ist die Deckungssumme im Verhältnis zu den neuen Bußgeldrahmen?
Gibt es Obliegenheiten (z. B. Nachweis regelmäßiger Schulungen), deren Verletzung den Schutz entfallen lässt?

Was die Geschäftsleitung konkret tun sollte

GL-Beschluss fassen — Formale Billigung der NIS2-Risikomanagement-Maßnahmen nach §30 BSIG mit Protokollierung von Datum, Teilnehmern und Beschlussinhalt
Schulung planen — Cybersicherheitsschulung für alle GL-Mitglieder (mind. 4h/Jahr), idealerweise mit branchenspezifischem Fokus
Reporting aufsetzen — Quartalsweise Berichterstattung der Umsetzungsfortschritte an die GL mit messbaren KPIs (Patch-Latenz, offene Findings, Schulungsquote)
Budget freigeben — Angemessene Ressourcen für Cybersicherheit bereitstellen und den Freigabeprozess dokumentieren
D&O prüfen — Versicherungsschutz auf NIS2-Relevanz prüfen und ggf. Deckungserweiterung verhandeln
Dokumentieren — Alle Entscheidungen, Schulungen und Überwachungsmaßnahmen schriftlich festhalten — diese Nachweise sind im Bußgeldverfahren entlastend

Die Maßnahmen, die gebilligt und überwacht werden müssen, ergeben sich aus den 10 Mindestmaßnahmenkategorien nach Art. 21 NIS2-RL. Dabei ist entscheidend, NIS2 nicht als reines IT-Thema zu behandeln — die Geschäftsleitung muss das Thema organisatorisch verankern und als strategische Führungsaufgabe begreifen.

Fazit: NIS2 macht Cybersicherheit zur Chefsache

§38 BSIG ist ein klares Signal des Gesetzgebers: Die persönliche Haftung, die unabdingbare Schulungspflicht und die massiv erhöhten Bußgelder sollen sicherstellen, dass Cybersicherheit nicht mehr an Fachabteilungen delegiert wird. Die Geschäftsleitung muss sich aktiv um Informationssicherheit kümmern — nicht nur den CISO beauftragen.

Wer jetzt einen strukturierten Prozess aus Billigung, Überwachung und Schulung etabliert, reduziert nicht nur das Bußgeldrisiko, sondern schafft die Grundlage für eine nachhaltige Sicherheitskultur im Unternehmen.