Leitungsorganhaftung

Definition

Die Leitungsorganhaftung nach NIS2UmsuCG verpflichtet Geschäftsführer, Vorstände und andere Leitungsorgane zur persönlichen Verantwortung für die Umsetzung der Cybersicherheitsmaßnahmen ihrer Organisation. Im Gegensatz zur bisherigen Rechtslage, bei der IT-Sicherheit häufig vollständig an die IT-Abteilung delegiert wurde, ist Cybersicherheit nun rechtlich Chefsache. Leitungsorgane müssen geeignete Schulungen absolvieren, Sicherheitsmaßnahmen ausdrücklich genehmigen und können bei schuldhafter Pflichtverletzung persönlich mit erheblichen Bußgeldern haftbar gemacht werden. Diese Haftungserweiterung ist ein wesentliches Element der NIS2-Reform und stärkt die Durchsetzungswirkung erheblich.

Rechtsgrundlage

Maßgeblich ist § 38 BSIG mit der amtlichen Überschrift „Umsetzungs-, Überwachungs- und Schulungspflicht". Nach Absatz 1 sind Geschäftsleitungen verpflichtet, die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Der aus Artikel 20 der NIS2-Richtlinie stammende Begriff des „Billigens" findet sich im deutschen Gesetzeswortlaut nicht. Absatz 2 regelt die Haftung präzise und enger, als es häufig dargestellt wird: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer eigenen Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des jeweils anwendbaren Gesellschaftsrechts. Es handelt sich also um eine Innenhaftung gegenüber der Gesellschaft, nicht um eine unmittelbare Haftung gegenüber Dritten. Satz 2 stellt zudem klar, dass nach dem BSIG selbst nur gehaftet wird, wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine entsprechende Haftungsregelung enthalten — bei GmbH und Aktiengesellschaft greifen mit § 43 GmbHG und § 93 AktG bereits solche Regelungen, sodass die Vorschrift des BSIG dort subsidiär bleibt. Eine im Regierungsentwurf noch enthaltene Klausel, wonach ein Verzicht der Einrichtung auf Ersatzansprüche unwirksam sei, ist nicht Gesetz geworden. Nach Absatz 3 müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können — eine eigenständige, persönliche Pflicht, die sich nicht delegieren lässt.

Praktische Implikation

Geschäftsführer und Vorstände betroffener Einrichtungen sollten unverzüglich zertifizierte Schulungen zur NIS2-Compliance absolvieren und die persönliche Haftung als starken Anreiz nutzen, Cybersicherheit als strategisches Unternehmensthema dauerhaft zu verankern. Empfehlenswert sind regelmäßige Security-Briefings durch den CISO, eine klare Eskalationsmatrix für Sicherheitsvorfälle und die schriftliche Dokumentation aller sicherheitsrelevanten Entscheidungen des Leitungsorgans in Protokollen. Cyber-Versicherungen können das finanzielle Haftungsrisiko mindern, ersetzen jedoch keine rechtskonforme Compliance und befreien das Leitungsorgan nicht von seiner gesetzlichen Verantwortung nach § 38 BSIG. Ein Haftungsausschluss gegenüber der Gesellschaft ist nur möglich, wenn das Leitungsorgan nachweislich alle Sorgfaltspflichten erfüllt hat.

Verwandte Begriffe

• Schulungspflicht
• CISO
• Besonders wichtige Einrichtung
• Bußgeldhaftung