Ist ein Geschäftsführer persönlich haftbar nach NIS2?
Die NIS2-Richtlinie regelt nicht nur, was eine Organisation technisch und organisatorisch tun muss, sondern spricht auch die Geschäftsleitung selbst an. Die Richtlinie verlangt von Geschäftsleitern, dass sie die Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und sich darin schulen lassen. Das ist eine andere Rolle als die der IT-Abteilung oder eines externen Anbieters, und diese Rolle kann nicht delegiert werden.
Ob dies auch zu persönlicher Haftung eines einzelnen Geschäftsleiters führt, hängt von dem nationalen Gesetz ab, das die Richtlinie umsetzt, und von dem breiteren Unternehmensrecht des Landes, in dem die Organisation ansässig ist. In den Niederlanden verläuft dies über das Cybersicherheitsgesetz und die bestehenden Regeln zur Geschäftsleiterhaftung bei Pflichtverletzungen in der Geschäftsleitung. Was darin genau feststeht und was noch in Entwicklung ist, besprechen Sie am besten mit einem Rechtsanwalt; dieser Artikel beschreibt die Hauptlinie, nicht Ihre individuelle Situation.
Was die Richtlinie von der Geschäftsleitung verlangt
Die Sorgfaltspflicht, die sich aus NIS2 ergibt, besteht aus zwei Ebenen, die sich ergänzen. Die erste Ebene ist die Organisation: die zehn Maßnahmen, die das Cyber-Dossier bilden, von der Zugriffskontrolle bis zur Incident-Handling. Die zweite Ebene ist die Geschäftsleitung: Sie muss diese Maßnahmen kennen, genehmigen und überwachen. Das bedeutet nicht, dass ein Geschäftsleiter die Technik selbst bis ins Detail verstehen muss, sondern dass er oder sie weiß, welche Risiken die Organisation läuft, welche Entscheidungen darin getroffen wurden und ob diese Entscheidungen eingehalten werden. Wer genau wissen möchte, welche Maßnahmen dies betrifft, findet einen Überblick in die Übersicht aller NIS2-Themen.
Warum dies nicht ausgelagert werden kann
Es ist völlig normal, dass eine Organisation die Umsetzung von Sicherheitsmaßnahmen bei einem IT-Anbieter, einem Managed-Service-Provider oder einem internen Security Officer durchführen lässt. Das ist erlaubt, und für viele KMU-Organisationen ist es auch der einzige realistische Weg. Aber die Richtlinie unterscheidet zwischen Umsetzung und Verantwortung. Ein Anbieter kann eine Firewall verwalten, eine Passwortrichtlinie einführen oder ein Backup durchführen; die Geschäftsleitung bleibt diejenige, die nachweisen muss, dass sie weiß, was los ist, und dass sie sich bewusst dafür entschieden hat. Ein Vertrag mit einem Anbieter regelt die Umsetzung, nicht die geschäftliche Beteiligung, die die Richtlinie verlangt.
Dies berührt auch das Thema der Lieferkette. Eine Organisation, die selbst unter NIS2 fällt, muss die Risiken überwachen, die Anbieter mit sich bringen – deshalb erhalten KMU-Unternehmen Sicherheitsfragelisten von ihren Auftraggeber. Die gleiche Logik gilt nach innen: die Geschäftsleitung überwacht, was die eigene Organisation tut, auch wenn die Arbeit selbst anderswo verrichtet wird.
Was Überwachung in der Praxis bedeutet
Überwachung ist nicht eine Frage der einmaligen Unterzeichnung eines Dokuments. Die Richtlinie spricht von Genehmigung der Maßnahmen und von Schulung, was darauf hindeutet, dass dies ein wiederkehrender Prozess ist: regelmäßig prüfen, ob die Maßnahmen noch stimmen, ob sie umgesetzt wurden, und ob sich etwas geändert hat, das eine Anpassung erfordert. Für einen Geschäftsleiter ohne technischen Hintergrund ist die praktischste Form in der Regel ein festes Überblick: welche Maßnahmen gibt es, was ist der Status, wer ist der Eigentümer, und welche Dokumentation gehört dazu. Ohne ein solches Register ist es schwierig, die Überwachung nachzuweisen, auch wenn sie faktisch stattgefunden hat.
Was wir sicher wissen und was nicht
Die Richtlinie selbst beschreibt die Rolle der Geschäftsleitung auf europäischer Ebene; wie dies genau in Haftungsrecht umgesetzt wird, unterscheidet sich je nach Land, und die nationale Gesetzgebung ist nicht überall gleichzeitig endgültig. Aufsichtsbehörden veröffentlichen eigene Interpretationen dazu, und diese Interpretationen können sich ändern. Wir verfolgen dies pro Land und pro Quelle mit dem Datum, an dem wir eine Veröffentlichung gesehen haben; wie diese Quellenbildung genau funktioniert, wird erläutert auf der Seite darüber, wie wir Quellen verfolgen. Für eine Bewertung der persönlichen Haftung eines bestimmten Leiters in einer bestimmten Organisation sind ein Jurist oder die zuständige Aufsichtsbehörde die richtige Anlaufstelle.
Was Sie dokumentieren können
Auch ohne vollständige rechtliche Klarheit über persönliche Haftung gibt es praktische Arbeit zu leisten: dokumentieren Sie, welche Maßnahmen vorhanden sind, wer sie verwaltet und wann das Management sie zuletzt besprochen hat. Genau dafür ist das Cyber-Dossier gedacht — ein lebendes Register statt eines einmaligen Berichts. Wenn Sie zunächst wissen möchten, ob Ihre Organisation selbst unter die Sorgfaltspflicht fällt oder über die Lieferkette betroffen ist, gibt die kostenlose NIS2-Check darauf in wenigen Fragen einen ersten Anhaltspunkt mit Erläuterung des Grundes.
Beginnen Sie dort, wo Sie gerade stehen: Nutzen Sie die kostenlose NIS2-Check oder blättern Sie durch die Wissensdatenbank, um zu sehen, welche Themen für Ihre Organisation relevant sind.