Persönliche Haftung bei NIS2: Was Geschäftsführer wissen müssen

§38 BSIG-neu: Die per­sön­li­che Haf­tung #

Grund­re­gel #

Der Geschäfts­füh­rer ist straf­recht­lich haft­bar, wenn:

1. Die Ein­rich­tung einen Ver­stoß gegen NIS2-Anfor­de­run­gen begeht (z. B. kei­ne Backups)
2. Die­ser Ver­stoß auf Fahr­läs­sig­keit oder Vor­satz des GF zurück­zu­füh­ren ist
3. Der Scha­den erheb­lich ist (typisch bei Cyber-Vorfällen)

Was bedeu­tet ​“Fahr­läs­sig­keit”? #

Fahr­läs­sig­keit liegt vor, wenn:

• Der GF von einer bekann­ten IT-Sicher­heits­­lü­­cke gewusst hat, aber nicht handelte
• Audit-Bemer­­kun­­gen igno­riert wurden
• Bud­get für Sicher­heits­maß­nah­men ver­wei­gert wur­de, obwohl Risi­ken bekannt waren
• Schu­lun­gen nicht durch­ge­führt wur­den, obwohl bereits ein Sicher­heits­in­ci­dent pas­siert war

Fahr­läs­sig­keit liegt NICHT vor, wenn:

• Der GF ver­nünf­tig von Best Prac­ti­ces aus­ging (z. B. Cloud-Backups)
• Ein unver­her­seh­ba­rer Zero-Day Exploit genutzt wurde
• Die IT-Abtei­­lung den GF falsch beriet und er die­ser Bera­tung folgte

---

Die Schu­lungs­pflicht der Geschäfts­lei­tung #

Das BSIG-neu ver­langt expli­zit, dass die Geschäfts­lei­tung geschult wird:

Was das kon­kret bedeutet:

• Jähr­lich min­des­tens eine IT-Sicher­heits-Schu­­lung für Vorstand/​Geschäftsführung
• Schu­lung soll­te fol­gen­de The­men abdecken:
  • NIS2-Anfor­de­run­gen und Haftungsrisiken
  • Aktu­el­le Bedro­hun­gen (Ran­­som­­wa­­re-Trends, häu­fi­ge Angriffsvektoren)
  • Back­up- und Disaster-Recovery-Strategien
  • Inci­dent Respon­se Procedures
  • Cyber-Ver­­­si­che­rung und Schadensfall-Handling

Doku­men­ta­ti­on ist entscheidend:

• Schu­­lungs-Teil­­nah­­me­­be­­schei­­ni­­gung aufbewahren
• Schu­­lungs-Inhal­­te dokumentieren
• Im Streit­fall: ​“Wir haben eine Schu­lung durch­ge­führt” ist die Hauptverteidigung

---

Was ​“ange­mes­se­ne Maß­nah­men” kon­kret bedeu­tet #

Das BSIG-neu verlangt ​“ange­mes­se­ne Maß­nah­men”, um Cyber­si­cher­heit her­zu­stel­len. Das ist bewusst vage for­mu­liert, aber der GF soll­te Fol­gen­des implementieren:

1. Risi­­ko­­ma­­na­ge­­ment-Pro­­zess #

• [ ] Jähr­lich: Risi­­ko-Ana­­ly­­se durch­füh­ren (IT-Sicher­heits­­au­­di­­tor)
• [ ] Defi­nie­ren: Wel­che Sys­te­me sind kritisch?
• [ ] Defi­nie­ren: RTO/RPO pro System
• [ ] Doku­men­tie­ren: Risi­ken und Maßnahmen

2. Back­up- und Reco­­very-Stra­­te­­gie #

• [ ] Off­­li­ne-Back­ups durch­füh­ren (nicht nur Netzwerk-Backups)
• [ ] Reco­­very-Tests monatlich/​quartalweise durchführen
• [ ] RTO/RPO doku­men­tie­ren und einhalten
• [ ] Reco­­very-Plan im Notfall-Handbuch

3. Patch-Mana­ge­­ment und Updates #

• [ ] Auto­ma­ti­sche Updates akti­vie­ren (oder monat­li­che Update-Zyklen)
• [ ] Zero-Day-Exploit-Poli­­cy: wie schnell wer­den Patches eingespielt?
• [ ] Test-Umge­­bung vor Pro­duc­tion (soll­te schon Stan­dard sein)

4. Inci­dent Respon­se Plan #

• [ ] Schrift­lich dokumentiert
• [ ] Rol­len und Ver­ant­wort­lich­kei­ten definiert
• [ ] Eska­la­ti­ons­ket­te klar
• [ ] Exter­ne Part­ner (Foren­sik, BSI, Anwäl­te) vor­ab kontaktiert

5. Cyber-Ver­­­si­che­rung #

• [ ] D&O‑Versicherung (Direc­tors & Offi­cers Liability)
• [ ] Cyber-Ver­­­si­che­rung (mit Löse­­geld-Deckung, falls gewünscht)
• [ ] Ver­­­si­che­rungs-Poli­ce vor Scha­dens­fall gut verstehen

6. Geschäfts­­­lei­­tung-Schu­­lung #

• [ ] Jähr­lich min­des­tens 1 Schulung
• [ ] Exter­ne Trai­ner emp­foh­len (Glaub­wür­dig­keit)
• [ ] Teil­nah­me­be­schei­ni­gung archivieren

---

Prak­ti­sche Stra­te­gien zur Haf­­tungs-Mini­­mie­rung #

1. Doku­men­ta­ti­on, Doku­men­ta­ti­on, Doku­men­ta­ti­on #

Alles schrift­lich festhalten:

• IT-Sicher­heits­­rich­t­­li­­nie (unter­zeich­net vom GF)
• Risk Asses­s­­ment-Erge­b­­nis­­se
• IT-Inves­­ti­­ti­ons-Plä­­ne (mit Begründung)
• Reco­­very-Tests (mit Datums­an­ga­be und Ergebnis)
• Schu­lungs­nach­wei­se
• Audit-Berich­­te (intern und extern)

Im Streit­fall: ​“Wir haben ein Kon­zept, wir doku­men­tie­ren alles” ist eine star­ke Position.

2. Exter­ne Exper­ten ein­be­zie­hen #

Nicht nur IT-intern, son­dern auch extern:

• Jähr­li­cher IT-Sicher­heits-Audit durch Exter­ne Fir­ma (z. B. BSI C5)
• Pene­­tra­­ti­ons-Test (1x/​Jahr)
• Bera­tung von IT-Sicherheits-Spezialisten
• Betei­li­gung von exter­nem Cybersicherheits-Anwalt

Vor­teil: Im Schadensfall: ​“Wir haben exter­ne Exper­ten beauf­tragt und deren Emp­feh­lun­gen befolgt.”

3. Board-Ent­­schei­­dun­­gen schrift­lich doku­men­tie­ren #

Z. B.:

• Board-Beschluss: ​“Wir inves­tie­ren 150.000 EUR in Hard­ware Air Gap Backups”
• Board-Beschluss: ​“Wir füh­ren monat­li­che Reco­­very-Tests durch”
• Board-Beschluss: ​“Wir schu­len alle Mit­ar­bei­ter jährlich”

Die­se Beschlüs­se sind spä­ter Evi­denz dafür, dass Sie nicht fahr­läs­sig gehan­delt haben.

4. D&O‑Versicherung mit Cyber-Rider #

Eine gute D&O‑Versicherung deckt per­sön­li­che Haf­tung des GF ab:

Was Sie che­cken sollten:

• Deckungs­sum­me: mind. 10 Mio. EUR
• Cyber-Rider: sind Cyber-Ver­­­stö­­ße deck­bar? (nicht alle Policen!)
• Selbst­be­tei­li­gung: wie hoch? (typisch 100.000 – 500.000 EUR)
• Ver­­­si­che­­rer-Schutz vor Behör­­den-Stra­­fen: ja oder nein?

Wich­tig: Ver­­­si­che­rungs-Poli­ce vor Abschluss genau lesen. Nicht alle D&O‑Versicherungen decken Cyber-Verstöße.

5. Bera­­tungs-Memo­ran­­dum anfer­ti­gen #

Ein schrift­li­ches Memo­ran­dum vom IT-Bera­­ter/­An­­walt:

“Basie­rend auf unse­rer Ana­ly­se liegt die Ein­rich­tung XY unter die NIS2Um­­suCG-Anfor­­de­run­­gen. Um kon­form zu sein, emp­feh­len wir fol­gen­de Maß­nah­men [Lis­te]. Der Geschäfts­füh­rer hat die­se Emp­feh­lun­gen akzep­tiert und beauf­tragt die Umsetzung.”

Im Scha­dens­fall: ​“Wir haben einem Exper­ten ver­traut und sei­ne Rat­schlä­ge befolgt.”

---

Per­sön­li­che Haf­tung vs. Unter­­neh­­mens-Haf­­tung #

Sce­na­rio	Haf­tung
Ran­­som­­wa­­re-Angriff, Unter­neh­men hat­te Off­­li­ne-Back­ups, konn­te in 1h wie­der­her­stel­len	GF: ❌ kei­ne Haf­tung (ange­mes­se­ne Maß­nah­men getroffen)
Ran­­som­­wa­­re-Angriff, kei­ne Back­ups, Betrieb 2 Wochen off­line, GF wuss­te von Risiko	GF: ✅ per­sön­li­che Haf­tung + Stra­fe + Schadensersatz
Ran­­som­­wa­­re-Angriff, Back­ups vor­han­den aber nicht getes­tet, Reco­very fehlgeschlagen	GF: ⚠️ Fahr­läs­sig­keit mög­lich (Back­ups ohne Tests?)
Daten-Leak durch alte Soft­ware, GF nicht infor­miert, IT-Lei­­ter zu spät Patch eingespielt	GF: ❌ kei­ne Haf­tung (konn­te nicht wissen)
Daten-Leak durch alte Soft­ware, GF wur­de 6 Mona­te vor­her infor­miert, igno­rier­te es	GF: ✅ per­sön­li­che Haf­tung + Fahrlässigkeit

---

Check­lis­te: Wie mini­mie­re ich Haf­tung? #

Orga­ni­sa­to­risch #

• [ ] IT-Sicher­heits­­rich­t­­li­­nie schrift­lich, unterschrieben
• [ ] Ver­ant­wort­lich­kei­ten klar (Wer ist IT-Sicherheits-Officer?)
• [ ] Bud­get für IT-Sicher­heit frei­ge­ge­ben (> 2% des IT-Bud­­gets empfohlen)
• [ ] Board-Beschlüs­­se zu Sicherheitsmaßnahmen

Tech­nisch #

• [ ] Off­­li­ne-Back­ups imple­men­tiert (Hard­ware Air Gap oder Tape)
• [ ] Reco­­very-Tests monatlich/​quartalweise durchgeführt
• [ ] Patch-Mana­ge­­ment aktiv
• [ ] EDR/​Antivirus aktiv
• [ ] Net­z­­werk-Seg­­men­­tie­rung aktiv

Schu­lung & Bewusst­sein #

• [ ] Geschäfts­lei­tung jähr­lich geschult
• [ ] Alle Mit­ar­bei­ter jähr­lich geschult
• [ ] Schu­­lungs-Nach­­wei­­se archiviert
• [ ] Phis­hing-Simu­la­­ti­on durch­ge­führt (2x/​Jahr)

Ver­si­che­rung & Recht­li­ches #

• [ ] D&O‑Versicherung mit Cyber-Rider abgeschlossen
• [ ] Cyber-Ver­­­si­che­rung abgeschlossen
• [ ] Ver­­­si­che­rungs-Poli­cen verstanden
• [ ] Anwalt mit Cyber-Exper­­ti­­se konsultiert
• [ ] Bera­­tungs-Memo­ran­­dum vom Exper­ten archiviert

Audit & Com­pli­ance #

• [ ] Jähr­li­cher exter­ner IT-Sicherheits-Audit
• [ ] Pene­­tra­­ti­ons-Test (mind. 1x/​Jahr)
• [ ] Gap-Ana­­ly­­se durchgeführt
• [ ] Audit-Fin­­dings dokumentiert
• [ ] Reme­­dia­­ti­on-Plan erstellt

---

Häu­fi­ge Fra­gen #

Kann ich als GF für IT-Sicher­heit einen Spe­zia­lis­ten ein­stel­len und dann mich ​“raus­neh­men”? Nein. Die per­sön­li­che Haf­tung bleibt. Sie müs­sen über­wa­chen, dass der Spe­zia­list die Arbeit rich­tig macht. Aber: Ein Spe­zia­list redu­ziert Ihr Fahr­läs­sig­keits­ri­si­ko (Sie haben einen Experten).

Was ist, wenn unser IT-Lei­­ter die Sicher­heits­maß­nah­men absicht­lich sabo­tiert? Das ist sein Pro­blem (Straf­tat). Sie haf­ten nicht per­sön­lich, WENN Sie reasonable con­trols hat­ten (z. B. ein Vier-Augen-Prin­­zip für kri­ti­sche Entscheidungen).

Brau­chen wir wirk­lich D&O‑Versicherung? Recht­lich: nein. Prak­tisch: sehr emp­foh­len. Eine Stra­fe von 5 Mio. EUR kann ein mit­tel­stän­di­sches Unter­neh­men zugrun­de rich­ten. Ver­si­che­rung schützt Ihr pri­va­tes Vermögen.

Kann die Ver­si­che­rung mich wei­gern zu zah­len? Ja, wenn Sie gross­ly negli­gent waren (z. B. bewusst kei­ne Back­ups trotz bekann­tem Risi­ko). Des­halb: Immer Maß­nah­men doku­men­tie­ren, um Fahr­läs­sig­keit auszuschließen.

---