NIS2-Haftung: Was Geschäftsführer persönlich trifft

Paragraf achtunddreißig des Gesetzes über das BSI richtet sich nicht an das Unternehmen, sondern an die Geschäftsleitung selbst. Das haben viele Chefs noch nicht auf dem Schirm.

Drei Dinge. Sie müssen die Sicherheitsmaßnahmen umsetzen und überwachen, Sie müssen sich regelmäßig schulen lassen, und Sie haften für schuldhaft verursachte Schäden.

Im schlimmsten Fall ja, gegenüber dem eigenen Unternehmen. Wann das droht und wie Sie es vermeiden, klären wir heute an drei typischen Fällen.

Welche Pflichten Sie selbst erfüllen müssen, wann Sie persönlich zahlen und welche Unterlagen Sie im Ernstfall schützen.

Nur für die Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen. Ob Ihr Unternehmen dazugehört, war das Thema von Folge eins.

Jede Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag die Geschäfte führt und das Unternehmen vertritt. In der GmbH sind das die Geschäftsführer, in der Aktiengesellschaft der Vorstand.

Für die Arbeit ja, für die Verantwortung nein. Die Gesetzesbegründung sagt: Auch wenn Sie Hilfspersonen einschalten, bleibt die Geschäftsleitung letztverantwortlich.

Müssen Sie auch nicht. Laut Begründung müssen Sie die konkreten Maßnahmen als geeignet billigen und ihre Umsetzung laufend überwachen.

Eine bewusste Entscheidung. Sie lassen sich die Risikoanalyse und die geplanten Maßnahmen vorlegen, fragen nach und beschließen sie in der Geschäftsführung.

Gemeint sind die Maßnahmen nach Paragraf dreißig, etwa Notfallplanung mit Backups, Zugriffskontrolle, Mehr-Faktor-Anmeldung und die Sicherheit der Lieferkette. Den Beschluss halten Sie schriftlich fest.

Das Gesetz nennt keinen Takt. Praktikabel ist ein kurzer Bericht in jedem Quartal: Was ist umgesetzt, was ist offen, welche Vorfälle gab es?

Dann fragen Sie nach Belegen statt nach Ampelfarben. Etwa nach dem letzten Test der Rücksicherung, dem Anteil der Konten mit Mehr-Faktor-Anmeldung und den offenen Punkten aus der letzten Prüfung.

Nein. Die Pflichten treffen jedes Mitglied der Geschäftsleitung, das betont das BSI ausdrücklich für die Schulung.

Und im GmbH-Gesetz steht, dass Geschäftsführer, die ihre Pflichten verletzen, solidarisch haften. Also nebeneinander, jeder grundsätzlich auf den ganzen Schaden.

Laut Gesetzesbegründung gelten Schulungen als regelmäßig, wenn sie mindestens alle drei Jahre stattfinden. Für die Kostenschätzung hat der Gesetzgeber eine halbtägige Schulung angenommen, also vier Stunden.

Das BSI hält vier Stunden aber in den allermeisten Fällen für zu wenig. Und das Mindestintervall von drei Jahren in den seltensten Fällen für ausreichend.

An Ihrem Risiko und Ihrem Vorwissen, sagt das BSI. Gleichen Sie die Inhalte eines Angebots mit der Handreichung des BSI zur Schulung von Geschäftsleitungen ab.

Ja, das BSI hält eine Aufteilung grundsätzlich für möglich. Wichtig ist, dass Sie danach Risiken erkennen und bewerten können.

Im Bußgeldkatalog des Paragrafen fünfundsechzig fehlt die Schulungspflicht, doch bei Hinweisen auf Mängel kann das BSI sie prüfen und anordnen. Wer eine solche Anordnung missachtet, riskiert ein Bußgeld.

Dazu kommt die Haftung. Ohne Schulung wird es schwer zu belegen, dass Sie die Maßnahmen sachkundig gebilligt haben.

Legen Sie per Beschluss fest, wer Ihnen über Informationssicherheit berichtet, und lassen Sie sich die Maßnahmen zur Billigung vorlegen.

Planen Sie dann für jedes Mitglied der Geschäftsleitung eine Schulung ein. Und bewahren Sie Beschluss, Berichte und Teilnahmebescheinigungen geordnet auf.

Zuerst das Unternehmen. Dann stellt sich die Frage, ob die Geschäftsführung ihre Pflichten verletzt hat.

Paragraf achtunddreißig, Absatz zwei verweist dafür auf das Gesellschaftsrecht Ihrer Rechtsform. Bei der GmbH ist das Paragraf dreiundvierzig des GmbH-Gesetzes.

Geschäftsführer müssen die Sorgfalt eines ordentlichen Geschäftsmannes anwenden. Wer seine Pflichten verletzt, haftet der Gesellschaft für den entstandenen Schaden.

Nein. Das Gesetz verlangt einen schuldhaft verursachten Schaden, und ein Angriff allein beweist noch keine Pflichtverletzung.

Kritisch wird es, wenn bekannte Lücken offen blieben. Etwa wenn der Dienstleister die fehlende Mehr-Faktor-Anmeldung gemeldet hat und niemand entschieden hat.

In der GmbH beschließen die Gesellschafter, ob Ersatzansprüche gegen Geschäftsführer geltend gemacht werden. So steht es in Paragraf sechsundvierzig des GmbH-Gesetzes.

Denkbar ist das etwa nach einem Verkauf an neue Eigentümer, in der Insolvenz oder bei Streit unter Gesellschaftern.

Auch die Entlastung beschließen die Gesellschafter. Ein ausdrückliches Verbot, auf solche Ansprüche zu verzichten, enthält das deutsche Gesetz über das BSI nicht.

Ob eine Entlastung auch Ansprüche aus den NIS2-Pflichten erfasst, ist Stand heute nicht abschließend geklärt. Verlassen Sie sich deshalb nicht darauf.

Ansprüche nach Paragraf dreiundvierzig verjähren in fünf Jahren. Bewahren Sie Ihre Unterlagen also mindestens so lange auf.

Dort gilt Paragraf dreiundneunzig des Aktiengesetzes. Ist die Sorgfalt streitig, muss der Vorstand beweisen, dass er sorgfältig gehandelt hat.

Zugleich schützt ihn eine Regel. Keine Pflichtverletzung liegt vor, wenn er bei einer unternehmerischen Entscheidung annehmen durfte, auf Grundlage angemessener Information zum Wohl der Gesellschaft zu handeln.

Ja. Halten Sie fest, welche Risiken Ihnen vorlagen, welche Möglichkeiten es gab und warum Sie sich so entschieden haben.

Dann ist auch eine bewusste Entscheidung nachvollziehbar, etwas erst später umzusetzen. Für die GmbH steht diese Regel nicht im Gesetz, die Dokumentation hilft Ihnen trotzdem.

Prüfen Sie das im Vertrag, nicht nach Gefühl. Fragen Sie Ihren Versicherungsmakler, ob Pflichtverletzungen aus dem Gesetz über das BSI gedeckt sind und welche Ausschlüsse gelten.

Für Vorstände einer Aktiengesellschaft schreibt das Aktiengesetz außerdem einen Selbstbehalt vor. Mindestens zehn Prozent des Schadens, bis mindestens zum Eineinhalbfachen der festen Jahresvergütung.

Für die gibt es eine Auffangregel. Dann haftet die Geschäftsleitung direkt nach Paragraf achtunddreißig, Absatz zwei.

Das Bußgeld nach Paragraf fünfundsechzig richtet sich in erster Linie gegen das Unternehmen. Für fehlende Maßnahmen, Dokumentation oder Meldungen sind es bei wichtigen Einrichtungen bis sieben Millionen Euro.

Bei besonders wichtigen Einrichtungen bis zehn Millionen Euro. Bei mehr als fünfhundert Millionen Euro weltweitem Umsatz sind es bis eins Komma vier Prozent davon bei wichtigen, bis zwei Prozent bei besonders wichtigen Einrichtungen.

Doch, möglicherweise. Das Ordnungswidrigkeitengesetz kennt die Aufsichtspflichtverletzung in Paragraf hundertdreißig.

Wer als Inhaber die erforderliche Aufsicht unterlässt und es dadurch zu einem Verstoß kommt, handelt selbst ordnungswidrig. Über Paragraf neun desselben Gesetzes kann das auch Geschäftsführer treffen.

Wie das bei Verstößen gegen das Gesetz über das BSI gehandhabt wird, ist Stand heute nicht abschließend geklärt. Rechnen Sie damit, dass es möglich ist.

Laut Gesetz gehören dazu auch Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Also: Wen haben Sie mit der Sicherheit betraut, und kontrollieren Sie, ob die Arbeit erledigt wird?

Das ist eine sinnvolle Aufsichtsperson, ersetzt aber nicht Ihre eigene Überwachung. Lassen Sie sich berichten, und reagieren Sie nachweisbar auf die Hinweise.

Das gibt es, aber eng begrenzt. Paragraf einundsechzig, Absatz neun gilt nur für besonders wichtige Einrichtungen.

Befolgt eine solche Einrichtung Anordnungen des BSI trotz Frist nicht, kann die zuständige Aufsichtsbehörde als letztes Mittel eingreifen. Sie kann unzuverlässigen Geschäftsleitungen ihre Tätigkeit vorübergehend untersagen.

Das gilt nur, bis die Anordnung befolgt ist. Für wichtige Einrichtungen wie Ihre sieht der Wortlaut des Gesetzes diese Maßnahme nicht vor.

Bei besonders wichtigen Einrichtungen kann es Audits und Prüfungen auch ohne Anlass anordnen. Bei wichtigen Einrichtungen wird es tätig, wenn Tatsachen auf Mängel hindeuten.

Bei der Meldung. Die frühe Erstmeldung eines erheblichen Sicherheitsvorfalls ist unverzüglich fällig, spätestens nach vierundzwanzig Stunden.

Wer gar nicht, falsch oder zu spät meldet, riskiert denselben Bußgeldrahmen wie bei fehlenden Maßnahmen.

Das legen Sie vorher fest, mit Vertretung. Die Meldung darf nicht davon abhängen, dass ausgerechnet Sie erreichbar sind.

Dann holen Sie das sofort nach. Eine versäumte Registrierung kann bis fünfhunderttausend Euro kosten.

Nicht ganz. Ändern sich Ihre Angaben, etwa die Kontaktdaten oder die öffentlichen IP-Adressbereiche, melden Sie das dem BSI unverzüglich, spätestens innerhalb von zwei Wochen.

Erstens: Sicherheit lässt sich delegieren, die Verantwortung nicht. Billigen Sie die Maßnahmen per Beschluss und lassen Sie sich regelmäßig berichten.

Zweitens: Jedes Mitglied der Geschäftsleitung muss sich schulen lassen. Mindestens alle drei Jahre, laut BSI meist öfter und länger als vier Stunden.

Drittens: Dokumentieren Sie Risiken, Entscheidungen und Berichte. Im Haftungsfall belegen nur diese Unterlagen, dass Sie sorgfältig gehandelt haben.

Diese Folge ersetzt keine Rechtsberatung im Einzelfall. Klären Sie Ihre Rechtsform mit Ihrem Anwalt und Ihre Versicherung mit Ihrem Makler.

Einen ersten Baustein für Ihre Schulung nach Paragraf achtunddreißig, online und mit Teilnahmebescheinigung, finden Sie bei frag.hugo.