Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 müssen Geschäftsführer betroffener Unternehmen die Risikomanagementmaßnahmen nach § 38 Abs. 1 BSIG umsetzen und ihre Umsetzung überwachen, und sie haften ihrer Gesellschaft nach § 38 Abs. 2 BSIG für schuldhaft verursachte Schäden.
Die Cyberversicherung schützt dabei das Unternehmen, nicht den Geschäftsführer persönlich. Die D&O-Versicherung deckt diese Innenhaftung zwar, schließt aber Cyberrisiken, Bußgelder und wissentliche Pflichtverletzungen oft ganz oder teilweise aus.
Was ist NIS2 und wen betrifft das neue BSIG?
NIS2 ist die EU-Richtlinie 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau. Deutschland hat sie mit dem NIS2-Umsetzungsgesetz in das neugefasste BSI-Gesetz überführt. Betroffen sind nach § 28 BSIG Unternehmen aus den in den Anlagen 1 und 2 genannten Sektoren, die mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme erreichen. Daneben erfasst § 28 BSIG bestimmte Einrichtungen unabhängig von ihrer Größe, etwa Betreiber kritischer Anlagen, Vertrauensdiensteanbieter und DNS-Diensteanbieter.
Das BSIG unterscheidet zwei Gruppen. Besonders wichtige Einrichtungen sind Unternehmen der Sektoren aus Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme. Betreiber kritischer Anlagen gehören unabhängig von ihrer Größe dazu. Wichtige Einrichtungen sind Unternehmen aus Anlage 1 unterhalb dieser Schwellen sowie alle Unternehmen aus Anlage 2, jeweils ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Das BSI rechnet mit rund 29.500 betroffenen Einrichtungen in Deutschland.
Viele Geschäftsführer mittelständischer Unternehmen wissen bisher nicht, dass sie unter das Gesetz fallen. Das gilt vorwiegend für Branchen, die bisher nicht als kritische Infrastruktur galten, etwa Hersteller von Maschinen, Lebensmitteln oder chemischen Erzeugnissen. Eine eigene Prüfpflicht trifft das Unternehmen selbst. Das BSI schreibt niemanden an.
Welche Pflichten hat die Geschäftsleitung nach § 38 BSIG?
Die Geschäftsleitung muss nach § 38 Abs. 1 BSIG die Risikomanagementmaßnahmen des § 30 BSIG umsetzen und ihre Umsetzung überwachen. Nach § 38 Abs. 3 BSIG muss sie regelmäßig an Schulungen teilnehmen, um Risiken und Managementpraktiken der Cybersicherheit beurteilen zu können. Die Ausführung kann sie an die IT-Abteilung oder externe Dienstleister übertragen, die Verantwortung bleibt aber bei ihr.
Umsetzen heißt, für die Maßnahmen zu sorgen, sie also zu beschließen und mit Personal und Budget auszustatten. Überwachen heißt, sich regelmäßig berichten zu lassen und bei Defiziten einzugreifen. Wer das nicht dokumentiert, kann im Streitfall kaum beweisen, dass er seine Pflichten erfüllt hat.
Nach § 38 Abs. 2 BSIG haften Geschäftsleiter, die ihre Pflichten verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts. Für die GmbH ist das § 43 Abs. 2 GmbHG, für die AG § 93 Abs. 2 AktG. Nach § 93 Abs. 2 Satz 2 AktG, der bei der GmbH nach der Rechtsprechung entsprechend gilt, trägt der Geschäftsleiter die Beweislast dafür, dass er sorgfältig gehandelt hat. Ein Verbot, auf diese Ansprüche zu verzichten, enthält das BSIG nicht. Verzicht und Vergleich richten sich nach Gesellschaftsrecht, bei der AG etwa nach § 93 Abs. 4 Satz 3 AktG. Eine versäumte Schulung nach § 38 Abs. 3 BSIG begründet für sich keine Haftung nach Abs. 2, weil Abs. 2 nur auf die Pflichten aus Abs. 1 verweist.
Kernpflichten nach dem BSIG in der Fassung des NIS2-Umsetzungsgesetzes
| Pflicht | Inhalt | Frist |
| Registrierung | Registrierung beim BSI über das BSI-Portal | 3 Monate, nachdem das Unternehmen erstmals als Einrichtung gilt |
| Risikomanagement | technische und organisatorische Maßnahmen, u. a. Backup, Zugriffskontrolle, Lieferkettensicherheit | ab Einstufung |
| Frühe Erstmeldung | Meldung eines erheblichen Sicherheitsvorfalls | 24 Stunden nach Kenntnis |
| Meldung | Bestätigung und erste Bewertung des Vorfalls | 72 Stunden nach Kenntnis |
| Abschlussmeldung | Ursache, Maßnahmen, Auswirkungen | 1 Monat nach der Meldung |
| Umsetzung und Überwachung | Verantwortung der Geschäftsleitung für die Maßnahmen | laufend |
| Schulung | regelmäßige Teilnahme der Geschäftsleitung | regelmäßig |
Welche Bußgelder drohen bei Verstößen gegen NIS2?
Für besonders wichtige Einrichtungen sieht § 65 BSIG Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Die Umsatzprozente greifen nur bei mehr als 500 Millionen Euro weltweitem Jahresumsatz, sonst gelten die Festbeträge. Die Höchststufe gilt für fehlendes Risikomanagement und verletzte Meldepflichten. Für eine unterlassene Registrierung liegt der Rahmen bei bis zu 500.000 Euro.
Das Bußgeld trifft das Unternehmen. Einen eigenen Millionenrahmen gegen den Geschäftsführer persönlich enthält das BSIG nicht. Über §§ 9, 130 OWiG kann aber auch der Geschäftsführer persönlich mit einem Bußgeld belegt werden. Bei einer Aufsichtspflichtverletzung richtet sich das Höchstmaß nach dem Bußgeldrahmen der verletzten Pflicht und kann damit im Millionenbereich liegen. Setzt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht um, kann das BSI nach § 61 Abs. 9 BSIG die zuständige Aufsichtsbehörde informieren. Diese kann als letztes Mittel unzuverlässigen Geschäftsleitern die Leitungstätigkeit vorübergehend untersagen.
Für den Geschäftsführer entsteht das eigentliche Risiko über den Regress. Zahlt das Unternehmen ein Bußgeld, weil der Geschäftsführer die Maßnahmen nicht umgesetzt oder nicht überwacht hat, kann die Gesellschaft versuchen, den Betrag als Schaden nach § 38 Abs. 2 BSIG geltend zu machen. Ob ein Unternehmensbußgeld auf den Geschäftsleiter abgewälzt werden darf, ist offen. Für Kartellbußgelder hat der BGH die Frage am 11.02.2025 dem EuGH vorgelegt (Az. KZR 74/23). Das OLG Frankfurt hat mit Urteil vom 21.10.2025 (Az. 31 U 3/25) den Regress eines BaFin-Bußgelds gegen ein Vorstandsmitglied bejaht. Das Urteil ist nicht rechtskräftig, die Revision ist beim BGH anhängig.
Was zahlt die Cyberversicherung und was nicht?
Die Cyberversicherung ist eine Versicherung des Unternehmens. Sie zahlt Eigenschäden wie Forensik, Datenwiederherstellung und Betriebsunterbrechung und Drittschäden aus Datenschutzverletzungen. Persönliche Ansprüche der Gesellschaft gegen ihren eigenen Geschäftsführer deckt sie nicht. Bußgelder sind nur versichert, soweit der Vertrag sie nennt und das Recht es zulässt.
Die größte Gefahr für den Versicherungsschutz liegt vor dem Schaden. Cyberversicherer stellen im Antrag detaillierte Risikofragen zu Virenschutz, Updates, Backups und Mehrfaktor-Authentifizierung. Falsche Antworten auf Fragen in Textform berechtigen den Versicherer nach § 19 VVG bei ordnungsgemäßer Belehrung zum Rücktritt, wenn der Versicherungsnehmer vorsätzlich gehandelt hat. Bei grober Fahrlässigkeit gilt das nur, wenn der Versicherer den Vertrag bei richtigen Angaben gar nicht geschlossen hätte. Sonst kann er kündigen oder den Vertrag anpassen. Leistungsfrei wird er nach einem Rücktritt nur, wenn der verschwiegene Umstand für den Schaden ursächlich war. Bei Arglist kann er nach § 22 VVG in Verbindung mit § 123 BGB anfechten. Das Landgericht Kiel hat mit Urteil vom 23.05.2024 (Az. 5 O 128/21) einem Versicherer recht gegeben, der wegen falscher Angaben zu Updates und Virenschutz angefochten hatte. Den Fall bespricht unser Beitrag zum Urteil des Landgerichts Kiel zur Cyberversicherung bei fehlenden Updates.
Dass es auch anders ausgehen kann, zeigt das Landgericht Tübingen. Mit Urteil vom 26.05.2023 (Az. 4 O 193/21) sprach es einem Unternehmen nach einem Ransomware-Angriff knapp 3 Millionen Euro zu. Tragend war, dass die veralteten Server für den Schaden nicht ursächlich waren (§ 21 Abs. 2 VVG) und eine Gefahrerhöhung nach §§ 23 ff. VVG ausschied, weil der Zustand der Server schon bei Vertragsschluss bestand. Wann der Versicherer zurücktreten darf, erklärt unser Beitrag zu Rücktritt und Gefahrerhöhung in der Cyberversicherung.
Versicherer verweigert die Deckung nach einem Cyberangriff?
Wo liegen die Deckungslücken zwischen Cyber- und D&O-Versicherung?
Die Lücke entsteht, weil beide Versicherungen verschiedene Personen schützen. Die Cyberversicherung schützt das Unternehmen, die D&O-Versicherung den Geschäftsführer. Verliert das Unternehmen seinen Cyberschutz wegen falscher Risikoangaben, nimmt es häufig den Geschäftsführer in Anspruch. Enthält dessen D&O-Police einen Cyber-Ausschluss, bleibt er persönlich auf dem Schaden sitzen.
Typische Deckungslücken für Geschäftsführer nach NIS2 (allgemeine Übersicht, kein Tarifvergleich)
| Risiko | Cyberversicherung | D&O-Versicherung | Lücke für den Geschäftsführer |
| Forensik, Wiederherstellung, Betriebsunterbrechung | gedeckt, sofern kein Rücktritt oder keine Anfechtung | nicht gedeckt, da Eigenschaden des Unternehmens | Regress der Gesellschaft, wenn die Cyberversicherung entfällt |
| Bußgeld nach § 65 BSIG gegen das Unternehmen | nur falls vereinbart und rechtlich zulässig | meist ausgeschlossen | Regress des Bußgelds über § 38 Abs. 2 BSIG |
| Innenhaftung nach § 38 Abs. 2 BSIG | nicht gedeckt | gedeckt, außer bei Cyber-Ausschluss oder Sublimit | Cyber-Ausschluss in der D&O-Police |
| Unterlassene Schulung oder Umsetzung | nicht betroffen | Ausschluss bei wissentlicher Pflichtverletzung | Wissentlichkeit, wenn die Pflicht bekannt war |
| Falsche Angaben im Cyber-Antrag | Rücktritt oder Anfechtung möglich | gedeckt, außer bei Wissentlichkeit | Streit, wer die Angaben verantwortet |
Die heikelste Lücke betrifft die wissentliche Pflichtverletzung. D&O-Versicherer schließen sie fast immer aus. Seit § 38 BSIG die Umsetzungs-, Überwachungs- und Schulungspflicht ausdrücklich regelt, wird es schwerer zu behaupten, man habe von der Pflicht nichts gewusst. Die Beweislast für die Wissentlichkeit trägt nach dem Urteil des BGH vom 17.12.2014 (Az. IV ZR 90/13) der Versicherer. Nach dem BGH-Urteil vom 19.11.2025 (Az. IV ZR 66/25) muss sich die Wissentlichkeit auf die konkret geltend gemachte Pflichtverletzung beziehen. Welche weiteren Ausschlüsse greifen, zeigt unser Beitrag, wann eine D&O-Versicherung nicht zahlt.
Bei Aktiengesellschaften kommt der Pflichtselbstbehalt hinzu. Nach § 93 Abs. 2 Satz 3 AktG muss eine D&O-Versicherung für Vorstände einen Selbstbehalt von mindestens 10 % des Schadens bis mindestens zum Eineinhalbfachen der festen jährlichen Vergütung vorsehen. Für GmbH-Geschäftsführer gilt diese Pflicht nicht, viele Policen enthalten aber vertragliche Selbstbehalte.
Wie schließen Geschäftsführer die Lücken zwischen NIS2, Cyber und D&O?
Geschäftsführer sollten zuerst klären, ob ihr Unternehmen unter § 28 BSIG fällt, und danach beide Policen nebeneinanderlegen. Der Cyber-Antrag muss den tatsächlichen IT-Stand wiedergeben. Die D&O-Police darf Ansprüche aus § 38 Abs. 2 BSIG nicht über einen Cyber-Ausschluss aus der Deckung nehmen.
- Prüfen Sie anhand der Anlagen 1 und 2 zum BSIG und der Schwellen des § 28 BSIG, ob Ihr Unternehmen eine wichtige oder besonders wichtige Einrichtung ist.
- Registrieren Sie das Unternehmen innerhalb von drei Monaten nach § 33 BSIG beim BSI. War Ihr Unternehmen schon bei Inkrafttreten betroffen, ist diese Frist abgelaufen, und Sie sollten die Registrierung sofort nachholen.
- Fassen Sie einen dokumentierten Geschäftsführungsbeschluss über die Maßnahmen nach § 30 BSIG und lassen Sie sich regelmäßig schriftlich über den Umsetzungsstand berichten.
- Nehmen Sie selbst an einer Cybersicherheitsschulung teil und bewahren Sie den Nachweis auf.
- Gleichen Sie die Risikofragen Ihres Cyber-Antrags mit dem tatsächlichen Zustand aller Server und Arbeitsrechner ab. Melden Sie wesentliche Änderungen dem Versicherer, wenn der Vertrag das verlangt.
- Lassen Sie die D&O-Bedingungen auf Cyber-Ausschlüsse, Sublimits und Bußgeldregelungen prüfen und stimmen Sie die Versicherungssumme auf die Bußgeldrahmen des § 65 BSIG ab. Grundlagen erklärt unser Beitrag, wie eine D&O-Versicherung funktioniert.
- Legen Sie einen Meldeplan fest, der die 24-Stunden-Frist des § 32 BSIG und die Anzeigepflichten beider Versicherer gleichzeitig abdeckt.
Was gilt für Unternehmen, die nicht unter NIS2 fallen?
Unternehmen unterhalb der Schwellen des § 28 BSIG haben meist keine Pflichten aus dem BSIG. Ausgenommen sind Einrichtungen, die das Gesetz unabhängig von ihrer Größe erfasst, etwa Betreiber kritischer Anlagen und DNS-Diensteanbieter. Ihre Geschäftsführer haften aber weiter nach § 43 Abs. 2 GmbHG oder § 93 Abs. 2 AktG für die Sorgfalt eines ordentlichen Geschäftsmanns. Dazu kann auch eine angemessene IT-Sicherheit gehören.
NIS2 setzt hier einen Maßstab, an dem sich Gerichte orientieren könnten. Ein Sonderfall sind Zulieferer von NIS2-Unternehmen. Nach § 30 BSIG müssen betroffene Einrichtungen die Sicherheit ihrer Lieferkette berücksichtigen. Sie geben diese Anforderungen deshalb oft vertraglich an ihre Dienstleister weiter. Wer solche Verträge unterschreibt, übernimmt die Pflichten mittelbar und sollte prüfen, ob seine eigene Cyber- und Haftpflichtdeckung dazu passt.
Was kostet die Absicherung und was kostet die Prüfung?
Die Prämien für Cyber- und D&O-Versicherung hängen von Umsatz, Branche, IT-Sicherheitsniveau und Versicherungssumme ab. Belastbare Durchschnittswerte für NIS2-Unternehmen gibt es bisher nicht. Die Kosten einer anwaltlichen Prüfung der Bedingungen oder einer Deckungsklage richten sich nach dem Rechtsanwaltsvergütungsgesetz oder einer Honorarvereinbarung.
Im Schadenfall geht es schnell um siebenstellige Beträge. Das zeigt der Tübinger Fall mit knapp 3 Millionen Euro. Die Prüfung der Policen vor einem Vorfall kostet einen Bruchteil davon. Wirth Rechtsanwälte bieten eine kostenlose und unverbindliche Ersteinschätzung an.
Was passiert, wenn Geschäftsführer bei NIS2 nichts unternehmen?
Wer als Geschäftsführer eines betroffenen Unternehmens nichts unternimmt, verletzt § 38 Abs. 1 BSIG und haftet der Gesellschaft nach § 38 Abs. 2 BSIG für daraus entstehende Schäden. Dem Unternehmen drohen Bußgelder bis zu 10 Millionen Euro, bei sehr großen Unternehmen bis zu 2 % des Umsatzes. Kommt es zu einem Angriff, kann auch der Cyberversicherungsschutz entfallen.
Besonders riskant ist die Kombination. Ein Angriff trifft ein Unternehmen ohne dokumentiertes Risikomanagement, der Cyberversicherer ficht wegen falscher Antragsangaben an und das BSI verhängt ein Bußgeld. Die Gesellschaft hat dann einen Schaden, den keine Versicherung trägt, und sucht den Verantwortlichen. Die D&O-Versicherung zahlt nur, wenn kein Cyber-Ausschluss greift und der Versicherer keine Wissentlichkeit nachweist. Für die Prüfung beider Verträge hat die Kanzlei eine eigene Seite zum Rechtsanwalt für die Cyberversicherung.
Wir prüfen Ihre Cyber- und D&O-Versicherung
Häufige Fragen zu NIS2, Cyberversicherung und Geschäftsführerhaftung
Ja, im Innenverhältnis. Nach § 38 Abs. 2 BSIG haften Geschäftsleiter ihrer Gesellschaft für schuldhaft verursachte Schäden, wenn sie die Risikomanagementmaßnahmen nicht umsetzen oder ihre Umsetzung nicht überwachen. Die Haftung richtet sich nach § 43 Abs. 2 GmbHG oder § 93 Abs. 2 AktG. Eine D&O-Versicherung kann dieses Risiko abdecken, sofern kein Ausschluss greift.
Nur eingeschränkt. Bußgelder nach § 65 BSIG sind in der Cyberversicherung nur gedeckt, wenn der Vertrag sie ausdrücklich einschließt und die Versicherung rechtlich zulässig ist. Ob Bußgelder in Deutschland versicherbar sind, ist umstritten. Viele Bedingungen versichern sie nur, soweit gesetzlich erlaubt. Geschäftsführer sollten sich darauf nicht verlassen.
Nach § 28 BSIG gilt NIS2 für Unternehmen in den Sektoren der Anlagen 1 und 2, die mindestens 50 Beschäftigte haben oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme erreichen. Unternehmen aus Anlage 1 mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme gelten als besonders wichtige Einrichtungen.
Die D&O-Versicherung deckt die Innenhaftung des Geschäftsführers gegenüber der Gesellschaft. Viele Policen enthalten aber Cyber-Ausschlüsse oder Sublimits, schließen Bußgelder aus und entfallen bei wissentlicher Pflichtverletzung. Ob Ansprüche aus § 38 Abs. 2 BSIG gedeckt sind, zeigt nur ein Blick in die konkreten Bedingungen der eigenen Police.
Nach § 32 BSIG muss ein erheblicher Sicherheitsvorfall innerhalb von 24 Stunden nach Kenntnis als frühe Erstmeldung an das BSI gehen. Innerhalb von 72 Stunden folgt die Meldung mit erster Bewertung, spätestens einen Monat danach die Abschlussmeldung. Parallel verlangen Cyberversicherer eine unverzügliche Schadenanzeige nach ihren Bedingungen.
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, einen Tag nach seiner Verkündung im Bundesgesetzblatt. Es gibt keine allgemeine Übergangsfrist. Die Pflichten aus dem BSIG gelten ab Inkrafttreten. Für die Registrierung beim BSI räumt § 33 BSIG drei Monate ab dem Zeitpunkt ein, zu dem das Unternehmen erstmals als betroffene Einrichtung gilt. Für Unternehmen, die schon bei Inkrafttreten betroffen waren, lief diese Frist im März 2026 ab.
Dieser Beitrag ist eine allgemeine Information und keine auf Ihre persönliche Situation bezogene Beratung.
