NIS 2 für Geschäftsführer: Pflichten, Nachweise und Sanktionen

Ab 1. Oktober 2026 macht das NISG 2026 Cybersicherheit für wesentliche und wichtige Einrichtungen zur Leitungsaufgabe. Leitungsorgane müssen dann die Einhaltung der Risikomanagementmaßnahmen nach § 32 sicherstellen und beaufsichtigen. Außerdem müssen sie an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen. Das ist keine pauschale persönliche Erfolgshaftung für jeden Cybervorfall. Entscheidend sind klare Zuständigkeiten, nachvollziehbare Aufsicht und dokumentierte Entscheidungen.

Rechtsstand: 27.08.2026. Das NISG 2026 tritt am 1. Oktober 2026 in Kraft; vor einer Veröffentlichung ab diesem Tag sind RIS-Fassung und einschlägige Verordnungen erneut zu prüfen.

Was § 31 vom Leitungsorgan verlangt

§ 31 NISG 2026 nennt drei Aufgaben, die im Board-Kalender und in der Governance sichtbar werden sollten:

1. die Einhaltung der Maßnahmen nach § 32 sicherstellen;
2. deren Einhaltung beaufsichtigen;
3. an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen.

Die operative Umsetzung kann bei IT, Informationssicherheit, Risikomanagement, Einkauf oder externen Dienstleistern liegen. Die Leitungsaufgabe verschwindet dadurch nicht. Eine brauchbare Governance zeigt deshalb nicht nur, wer einzelne Kontrollen betreibt. Sie zeigt auch, welche Informationen das Leitungsorgan erhält, welche Entscheidungen es trifft und wie offene Mängel nachverfolgt werden. Ausgangspunkt dafür sind die zu beaufsichtigenden Maßnahmen nach § 32.

Governance- und Eskalationsmatrix

Die Beispiele in der dritten Spalte sind mögliche Organisationsnachweise, keine gesetzlich abschließende Dokumentenliste.

Welche Informationen auf den Tisch der Geschäftsführung gehören

Ein Board-Bericht muss nicht jedes technische Detail enthalten. Er sollte aber Entscheidungen ermöglichen. Dazu gehören typischerweise:

• aktuelle Risikoexposition und wesentliche Änderungen;
• Status der Maßnahmenfelder nach § 32;
• kritische Abhängigkeiten und unmittelbare Anbieter;
• erhebliche Vorfälle, Beinahe-Vorfälle und wiederkehrende Schwachstellen;
• überfällige Maßnahmen mit Risiko, Owner und Termin;
• Wirksamkeitstests, Auditfeststellungen und Ausnahmen;
• Schulungsstatus von Leitungsorgan und relevanten Mitarbeitergruppen;
• Entscheidungen, die Budget, Risikoakzeptanz oder Leistungsumfang betreffen.

Die Frequenz richtet sich nach Risiko und Veränderung. Ein schwerer Vorfall, eine kritische Schwachstelle oder ein wesentlicher Anbieterwechsel gehört nicht in die Warteschleife bis zum nächsten Standardbericht. Der Melde- und Incident-Prozess muss deshalb rechtzeitig in die Leitungseskalation eingebunden sein.

Vier konkrete Governance-Schritte

1. Betroffenheit und Leitungsorgan festhalten

Zuerst muss geklärt sein, welche Rechtsträger als wesentliche oder wichtige Einrichtungen einzustufen sind und welche Personen als Leitungsorgane handeln. Diese Einordnung darf nicht allein aus einer Kundenanfrage oder Konzernzugehörigkeit abgeleitet werden; maßgeblich sind die gesetzlichen Kriterien der §§ 24 bis 26.

2. §-32-Verantwortung zuordnen

Für jedes Maßnahmenfeld braucht es einen operativen Owner, eine berichtende Funktion und einen Entscheidungspunkt für die Leitung. Eine RACI-Matrix kann helfen, ersetzt aber weder Risikoanalyse noch fachliche Prüfung.

3. Aufsicht als wiederkehrenden Prozess organisieren

Berichte sollten Abweichungen sichtbar machen. Das Leitungsorgan muss erkennen können, was erfüllt, offen, akzeptiert oder eskaliert ist. Entscheidungen und Wiedervorlagen gehören protokolliert.

4. Schulung auf die Leitungsrolle zuschneiden

§ 31 verlangt spezifisch gestaltete Cybersicherheitsschulungen für Leitungsorgane. Für die Leitung sind daher insbesondere Risikolage, gesetzliche Aufgaben, Entscheidungsfälle, Vorfallseskalation, Lieferkettenrisiken und Aussagekraft von Nachweisen relevant. Die Schulung sollte sich von allgemeinem Mitarbeiter-Awareness-Training unterscheiden. Termine und Abhängigkeiten lassen sich ergänzend im NISG-Fahrplan für Governance-Aufgaben einordnen.

Geldstrafen: gegen wen und in welcher Höhe?

Die hohen Strafrahmen des § 45 Abs. 2 und 3 betreffen Verwaltungsübertretungen wesentlicher beziehungsweise wichtiger Einrichtungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes bei wesentlichen Einrichtungen sowie bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen – jeweils der höhere Betrag.

Diese Beträge dürfen nicht verkürzt als automatische persönliche Geldstrafe für Geschäftsführer dargestellt werden. § 44 regelt, unter welchen Voraussetzungen Geldstrafen gegen juristische Personen oder eingetragene Personengesellschaften verhängt werden können. Von der Bestrafung eines Verantwortlichen nach § 9 VStG ist abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person oder Personengesellschaft verhängt wird.

Ob daneben gesellschafts-, arbeits-, zivil- oder versicherungsrechtliche Folgen bestehen, hängt vom Einzelfall und anderen Rechtsgrundlagen ab. Diese Fragen beantwortet das NISG 2026 nicht pauschal.

Die vorübergehende Untersagung ist kein allgemeines Berufsverbot

§ 39 sieht eine Eskalationskette vor:

1. Die Cybersicherheitsbehörde kann unter Fristsetzung Maßnahmen anordnen.
2. Folgt die Einrichtung der Aufforderung nicht, trägt die Behörde die nachweisliche Umsetzung mit Bescheid und angemessener Frist auf.
3. Erst wenn eine wesentliche Einrichtung diesem Bescheid nicht fristgerecht und nachweislich nachkommt, kann die Behörde einem Leitungsorgan oder rechtlichen Vertreter vorübergehend untersagen, Leitungsaufgaben in dieser wesentlichen Einrichtung wahrzunehmen.
4. Die Untersagung ist unverzüglich aufzuheben, sobald die angeordneten Maßnahmen nachweislich ergriffen wurden.

Die Maßnahme betrifft somit nicht jede wichtige Einrichtung, nicht jeden Verstoß und nicht jede berufliche Tätigkeit. Alarmistische Kurzfassungen wie „NIS 2 bringt Berufsverbote für Geschäftsführer“ lassen die gesetzlichen Voraussetzungen weg. Nach § 39 Abs. 6 gelten diese vorübergehenden Aussetzungen und Untersagungen außerdem nicht für Behörden und sonstige Stellen der öffentlichen Verwaltung einschließlich Gebietskörperschaften und privatrechtlich eingerichteter Stellen der öffentlichen Verwaltung.

Eskalationstabelle

Board-Checkliste

• Direkte NISG-Einstufung und betroffene Rechtsträger sind dokumentiert.
• Leitungsorgane und operative Rollen sind eindeutig benannt.
• Für alle §-32-Felder gibt es Status, Owner und Evidenz.
• Wesentliche Cyberrisiken und akzeptierte Restrisiken sind nachvollziehbar beschlossen.
• Abweichungen, Fristen und Eskalationen werden verfolgt.
• Lieferkettenrisiken und kritische unmittelbare Anbieter sind im Reporting enthalten.
• Incident-Eskalation erreicht die Leitung rechtzeitig.
• Die spezifische Schulung der Leitungsorgane ist geplant und dokumentiert.
• Mitarbeiter erhalten regelmäßige, passende Schulungen.
• Selbstdeklaration und mögliche unabhängige Nachweise haben Datenowner und Reviewprozess.

Primärquellen je Rechtsclaim