Haftung entsteht durch fehlende Nachweise: Was Ihre Geschäftsführung bei Cybersicherheit belegen muss

Seit Dezember 2025 ist Cybersicherheit für viele Unternehmen per Gesetz Chefsache. Die Geschäftsleitung muss Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen – und haftet bei Pflichtverletzungen persönlich. Das eigentliche Risiko ist dabei selten der Angriff allein, sondern die Frage danach: Können Sie belegen, dass Sie hingeschaut haben?

Was das Gesetz verlangt

Mit dem NIS2-Umsetzungsgesetz ist im BSI-Gesetz ein neuer § 38 in Kraft getreten. Er richtet sich ausdrücklich an die Geschäftsleitung von Unternehmen, die unter NIS2 fallen, und enthält drei Pflichten:

• Billigen: Die Geschäftsleitung muss die Maßnahmen zum Cyber-Risikomanagement selbst genehmigen.
• Überwachen: Sie muss die Umsetzung dieser Maßnahmen kontrollieren – nicht einmalig, sondern laufend.
• Schulen: Sie muss regelmäßig persönlich an Schulungen zur Cybersicherheit teilnehmen.

Delegieren lässt sich die Umsetzung, nicht die Verantwortung. „Das macht unsere IT“ reicht als Antwort nicht mehr aus.

Wie die Haftung funktioniert

Verletzt die Geschäftsleitung diese Pflichten, haftet sie gegenüber dem eigenen Unternehmen für den entstandenen Schaden – nach den bekannten Regeln des Gesellschaftsrechts, bei der GmbH also nach § 43 GmbHG, bei der AG nach § 93 AktG.

Das ist keine Haftung gegenüber Kunden oder Geschäftspartnern, sondern eine Innenhaftung. In der Praxis wird sie relevant, wenn nach einem schweren Vorfall Gesellschafter, ein neuer Geschäftsführer, ein Insolvenzverwalter oder eine Versicherung prüfen, ob die Unternehmensleitung ihre Pflichten erfüllt hat. Dann zählt nicht, was gemacht wurde, sondern was sich belegen lässt.

Auch ohne NIS2: Sorgfalt war schon immer Pflicht

Viele kleinere Unternehmen fallen nicht direkt unter NIS2. Für sie gilt § 38 BSIG nicht – wohl aber die allgemeine Sorgfaltspflicht eines ordentlichen Geschäftsleiters, die es schon lange gibt. Wer nach einem Ransomware-Angriff erklären muss, warum Systeme seit Monaten ungepatcht waren oder die Datensicherung nie getestet wurde, steht vor derselben Frage wie ein NIS2-Unternehmen.

Hinzu kommt: Viele NIS2-pflichtige Unternehmen müssen auch die Sicherheit ihrer Lieferkette beachten. Wer Zulieferer oder Dienstleister großer Unternehmen ist, wird zunehmend nach seinen eigenen Nachweisen gefragt – ob er selbst unter NIS2 fällt oder nicht.

Welche Nachweise Sie brauchen

Haftungsrisiken entstehen vor allem dort, wo Steuerung und Dokumentation fehlen. Die folgenden Nachweise sollte jede Geschäftsführung im Ernstfall vorlegen können:

Auffällig ist: Ein großer Teil dieser Nachweise entsteht nicht in der Chefetage, sondern im laufenden IT-Betrieb. Die Geschäftsführung trägt die Verantwortung – die Belege dafür liefert in vielen Fällen der IT-Dienstleister.

Was Sie von Ihrem IT-Dienstleister erwarten sollten

Gute IT-Betreuung zeigt sich nicht nur daran, dass Systeme laufen, sondern daran, dass sich ihr Zustand jederzeit belegen lässt. Fragen Sie Ihren Dienstleister:

• Bekommen wir regelmäßig einen Bericht, welche Sicherheitsupdates eingespielt wurden – und welche nicht?
• Wann wurde zuletzt eine Wiederherstellung aus der Datensicherung tatsächlich getestet, und ist das protokolliert?
• Ist dokumentiert, wer von außen auf unsere Systeme zugreifen kann, auch Ihre eigenen Fernwartungszugänge?
• Werden Angriffsversuche erkannt und dokumentiert?
• Wer meldet uns einen Sicherheitsvorfall, und wie schnell?

Wie wir das bei unseren Kunden umsetzen

Für uns gehört die Nachweisbarkeit zur IT-Betreuung dazu. Bei Kunden mit entsprechendem Servicevertrag entstehen viele der genannten Belege im laufenden Betrieb:

• Patchmanagement: Sicherheitsupdates spielen wir strukturiert und zeitnah ein und dokumentieren sie – denn Patchen ist unerlässlich, und manchmal kommt der Angriff sogar vor dem Patch.
• Datensicherung: Unsere 3-2-1-1-0-Strategie sieht regelmäßige, automatisierte Wiederherstellungstests ausdrücklich vor – die „0“ steht für null Fehler bei diesen Tests. Ein Backup, das sich im Ernstfall nicht wiederherstellen lässt, existiert praktisch nicht.
• Angriffserkennung: Unsere Active-Defense-Pipeline erkennt Angriffe auf VPN-Zugänge und sperrt angreifende Adressen automatisch – nachvollziehbar protokolliert.

Welche Nachweise in Ihrem Fall bereits Teil der Betreuung sind und welche sich ergänzen lassen, klären wir gern gemeinsam mit Ihnen.

Ob Ihr Unternehmen unter NIS2 fällt, haben wir in unserem Beitrag NIS2 für KMU in Baden-Württemberg eingeordnet.

Unser Fazit

Kein Gesetz verlangt, dass ein Unternehmen nie angegriffen wird. Verlangt wird, dass die Geschäftsleitung Risiken kennt, Maßnahmen beschließt und deren Umsetzung überwacht – und das im Zweifel belegen kann. Wer diese Nachweise heute strukturiert sammelt, ist im Ernstfall auf der sicheren Seite. Wer erst nach dem Vorfall danach sucht, findet sie meist nicht mehr.

Grundlage: § 38 BSI-Gesetz in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (in Kraft seit Dezember 2025). Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung.

Quellen & weiterführende Links

• Security-Insider

  Cybersicherheit wird für Vorstände zur Haftungsfrage (9. Oktober 2026)