Auch bekannt als: D and O, Persönliche Haftung
- § 43 GmbHG
- § 93 AktG
- § 38 NIS2UmsuCG
- Art. 5 Abs. 2 DSGVO
Sorgfaltsmaßstab
Geschäftsführer einer GmbH haften nach § 43 GmbHG für die Sorgfalt eines ordentlichen Geschäftsmanns. Vorstände einer AG haften nach § 93 AktG für die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters. Cybersicherheit ist seit langem Bestandteil dieser Sorgfaltspflicht. Bereits 2010 hat Thomas Kolb dazu auf der Cebit referiert.
Mit NIS2 ist die Pflicht ausdrücklich gesetzlich verankert. § 38 NIS2UmsuCG verpflichtet die Leitung wesentlicher und wichtiger Einrichtungen, die Risikomanagementmaßnahmen zu billigen, deren Umsetzung zu überwachen und an Schulungen teilzunehmen. Eine Delegation auf die IT-Leitung entlastet die Geschäftsleitung nicht.
Persönliche Haftung
Ein erfolgreicher Cyberangriff allein löst noch keine persönliche Haftung aus. Haftungsauslösend sind organisatorische Versäumnisse: fehlendes Risikomanagement, keine Notfallpläne, fehlende Schulungen, keine wirksamen TOM, unzureichendes Monitoring der IT-Sicherheit, kein Berichtswesen aus der IT in die Geschäftsleitung.
Schäden, die die Gesellschaft erleidet, können über Innenhaftung beim Geschäftsführer geltend gemacht werden. Bei AGs ist die Geltendmachung durch den Aufsichtsrat zwingend, wenn Anhaltspunkte für eine Pflichtverletzung vorliegen.
Sanktionen nach NIS2
NIS2 sieht über die zivilrechtliche Haftung hinaus persönliche Sanktionen gegen Leitungspersonen vor. Dazu zählen eigene Geldbußen und in schweren Fällen ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen. Damit wird die Verantwortung für Cybersicherheit zur persönlichen Risikoposition.
Schutzmaßnahmen für die Geschäftsleitung
Die wirksame Verteidigung gegen persönliche Haftung besteht in der nachweisbaren Erfüllung der Sorgfaltspflicht: dokumentiertes Risikomanagement, verabschiedete Richtlinien, dokumentierte Schulungsteilnahme, dokumentierte regelmäßige Berichte aus der IT, externe Audits, ein geprüfter Notfallplan und der Abschluss einer D-and-O-Versicherung.
Wesentlich ist die Dokumentation. Wer im Streitfall nicht belegen kann, dass er sich mit dem Thema befasst hat, trägt das Beweisrisiko.
Häufige Fragen
Häufige Fragen
- Reicht es, einen CISO zu benennen
- Nein. Die Geschäftsleitung bleibt verantwortlich. Sie kann Aufgaben delegieren, muss aber Auswahl, Anleitung und Überwachung sicherstellen und das Thema regelmäßig in der Geschäftsleitung behandeln.
- Hilft eine D-and-O-Versicherung im Cyberfall
- Sie kann die Vermögensschäden der Leitungsperson abfedern, aber nicht alle Konstellationen. Vorsätzliche Pflichtverletzungen und Bußgelder gegen die Person sind in vielen Policen ausgeschlossen.
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
