Geschäftsleiterhaftung für Cybersicherheit: Bedeutung und Definition

Definition: Nach den NIS-2-Regeln müssen die Geschäftsleitungen betroffener Einrichtungen die Maßnahmen zum Cybersicherheits-Risikomanagement selbst billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzen sie diese Pflichten, haften sie gegenüber der Einrichtung persönlich.

Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen; bei schuldhafter Pflichtverletzung haften sie der Einrichtung nach den gesellschaftsrechtlichen Regeln (§ 38 BSIG, Art. 20 RL (EU) 2022/2555). Zudem müssen sie regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können. Daneben bleibt die allgemeine Sorgfaltspflicht von Geschäftsführern und Vorständen bestehen (§ 43 GmbHG, § 93 AktG), die auch ein angemessenes Risikomanagement umfasst.

Bedeutung für Sie

Cybersicherheit kann nicht vollständig an die IT-Abteilung delegiert werden. Dokumentieren Sie Beschlüsse der Geschäftsleitung zu Sicherheitsmaßnahmen, die Überwachung ihrer Umsetzung und die besuchten Schulungen.

Mehr dazu: NIS2 umsetzen

Rechtsgrundlagen

• § 38 BSIG Normtext § 38 BSIG (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• § 30 BSIG Normtext § 30 BSIG (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• Art. 20 RL (EU) 2022/2555 Normtext Art. 20 RL (EU) 2022/2555 (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• § 43 GmbHG Normtext § 43 GmbHG (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)
• § 93 AktG Normtext § 93 AktG (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)