NIS2 Geschäftsführerhaftung: Was die Leitung jetzt trifft

Viele Geschäftsführer lesen NIS2 als reines IT-Thema. Dennoch ist das ein Irrtum. Nämlich rückt die NIS2 Geschäftsführerhaftung die Verantwortung nach oben. Und zwar in die Leitung. Zudem gilt in Österreich seit 1. Oktober 2026 das NISG 2026. Folglich nimmt es Geschäftsführer und Vorstände direkt in die Pflicht. Deshalb muss die Leitung die Cybersicherheitsmaßnahmen freigeben und überwachen, nicht die IT-Abteilung.

Dieser Beitrag zeigt, was das konkret heißt. Zunächst klären wir die neuen Pflichten. Danach geht es um die persönliche Haftung. Zuletzt um Strafen und die Grenzen der Delegation. Somit erhalten Sie einen nüchternen Überblick, keinen Alarm. Denn wer die NIS2 Geschäftsführerhaftung früh versteht, handelt ruhig statt hektisch. Außerdem spart er sich teure Fehler.

Was die NIS2 Geschäftsführerhaftung bedeutet

Die NIS2 Geschäftsführerhaftung beschreibt eine klare Verschiebung. Nämlich liegt die Verantwortung für Cybersicherheit jetzt ausdrücklich bei der Leitung. Früher galt Cybersicherheit oft als reine IT-Aufgabe. Hingegen nimmt das Gesetz heute die Leitungsorgane ausdrücklich in die Pflicht (§ 31 NISG 2026). Damit ist der Geschäftsführer einer GmbH gemeint. Ebenso der Vorstand einer AG. Somit müssen beide die Risikomanagementmaßnahmen sicherstellen und beaufsichtigen.

Grundlage ist Artikel 20 der NIS2-Richtlinie, in Österreich § 31 NISG 2026. Das Gesetz wurde im Dezember 2025 kundgemacht und gilt seit 1. Oktober 2026. Die offiziellen Informationen dazu bündelt die nationale Behörde nis.gv.at. Den europäischen Rahmen finden Sie hingegen in der Richtlinie 2022/2555.

Wen die Pflicht trifft

Die Pflicht trifft die Leitung betroffener Einrichtungen. Betroffen sind Einrichtungen bestimmter Sektoren ab einer Mindestgröße. Ob Ihr Betrieb dazugehört, hängt vom Sektor und der Größe ab. Wie Sie das prüfen, zeigt unser Beitrag zur NIS2-Betroffenheit. Sind Sie betroffen, greift die NIS2 Geschäftsführerhaftung in vollem Umfang. Sind Sie es nicht, entfällt hingegen die direkte Pflicht. Ganz verschwindet das Thema jedoch selten.

Zwei Stufen, ein Prinzip

NIS2 kennt wesentliche und wichtige Einrichtungen. Dennoch gilt für die Haftung der Leitung in beiden Fällen dasselbe Prinzip. Zunächst billigt die Leitung die Maßnahmen. Danach überwacht sie die Umsetzung. Der Unterschied liegt vor allem in der Aufsicht. Nämlich werden wesentliche Einrichtungen strenger kontrolliert. Trotzdem sollten wichtige Einrichtungen nicht abwarten. Denn die persönliche Verantwortung ist bei beiden verankert. Deshalb ordnen wir die Einstufung im Rahmen unserer NIS2-Beratung ein.

Billigen und Überwachen: die zentrale Leitungspflicht

Die zentrale Pflicht steckt in zwei Worten. Nämlich billigen und überwachen. Zunächst muss die Leitung die Cybersicherheitsmaßnahmen ausdrücklich genehmigen. Danach muss sie deren Umsetzung überwachen. So formuliert es Artikel 20 NIS2. In Österreich verlangt § 31 Abs. 1 NISG 2026, dass die Leitung die Einhaltung der Maßnahmen sicherstellt und beaufsichtigt. Somit wird die NIS2 Geschäftsführerhaftung zur laufenden Aufgabe. Folglich reicht ein einmaliges Häkchen nicht aus.

Was Billigung konkret heißt

Billigen bedeutet mehr als ein Nicken. Vielmehr muss die Leitung die Maßnahmen verstehen und formell freigeben. Dazu gehört das Budget für die Umsetzung. Ebenso die Zuständigkeiten und die Prioritäten. Die inhaltliche Basis liefert § 32 NISG 2026 (Artikel 21 der Richtlinie). Nämlich listet er die technischen und organisatorischen Themen auf. Was dort steht, erklären wir im Beitrag zu den NIS2-Maßnahmen nach Artikel 21. Zudem deckt ein bestehendes ISMS nach ISO 27001 viele dieser Punkte bereits ab.

Was Überwachung konkret heißt

Überwachen heißt dranbleiben. Deshalb muss die Leitung regelmäßig wissen, wie es um die Sicherheit steht. Dafür braucht sie ein Reporting. Also feste Berichte aus der IT oder vom Sicherheitsverantwortlichen. Ein Quartalsrhythmus ist ein guter Richtwert. Zudem sollte die Leitung offene Risiken kennen. Ebenso die Fortschritte bei deren Behebung. Genau hier hilft ein externer Blick. Somit liefert ein Virtual CISO das Reporting in einer Sprache, die die Leitung versteht.

Ein Beispiel macht das greifbar. Angenommen, ein Vorstand gibt einmal jährlich ein Budget frei und hakt das Thema ab. Passiert dann ein Vorfall, fehlt jeder Nachweis einer Überwachung. Folglich wertet die Behörde genau das als Pflichtverletzung. Denn die Aufsicht muss laufend sein. Dennoch hätte ein kurzes Quartalsprotokoll hier viel gerettet. Deshalb gilt: Wer billigt, muss auch überwachen. Somit gehört beides untrennbar zusammen.

Halten Sie daher beide Schritte schriftlich fest. Nämlich ist ein Beschluss ins Protokollbuch die einfachste Form. Er nennt Datum, Maßnahmen, Budget und Berichtsintervall. Damit hat die Leitung einen belastbaren Nachweis. Somit stärkt der Beschluss die eigene Position im Aufsichtsverfahren. Zudem ist er der wichtigste Entlastungsbeleg. Hingegen steht im Ernstfall mit leeren Händen da, wer nichts dokumentiert.

Ein zweiter Punkt wird oft übersehen. Nämlich die Sicherheit in der Lieferkette. Denn die Leitung muss auch die Risiken durch Dienstleister im Blick behalten. Ein ausgelagerter IT-Betrieb entlässt Sie deshalb nicht aus der Pflicht. Vielmehr müssen Sie prüfen, ob der Partner sicher arbeitet. Somit gehört die Auswahl und Kontrolle von Lieferanten zur Aufsicht dazu. Das verlangt § 32 Abs. 4 lit. d NISG 2026.

Schulungspflicht der Leitung

NIS2 verlangt eine eigene Schulung für die Leitung. Nämlich steht das in § 31 Abs. 2 NISG 2026. Somit müssen die Mitglieder der Leitung an Schulungen teilnehmen. Ein festes Intervall nennt das Gesetz nicht. Bewährt hat sich eine Auffrischung, wenn sich die Bedrohungslage oder die Maßnahmen wesentlich ändern. Diese Pflicht ist neu und oft unterschätzt. Denn sie trifft die Leitung selbst, nicht die Belegschaft.

Warum die Leitung geschult werden muss

Der Grund ist einfach. Wer Maßnahmen billigt, muss sie beurteilen können. Zunächst soll die Leitung Cyberrisiken erkennen. Danach soll sie die Risikomanagementmaßnahmen bewerten. Ebenso soll sie deren Wirkung auf das Geschäft einschätzen. Ohne Grundwissen ist das kaum möglich. Deshalb macht das Gesetz die Schulung zur Pflicht. Somit ist sie die Basis für eine echte Billigung. Zudem schützt sie die Leitung vor dem Vorwurf der Unkenntnis.

Was eine gute Schulung leistet

Eine gute Leitungsschulung bleibt praxisnah. Zunächst erklärt sie die eigenen Pflichten unter NIS2. Danach zeigt sie typische Angriffswege. Zudem macht sie klar, welche Fragen die Leitung dem Team stellen sollte. Reine Technik hilft der Leitung hingegen wenig. Vielmehr liegt der Fokus auf Verantwortung und Entscheidung. Genau darauf zielt auch unser Ansatz bei der Security Awareness. Denn Bewusstsein an der Spitze wirkt nach unten.

Die Schulung ist zudem ein Haftungsthema. Denn wer die Schulung unterlässt, begeht eine Verwaltungsübertretung (§ 45 Abs. 1 NISG 2026). Somit kehrt sich die Logik um. Nämlich entlastet fehlendes Wissen nicht. Vielmehr belastet es. Deshalb sollten Sie die Teilnahme dokumentieren. Ein Zertifikat oder ein Teilnahmenachweis genügt. Somit belegen Sie, dass die Leitung ihre Pflicht ernst nimmt. Folglich zahlt das direkt auf die NIS2 Geschäftsführerhaftung ein.

Wann Sie persönlich haften

Persönlich haftet die Geschäftsführung vor allem gegenüber der eigenen Gesellschaft, und zwar bei einer Pflichtverletzung. Also wenn Sie die Maßnahmen nicht billigen. Ebenso wenn Sie ihre Umsetzung nicht überwachen. Oder Ihre Schulungspflicht ignorieren. In diesen Fällen greift die NIS2 Geschäftsführerhaftung. Nämlich knüpft sie an den allgemeinen Sorgfaltsmaßstab an. Und der ist im österreichischen Recht streng.

Der Maßstab: Sorgfalt eines ordentlichen Geschäftsmanns

Für die GmbH gilt Paragraf 25 GmbHG. Nämlich verlangt er die Sorgfalt eines ordentlichen Geschäftsmanns. Verletzt ein Geschäftsführer diese Sorgfalt, haftet er der Gesellschaft auf Schadenersatz. Zudem schärft NIS2 diesen Maßstab im Bereich Cybersicherheit nach. Denn nun ist gesetzlich klar, was zur Sorgfalt gehört. Nämlich das Billigen und Überwachen der Maßnahmen. Wer das unterlässt, verletzt somit die Sorgfalt. Folglich öffnet er die Tür für einen Innenregress der Gesellschaft.

Wie ein Schaden zum Regress wird

Nehmen wir einen Ransomware-Angriff. Zunächst legt er den Betrieb für zwei Wochen lahm. Danach zeigt die Analyse: Ein bekanntes Update fehlte seit Monaten. Nämlich hatte die Leitung das Budget dafür nie freigegeben. Der Schaden liegt bei mehreren hunderttausend Euro. Somit kann die Gesellschaft die Leitung in Regress nehmen. Denn die Pflicht zur Überwachung wurde verletzt. Genau solche Fälle machen die persönliche Haftung real. Wie Sie sich vorbereiten, zeigt hingegen unser Beitrag zu Ransomware Readiness.

Die Haftung bleibt zudem bei Delegation bestehen. Nämlich trägt selbst die Aufsichtspflicht weiter, wer Aufgaben an die IT oder an Externe abgibt. Das gilt vor allem für die Haftung gegenüber der Gesellschaft. Deshalb schützt ein guter Dienstleister nicht vor der eigenen Verantwortung. Vielmehr verringert er nur das Risiko. Ein externer CISO übernimmt zwar die Steuerung. Dennoch bleiben die Billigung und die Aufsicht bei der Leitung. Genau darauf zielt die NIS2 Geschäftsführerhaftung.

Wichtig ist der Unterschied zwischen zwei Ebenen. Zunächst die Geldstrafe, die sich vorrangig gegen das Unternehmen richtet (§ 44 NISG 2026). Danach der Innenregress durch die eigene Gesellschaft. Beide können nebeneinander stehen. Deshalb reicht es nicht, nur die Behörde im Blick zu haben. Zudem können die eigenen Gesellschafter nach einem Schaden fragen. Somit hilft ein sauberer Nachweis der Sorgfalt gegen beide Risiken.

Strafen und was der Behörde zusteht

Die Strafen unter NIS2 sind spürbar. Zudem sind sie nach Art der Einrichtung gestaffelt. In Österreich führt die Cybersicherheitsbehörde die Aufsicht. Sie kann prüfen und Maßnahmen anordnen. Geldstrafen verhängt auf ihre Anzeige hin die Bezirksverwaltungsbehörde (§ 44 NISG 2026). Bei wesentlichen Einrichtungen sogar ohne konkreten Anlass. Damit hat die Behörde reale Werkzeuge. Folglich bekommt die NIS2 Geschäftsführerhaftung Zähne.

Die Strafrahmen im Überblick

Bei den Prozentsätzen zählt der jeweils höhere Wert. Somit trifft die Strafe größere Betriebe härter. Die Details zu den einzelnen Verstößen erklärt hingegen unser Beitrag zu den NIS2-Sanktionen und Strafen. Wichtig ist zudem der Zeitplan der Pflichten. Zunächst ist die Registrierung bis 31. Dezember 2026 fällig. Danach folgt die Selbstdeklaration bis 30. September 2027.

Mehr als Geld: Maßnahmen gegen die Leitung

Die Behörde kann mehr als Geldstrafen verhängen. Nämlich darf sie bei wesentlichen Einrichtungen die Leitung direkt adressieren. Möglich sind zunächst Aufforderungen mit Frist und Bescheide. In schweren Fällen folgt sogar ein befristetes Tätigkeitsverbot für die Leitungsperson. Damit kann ein Geschäftsführer zeitweise aus seiner Funktion gedrängt werden. Somit ist das die schärfste Form der NIS2 Geschäftsführerhaftung. Ebenso zeigt sie, wie ernst der Gesetzgeber die Sache nimmt. Zahlen und Fristen dazu finden Sie zudem bei der WKO-Übersicht zum NISG 2026.

Ein Punkt entlastet hingegen viele KMU. Denn die Behörde straft nicht bei jedem kleinen Mangel. Vielmehr ist der Maßstab die Schwere der Pflichtverletzung. Wer nachweislich einen soliden Prozess führt, steht somit deutlich besser da. Genau deshalb lohnt die Vorbereitung. Nämlich senkt ein sauberes Vorgehen das Strafrisiko spürbar. Zudem stärkt es die Position der Leitung im Aufsichtsverfahren.

Auch die Meldepflicht spielt in die Haftung hinein. Denn nach einem Vorfall läuft die Uhr. Nämlich ist eine erste Meldung binnen 24 Stunden fällig. Versäumt die Leitung das, kommt zum Schaden folglich noch ein eigener Verstoß. Deshalb gehört ein klarer Meldeprozess zur Vorsorge. Wer weiß, wer wann was meldet, verliert im Ernstfall keine Zeit. Somit schützt ein guter Prozess vor einer zweiten, vermeidbaren Pflichtverletzung.

Delegation und ihre Grenzen

Delegation ist erlaubt und sinnvoll. Dennoch hat sie eine harte Grenze. Zwar darf die Leitung die Umsetzung abgeben. Hingegen bleibt die Verantwortung dafür oben. Genau das macht die NIS2 Geschäftsführerhaftung aus. Nämlich lässt sie sich nicht per Auftrag weiterreichen. Wer das glaubt, unterschätzt somit das Gesetz.

Was Sie delegieren dürfen

Delegieren dürfen Sie die operative Arbeit. Also die Konfiguration der Systeme. Ebenso das Patch-Management und die Überwachung der Technik. Auch die Erstellung von Konzepten lässt sich abgeben. Dafür gibt es interne Rollen oder externe Partner. Beispielsweise deckt ein IT-Security-Audit Lücken auf, die die IT dann schließt. Somit bleibt die Leitung informiert, ohne alles selbst zu tun.

Was bei Ihnen bleibt

Bei Ihnen bleiben drei Dinge. Zunächst die Billigung der Maßnahmen. Danach die Überwachung der Umsetzung. Schließlich die eigene Schulung. Diese drei Punkte sind nicht delegierbar. Vielmehr sind sie der harte Kern der Leitungspflicht. Deshalb muss die Leitung Berichte einfordern und lesen. Zudem muss sie Prioritäten setzen und Budgets freigeben. Ein Dienstleister kann zwar vorbereiten und beraten. Entscheiden und verantworten muss hingegen die Leitung selbst.

Gerade für KMU ist ein externer Partner oft der beste Weg. Denn interne Ressourcen fehlen häufig. Somit übernimmt ein virtueller CISO die Steuerung und das Reporting. Wann sich das rechnet, zeigt unser Beitrag vCISO: wann für KMU sinnvoll. Die Kosten und Aufgaben eines solchen Modells beschreiben wir zudem unter externer CISO: Kosten und Aufgaben. Somit erfüllt die Leitung ihre Pflicht, ohne intern eine ganze Abteilung aufzubauen.

Ein guter Rahmen entlastet die Leitung dauerhaft. Nämlich bündelt ein strukturiertes ISMS Maßnahmen, Nachweise und Berichte an einem Ort. Damit sieht die Leitung auf einen Blick, wo das Unternehmen steht. Die europäische Cybersicherheitsagentur ENISA stellt dazu praxisnahe Leitfäden bereit. Zudem senkt ein solches System den Aufwand für den Nachweis der Sorgfalt. Somit wird aus einer lästigen Pflicht ein nutzbares Werkzeug. Folglich verliert die NIS2 Geschäftsführerhaftung ihren Schrecken.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was bedeutet die NIS2 Geschäftsführerhaftung konkret?

Sie bedeutet, dass die Leitung die Einhaltung der Cybersicherheitsmaßnahmen sicherstellen und beaufsichtigen muss (§ 31 NISG 2026). Zudem trifft die Leitung eine eigene Schulungspflicht. Bei einer Pflichtverletzung kann die Geschäftsführung der Gesellschaft nach § 25 GmbHG auf Schadenersatz haften. Diese Verantwortung liegt ausdrücklich oben, nicht in der IT-Abteilung.

Kann ich die Verantwortung an die IT oder einen Dienstleister abgeben?

Die operative Umsetzung dürfen Sie delegieren. Die Billigung, die Überwachung und die eigene Schulung bleiben jedoch bei der Leitung. Diese Kernpflichten sind nicht delegierbar. Ein externer CISO unterstützt Sie dabei, ersetzt die Verantwortung der Leitung aber nicht.

Muss ich mich als Geschäftsführer wirklich selbst schulen lassen?

Ja. § 31 Abs. 2 NISG 2026 verlangt eine Schulung der Leitung. Ein festes Intervall nennt das Gesetz nicht. Die Schulung soll Sie befähigen, Cyberrisiken zu erkennen und die Maßnahmen zu bewerten. Eine unterlassene Schulung ist eine eigene Verwaltungsübertretung.

Wie hoch sind die Strafen unter dem NISG 2026?

Wesentliche Einrichtungen drohen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Für organisatorische Verstöße wie eine fehlende Registrierung gelten bis zu 50.000 Euro, im Wiederholungsfall bis zu 100.000 Euro.

Kann die Behörde mich als Geschäftsführer absetzen?

Bei wesentlichen Einrichtungen ist das in schweren Fällen möglich. Die Aufsicht kann ein befristetes Tätigkeitsverbot für die Leitungsperson verhängen. Das ist die schärfste Sanktion der NIS2 Geschäftsführerhaftung. In der Praxis setzt sie eine gravierende Pflichtverletzung voraus.

Was ist der wichtigste Nachweis, um mich zu entlasten?

Ein dokumentierter Leitungsbeschluss zur NIS2-Compliance ist der stärkste Beleg. Er nennt Datum, Maßnahmen, Budgetfreigabe und Berichtsintervall. Ergänzen Sie regelmäßige Reportings und einen Schulungsnachweis. Damit belegen Sie, dass Sie Ihre Sorgfaltspflicht ernst genommen haben.

Ab wann gelten diese Pflichten in Österreich?

Das NISG 2026 gilt seit 1. Oktober 2026. Die Registrierung betroffener Einrichtungen ist bis 31. Dezember 2026 fällig. Die Selbstdeklaration folgt bis 30. September 2027. Deshalb sollten Sie die Vorbereitung jetzt starten, denn der Aufbau braucht Monate.

Fazit: Verantwortung lässt sich nicht wegdelegieren

Die NIS2 Geschäftsführerhaftung verankert Cybersicherheit in der Leitung. Billigen, überwachen, schulen: diese drei Pflichten bleiben immer oben. Wer sie ernst nimmt und dokumentiert, senkt sein Risiko deutlich. Ein Leitungsbeschluss, ein festes Reporting und ein Schulungsnachweis sind die Grundlage. Damit steht die Leitung im Aufsichtsverfahren wie im Innenregress deutlich besser da.

Der beste Zeitpunkt für den Aufbau ist jetzt. Denn es ist mehr zu tun, als viele denken. Ein externer Partner nimmt der Leitung die operative Last ab. Die Verantwortung bleibt zwar bei Ihnen. Doch mit dem richtigen Rahmen wird sie zur klaren, planbaren Aufgabe. Gerne unterstützen wir Sie dabei über unseren Kontakt.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren