Seit fast einem Jahr gilt das NIS-2-Umsetzungsgesetz. In Deutschland ist bislang kein einziges Bußgeld öffentlich bekannt und kein Fall, in dem eine Geschäftsführerin oder ein Geschäftsführer persönlich gehaftet hat. Wer daraus Entwarnung ableitet, schaut in die falsche Richtung.

In vielen Gesprächen mit Unternehmern fällt derzeit ein Satz: „Bisher ist doch nichts passiert.“ Der Satz ist nicht falsch. Er beantwortet nur die falsche Frage. Die richtige lautet: Was geschieht, wenn ein Betrieb nach einem Cyberangriff in Schieflage gerät und jemand von außen prüft, ob die Geschäftsleitung alles Gebotene getan hat?

Was heute bekannt ist

  • NIS2 gilt: Das Gesetz ist am 6. Dezember 2025 ohne allgemeine Übergangsfrist in Kraft getreten. Risikomanagement- und Meldepflichten gelten seitdem, für die Registrierung beim BSI blieben drei Monate.
  • Registrierung: Bis Ende September 2026 haben sich 20.141 Einrichtungen registriert, deutlich weniger als die geschätzten rund 29.500. Ob das eine echte Lücke ist, ist offen: Die Bundesregierung geht nicht davon aus und lässt die Schätzung neu berechnen. Die gesetzliche Frist und die Kulanzfristen des BSI sind verstrichen.
  • Durchsetzung: Nach Presseberichten will das BSI noch im vierten Quartal 2026 Einrichtungen anhören, die sich offensichtlich hätten registrieren müssen. Ab 2027 sollen einzelne Einrichtungen per Anordnung zu Prüfungen verpflichtet werden.
  • Kein Bußgeld, kein Urteil: In Deutschland ist kein NIS2-Bußgeld öffentlich bekannt und kein Fall, in dem eine Führungskraft persönlich belangt wurde. Ein höchstrichterliches Urteil zu den Pflichten der Geschäftsleitung gibt es ebenfalls nicht.

Die Pflichten gelten also, die Aufsicht bereitet die Durchsetzung vor, aber gestraft hat sie in Deutschland bisher nicht.

Warum die Haftung nicht vom BSI kommt

Das BSI-Gesetz verpflichtet die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen, die Maßnahmen zum Risikomanagement umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen (§ 38 BSIG). Die Aufgaben lassen sich verteilen, die Verantwortung nicht. Für die Haftung verweist das Gesetz auf das Gesellschaftsrecht, bei einer GmbH auf § 43 GmbHG: Die Geschäftsführung haftet der eigenen Gesellschaft für den Schaden, den sie schuldhaft verursacht hat.

Das ist der entscheidende Punkt: Diesen Anspruch zieht nicht der Staat ein, ihn macht die Gesellschaft selbst geltend. Solange das Unternehmen läuft, geschieht das selten, in inhabergeführten Betrieben praktisch nie.

Das ändert sich mit einem Schlag, wenn das Unternehmen insolvent wird.

Der Ernstfall: Ein Insolvenzverwalter übernimmt

Dass ein Cyberangriff ein Unternehmen in die Insolvenz treiben kann, ist keine Theorie. Im Frühjahr 2026 stand die Produktion eines Textilveredlers aus Aschaffenburg nach einem Angriff fast sechs Wochen still; im Juli stellte das Unternehmen Insolvenzantrag. 2025 erging es einem Serviettenhersteller aus Euskirchen ähnlich. In beiden Fällen ist uns nichts über ein Fehlverhalten der Geschäftsleitung bekannt. Sie zeigen nur, wie schnell aus einem IT-Ausfall eine Existenzfrage wird.

Mit der Eröffnung des Insolvenzverfahrens übernimmt der Insolvenzverwalter. Er soll für die Gläubiger so viel wie möglich sichern und prüft dazu auch Ansprüche gegen die eigene Geschäftsführung; einen Beschluss der Gesellschafter braucht er dafür nicht. Gründlich zu sein, liegt in seinem Interesse: Verletzt er schuldhaft seine Pflichten, haftet er selbst.

Was vorher niemand angesprochen hat, wird jetzt systematisch geprüft:

  • Gab es eine Risikoanalyse, und hat die Geschäftsleitung sie gebilligt?
  • Gab es ein getestetes Backup und einen Notfallplan?
  • Hat die Geschäftsleitung die Umsetzung überwacht, oder hat sie das Thema an die IT oder einen Dienstleister abgegeben?
  • Wurde nach dem Angriff rechtzeitig geprüft, ob ein Insolvenzgrund vorliegt? Der Antrag ist ohne schuldhaftes Zögern zu stellen, spätestens nach drei Wochen bei Zahlungsunfähigkeit und nach sechs Wochen bei Überschuldung (§ 15a InsO). Das sind Höchstgrenzen, keine Bedenkzeit. Wer auf eine schnelle Wiederherstellung der IT hofft und zögert, riskiert eine Insolvenzverschleppung, und die ist strafbar.
  • Wurden nach Eintritt der Insolvenzreife noch Zahlungen geleistet, die nicht mehr mit der Sorgfalt eines ordentlichen Geschäftsleiters vereinbar waren? Dafür haftet die Geschäftsführung persönlich.

Die Beweislast liegt bei der Geschäftsführung

Hier liegt der Kern, den viele unterschätzen. Im Haftungsprozess muss der Insolvenzverwalter darlegen, dass der Gesellschaft durch ein Verhalten der Geschäftsführung ein Schaden entstanden ist und dieses Verhalten möglicherweise pflichtwidrig war. Dann dreht sich die Last: Die Geschäftsführung muss beweisen, dass sie pflichtgemäß gehandelt hat, dass sie kein Verschulden trifft oder dass der Schaden auch bei richtigem Verhalten eingetreten wäre. So sieht es die ständige Rechtsprechung des Bundesgerichtshofs.

Das gilt auch für Unterlassungen. Wer eine Maßnahme nicht ergriffen hat, muss erklären können, warum, unter Umständen viele Jahre später: Die Ansprüche verjähren in fünf Jahren, gerechnet erst ab Entstehung des Schadens, egal wann jemand davon erfährt.

Wer dann nur sagen kann „Das hatten wir besprochen“, steht schlecht da. Wer belegen kann, wann was mit welcher Begründung entschieden und wie die Umsetzung überprüft wurde, steht deutlich besser.

Das Ob ist Pflicht, das Wie ist Ermessen

Für Unternehmen, die unter NIS2 fallen, gibt es beim Ob keinen Spielraum: Die gesetzlichen Mindestmaßnahmen müssen umgesetzt werden. Die Kosten zählen bei der Frage mit, welcher Aufwand verhältnismäßig ist, einen vollständigen Verzicht rechtfertigen sie nicht. Spielraum besteht beim Wie: welche Lösung, welcher Dienstleister, welche organisatorische Verankerung. Solche Entscheidungen können geschützt sein, wenn sie gut informiert, zum Wohl des Unternehmens und ohne Interessenkonflikt getroffen werden. Belegen lässt sich das später praktisch nur mit Dokumentation.

Und wer nicht unter NIS2 fällt? Auch dann kann das Thema ankommen, über die Lieferkette: Regulierte Kunden geben ihre Anforderungen an ihre Dienstleister weiter, oft samt Nachweis.

Was als Nachweis zählt

Das Gesetz verlangt, die Einhaltung der Maßnahmen zu dokumentieren. Das BSI empfiehlt konkret:

  • die Risikoanalyse, ausdrücklich auch, welche Maßnahmen nicht getroffen werden und warum;
  • jede Entscheidung für oder gegen eine Maßnahme, mit Begründung;
  • Belege dafür, dass die Geschäftsleitung die Umsetzung überwacht hat;
  • die Schulungen der Geschäftsleitung mit Datum, Dauer, Inhalten und Teilnehmenden;
  • die Prüfung, ob das Unternehmen überhaupt betroffen ist, auch bei negativem Ergebnis.

Ende Oktober 2026 hat das BSI zudem ein unverbindliches Curriculum für die Schulung der Geschäftsleitung veröffentlicht. Bemerkenswert ist ein Satz des BSI selbst: Der Schulungsnachweis allein belegt nicht den Lernerfolg.

Das alles ist notwendig. Es hat aber eine Grenze, die man kennen sollte.

Papier zeigt Absicht, nicht Fähigkeit

Ein Notfallplan im Ordner belegt, dass jemand nachgedacht hat, nicht, dass das Unternehmen im Ernstfall danach handeln kann. Ein Backup-Konzept belegt nicht, dass die Wiederherstellung rechtzeitig gelingt. Und eine Zuständigkeit im Organigramm belegt nicht, dass die Person nachts erreichbar ist und weiß, was sie entscheiden darf.

Ein Insolvenzverwalter wird voraussichtlich nicht nur fragen, ob es einen Plan gab, sondern ob er getragen hat. Wer dann zeigen kann, dass die Abläufe vorher unter realistischen Bedingungen erprobt und Schwächen abgestellt wurden, belegt seine Sorgfalt anders als mit einem Ordner.

Wie Check Six unterstützt

Wir beginnen nicht mit einer Checkliste, sondern mit der Frage, was Ihr Unternehmen nicht verlieren darf. Daraus ergibt sich, welche unserer 13 Leistungsbereiche führen. Bei Sorgfalt und Nachweis sind es typischerweise diese:

Den Abschluss bildet die TacEval. Sie prüft in einer realitätsnahen Lage, ob Führung, Zuständigkeiten, Abläufe und Technik zusammenwirken, etwa wenn am Freitagabend die Systeme verschlüsselt sind und der Dienstleister nicht erreichbar ist. In festen Abständen wiederholt, entsteht daraus eine nachvollziehbare Spur der eigenen Sorgfalt.

Eine TacEval ist kein Zertifikat und ersetzt weder ein Audit noch rechtlichen Rat. Sie dokumentiert, dass die Geschäftsleitung nicht nur geplant, sondern geprüft hat, als Nachweis eigener Sorgfalt, nicht als Konformitätsbescheinigung. Welches Gewicht ein Gericht dem beimisst, lässt sich nicht vorhersagen.

Fragen, die Sie sich jetzt stellen sollten

  1. Haben Sie dokumentiert geprüft, ob Ihr Unternehmen unter NIS2 fällt, und wo liegt diese Prüfung?
  2. Wann hat die Geschäftsleitung zuletzt die Maßnahmen zur Informationssicherheit gebilligt, und ist das schriftlich festgehalten?
  3. Wurde die Wiederherstellung aus dem Backup jemals unter Zeitdruck erprobt?
  4. Wer entscheidet nach einem Angriff, und wer prüft parallel die wirtschaftlichen Folgen bis hin zur Insolvenzfrage?
  5. Könnten Sie auch in fünf oder mehr Jahren noch belegen, warum Sie eine Maßnahme heute nicht ergriffen haben?

Fazit

Dass es bislang keine Bußgelder und keine bekannten Haftungsfälle gibt, ist kein Zeichen von Entwarnung. Es zeigt nur, dass die Aufsicht noch im Aufbau ist und dass Haftung woanders entsteht: nicht in der Behörde, sondern im Ernstfall, wenn ein Unternehmen ins Wanken gerät und ein Insolvenzverwalter die Akten öffnet. Dann zählt nicht, was gemeint war, sondern was belegt ist.

Wenn Sie wissen möchten, wo Ihr Unternehmen steht, sprechen Sie uns an: Vertrauliches Erstgespräch.

Hinweis: Dieser Beitrag ordnet die Lage ein und ersetzt keine Rechtsberatung. Check Six erbringt keine Rechts- oder Steuerberatung; für die rechtliche Bewertung Ihres Einzelfalls empfehlen wir eine qualifizierte Fachkanzlei. Stand: November 2026.

Quellen