NIS2: Warum das ein Haftungsthema ist, kein IT-Thema
Seit Dezember 2025 gilt das Umsetzungsgesetz, ohne Übergangsfrist. Rund 29.500 Unternehmen sind betroffen, und knapp die Hälfte weiß es nicht. Die Haftung liegt beim Geschäftsführer persönlich.
Was sich geändert hat
Bisher betraf IT-Sicherheitsregulierung nur Betreiber kritischer Infrastrukturen, also einige tausend Unternehmen. Das Umsetzungsgesetz zur europäischen NIS2-Richtlinie hat diesen Kreis auf rund 29.500 erweitert.
Erfasst werden auch mittelständische Betriebe, die sich bisher nicht als kritisch verstanden haben: IT-Dienstleister, Zulieferer in wichtigen Lieferketten, Betriebe aus Energie, Wasser, Abfall, Transport, Lebensmittel, Chemie, Maschinenbau, Gesundheit und weiteren Sektoren.
Maßgeblich sind Sektor und Größe. Ab bestimmten Schwellen bei Mitarbeiterzahl und Umsatz greift die Einstufung als wichtige oder besonders wichtige Einrichtung.
Und das Gesetz gilt sofort
Es gab keine Übergangsfrist. Die Registrierungsfrist beim BSI lief bereits im März 2026 ab.
Wer sie versäumt hat, sollte die Registrierung nachholen, denn das Versäumnis ist ein eigener Bußgeldtatbestand, unabhängig davon, ob je etwas passiert.
Der Punkt, um den es hier geht
NIS2 verpflichtet die Geschäftsleitung persönlich. Sie muss die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und an Schulungen zur Cybersicherheit teilnehmen.
Diese Pflicht ist nicht delegierbar. Sie können die Umsetzung an die IT geben, die Verantwortung bleibt bei Ihnen.
Bei schuldhafter Pflichtverletzung sieht das Gesetz eine persönliche Haftung vor. Der Bußgeldrahmen orientiert sich an dem der Datenschutz-Grundverordnung und reicht bis in den zweistelligen Millionenbereich beziehungsweise einen Prozentsatz des weltweiten Jahresumsatzes.
Was D&O hier leistet und was nicht
Eine D&O-Versicherung schützt das Privatvermögen der Geschäftsführung bei Ansprüchen wegen Pflichtverletzung. Das ist die Deckung, die durch NIS2 an Bedeutung gewinnt.
Gedeckt ist typischerweise
- Die Innenhaftung: Die Gesellschaft nimmt Sie in Anspruch, weil durch versäumte Umsetzung ein Schaden entstanden ist
- Die Abwehr unbegründeter Ansprüche, was in der Praxis der häufigere Fall ist
- Und die Kosten der Verteidigung, auch bei behördlichen Verfahren, soweit vereinbart
Nicht gedeckt sind Bußgelder
Der wichtigste Punkt, und er wird regelmäßig missverstanden. Behördliche Geldbußen sind in Deutschland grundsätzlich nicht versicherbar, weil ihre Sanktionswirkung sonst entfiele.
Was versichert werden kann, sind die Kosten der Verteidigung im Bußgeldverfahren und die zivilrechtliche Haftung gegenüber der Gesellschaft.
Daraus folgt praktisch: Gegen das Bußgeld hilft nur Umsetzung. Gegen die Folgen einer Inanspruchnahme hilft die D&O.
Und die Cyberversicherung
Sie deckt das Ereignis, nicht die Compliance: Soforthilfe, Wiederherstellung, Betriebsunterbrechung, Haftung gegenüber Betroffenen.
NIS2 und Cyberversicherung greifen aber ineinander: Was das Gesetz verlangt, verlangt der Versicherer meist auch. Risikomanagement, Vorfallsbehandlung, Backup und Wiederanlauf, Zugangskontrolle, Lieferkettensicherheit.
Wer NIS2 umsetzt, verbessert damit häufig seine Position bei der Cyberdeckung. Mehr unter Cyberversicherung.
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, Backup und Wiederanlauf
- Sicherheit in der Lieferkette
- Sicherheit bei Beschaffung und Entwicklung
- Bewertung der Wirksamkeit der Maßnahmen
- Schulung und Cyberhygiene
- Kryptografie und Verschlüsselung
- Zugriffskontrolle und Personalsicherheit
- Authentifizierung und gesicherte Kommunikation
Sind Sie betroffen?
Die Einstufung hängt an zwei Fragen: In welchem Sektor sind Sie tätig, und wie groß ist Ihr Betrieb?
Erfasst sind unter anderem Energie, Wasser und Abwasser, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur, IT-Dienstleistung, Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe einschließlich Maschinenbau, Medizin- und Elektrotechnik sowie Forschung.
Die Größenschwellen liegen niedriger, als die meisten annehmen. Betriebe ab fünfzig Beschäftigten oder zehn Millionen Euro Umsatz können bereits erfasst sein, in besonders kritischen Sektoren auch darunter.
Und der indirekte Weg
Selbst wenn Sie nicht unmittelbar erfasst sind, kann Sie NIS2 erreichen: über die Lieferkettenanforderungen Ihrer Kunden.
Ein betroffener Kunde muss die Sicherheit seiner Lieferkette gewährleisten und wird das an Sie weitergeben, in Form von Fragebögen, Vertragsklauseln und Nachweispflichten.
Was zu tun ist
- Betroffenheit prüfen. Sektor, Größe, Rolle in Lieferketten
- Registrierung nachholen, falls die Frist versäumt wurde
- Bestandsaufnahme, was von den zehn Maßnahmenbereichen bereits umgesetzt ist
- Beschluss der Geschäftsführung über die Maßnahmen, dokumentiert. Das ist ausdrückliche Pflicht
- Schulung der Leitungsebene, ebenfalls Pflicht und leicht nachweisbar
- Und danach die Versicherungsseite: D&O prüfen, Cyberdeckung an den erreichten Stand anpassen
Punkt vier und fünf kosten am wenigsten und sind im Zweifel das Erste, wonach gefragt wird.
- Fallen Sie unter NIS2, und in welcher Einstufung?
- Ist die BSI-Registrierung erfolgt?
- Gibt es einen dokumentierten Beschluss der Geschäftsführung?
- Haben Sie eine D&O, und deckt sie Verfahrenskosten?
- Passt die Deckungssumme zum neuen Haftungsrahmen?
- Was verlangt Ihr Cyberversicherer, und wo stehen Sie?
- Bekommen Sie Anforderungen von Kunden aus deren Lieferkette?
- Und wie ist die Nachhaftung geregelt, wenn ein Geschäftsführer ausscheidet?
Was uns zu NIS2 gefragt wird
Sind wir überhaupt betroffen?
Das hängt an Sektor und Größe. Betriebe ab etwa fünfzig Beschäftigten oder zehn Millionen Euro Umsatz können bereits erfasst sein, in besonders kritischen Sektoren auch darunter.
Der Kreis wurde von einigen tausend auf rund 29.500 Unternehmen erweitert, und knapp die Hälfte der Befragten unterschätzt die eigene Betroffenheit. Die Prüfung lohnt sich also auch dann, wenn Sie sich nicht für kritisch halten.
Wir haben die Registrierungsfrist verpasst.
Dann holen Sie sie nach. Die fehlende Registrierung ist ein eigener Bußgeldtatbestand, unabhängig davon, ob je ein Sicherheitsvorfall eintritt.
Eine nachgeholte Registrierung ist in jedem Fall besser als keine. Für die rechtliche Einordnung Ihres konkreten Falls sollten Sie mit Ihrer Kanzlei sprechen.
Deckt unsere D&O die Bußgelder ab?
Nein. Behördliche Geldbußen sind in Deutschland grundsätzlich nicht versicherbar, weil ihre Sanktionswirkung sonst entfiele.
Versicherbar sind dagegen die Kosten der Verteidigung im Verfahren und die zivilrechtliche Haftung gegenüber der Gesellschaft, wenn diese Sie wegen versäumter Umsetzung in Anspruch nimmt. Gegen das Bußgeld selbst hilft nur Umsetzung.
Können wir die Verantwortung an unsere IT delegieren?
Die Umsetzung ja, die Verantwortung nicht. Das Gesetz verpflichtet die Geschäftsleitung ausdrücklich dazu, die Maßnahmen zu billigen und ihre Umsetzung zu überwachen.
Hinzu kommt eine eigene Schulungspflicht für Leitungsorgane. Beides sollte dokumentiert sein, weil es im Zweifel als Erstes geprüft wird.
Wir fallen nicht darunter. Betrifft uns das trotzdem?
Möglicherweise über Ihre Kunden. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette gewährleisten und geben diese Anforderungen weiter.
Rechnen Sie mit Fragebögen, Vertragsklauseln und Nachweispflichten. Wer darauf vorbereitet ist, hat einen Vorteil bei Ausschreibungen, wer es nicht ist, verliert Aufträge.
Hilft uns eine Cyberversicherung bei NIS2?
Nicht bei der Compliance, aber die Anforderungen überschneiden sich stark. Risikomanagement, Vorfallsbehandlung, Backup und Wiederanlauf, Zugangskontrolle verlangen Gesetz und Versicherer gleichermaßen.
Wer NIS2 umsetzt, verbessert damit häufig seine Konditionen in der Cyberdeckung. Der Aufwand fällt also nicht doppelt an.
Hat Ihr Makler Sie auf NIS2 angesprochen?
Falls nicht: Wir klären mit Ihnen die Betroffenheit und die Haftungsseite.