Die Bedrohungslage im Bereich der IT-Sicherheit nimmt weiter zu. Angriffe durch Ransomware oder Phishing gehören längst zum Alltag für viele Unternehmen. Neben erheblichen operativen Störungen drohen durch die aktuelle Regulierung auch rechtliche Konsequenzen sowohl für das betroffene Unternehmen als auch für die das Unternehmen vertretende Geschäftsleitung.

Mit der Umsetzung der europäischen NIS-2-Richtlinie in deutsches Recht durch das BSI-Gesetz (BSIG), das am 6. Dezember 2025 in Kraft getreten ist, hat der Gesetzgeber die Anforderungen an Unternehmen nochmals deutlich verschärft.

Erweiterter Anwendungsbereich und klare Pflichten

Das BSIG erfasst eine Vielzahl von Unternehmen – insbesondere solche mit mehr als 50 Beschäftigten oder einem Jahresumsatz von über 10 Millionen Euro, sofern sie in sensiblen Sektoren tätig sind. Dazu zählen etwa Energie, Industrie, Gesundheit oder digitale Infrastruktur.

Fällt ein Unternehmen in diesen Anwendungsbereich, treffen es umfassende Verpflichtungen: Es muss ein angemessenes IT-Sicherheitsniveau gewährleisten, Risiken analysieren, Sicherheitskonzepte implementieren und Verfahren für den Umgang mit Sicherheitsvorfällen etablieren.

Besondere Relevanz hat zudem die Verzahnung mit der DSGVO: Werden personenbezogene Daten verarbeitet, müssen die IT-Sicherheitsmaßnahmen auch datenschutzrechtlichen Anforderungen genügen. Unternehmen sollten daher bestehende datenschutzrechtliche Strukturen bündeln, um ineffiziente Doppelprozesse zu vermeiden.

Verantwortung liegt bei der Geschäftsleitung

Eine zentrale Neuerung ist die klare Zuweisung der Verantwortung: Die Geschäftsleitung ist für die Umsetzung und Überwachung eines wirksamen IT-Risikomanagements zuständig.

Dabei reicht es nicht aus, einzelne technische Maßnahmen einzuführen. Vielmehr muss ein ganzheitlicher Ansatz verfolgt werden, der unter anderem berücksichtigt:

• die Größe und Struktur des Unternehmens
• die konkrete Risikolage
• mögliche wirtschaftliche und gesellschaftliche Auswirkungen von IT-Vorfällen

Daneben betont das BSIG die Pflicht der Geschäftsleitung, sich im Bereich IT-Sicherheit regelmäßig fortzubilden. Diese Schulungen sollen insbesondere Fähigkeiten zur Risikoerkennung und -bewertung, Kenntnisse von Risikomanagementpraktiken sowie die Einschätzung von Auswirkungen und Gegenmaßnahmen vermitteln. Das BSI hat  eine Handreichung für die Schulung der Geschäftsleitung im Bereich IT-Sicherheit herausgegeben, in der weitere Informationen zu finden sind.

Auch der Aufsichtsrat ist gefordert

Nicht nur die Geschäftsleitung steht in der Pflicht. Auch der Aufsichtsrat muss die Einhaltung der IT-Sicherheitsanforderungen überwachen. IT-Sicherheit ist damit ausdrücklich Teil der ordnungsgemäßen Unternehmensführung. Werden Defizite erkannt, ist der Aufsichtsrat verpflichtet, tätig zu werden. Das Maß der Überwachung steigt dabei mit der erkennbaren Risikolage im Unternehmen.

Hohe Bußgelder und persönliche Haftung

Die Konsequenzen bei Verstößen können erheblich sein:

• Unternehmen drohen Bußgelder in Millionenhöhe nach dem BSIG
• Auch nach der DSGVO sind Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich

Darüber hinaus können Schadensersatzansprüche entstehen, etwa wenn durch unzureichende Sicherheitsmaßnahmen personenbezogene Daten kompromittiert werden.

Besonders brisant: Auch die Geschäftsleitung kann persönlich gegenüber dem Unternehmen haften, wenn sie ihren Pflichten zur Einführung und Überwachung von gesetzlich vorgeschriebenen IT-Sicherheitsmaßnahmen nicht nachkommt. Gleiches gilt unter bestimmten Voraussetzungen für Aufsichtsratsmitglieder bei Verletzung ihrer Überwachungspflichten.

Fazit

IT-Sicherheit ist längst kein rein technisches Thema mehr, sondern eine zentrale Governance-Aufgabe. Die verschärften gesetzlichen Anforderungen und die steigende Bedrohungslage machen deutlich: Unternehmen müssen ihre IT-Sicherheitsstrukturen kritisch überprüfen und weiterentwickeln. Dies gilt vor allem dann, wenn Unternehmen unter den Anwendungsbereich von NIS-2 und BSIG.

Für Geschäftsleitung und Aufsichtsrat bedeutet das, sich aktiv mit IT-Risiken auseinanderzusetzen, klare Verantwortlichkeiten zu etablieren und die Umsetzung geeigneter Maßnahmen konsequent zu überwachen. Nur so lassen sich Haftungsrisiken wirksam begrenzen und die Resilienz des Unternehmens stärken.

Ausführlichere Informationen hierzu finden Sie in unserem vor Kurzem erschienenen Aufsatz in der BOARD 2/2026, Seite 67 – 69. Hier geht’s zum Aufsatz.

                         

Prof. Dr. Ulrich Tödtmann                          Dr. Markus Spitz
Rechtsanwalt und Partner                       Rechtsanwalt und Partner