NIS2 ist in Kraft: Sind Sie bereit für persönliche Haftung?

Seit dem 06.12.2025 ist die NIS2-Richtlinie offiziell in Kraft. Sie hat die Spielregeln für Geschäftsführer grundlegend verändert. Cybersicherheit ist keine Aufgabe mehr, die sich einfach an die IT-Abteilung delegieren lässt. Wer seine Pflichten vernachlässigt, setzt sich persönlich einem erheblichen Risiko aus.

Warum Sie jetzt handeln müssen

NIS2 schreibt klar vor: Die Verantwortung liegt an der Unternehmensspitze. Geschäftsführer müssen aktiv sicherstellen, dass das Unternehmen angemessen gegen Cyberrisiken geschützt ist. Es reicht nicht, Sicherheitsmaßnahmen „irgendwie" umzusetzen und zu hoffen, dass es schon gutgeht.

Kommt es zu einem Cyberangriff und lässt sich nachweisen, dass

• Sicherheitsmaßnahmen unzureichend waren,
• Risiken nicht bewertet wurden oder
• Dokumentation und Schulungen fehlen,

kann die Geschäftsführung persönlich haftbar gemacht werden. Schon diese Versäumnisse allein gelten als Pflichtverletzung, unabhängig davon, wie der Angriff im Detail ablief.

Registrierungsfrist bereits verstrichen: Was das jetzt bedeutet

Ein zentraler Punkt, den viele Unternehmen unterschätzt haben: Betroffene Unternehmen mussten sich bis zum 06.03.2026 bei der zuständigen Behörde registrieren. Diese Frist ist inzwischen verstrichen.

Falls Ihr Unternehmen die Registrierung noch nicht vorgenommen hat, sollten Sie das umgehend nachholen. Je länger der Verstoß besteht, desto größer wird das Risiko einer behördlichen Beanstandung.

👉 Zur BSI-Registrierung

Frist verpasst: Was Nachzügler jetzt konkret beachten müssen

Die verspätete Registrierung unterscheidet sich rechtlich von der rechtzeitigen. Eine nachträgliche Meldung wird von der Behörde als das erkannt, was sie ist: der Nachweis, dass die Frist bereits gerissen wurde. Das bedeutet nicht automatisch eine Sanktion, verändert aber Ihre Ausgangslage in zwei wichtigen Punkten.

Erstens: Eine verspätete Registrierung wird in der Regel dokumentiert. Kommt es später zu einer Prüfung oder einem Sicherheitsvorfall, ist der Fristversäumnis damit aktenkundig, unabhängig davon, ob er separat sanktioniert wird. Das schwächt Ihre Position bei der ohnehin geltenden Beweislastumkehr zusätzlich, denn Sie müssen dann nicht nur nachweisen, dass Ihre Sicherheitsmaßnahmen ausreichend waren, sondern erklären, warum die Meldepflicht selbst zu spät erfüllt wurde.

Zweitens: Die Behörde entscheidet im Einzelfall, ob und wie ein verspäteter Verstoß geahndet wird. Ermessensspielräume bestehen, sind aber keine Garantie. Erfahrungsgemäß wirkt sich proaktives, nachvollziehbares Handeln nach einer verpassten Frist günstiger aus als weiteres Abwarten. Wer sich jetzt registriert und zusätzlich dokumentiert nachweisen kann, dass parallel an den inhaltlichen NIS2-Anforderungen gearbeitet wird, steht spürbar besser da als ein Unternehmen, das weder registriert noch inhaltlich vorbereitet ist.

Wenn Sie unsicher sind, wie Ihr Unternehmen konkret vorgehen sollte, sprechen Sie das offen in unserem NIS2-Webinar an oder klären Sie Ihre individuelle Situation direkt in einem unverbindlichen Gespräch.

Die Folgen bei Nichteinhaltung von NIS2

Die möglichen Konsequenzen sind drastisch:

• Millionenbußgelder für das Unternehmen
• Persönliche Haftung der Geschäftsführung bei nachweisbaren Versäumnissen
• Behördliche Anordnungen, bis hin zu Weisungen oder Tätigkeitsbeschränkungen
• Schwerwiegender Reputationsverlust, der Kunden, Partner und Investoren verunsichert
• Betriebsunterbrechungen durch Cyberangriffe, die oft vermeidbar gewesen wären

Kurz gesagt: Ein Cybervorfall ohne nachweisbare Sicherheitsmaßnahmen kann das Unternehmen und die Geschäftsführung persönlich massiv treffen.

Was Sie jetzt unbedingt tun sollten

Wer sich und das Unternehmen schützen will, muss sofort aktiv werden:

1. Betroffenheitsanalyse durchführen und dokumentieren (BSI-Kriterien prüfen)
2. Registrierung nach NIS2 umgehend nachholen, falls noch nicht geschehen
3. Gap-Analyse durchführen: Wo stehen wir heute?
4. Vorgehensmodell festlegen (z. B. ISO 27001, VdS 10000/10100), Aufbau eines ISMS
5. Ressourcen bereitstellen: personell, zeitlich und finanziell
6. Verantwortlichkeiten klar festlegen
7. Projektplan erstellen und konsequent umsetzen
8. Umsetzung durch die Geschäftsführung steuern und überwachen
9. Geschäftsleiterschulung durchführen (Pflichten, Haftung, Risikomanagement)

Um Ihnen einen besseren Einblick zu verschaffen, wie Sie sich als Geschäftsführer wirksam absichern, ob Ihr Unternehmen von NIS2 betroffen ist, und welche Maßnahmen jetzt zwingend umzusetzen sind, bieten wir Ihnen ein kostenloses NIS2-Webinar für Geschäftsführer und Entscheider an.

Darin erfahren Sie:

• ob und in welchem Umfang Ihr Unternehmen unter die NIS2-Richtlinie fällt,
• welche Pflichten jetzt konkret bestehen,
• und wie Sie persönliche Haftungsrisiken durch nachvollziehbare Maßnahmen reduzieren.

🔗 Jetzt kostenlos NIS2-Webinar Aufzeichnung ansehen

Fazit: Warten ist keine Option

Die NIS2-Richtlinie macht eines unmissverständlich klar: Cybersicherheit ist Chefsache, und Pflichtverletzungen können Sie persönlich teuer zu stehen kommen.

Seit dem 06.12.2025 gelten die neuen Haftungsmaßstäbe. Die Registrierungsfrist zum 06.03.2026 ist bereits verstrichen. Wer diesen Schritt noch nicht erledigt hat, sollte ihn nicht weiter aufschieben.

Die Frage ist nicht mehr, ob ein Cyberangriff passiert, sondern wann, und ob Sie darauf vorbereitet sind.

Handeln Sie jetzt. Für Ihr Unternehmen. Und für sich selbst.

Unverbindliches Beratungsgespräch buchen