In dieser Folge von WeTalkSecurity dreht es sich um ein brandaktuelles Thema: der NIS2-Richtlinie und den daraus resultierenden Veränderungen für die Geschäftsführung. Gemeinsam mit Dr. Jens Eckhardt, Fachanwalt für IT-Recht und Compliance-Experte in der Kanzlei pitc Legal, beleuchten wir, wie sich die Anforderungen an Geschäftsführer durch die NIS2-Umsetzung verschärfen, welche neuen Pflichten auf das Management zukommen und warum IT-Sicherheit heute Chefsache ist. Dabei werfen wir auch einen Blick auf den aktuellen Stand der Gesetzgebung in Deutschland und geben praxisnahe Empfehlungen, wie sich Unternehmensleitungen jetzt optimal aufstellen können.

Über den Gast

Dr. Jens Eckhardt ist Fachanwalt für Informationstechnologierecht, Datenschutzauditor sowie IT-Compliance-Manager bei der Düsseldorfer Kanzlei pitc Legal. In seiner täglichen Praxis berät er Unternehmen an der Schnittstelle zwischen IT-Vorfall, Datenschutz und regulatorischer Verantwortung. Ein besonderer Fokus liegt dabei auf der Frage, wann aus einem Cyberangriff ein Haftungsfall wird – insbesondere für Geschäftsführer.

NIS2 und der aktuelle Stand der Umsetzung in Deutschland

Wir sprechen über den aktuellen Stand des NIS2-Umsetzungsgesetzes in Deutschland. Nach dem Regierungswechsel steht das Gesetzgebungsverfahren erneut an, mit der Hoffnung auf eine Verabschiedung bis Herbst 2025. Trotz politischer Diskussionen und Bedenken bezüglich der EU-Rechtskonformität ist der Gesetzesentwurf weit fortgeschritten und könnte zügig verabschiedet werden.

Managementhaftung im Fokus

Die Folge beleuchtet, wie sich die Haftung von Geschäftsführern durch die NIS2-Richtlinie und deren Umsetzung in deutsches Recht verändert. Zwar bleibt die klassische Haftung für fehlende Sorgfalt nach § 93 AktG und § 43 GmbHG bestehen, doch neue Anforderungen rücken die Geschäftsführung näher an die IT-Sicherheitsverantwortung heran. Besonders die Pflicht zur eigenen Schulung im Bereich IT-Sicherheit wird als „Hidden Champion“ der Haftungsverschärfung hervorgehoben.

Praktische Auswirkungen für Geschäftsführer

Geschäftsführer müssen künftig nicht nur die Umsetzung der gesetzlichen Vorgaben billigen und überwachen, sondern auch ihre eigene Kompetenz durch regelmäßige Schulungen nachweisen. Das erhöht den Haftungsmaßstab und verschiebt den Pflichtenkatalog der Geschäftsführung weiter in Richtung IT- und Cybersicherheit.

Digitale Geschäftsprozesse und logische Konsequenzen

Die Digitalisierung der Geschäftsprozesse macht es unumgänglich, dass die Unternehmensleitung über ausreichende Kenntnisse im Bereich IT-Sicherheit verfügt. Die Folge diskutiert, warum diese Entwicklung eine logische Konsequenz der fortschreitenden Digitalisierung ist und welche Herausforderungen damit verbunden sind.

Konkretisierung der Haftungsfälle

Es wird erläutert, in welchen Fällen eine persönliche Haftung des Geschäftsführers eintreten kann – etwa bei Verstößen gegen das BSI-Gesetz, fehlenden technischen und organisatorischen Maßnahmen oder unzureichender Schulung. Auch die Schnittstellen zur Insolvenzhaftung werden beleuchtet.

Empfehlungen für die Praxis

Externe Beratung und die Zusammenarbeit mit spezialisierten Dienstleistern werden als wichtige Maßnahmen genannt, um die komplexen Anforderungen zu erfüllen. Ebenso wird auf die Bedeutung von Versicherungen (z.B. D&O, Cyberversicherung) und deren Anforderungen hingewiesen.

Weiterführende Links: