NIS2: Verantwortung der Geschäftsleitung

NIS2 macht Cyberrisikomanagement zur Leitungsaufgabe. Genehmigung, Überwachung und Schulung lassen sich nicht vollständig an die IT delegieren.

Inhaltlicher Stand: 16.09.2026

Artikel 20 der NIS2-Richtlinie verlangt, dass Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Die konkrete Haftung richtet sich nach der jeweils geltenden nationalen Umsetzung.

Worauf es ankommt

Cyberrisiken gehören in Governance, Berichtswesen und Entscheidungsdokumentation.
Die Geschäftsleitung muss Zuständigkeiten, Kontrollen und Eskalationswege nachvollziehbar festlegen.
Delegation an IT, CISO oder Dienstleister erfordert Auswahl, Ausstattung und Überwachung.
D&O, Cyberversicherung und Strafrechtsschutz decken unterschiedliche Folgen desselben Vorfalls.

Versicherungsschutz

Was sich absichern lässt

Cyberversicherung schützt primär das Unternehmen vor versicherten Cyberfolgen. D&O betrifft persönliche Haftungsansprüche gegen Organpersonen. Strafrechtsschutz finanziert die Verteidigung in versicherten Verfahren.

Dieser Beitrag bietet eine allgemeine Orientierung. Die konkrete Haftungs- und Deckungslage hängt vom Einzelfall, der aktuellen Rechtslage und dem jeweiligen Versicherungsvertrag ab.