Rechtsgrundlage: §§ 31–33, § 39 und §§ 44–45 NISG 2026.
Ab 1. Oktober 2026 macht das NISG 2026 Cybersicherheit für wesentliche und wichtige Einrichtungen zur Leitungsaufgabe. Leitungsorgane müssen dann die Einhaltung der Risikomanagementmaßnahmen nach § 32 sicherstellen und beaufsichtigen. Außerdem müssen sie an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen. Das ist keine pauschale persönliche Erfolgshaftung für jeden Cybervorfall. Entscheidend sind klare Zuständigkeiten, nachvollziehbare Aufsicht und dokumentierte Entscheidungen.
Rechtsstand: 11. September 2026. Das NISG 2026 tritt am 1. Oktober 2026 in Kraft; vor einer Veröffentlichung ab diesem Tag sind RIS-Fassung und einschlägige Verordnungen erneut zu prüfen.
Was § 31 vom Leitungsorgan verlangt
Aus § 31 ergeben sich für Leitungsorgane zwei Governance-Handlungen – sicherstellen und beaufsichtigen – sowie die Teilnahme an spezifisch gestalteten Cybersicherheitsschulungen:
- die Einhaltung der Maßnahmen nach § 32 sicherstellen;
- deren Einhaltung beaufsichtigen;
- an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen.
Die operative Umsetzung kann bei IT, Informationssicherheit, Risikomanagement, Einkauf oder externen Dienstleistern liegen. Die Leitungsaufgabe verschwindet dadurch nicht. Eine brauchbare Governance zeigt deshalb nicht nur, wer einzelne Kontrollen betreibt. Sie zeigt auch, welche Informationen das Leitungsorgan erhält, welche Entscheidungen es trifft und wie offene Mängel nachverfolgt werden. Ausgangspunkt dafür sind die zu beaufsichtigenden Maßnahmen nach § 32.
Governance- und Eskalationsmatrix
| Thema | Gesetzlicher Ausgangspunkt | Möglicher Nachweis | Was häufig nicht genügt |
|---|---|---|---|
| Sicherstellung | Leitungsorgane stellen die Einhaltung der Maßnahmen nach § 32 sicher. | Beschluss zu Rollen, Budget, Prioritäten und Umsetzungsplan | Allgemeine Aussage „IT ist zuständig“ |
| Beaufsichtigung | Leitungsorgane beaufsichtigen die Einhaltung. | regelmäßiger Bericht mit Risiken, Vorfällen, Maßnahmenstatus und Entscheidungen | jährliche Folie ohne Mängel- oder Eskalationslogik |
| Schulung des Leitungsorgans | Mitglieder nehmen an spezifisch gestalteten Cybersicherheitsschulungen teil. | Agenda, Teilnehmernachweis, Lernziele, Aktualisierungsrhythmus | Ob ein Awareness-Format genügt, hängt davon ab, ob es für das Leitungsorgan spezifisch gestaltet ist; § 31 Abs. 2 schreibt keine bestimmte Dauer, Prüfungsform oder Teilnahmebestätigung vor |
| Mitarbeiterschulung | Die Einrichtung bietet Mitarbeitern regelmäßig entsprechende Schulungen an. | zielgruppenspezifischer Plan und Teilnahme-/Wirksamkeitsnachweis | identisches Training ohne Rollen- oder Risikobezug |
| Selbstdeklaration | Informationen zu Maßnahmen und Risikoanalyse werden strukturiert übermittelt. | freigegebene Datengrundlage, Verantwortliche, Reviewprotokoll | ungeprüfte Angaben ohne Quellen oder Owner |
| Unabhängiger Nachweis nach Aufforderung | Nach behördlicher Aufforderung ist die technische, operative und organisatorische Umsetzung grundsätzlich binnen zwei Jahren durch Prüfung einer unabhängigen Stelle nachzuweisen. Bei wesentlichen Einrichtungen gilt für den operativen und organisatorischen Nachweis eine Zweimonatsfrist. Einschlägige gültige Zertifikate können nur für den operativen und organisatorischen Teil verwendet werden; der Prüfbericht enthält Mängel und Maßnahmenplan. | Prüfplan, Bericht, Maßnahmenplan, Unterschriften | Zertifikat ohne passenden Geltungsbereich |
Die Beispiele in der dritten Spalte sind mögliche Organisationsnachweise, keine gesetzlich abschließende Dokumentenliste.
Welche Informationen auf den Tisch der Geschäftsführung gehören
Ein Board-Bericht muss nicht jedes technische Detail enthalten. Er sollte aber Entscheidungen ermöglichen. Dazu gehören typischerweise:
- aktuelle Risikoexposition und wesentliche Änderungen;
- Status der Maßnahmenfelder nach § 32;
- kritische Abhängigkeiten und unmittelbare Anbieter;
- erhebliche Vorfälle, Beinahe-Vorfälle und wiederkehrende Schwachstellen;
- überfällige Maßnahmen mit Risiko, Owner und Termin;
- Wirksamkeitstests, Auditfeststellungen und Ausnahmen;
- Schulungsstatus von Leitungsorgan und relevanten Mitarbeitergruppen;
- Entscheidungen, die Budget, Risikoakzeptanz oder Leistungsumfang betreffen.
Die Frequenz richtet sich nach Risiko und Veränderung. Ein schwerer Vorfall, eine kritische Schwachstelle oder ein wesentlicher Anbieterwechsel gehört nicht in die Warteschleife bis zum nächsten Standardbericht. Der Melde- und Incident-Prozess muss deshalb rechtzeitig in die Leitungseskalation eingebunden sein.
Vier konkrete Governance-Schritte
1. Betroffenheit und Leitungsorgan festhalten
Zuerst muss geklärt sein, welche Rechtsträger als wesentliche oder wichtige Einrichtungen einzustufen sind und welche Personen als Leitungsorgane handeln. Diese Einordnung darf nicht allein aus einer Kundenanfrage oder Konzernzugehörigkeit abgeleitet werden; maßgeblich sind die gesetzlichen Kriterien der §§ 24 bis 26.
2. §-32-Verantwortung zuordnen
Für jedes Maßnahmenfeld braucht es einen operativen Owner, eine berichtende Funktion und einen Entscheidungspunkt für die Leitung. Eine RACI-Matrix kann helfen, ersetzt aber weder Risikoanalyse noch fachliche Prüfung.
3. Aufsicht als wiederkehrenden Prozess organisieren
Berichte sollten Abweichungen sichtbar machen. Das Leitungsorgan muss erkennen können, was erfüllt, offen, akzeptiert oder eskaliert ist. Entscheidungen und Wiedervorlagen gehören protokolliert.
4. Schulung auf die Leitungsrolle zuschneiden
§ 31 verlangt spezifisch gestaltete Cybersicherheitsschulungen für Leitungsorgane. Für die Leitung sind daher insbesondere Risikolage, gesetzliche Aufgaben, Entscheidungsfälle, Vorfallseskalation, Lieferkettenrisiken und Aussagekraft von Nachweisen relevant. Die Schulung sollte sich von allgemeinem Mitarbeiter-Awareness-Training unterscheiden. Termine und Abhängigkeiten lassen sich ergänzend im NISG-Fahrplan für Governance-Aufgaben einordnen.
Geldstrafen: gegen wen und in welcher Höhe?
Die hohen Strafrahmen des § 45 Abs. 2 und 3 betreffen Verwaltungsübertretungen wesentlicher beziehungsweise wichtiger Einrichtungen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes bei wesentlichen Einrichtungen sowie bis zu 7 Millionen Euro oder 1,4 Prozent bei wichtigen Einrichtungen – jeweils der höhere Betrag.
Die Strafrahmen des § 45 Abs. 2 und 3 gelten für die in § 45 Abs. 1 aufgezählten Verwaltungsübertretungen. Nach § 44 Abs. 3 und 4 können Geldstrafen unter den dort genannten Zurechnungsvoraussetzungen gegen juristische Personen oder eingetragene Personengesellschaften verhängt werden. § 44 Abs. 5 regelt das Absehen von der Bestrafung eines Verantwortlichen nach § 9 VStG, wenn für denselben Verstoß bereits die juristische Person oder Personengesellschaft bestraft wird. Eine automatische persönliche Strafe jedes Geschäftsführers folgt daraus nicht.
Ob daneben gesellschafts-, arbeits-, zivil- oder versicherungsrechtliche Folgen bestehen, hängt vom Einzelfall und anderen Rechtsgrundlagen ab. Diese Fragen beantwortet das NISG 2026 nicht pauschal.
Die vorübergehende Untersagung ist kein allgemeines Berufsverbot
§ 39 sieht eine Eskalationskette vor:
- Die Cybersicherheitsbehörde kann unter Fristsetzung Maßnahmen anordnen.
- Folgt die Einrichtung der Aufforderung nicht, trägt die Behörde die nachweisliche Umsetzung mit Bescheid und angemessener Frist auf.
- Erst wenn eine wesentliche Einrichtung diesem Bescheid nicht fristgerecht und nachweislich nachkommt, kann die Behörde einem Leitungsorgan oder rechtlichen Vertreter vorübergehend untersagen, Leitungsaufgaben in dieser wesentlichen Einrichtung wahrzunehmen.
- Die Untersagung ist unverzüglich aufzuheben, sobald die angeordneten Maßnahmen nachweislich ergriffen wurden.
Die Maßnahme betrifft somit nicht jede wichtige Einrichtung, nicht jeden Verstoß und nicht jede berufliche Tätigkeit. Alarmistische Kurzfassungen wie „NIS 2 bringt Berufsverbote für Geschäftsführer“ lassen die gesetzlichen Voraussetzungen weg. Nach § 39 Abs. 6 gelten diese vorübergehenden Aussetzungen und Untersagungen außerdem nicht für Behörden und sonstige Stellen der öffentlichen Verwaltung einschließlich Gebietskörperschaften und privatrechtlich eingerichteter Stellen der öffentlichen Verwaltung.
Eskalationstabelle
| Stufe | Voraussetzung | Mögliche Folge | Primärquelle |
|---|---|---|---|
| Aufforderung | Behörde will die Einhaltung sicherstellen | Maßnahmen mit angemessener Frist | § 39 Abs. 1 NISG 2026 |
| Abhilfebescheid | Einrichtung kommt der Aufforderung nicht nach | nachweisliche Umsetzung mit Frist | § 39 Abs. 2 NISG 2026 |
| Weitergehende Durchsetzung | nur bei wesentlicher Einrichtung und nicht fristgerechter, nachweislicher Befolgung des Bescheids | unter anderem vorübergehende Untersagung von Leitungsaufgaben in dieser Einrichtung | § 39 Abs. 4 NISG 2026 |
| Aufhebung | angeordnete Maßnahmen sind nachweislich ergriffen | Untersagung unverzüglich aufheben | § 39 Abs. 5 NISG 2026 |
Board-Checkliste
- Direkte NISG-Einstufung und betroffene Rechtsträger sind dokumentiert.
- Leitungsorgane und operative Rollen sind eindeutig benannt.
- Für alle §-32-Felder gibt es Status, Owner und Evidenz.
- Wesentliche Cyberrisiken und akzeptierte Restrisiken sind nachvollziehbar beschlossen.
- Abweichungen, Fristen und Eskalationen werden verfolgt.
- Lieferkettenrisiken und kritische unmittelbare Anbieter sind im Reporting enthalten.
- Incident-Eskalation erreicht die Leitung rechtzeitig.
- Die spezifische Schulung der Leitungsorgane ist geplant und dokumentiert.
- Mitarbeiter erhalten regelmäßige, passende Schulungen.
- Selbstdeklaration und mögliche unabhängige Nachweise haben Datenowner und Reviewprozess.
Häufige Fragen
Haftet die Geschäftsführung bei NIS 2 automatisch persönlich?
Nein. Das NISG 2026 enthält Leitungsaufgaben, Aufsichts- und Verwaltungsstrafbestimmungen, aber keine pauschale automatische persönliche Haftung für jeden Vorfall. Die hohen Strafrahmen des § 45 Abs. 2 und 3 richten sich an wesentliche beziehungsweise wichtige Einrichtungen. Persönliche Folgen nach anderen Rechtsgrundlagen müssen im konkreten Fall getrennt geprüft werden.
Kann die Geschäftsführung die Umsetzung an die IT delegieren?
Operative Aufgaben können verteilt werden. Die Pflicht des Leitungsorgans, die Einhaltung der Maßnahmen sicherzustellen und zu beaufsichtigen, bleibt bestehen. Delegation braucht daher klare Rollen, geeignete Ressourcen und ein Reporting, das Entscheidungen ermöglicht.
Müssen alle Mitglieder des Leitungsorgans geschult werden?
§ 31 Abs. 2 verpflichtet die Leitungsorgane wesentlicher und wichtiger Einrichtungen zur Teilnahme. Bei mehrgliedrigen Leitungsorganen sollte die Teilnahme aller dem Leitungsorgan angehörenden Personen vorgesehen und die konkrete Organstellung geprüft werden.
Kann die Behörde einem Geschäftsführer die Tätigkeit untersagen?
Unter engen Voraussetzungen kann sie Leitungsorganen oder rechtlichen Vertretern einer wesentlichen Einrichtung vorübergehend untersagen, Leitungsaufgaben in dieser Einrichtung wahrzunehmen. Zuvor muss die wesentliche Einrichtung dem Bescheid nach § 39 Abs. 2 nicht fristgerecht und nachweislich nachgekommen sein. Die Maßnahme ist aufzuheben, sobald die angeordneten Maßnahmen nachweislich ergriffen wurden.
Primärquellen
Rechtsstand: 11. September 2026. Vor Verwendung am oder nach dem 1. Oktober 2026 sind RIS, EUR-Lex und einschlägige Verordnungen erneut zu prüfen.