Die Einführung der Bestimmungen zur Managerhaftung gemäß Artikel 20 der NIS2-Richtlinie stellt einen historischen Bruch mit früheren Rahmenwerken dar. Sie setzt einzelne Mitglieder der Geschäftsleitung den Konsequenzen vorsätzlicher Fahrlässigkeit im Cybersicherheitsmanagement aus, einschließlich einer möglichen vorübergehenden Suspendierung von Managementpositionen und namentlicher öffentlicher Nennung.
Gleichzeitig drohen Organisationen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen, abhängig von der jeweiligen nationalen Umsetzung. Diese Transformation spiegelt die breitere regulatorische Erkenntnis wider, dass Cybersicherheit nicht allein an die IT-Abteilung delegiert werden kann, sondern eine aktive Beteiligung auf Vorstandsebene erfordert.
Entwicklung von technischer Compliance zu strategischem Management
Die ursprüngliche NIS-Richtlinie (NIS1), die seit 2016 in Kraft ist, war die erste EU-weite Gesetzgebung zur Cybersicherheit, litt jedoch unter Einschränkungen, die sich mit der Entwicklung der digitalen Landschaft zeigten. Die größte Schwachstelle war die übermäßige Freiheit, die den Mitgliedstaaten bei der Bestimmung von „Betreibern wesentlicher Dienste“ gelassen wurde, was zu einer Fragmentierung führte.
Ein in Frankreich als „wesentlich“ angesehenes Unternehmen musste in Deutschland nicht unbedingt als solches gelten, was die Compliance für grenzüberschreitende Organisationen erschwerte. Darüber hinaus konzentrierte sich NIS1 stark auf technische Maßnahmen, ohne die notwendigen Managementstrukturen vorzuschreiben, um diese auf strategischer Ebene durchzusetzen.
Die Mängel von NIS1 wurden offensichtlich, als Cyberbedrohungen an Raffinesse zunahmen. Organisationen verstanden Compliance oft als IT-Funktion, die „Haken setzte“, während Top-Manager außerhalb des Risikomanagements blieben. Die Gesetzgebungsreform, die zu NIS2 führte, behob diese systemischen Lücken durch die Harmonisierung des Geltungsbereichs in der gesamten EU und die Anhebung der Cybersicherheit zur Verantwortung des Vorstands.
Warum Managerhaftung notwendig wurde
Der Wandel zur Managerhaftung in NIS2 spiegelt Trends in der Allgemeinen Datenschutzverordnung (DSGVO) und der Richtlinie über die digitale operationelle Resilienz (DORA) wider. Die EU hat erkannt, dass passive Compliance-Rahmenwerke, bei denen die Verantwortung auf die operative Ebene gedrängt wird, die notwendigen kulturellen Veränderungen nicht hervorrufen können.
Durch die Verankerung der Verantwortung auf Managementebene stellt NIS2 sicher, dass Entscheidungen im Bereich der Cybersicherheit in Bezug auf Risiken, Ressourcenverteilung und Geschäftskontinuität als nicht übertragbare Treuepflichten angesehen werden. Für die Mitglieder der Geschäftsleitung ist die Botschaft klar: Die Unkenntnis von Cyberrisiken ist keine gültige rechtliche Verteidigung mehr.
Dies steht im Einklang mit dem Prinzip „tone at the top“ und stellt sicher, dass die Widerstandsfähigkeit der Organisation von denjenigen priorisiert wird, die die Befugnis zur Ressourcenverteilung haben.
Umfang und Bedeutung der Richtlinie
NIS2 erweitert den Kreis der regulierten Einheiten erheblich und umfasst nun etwa 160.000 Einheiten in der gesamten EU. Sie führt eine „Size-Cap“-Regel ein, wonach alle mittleren und großen Unternehmen in den betroffenen Sektoren in den Geltungsbereich der Richtlinie fallen.
Wesentliche Einrichtungen umfassen im Allgemeinen große Organisationen in Sektoren mit hoher Kritikalität wie Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasserwirtschaft und digitale Infrastruktur. Wichtige Einrichtungen umfassen im Allgemeinen mittlere Organisationen in Sektoren wie Abfallwirtschaft, Postdienste, Chemie, Lebensmittel und Herstellung kritischer Produkte.
Die Richtlinie gilt grundsätzlich auch für Nicht-EU-Unternehmen, die Dienstleistungen innerhalb der Union erbringen. Ein in den USA ansässiger Cloud-Dienstleister oder ein asiatischer Hersteller, der Dienstleistungen in der EU anbietet, muss die Anforderungen erfüllen und, wenn er nicht in einem Mitgliedstaat ansässig ist, einen Vertreter in der Union benennen.
Dies schafft einen konkreten Schritt zur rechtlichen Compliance für internationale Unternehmen, um regulatorische Reibungen zu vermeiden.
Die Herausforderung wesentlicher und wichtiger Einrichtungen über Grenzen hinweg
Obwohl NIS2 versucht, die Regeln zu harmonisieren, behalten die Mitgliedstaaten das Recht, kleinere Einrichtungen als „wesentlich“ zu kennzeichnen, wenn sie der einzige Anbieter eines kritischen Dienstes sind. Dies schafft ein potenzielles Mosaik, bei dem eine Tochtergesellschaft in einem Land eine „wichtige“ Einrichtung ist, während eine Schwestergesellschaft in einem anderen Land eine „wesentliche“ Einrichtung ist, die strengeren Aufsichtsregimen unterliegt.
Für multinationale Organisationen erfordert diese Fragmentierung eine koordinierte Rechtsstrategie. Die Verwaltung dieser Unterschiede über eine Plattform wie Anywhere.legal ermöglicht es General Counsel, Bewertungen zu zentralisieren und lokale Experten zu nutzen, um die spezifische Klassifizierung in jeder Gerichtsbarkeit zu bestätigen.
Verantwortung des Leitungsgremiums und persönliche Haftung
Artikel 20 ist ein Eckpfeiler des neuen Haftungsregimes. Er verpflichtet die Mitgliedstaaten sicherzustellen, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Maßnahmen zur Risikosteuerung der Cybersicherheit genehmigen, deren Umsetzung überwachen und für die Nichteinhaltung der Vorschriften zur Rechenschaft gezogen werden können.
Diese Formulierung nimmt den Mitgliedern der Geschäftsleitung die Möglichkeit, sich hinter der kollektiven Verantwortung des Vorstands zu verstecken oder mangelnde technische Expertise zu behaupten. Die Aufsichtsbehörden erwarten, dass die Mitglieder der Geschäftsleitung Aufzeichnungen über ihr Engagement führen, einschließlich Protokollen von Sitzungen, die aktive Diskussionen über Cyberrisiken, die Genehmigung von Budgets und die Überprüfung von Incident-Response-Plänen belegen.
Umfang der nicht übertragbaren Pflichten
Obwohl die Ausführung an einen CISO delegiert werden kann, kann die Aufsicht nicht delegiert werden. Mitglieder der Geschäftsleitung müssen sich persönlich an der Genehmigung von Risikobewertungen beteiligen und überprüfen, ob die Organisation einen „All-Risks“-Ansatz anwendet, der Cyber-, physische und Lieferkettenrisiken abdeckt.
Sie müssen auch sicherstellen, dass die Ressourcenverteilung den identifizierten Risiken entspricht. Mitglieder des Leitungsgremiums sind verpflichtet, Schulungen zu absolvieren, um ausreichende Kenntnisse zur Identifizierung von Risiken und zur Bewertung von Risikomanagementverfahren zu erwerben.
Strafen und Suspendierung vom Amt
Die Sanktionen sind streng und zweifacher Natur, sie umfassen sowohl Geldbußen für die Organisation als auch persönliche Konsequenzen für wesentliche Einheiten. Die Mitgliedstaaten müssen die Befugnis haben, die Ausübung von Managementfunktionen jeder Person, die Managementverantwortlichkeiten in der betreffenden Einrichtung ausübt, vorübergehend zu suspendieren.
Diese Möglichkeit der Suspendierung ist für die Regulierungsbehörden eine „nukleare Option“, die die Einhaltung erzwingen soll. Darüber hinaus kann ein Vorstandsmitglied, wenn das Versäumnis grobe Fahrlässigkeit darstellt, persönlichen Klagen nach nationalem Gesellschaftsrecht und einem potenziellen Ausschluss vom D&O-Versicherungsschutz ausgesetzt sein.
Zehn Hauptmaßnahmen zur Steuerung von Cybersicherheitsrisiken
NIS2 schreibt einen grundlegenden Satz von Sicherheitsmaßnahmen auf der Grundlage eines „All-Risks“-Ansatzes vor. Es handelt sich um rechtliche Verpflichtungen, nicht nur um technische Empfehlungen.
Risikoanalyse und Richtlinien zur Sicherheit von Informationssystemen.
Risikoanalyse und Richtlinien zur Sicherheit von Informationssystemen.
Vorfallbehandlung.
Vorfallbehandlung.
Geschäftskontinuität.
Geschäftskontinuität.
Sicherheit der Lieferkette.
Sicherheit der Lieferkette.
Sicherheit bei Beschaffung/Entwicklung.
Sicherheit bei Beschaffung/Entwicklung.
Wirksamkeitsbewertung.
Wirksamkeitsbewertung.
Cyberhygiene und Schulungen.
Cyberhygiene und Schulungen.
Kryptographie und Verschlüsselung.
Kryptographie und Verschlüsselung.
Sicherheit von Humanressourcen.
Sicherheit von Humanressourcen.
Multi-Faktor-Authentifizierung (MFA).
Multi-Faktor-Authentifizierung (MFA).
Sicherheit der Lieferkette als rechtliche Herausforderung
Die Sicherheit der Lieferkette wird oft als die schwierigste Anforderung bezeichnet, da Organisationen die Sicherheit ihrer direkten Lieferanten gewährleisten müssen. Dies löst eine Kette vertraglicher Anpassungen aus und erfordert, dass Unternehmen Dienstleistungsverträge um Auditklauseln und die Übertragung von Sicherheitsanforderungen weiter in der Kette aktualisieren.
Für grenzüberschreitende Lieferketten bedeutet dies, sich in verschiedenen vertraglichen Regelungen und Haftungsbeschränkungen über Gerichtsbarkeiten hinweg zurechtzufinden. Die Nutzung einer Plattform wie Anywhere.legal erleichtert die Überprüfung von Lieferantenverträgen in mehreren Ländern und stellt sicher, dass ein Rahmenvertrag über Dienstleistungen in einem Land mit den lokalen Umsetzungen von NIS2 in anderen Ländern übereinstimmt.
$Beginnen Sie Ihren Fall direkt auf Anywhere.legal/$ für eine effiziente Dokumentenvorbereitung und detaillierte Mandatsbestimmung.
Vorfallbehandlung und strenge Meldefristen
Der Meldezeitplan ist aggressiv und fest terminiert. Die Einheiten müssen innerhalb von 24 Stunden, nachdem sie von einem schwerwiegenden Vorfall Kenntnis erlangt haben, eine Frühwarnung abgeben, gefolgt von einer Vorfallmeldung mit einer ersten Einschätzung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats.
Ein „schwerwiegender Vorfall“ ist ein Vorfall, der eine erhebliche Betriebsunterbrechung oder einen finanziellen Verlust verursacht oder weitere Personen betrifft. Die 24-Stunden-Frist beginnt zu laufen, sobald die Einheit von dem Vorfall Kenntnis erlangt. Dies erfordert ein vorab genehmigtes rechtliches und technisches Verfahren, da Fehler bei der Bestimmung, welche Behörde in einer grenzüberschreitenden Situation informiert werden muss, Sanktionen auslösen können.
Schaffung von Verantwortung auf Führungsebene
Eine wirksame Compliance erfordert eine Restrukturierung der Governance. Der CISO sollte idealerweise direkt an das Leitungsgremium berichten, möglicherweise den CIO umgehen, um sicherzustellen, dass Bedenken hinsichtlich der Risiken nicht gefiltert werden. Vorstandssitzungen müssen Cybersicherheit als ständigen Tagesordnungspunkt haben, nicht als Ad-hoc-Diskussion.
Die Umsetzung von NIS2 ist keine einmalige Aufgabe; es handelt sich um einen fortlaufenden rechtlichen und operativen Prozess. Anywhere.legal unterstützt dies, indem es eine strukturierte Umgebung für die Koordinierung dieser Aktivitäten bereitstellt, insbesondere für grenzüberschreitend tätige Unternehmen.
Governance-Risiko oder -Fehler
Wie Anywhere.legal die Lösung erleichtert
Mangel an Beweisen: Mitglieder der Geschäftsleitung haben keinen Nachweis über die Aufsicht, was ein Haftungsrisiko darstellt.
Zentrale Fallverwaltung. Zentralisieren Sie sicher Governance-Aufzeichnungen, Vorstandsbesprechungsprotokolle und Richtliniengenehmigungen in einer prüfbaren Umgebung, die externen Anwälten und internen Stakeholdern zugänglich ist.
Fragmentierte Compliance: Tochtergesellschaften in verschiedenen EU-Ländern sehen sich unterschiedlichen lokalen Regeln gegenüber.
Expertennetzwerk. Verbinden Sie sich sofort mit geprüften lokalen Rechtsexperten in jeder Gerichtsbarkeit und überprüfen Sie die spezifischen Nuancen der Umsetzung.
Vertragschaos: Aktualisierung Hunderter Lieferantenverträge über Grenzen hinweg.
Prozess- und KI-Unterstützung. Nutzen Sie die Plattform, um das Projekt zu strukturieren, KI für die erste Dokumentenprüfung und Entwurfserstellung zu nutzen, die von menschlichen Experten überprüft werden, um Rechtssicherheit zu gewährleisten.
Verwirrung bei der Incident-Response: Es ist unklar, wen im Falle einer grenzüberschreitenden Verletzung informieren muss.
Koordinationsplattform. Eine spezielle Umgebung für das Krisenmanagement, die Koordinierung mehrerer Rechtsteams und die Sicherstellung der Einhaltung von 24/72-Stunden-Fristen mit durch Anwaltsgeheimnis geschützter Kommunikation.
Internationale Dimension und grenzüberschreitende Komplikationen
Obwohl NIS2 eine Richtlinie ist, erfordert sie die Umsetzung in nationales Recht. Obwohl die Frist bereits abgelaufen ist, variiert die Implementierung. Einige Länder können strengere „Gold-Plating“-Regeln anwenden und zusätzliche Anforderungen hinzufügen, während andere sich nur an die Mindestanforderungen halten.
Im Allgemeinen unterliegen Einheiten der Gerichtsbarkeit des Mitgliedstaats, in dem sie ansässig sind. Es gibt Ausnahmen für Telekommunikationsanbieter und bestimmte Anbieter digitaler Dienste, die oft unter die Gerichtsbarkeit des „Hauptsitzes“ in der EU fallen.
Nicht-EU-Einheiten
Für Nicht-EU-Einheiten, die Dienstleistungen in der Union anbieten, ist die Ernennung eines Vertreters unerlässlich. Dieser Vertreter kann für die Nichteinhaltung von Vorschriften verantwortlich gemacht werden. Die Wahl der richtigen Gerichtsbarkeit für diesen Vertreter ist eine strategische rechtliche Entscheidung, die oft vom regulatorischen Umfeld des gewählten Mitgliedstaats beeinflusst wird.
Rechtliche Abgrenzung & Klassifizierung: Eindeutig bestimmen, ob Sie in jeder Gerichtsbarkeit, in der Sie tätig sind, eine wesentliche oder wichtige Einheit sind.
Rechtliche Abgrenzung & Klassifizierung: Eindeutig bestimmen, ob Sie in jeder Gerichtsbarkeit, in der Sie tätig sind, eine wesentliche oder wichtige Einheit sind.
Gap-Analyse: Vergleichen Sie bestehende Kontrollmechanismen mit den Anforderungen von Artikel 21.
Gap-Analyse: Vergleichen Sie bestehende Kontrollmechanismen mit den Anforderungen von Artikel 21.
Restrukturierung der Governance: Aktualisieren Sie die Gründungsdokumente des Vorstands und die Berichtslinien.
Restrukturierung der Governance: Aktualisieren Sie die Gründungsdokumente des Vorstands und die Berichtslinien.
Vertragsanpassung: Überprüfen und ändern Sie Lieferantenverträge.
Vertragsanpassung: Überprüfen und ändern Sie Lieferantenverträge.
Testen der Incident-Response: Führen Sie Übungen mit rechtlicher Beratung durch, um die Fähigkeit zur 24-Stunden-Meldung zu testen.
Testen der Incident-Response: Führen Sie Übungen mit rechtlicher Beratung durch, um die Fähigkeit zur 24-Stunden-Meldung zu testen.
Cybersicherheit als strategische Notwendigkeit der Governance
NIS2 hat das Risikoprofil für europäische Leitungsorgane grundlegend verändert. Es wandelt Cybersicherheit von einem operativen Kostenfaktor in eine strategische Priorität um, die durch persönliche Verantwortung untermauert wird. Die Risiken der Nichteinhaltung, von Betriebsunterbrechungen bis hin zu persönlichen Reputationsschäden und Amtsenthebungen, sind zu hoch, um sie zu ignorieren.
Für grenzüberschreitend tätige Organisationen vervielfacht sich diese Herausforderung durch die Notwendigkeit, sich in 27 verschiedenen nationalen Implementierungen zurechtzufinden. Erfolg erfordert mehr als nur technische Tools; er erfordert eine koordinierte Rechtsstrategie, die lokale Expertise mit zentraler Aufsicht verbindet. Hier liegt der Mehrwert von Anywhere.legal: Durch die Kombination einer Fallmanagementplattform mit einem globalen Expertennetzwerk und sicherer KI-Unterstützung ermöglicht es Organisationen, ihre grenzüberschreitende Compliance zu strukturieren und sicherzustellen, dass die Leitungsorgane die gesetzlich vorgeschriebene Aufsicht nachweisen können.
Benötigen Sie internationale rechtliche Unterstützung bei der Einhaltung von NIS2 oder bei der grenzüberschreitenden Koordination? Kontaktieren Sie uns über $Anywhere.legal/$.
Häufig gestellte Fragen
Was ist praktisch der Unterschied zwischen wesentlichen und wichtigen Einheiten in Bezug auf die Haftung? Beide Kategorien begründen eine persönliche Managerhaftung. Der Hauptunterschied liegt in der Aufsicht und den Sanktionen. Wesentliche Einheiten unterliegen einer Ex-ante-Aufsicht und der Möglichkeit einer vorübergehenden Suspendierung des Managements. Wichtige Einheiten unterliegen in der Regel einer Ex-post-Aufsicht erst nach einem Vorfall.
Was ist praktisch der Unterschied zwischen wesentlichen und wichtigen Einheiten in Bezug auf die Haftung? Beide Kategorien begründen eine persönliche Managerhaftung. Der Hauptunterschied liegt in der Aufsicht und den Sanktionen. Wesentliche Einheiten unterliegen einer Ex-ante-Aufsicht und der Möglichkeit einer vorübergehenden Suspendierung des Managements. Wichtige Einheiten unterliegen in der Regel einer Ex-post-Aufsicht erst nach einem Vorfall.
Kann ein Mitglied der Geschäftsleitung persönlich mit 10 Millionen Euro belegt werden? Nein. Verwaltungsgelder werden gegen die Einheit verhängt. Ein Mitglied der Geschäftsleitung kann jedoch administrativen Sanktionen (Suspendierung) und möglicherweise zivilrechtlicher Haftung (Schadensersatz) gegenüber dem Unternehmen wegen Pflichtverletzungen nach nationalem Gesellschaftsrecht ausgesetzt sein.
Kann ein Mitglied der Geschäftsleitung persönlich mit 10 Millionen Euro belegt werden? Nein. Verwaltungsgelder werden gegen die Einheit verhängt. Ein Mitglied der Geschäftsleitung kann jedoch administrativen Sanktionen (Suspendierung) und möglicherweise zivilrechtlicher Haftung (Schadensersatz) gegenüber dem Unternehmen wegen Pflichtverletzungen nach nationalem Gesellschaftsrecht ausgesetzt sein.
Was ist, wenn mein Unternehmen in den USA ansässig ist, aber digitale Dienstleistungen in der EU verkauft? Wenn Sie Dienstleistungen in der EU anbieten, gilt NIS2 wahrscheinlich für Sie. Sie müssen einen Vertreter in einem der Mitgliedstaaten ernennen, in denen Sie Dienstleistungen anbieten. Dieser Vertreter fungiert als Ansprechpartner für die Behörden und kann Gegenstand von Durchsetzungsverfahren sein.
Was ist, wenn mein Unternehmen in den USA ansässig ist, aber digitale Dienstleistungen in der EU verkauft? Wenn Sie Dienstleistungen in der EU anbieten, gilt NIS2 wahrscheinlich für Sie. Sie müssen einen Vertreter in einem der Mitgliedstaaten ernennen, in denen Sie Dienstleistungen anbieten. Dieser Vertreter fungiert als Ansprechpartner für die Behörden und kann Gegenstand von Durchsetzungsverfahren sein.
Wie funktioniert die 24-Stunden-Meldefrist in der Praxis? Sie müssen dem CSIRT oder der zuständigen Behörde innerhalb von 24 Stunden, nachdem Sie von einem schwerwiegenden Vorfall Kenntnis erlangt haben, eine „Frühwarnung“ zukommen lassen. Dies ist kein vollständiger Bericht, sondern eine Benachrichtigung an die Behörden. Es erfordert eine 24/7-Überwachung und ein vorab festgelegtes rechtliches Verfahren, damit die Meldung nicht unbeabsichtigt eine unbegründete Haftung begründet.
Wie funktioniert die 24-Stunden-Meldefrist in der Praxis? Sie müssen dem CSIRT oder der zuständigen Behörde innerhalb von 24 Stunden, nachdem Sie von einem schwerwiegenden Vorfall Kenntnis erlangt haben, eine „Frühwarnung“ zukommen lassen. Dies ist kein vollständiger Bericht, sondern eine Benachrichtigung an die Behörden. Es erfordert eine 24/7-Überwachung und ein vorab festgelegtes rechtliches Verfahren, damit die Meldung nicht unbeabsichtigt eine unbegründete Haftung begründet.
Ist NIS2 in allen Ländern gleich? Nein. NIS2 ist eine Richtlinie, was bedeutet, dass sie einen Grundrahmen vorgibt. Die Mitgliedstaaten setzen sie in nationales Recht um. Sie können strengere Regeln, höhere Bußgelder oder breitere Definitionen von „wesentlich“-Sektoren festlegen. Grenzüberschreitende Compliance erfordert die Überprüfung des spezifischen Rechts in jedem Land, in dem Sie tätig sind.
Ist NIS2 in allen Ländern gleich? Nein. NIS2 ist eine Richtlinie, was bedeutet, dass sie einen Grundrahmen vorgibt. Die Mitgliedstaaten setzen sie in nationales Recht um. Sie können strengere Regeln, höhere Bußgelder oder breitere Definitionen von „wesentlich“-Sektoren festlegen. Grenzüberschreitende Compliance erfordert die Überprüfung des spezifischen Rechts in jedem Land, in dem Sie tätig sind.
Erfahren Sie, was Anywhere alles kann – in einer maßgeschneiderten Demo von unserem Team.
Anruf planen
Aktuelle Artikel
7. 4. 2026
Verrechnungspreise 2025: Warum europäische Behörden Echtzeitdaten erwarten – und wie Sie damit umgehen
2. 4. 2026
EU Inc. (28. Regime): Schnelle Unternehmensregistrierung in der EU und die Herausforderung grenzüberschreitender Komplexität
Mehr laden
Entdecken Sie, was Anywhere kann — mit einer maßgeschneiderten Demo unseres Teams.
