GF-Haftung (Compliance)
§ 38 BSIG, § 43 GmbHG, persönliche Haftungs-Risiken
TL;DR
GF-Haftung in Compliance ist persönliche Haftung des Geschäftsführers für unzureichende Compliance-Strukturen. NIS2 § 38 BSIG ist Hauptbedrohung 2026.
Was ist GF-Haftung (Compliance)?
Schutz-Strategien:
- D&O-Versicherung (1-5 Mio. EUR)
- Compliance-Officer benennen
- Compliance-Kit-Dokumentation
- Schulungen dokumentieren
- Regelmäßige Audits
Praxisbeispiel
NIS2-Vorfall ohne dokumentiertes Risiko-Management: § 38 BSIG-Haftung möglich. Verletzen Geschäftsleitungen ihre Pflicht, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und zu überwachen, haften sie ihrer Einrichtung für den schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (Innenhaftung). Das BSIG selbst nennt hierfür keinen festen Höchstbetrag; ein pauschaler persönlicher Haftungsdeckel von „2 Mio. EUR" existiert im NIS2-Recht nicht.
Rechtslage Deutschland und Österreich
Unter NIS2 ist die persönliche Verantwortung der Geschäftsleitung von den Geldbußen zu trennen: Die aufsichtsrechtliche Leitungspflicht kann eine gesellschaftsrechtliche Innenhaftung gegenüber der eigenen Einrichtung auslösen, während sich die NIS2-Geldbußen gegen die Einrichtung richten, nicht persönlich gegen die Geschäftsführung.
Deutschland
- § 38 BSIG (Leitungspflicht & Innenhaftung): Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Bei Pflichtverletzung haften sie ihrer Einrichtung für schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts — ohne betragsmäßige Obergrenze im BSIG.
- § 43 GmbHG: allgemeine Sorgfaltspflicht und Haftung des GmbH-Geschäftsführers gegenüber der Gesellschaft.
- § 65 BSIG (Bußgeld gegen die Einrichtung): bis zu 10 Mio. EUR (besonders wichtige) bzw. 7 Mio. EUR (wichtige Einrichtungen); bei einem Gesamtumsatz über 500 Mio. EUR bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes.
- Aufsichtsbehörde: Bundesamt für Sicherheit in der Informationstechnik (BSI).
Österreich
- § 31 NISG 2026 (Leitungsorgane): Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherstellen und beaufsichtigen sowie an Cybersicherheitsschulungen teilnehmen.
- § 25 GmbHG (Österreich): allgemeine Sorgfaltspflicht und Haftung des Geschäftsführers gegenüber der Gesellschaft.
- § 45 NISG 2026 (Verwaltungsstrafe gegen die Einrichtung): bis zu 10 Mio. EUR bzw. 2 % (wesentliche) und bis zu 7 Mio. EUR bzw. 1,4 % (wichtige Einrichtungen) des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
- Aufsichtsbehörde: Cybersicherheitsbehörde; Verwaltungsstrafen verhängt die Bezirksverwaltungsbehörde.
Ein pauschaler persönlicher Haftungsbetrag von „2 Mio. EUR" ist im NIS2-Recht weder in Deutschland (§ 38 BSIG) noch in Österreich (§ 31 NISG 2026) vorgesehen.