CFO-Haftung: Neue Risiken durch NIS-2, CSRD und CSDDD

Die Haftungsrisiken für Finanzvorstände (CFOs) haben durch die fortschreitende EU-Regulierung eine neue Qualitätsstufe erreicht. Im Zentrum steht dabei die Sorgfaltspflicht gemäß § 43 GmbHG, die im Kontext neuer Richtlinien wie NIS-2, der Corporate Sustainability Reporting Directive (CSRD) und der Corporate Sustainability Due Diligence Directive (CSDDD) zunehmend unter Druck gerät.

Aktuellen Einschätzungen zufolge lässt sich dieses Risiko jedoch durch eine konsequent beweisbare Sorgfalt in den Unternehmensprozessen erheblich minimieren.

Anpassungen der Berichtspflichten auf europäischer Ebene

Während die regulatorischen Anforderungen wachsen, gibt es auf politischer Ebene erste Bestrebungen zur Entlastung der Wirtschaft. Die dänische Regierung hat unter Wirtschaftsminister Morten Bødskov eine Pause sowie umfassende Änderungen bei den CSRD-Berichtspflichten angekündigt.

Davon sind etwa 2000 dänische Unternehmen betroffen. Ziel der Regierung in Kopenhagen ist es, die Anzahl der berichtspflichtigen Firmen deutlich zu reduzieren, um bürokratische Hürden abzubauen.

Angesichts der komplexen Regulierungswelle in Europa wird der Schutz der IT-Infrastruktur für die Unternehmensführung immer wichtiger. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken jetzt verstehen

Parallel dazu nutzt die Europäische Union sogenannte Omnibus-Pakete, um Berichtspflichten unter der CSRD zu verschieben. Dabei werden die Anforderungen für große Unternehmen vereinfacht, während kleinere Betriebe teilweise gänzlich von den Verpflichtungen befreit werden.

Dieser Schritt erfolgt vor dem Hintergrund einer weiterhin mangelnden Vorbereitung in der Wirtschaft: Daten von Morgan Stanley aus dem Jahr 2023 zeigten bereits, dass sich 88 Prozent der westeuropäischen Unternehmen nicht bereit für die CSRD fühlten, obwohl zeitgleich 94 Prozent das Thema Nachhaltigkeit grundsätzlich als Chance begriffen.

Cybersecurity und kritische Infrastrukturen als Haftungsfallen

Ein wesentlicher Faktor für die persönliche Haftung von CFOs ist die IT-Sicherheit. Laut Statistiken des Bundesinnenministeriums wurden im Jahr 2025 insgesamt 1041 Ransomware-Angriffe angezeigt, was einer Steigerung von 10 Prozent gegenüber dem Vorjahr entspricht.

Vor diesem Hintergrund bereiten Unternehmen wie IoTmaxx ihre technischen Gateways bereits auf die Anforderungen des Cyber Resilience Act (CRA) vor, die ab Dezember 2027 greifen. Zu den Maßnahmen gehören Risikoanalysen, Systemhärtungen und ein aktives Schwachstellenmanagement.

Wer sich mit der Absicherung kritischer Unternehmensprozesse befasst, sollte auch die gesetzlichen Anforderungen an die IT-Sicherheit genau im Blick behalten. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenlose Checkliste zur IT-Sicherheit sichern

Besonders im Bereich der kritischen Infrastrukturen wächst die Forderung nach rechtlicher Klarheit. Kathrin Günther, CTO des Übertragungsnetzbetreibers TenneT, betonte die Notwendigkeit eindeutiger Regeln für Notfallmaßnahmen zum Schutz der Anlagen. Ohne diese gesetzlichen Leitplanken verbleiben Betreiber in einer rechtlichen Grauzone, was wiederum das Haftungsprofil der verantwortlichen Manager verschärft.

Finanzielle Dimensionen und operative Unsicherheiten

Die finanziellen Konsequenzen mangelnder Compliance verdeutlicht ein am 13. August 2026 startender Prozess gegen den Meta-Konzern in Kalifornien. Dem Unternehmen werden gezielte Nutzungsstrategien gegenüber Kindern vorgeworfen; das potenzielle Schadenersatzrisiko wird auf bis zu 1,4 Billionen US-Dollar taxiert. In einem früheren Verfahren in New Mexico hatte der Konzern bereits eine Zahlung von 567 Millionen US-Dollar leisten müssen.

Zusätzlich zur langfristigen ESG- und Cybersecurity-Planung fordern kurzfristige Änderungen das operative Management heraus. Der Handelsverband Deutschland (HDE) kritisierte jüngst erhebliche Rechtsunsicherheiten bezüglich der neuen EU-Verpackungsverordnung, die am 12. August 2026 in Kraft getreten ist.

HDE-Hauptgeschäftsführer Stefan Genth verwies auf offene Fragen bei Zuständigkeiten und Klassifizierungen und forderte verlässliche Vorgaben für den Handel.

Auch im Steuerrecht müssen CFOs präzise navigieren. Aktuelle Urteile der Finanzgerichte München und Hamburg konkretisieren die Regeln für den Vorsteuerabzug bei grenzüberschreitenden Warenbewegungen.

So entschied das FG München im Dezember 2025 (Az. 5 K 808/23), dass Käufer unter der Bedingung „Ex Works“ die Einfuhrumsatzsteuer auch dann abziehen dürfen, wenn die Verfügungsmacht zu Beginn der Versendung übergeht, selbst bei einem unmittelbaren Rücktransport in ein Drittland.

Das FG Hamburg legte im März 2026 (Az. 4 K 99/23) fest, dass der ort des innergemeinschaftlichen Erwerbs bei einer unbestimmten Zwischenlagerung in einem Mitgliedstaat verbleibt.

de | wirtschaft | 69948045 |