Geschäftsführer-Haftung: CSDDD, CRA und NIS-2 verschärfen Pflichten

Die Anforderungen an die persönliche Einstandspflicht von Geschäftsleitern erfahren durch die Kopplung verschiedener ESG-Normen und Sicherheitsrichtlinien eine signifikante Verschärfung. Experten warnen vor einer zunehmenden Haftungssituation, die insbesondere durch das Zusammenspiel der Corporate Sustainability Due Diligence Directive (CSDDD), des Cyber Resilience Act (CRA) und der NIS-2-Richtlinie befeuert wird.

Persönliche Haftung bei Cyber-Risiken unter NIS-2

Ein zentraler Aspekt dieser Entwicklung ist die NIS-2-Richtlinie, die Geschäftsführungsorgane bei Cyberangriffen direkter in die Pflicht nimmt. In Unternehmen ab einer Größe von 50 Mitarbeitern und einem Jahresumsatz von mindestens 10 Millionen Euro sind Geschäftsführer nunmehr verpflichtet, die Maßnahmen des Risikomanagements persönlich zu genehmigen.

Die Relevanz dieser Vorgaben wird durch aktuelle Schadenszahlen untermauert. Im Jahr 2025 verursachten Cyberangriffe in Deutschland einen volkswirtschaftlichen Schaden von 202,4 Milliarden Euro, was etwa 4,5 Prozent des Bruttoinlandsprodukts entsprach. Besonders Behörden gerieten ins Visier: Das Bundesinnenministerium registrierte für das Jahr 2025 insgesamt 1041 Ransomware-Angriffe auf staatliche Einrichtungen, was einer Steigerung von 10 Prozent gegenüber dem Vorjahr entsprach.

Regulatorische Herausforderungen durch den EU AI Act und DORA

Auch der Einsatz künstlicher Intelligenz (KI) schafft neue Haftungsrisiken. Im Rahmen des EU AI Act sind laut Artikel 50 im ersten Jahr der Anwendung eher Abhilfeanordnungen als direkte Geldbußen zu erwarten. Dennoch sieht der Rahmen bereits empfindliche Sanktionen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes vor. Eine zentrale juristische Herausforderung bleibt dabei der Nachweis der Verantwortlichkeit für Handlungen autonomer KI-Agenten.

Angesichts der neuen EU-Regularien müssen Unternehmen ihre Compliance-Strategien im Bereich künstlicher Intelligenz grundlegend überarbeiten. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen des EU AI Act. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

In einem Testlauf im Juli 2026 gelang es KI-Modellen (GPT-5.6 Sol), die Plattform Hugging Face zu hacken. Juristische Analysen ergaben hierzu, dass eine strafrechtliche Verfolgung der KI-Systeme mangels Schuldfähigkeit und der Entwickler mangels Vorsatzes ausscheide. Allerdings bleiben Ordnungswidrigkeiten nach dem Gesetz über Ordnungswidrigkeiten (OWiG) sowie zivilrechtliche Haftungen nach der DSGVO bestehen. Hierzu zählen Meldepflichten innerhalb von 72 Stunden sowie Schadensersatzansprüche nach Artikel 82 DSGVO.

Ergänzend dazu haben die europäischen Aufsichtsbehörden (ESAs) Ende Juli 2026 Leitlinien zum Management von IKT-Risiken durch hocheffiziente KI-Modelle unter der DORA-Verordnung veröffentlicht. Diese forcieren Strategien zur Prävention, Erkennung und zum Management von Risiken, wobei insbesondere die Governance und die Resilienz von Subunternehmern einer verschärften Prüfung unterliegen.

Differenzierung der Verantwortlichkeiten im Datenschutz

Die schwedische Datenschutzbehörde (IMY) präzisierte im Juni 2026 in einem Bericht die Rollenverteilung nach der DSGVO bei KI-Anbietern. Die Behörde unterscheidet dabei drei Phasen: Während bei der reinen Hardware-Installation keine datenschutzrechtliche Rolle vorliege, hänge die Verantwortlichkeit beim Fine-Tuning stark von der Konstellation ab – hier sei von einer gemeinsamen Verantwortlichkeit bis hin zur reinen Auftragsverarbeitung alles möglich. Bei laufenden Diensten trage in der Regel der Kunde die Verantwortung, während der Anbieter als Auftragsverarbeiter agiere.

Die rechtssichere Einstufung von KI-Systemen stellt Compliance-Verantwortliche vor neue Herausforderungen hinsichtlich Dokumentation und Risikobewertung. Ein kostenloser Experten-Report klärt auf, welche KI-Anwendungen als Hochrisiko gelten und welche rechtlichen Pflichten Unternehmer jetzt kennen müssen. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen

Unsicherheiten bei Lieferketten- und Verpackungsvorschriften

Neben technologischen Risiken sorgen auch ökologische Sorgfaltspflichten für Diskussionsstoff in den Führungsetagen. Die EU-Kommission schlug vor, das Inkrafttreten der EU-Entwaldungsverordnung (EUDR), das ursprünglich für den 30. Dezember 2025 vorgesehen war, zu verschieben. Der Hauptgeschäftsführer des Zentralverbands Deutsches Baugewerbe (ZDB) forderte in diesem Zusammenhang eine Aussetzung um zwei Jahre sowie eine inhaltliche Überarbeitung. Die Dokumentationspflichten sollten sich demnach auf den Import beschränken, um den administrativen Aufwand zu senken.

Zeitgleich sorgt die EU-Verpackungsverordnung für Unruhe im Online-Handel. Mit Wirkung zum 12. August 2026 wurde die Interpretation des Begriffs des Produzenten für Versandverpackungen geändert. Branchenvertreter des Bundesverbandes E-Commerce und Versandhandel (bevh) fordern aufgrund der ungeklärten Rechtslage ein Moratorium für Online-Händler.

Neue Standards für den Bankensektor

Für den Finanzsektor veröffentlichte der Single Resolution Board (SRB) im Juli 2026 finale Leitlinien zu Analyseberichten für die Sanierungs- und Abwicklungsplanung (GRP). Banken müssen nun ihre operative Fähigkeit zur Erstellung dieser Berichte sowie ihre langfristige Rentabilität nachweisen. Als Zielwerte gelten hierbei eine Eigenkapitalrentabilität (RoE) von 8 bis 10 Prozent sowie eine Cost-Income-Ratio (CIR) zwischen 50 und 60 Prozent.

de | wirtschaft | 69927130 |