IT-Sicherheit: Geschäftsführer haften persönlich für NIS2-Verstoß
Veröffentlicht am: 26.07.2026 um 23:41 Uhr | Redaktion boerse-global.de
Die EU verschärft die IT-Sicherheitsauflagen massiv. Mit NIS2 und DORA kommen auf zehntausende Unternehmen neue Pflichten zu – und die Geschäftsführung haftet persönlich.
Wer genau betroffen ist
Das NIS2-Umsetzungsgesetz konkretisiert die Anforderungen für die deutsche Wirtschaft. Grundlage ist ein Entwurf aus September 2025. Das neue BSIG-neu schreibt in den Paragrafen 30 und 43 ff. umfassende Risikomanagement-Maßnahmen und Informationssicherheitssysteme (ISMS) vor.
Betroffen: Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz – sofern sie in kritischen Sektoren wie Energie, Verkehr, Bankwesen oder Gesundheit aktiv sind. Rund 29.500 Unternehmen fallen ab 2026 unter die verschärften Regeln. Besonders brisant: Gemäß § 38 BSIG-neu haftet die Geschäftsführung persönlich für die Umsetzung. Management-Pflichtschulungen sind daher Pflicht.
Was DORA bereits lehrt
Der Finanzsektor macht es vor. Der Digital Operational Resilience Act (DORA) zeigt: Die Sicherheit endet nicht an der Unternehmensgrenze. Über 50 Prozent der meldepflichtigen Vorfälle treten bei IKT-Drittdienstleistern auf.
Experten raten daher, NIS2 nicht als reines IT-Projekt zu betrachten. Es ist eine umfassende Governance-Aufgabe. Entscheidende Schritte:
- Kritische Abhängigkeiten von externen Partnern identifizieren
- Drittdienstleister aktiv steuern und prüfen
- Revisionssichere Nachweise (Audit-Trails) für alle sicherheitsrelevanten Prozesse aufbauen
DORA und NIS2 fordern zudem systematische Personalprüfungen. Automatisierte Screenings mit Finanz-Checks und Strafregisterabgleichen werden für KRITIS-Betreiber und Finanzinstitute zur Pflicht.
Angesichts der neuen gesetzlichen Anforderungen durch NIS2 und DORA wird eine proaktive IT-Sicherheit für Geschäftsführer zur existenziellen Pflicht. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue rechtliche Auflagen ohne teure Investitionen erfüllen. IT-Sicherheit stärken und Haftungsrisiken minimieren
Die Datenschutzfalle in Log-Dateien
Ein oft übersehener Punkt: Personenbezogene Daten in Sicherheitsprotokollen. IP-Adressen, Benutzernamen oder E-Mail-Adressen in Log-Dateien unterliegen der DSGVO-Zweckbindung und Datenminimierung. Fachleute empfehlen, bestehende ISO-27001-Zertifizierungen um die ISO 27701 zu erweitern.
Besonders streng sind die Regeln beim KI-Einsatz. Wer Programmierassistenten in Stadtwerken oder anderen KRITIS-Betrieben nutzt, muss für ein erfolgreiches NIS-2-Audit nachweisen: Der Quellcode wird innerhalb der EU verarbeitet, vollständige Audit-Trails über die Modellnutzung existieren. Telemetrie-Datenflüsse in Drittstaaten außerhalb der EU müssen deaktiviert sein.
Dass die Risiken real sind, zeigte sich Mitte Juli 2026. Bei einer Erweiterung für Bürosoftware eines US-Anbieters gelangten durch einen Konfigurationsfehler unredigierte Dateiinhalte – darunter sensible Umgebungsvariablen – in öffentliche Cloud-Speicher. Der Anbieter deaktivierte die Funktionen am 13. und 14. Juli.
Der Einsatz von KI-Systemen in Unternehmen unterliegt mittlerweile strengen europäischen Regeln, die eng mit IT-Sicherheitsaudits verknüpft sind. Ein kostenloser Report klärt auf, welche KI-Systeme als Hochrisiko gelten und was Verantwortliche jetzt konkret tun müssen, um rechtskonform zu bleiben. Umsetzungsleitfaden zur EU-KI-Verordnung kostenlos anfordern
Ransomware und Sicherheitslücken: Die Lage ist ernst
Die Dringlichkeit untermauert die aktuelle Bedrohungslage. In Nordrhein-Westfalen nehmen Ransomware-Angriffe zu. Bundesweit verursachten Cyberangriffe 2025 Schäden von rund 202 Milliarden Euro.
Im Fokus der Experten: die „Anubis“-Ransomware. Die Schadsoftware forderte Anfang Juli rund 90 Opfer. Sie verfügt über einen Modus, der Dateien unwiderruflich löscht, und umgeht Multi-Faktor-Authentifizierungen über Schwachstellen. Parallel dazu wurde am 26. Juli eine lokale Sicherheitslücke im Linux-Kernel bekannt (CVE-2026-53274). Ein Patch fehlt noch.
Was ab 2027 kommt
Unternehmen müssen zudem die EU-Maschinenverordnung (2023/1230) im Blick behalten. Sie tritt im Januar 2027 in Kraft und stellt neue Anforderungen an Cybersecurity und Dokumentation von Software in Maschinen. Eine generelle Nachrüstpflicht für Bestandsmaschinen besteht nach aktuellem Stand nicht.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
