Haftung der Geschäftsführung nach NISG 2026: Die Arbeit lässt sich delegieren, die Verantwortung nicht

Grundlagen: Was das NISG 2026 insgesamt verlangt, mit allen Fristen und Fundstellen, steht auf der laufend gepflegten Seite NISG 2026 im Überblick →

Worum es geht: NIS2 / NISG 2026

Die NIS2-Richtlinie der EU (Richtlinie 2022/2555) legt fest, wie Unternehmen in relevanten Sektoren ihre Netz- und Informationssysteme schützen müssen. In Österreich setzt sie das Netz- und Informationssystemsicherheitsgesetz 2026 um (kurz NISG 2026, kundgemacht im Bundesgesetzblatt I Nr. 94/2025). Es gilt seit 1. Oktober 2026.

Betroffen sind nach Schätzung der Wirtschaftskammer rund 4.000 Unternehmen aus 18 Sektoren, von Energie, Gesundheit und Transport über Lebensmittel und Maschinenbau bis zu digitalen Diensten. In der Regel geht es um Unternehmen ab mittlerer Größe: ab 50 Mitarbeitenden oder mit mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Sie müssen sich bis 4. Jänner 2027 beim Bundesamt für Cybersicherheit registrieren, elektronisch über das Unternehmensserviceportal (USP).

Das Gesetz richtet sich ausdrücklich auch an die Leitungsorgane des Unternehmens: in der GmbH an die Geschäftsführung, in der AG an den Vorstand.

Die drei Pflichten der Geschäftsführung

Der Kern steht in Artikel 20 der Richtlinie, in Österreich umgesetzt in § 31 NISG 2026 („Governance“):

„Die Mitgliedstaaten stellen sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die von diesen Einrichtungen zur Einhaltung von Artikel 21 ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße gegen diesen Artikel durch die betreffenden Einrichtungen verantwortlich gemacht werden können.“

Art. 20 Abs. 1 NIS2-Richtlinie

Daraus ergeben sich drei Pflichten:

1. 1

   Verantwortung übernehmen

   Die Richtlinie verlangt, dass die Geschäftsführung Maßnahmen einfordert und unterstützt, um die relevanten Informationsrisiken angemessen zu behandeln. In der Praxis entscheidet die Geschäftsführung, welche Risiken behandelt und welche akzeptiert werden. Grundlage ist eine nachvollziehbare Risikoeinschätzung, nicht der Zuruf der IT. Dafür muss jemand die Risiken vorher erheben und verständlich aufbereiten, etwa die IT-Leitung oder ein interner oder externer CISO.

2. 2

   Überwachen

   Nach dem Beschluss muss die Geschäftsführung verfolgen, ob die Maßnahmen umgesetzt werden und wirken. Dafür braucht sie ein klares Reporting: Wo stehen wir, was ist passiert, was ist offen?

3. 3

   Sich schulen lassen

   Die Mitglieder der Geschäftsführung müssen selbst an Sicherheitsschulungen teilnehmen, die für ihre Rolle angemessen sind. Ziel ist unter anderem, dass sie ausreichende Kenntnisse haben, um Risiken zu erkennen und zu bewerten. Eine Stundenzahl schreibt das Gesetz nicht vor. Zusätzlich muss das Unternehmen seinen Mitarbeitenden regelmäßig Schulungen anbieten.

Wer zählt als Leitungsorgan? Gemeint sind die Personen, die das Unternehmen auf oberster Ebene führen: Geschäftsführerinnen und Geschäftsführer, Vorstandsmitglieder und vergleichbare Funktionen. Ein CISO oder Informationssicherheitsbeauftragter ist kein Leitungsorgan, solange er keine Leitungsbefugnis hat. Er unterstützt die Geschäftsführung bei diesen Pflichten.

Wer zahlt, wenn etwas schiefgeht?

Über Verstöße gegen das NISG 2026 entscheidet die Bezirksverwaltungsbehörde (§ 44 Abs. 1). Die Strafe kann zwei Adressaten haben:

Die Geschäftsführung persönlich. Im österreichischen Verwaltungsstrafrecht ist für ein Unternehmen grundsätzlich verantwortlich, wer es nach außen vertritt, in der GmbH also die Geschäftsführung (§ 9 Abs. 1 VStG). Das Unternehmen haftet für diese Strafe mit (§ 9 Abs. 7 VStG). Für abgegrenzte Bereiche lässt sich die Verantwortung auf einen verantwortlichen Beauftragten übertragen (§ 9 Abs. 2 VStG). Ob das für Sie sinnvoll ist, klären Sie mit Ihrer Rechtsberatung.

Das Unternehmen direkt. Das NISG 2026 erlaubt, die Geldstrafe unmittelbar gegen das Unternehmen zu verhängen, wenn eine Person mit Führungsposition den Verstoß begangen oder durch mangelnde Überwachung ermöglicht hat (§ 44 Abs. 3 und 4).

Für denselben Verstoß wird nicht doppelt gestraft: Wird das Unternehmen bestraft, ist von der Strafe gegen die verantwortliche Person abzusehen (§ 44 Abs. 5). Nach den Erläuterungen zum Gesetz soll sich die Verfolgung vorrangig auf das Unternehmen richten. Eine persönliche Strafe ist damit aber nicht ausgeschlossen.

Eine weitere Maßnahme zielt unmittelbar auf die Person: Bei wesentlichen Einrichtungen kann das Bundesamt für Cybersicherheit als letztes Mittel vorübergehend untersagen, dass eine verantwortliche Person Leitungsaufgaben wahrnimmt, bis die Mängel behoben sind. Gedacht ist das als Ausnahme für hartnäckige Fälle.

Warum die Haftung zusätzlich persönlich ist

Neben einer möglichen Verwaltungsstrafe steht die Haftung nach Gesellschaftsrecht. Das NISG 2026 regelt die Haftung der Leitungsorgane nicht eigens; es gelten die allgemeinen Grundsätze.

Nach § 25 GmbHG müssen Geschäftsführer die Sorgfalt eines ordentlichen Geschäftsmannes anwenden. Verletzen sie diese Pflicht, haften sie der Gesellschaft für den daraus entstehenden Schaden. Mehrere Geschäftsführer haften zur ungeteilten Hand, also jeder für den gesamten Betrag. Für den Vorstand einer Aktiengesellschaft gilt nach § 84 AktG ein vergleichbarer Maßstab: die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters. Gehaftet wird mit dem Privatvermögen.

Ein schwerer Cybervorfall verursacht schnell beträchtliche Schäden: Stillstand in Produktion oder Auftragsabwicklung, Wiederherstellung der Systeme, Vertragsstrafen gegenüber Kunden, verlorene Aufträge. Dann zählt, ob die Geschäftsführung getan hat, was von ihr zu erwarten war.

Hier verändert das NISG 2026 die Ausgangslage. Bisher ließ sich argumentieren, Informationssicherheit sei eine Aufgabe der internen Spezialisten im Unternehmen. Jetzt steht im Gesetz, dass die Geschäftsführung die Maßnahmen verantworten und überwachen und sich selbst schulen lassen muss. Damit ist klar beschrieben, was zur Sorgfalt gehört. Im Schadensfall wird es schwer, sich darauf zu berufen, davon nichts gewusst zu haben.

Mein wichtigster praktischer Rat an Sie: Dokumentieren Sie Ihre Entscheidungen. Welche Risikoeinschätzung lag vor? Was wurde beschlossen, was zurückgestellt und warum? Wann wurde berichtet? Mit diesen Aufzeichnungen weisen Sie nach, dass Sie Ihrer Pflicht nachgekommen sind.

Tipp: Lassen Sie rechtlich prüfen, ob Ihre D&O-Versicherung Pflichtverletzungen bei der Cybersicherheit abdeckt.

Was die Geschäftsführung jetzt konkret tun sollte

Die inhaltlichen Pflichten gelten seit 1. Oktober 2026 ohne Übergangsfrist. Die Nachweise folgen später: Die Selbstdeklaration zu den Risikomanagementmaßnahmen ist innerhalb von zwölf Monaten nach Beginn der Registrierungspflicht abzugeben (bis 30. September 2027), unabhängige Prüfungen kann die Behörde im Normalfall frühestens ab 1. Oktober 2028 verlangen. Nutzen Sie diese Zeit für einen geordneten Aufbau. Woran die Selbstdeklaration gemessen wird, zeigt der Beitrag zur NISV 2026.

1. Betroffenheit klären und registrieren. Prüfen Sie, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt, einschließlich Konzernstrukturen und Tochtergesellschaften. Die Registrierung ist bis 4. Jänner 2027 fällig und läuft über das Unternehmensserviceportal (USP). Den Ablauf beschreibt der Beitrag „Registrierung nach NISG 2026“. Eine erste Einschätzung gibt Ihnen der NIS2 Schnellcheck in rund 5 Minuten.
2. Eine Person benennen, die Informationssicherheit steuert. Intern oder extern, aber mit klarem Auftrag und direktem Berichtsweg zur Geschäftsführung. Seit der NISV 2026 ist das ausdrücklich vorgeschrieben. Wie ich diese Rolle als externer CISO übernehme, beschreibt die Seite NIS2-Beratung und Umsetzung.
3. Risiken bewerten lassen und darüber entscheiden. Eine strukturierte Einschätzung des Reifegrads zeigt, wo Sie stehen und was zuerst zu tun ist. Der Beschluss darüber gehört ins Protokoll.
4. Eine Berichtsroutine festlegen. Zum Beispiel quartalsweise: Stand der Maßnahmen, Vorfälle und Beinahe-Vorfälle, offene Risiken, nächste Schritte. Bewährt hat sich dafür ein Security Steering Board.
5. Geschäftsführung schulen und die Teilnahme festhalten. Eine Schulung für Leitungsorgane, dazu ein regelmäßiges Angebot für die Mitarbeitenden.

Fazit

NIS2 macht Informationssicherheit zur Führungsaufgabe. Die Strafe trifft meist das Unternehmen, die Verantwortung bleibt bei der Geschäftsführung. Damit trägt sie auch das Risiko, persönlich bestraft zu werden oder für Schäden einzustehen. Wenn Sie Ihre Pflichten kennen und nachvollziehbar entscheiden, haben Sie dieses Risiko weitgehend selbst in der Hand.

Häufige Fragen zur Haftung

Autor

Lukas Kulmitzer, MSc

Gründer von NextSecure. Seit über zehn Jahren in der Informationssicherheit, unter anderem als CISO, Auditor und Notfallmanager; CISSP, CISM und ISO/IEC 27001 Manager & Auditor. Begleitet Unternehmen in Österreich und im DACH-Raum bei NIS2, ISO 27001 und als externer CISO. Mehr über Lukas Kulmitzer