Worüber Geschäftsführungen jetzt persönlich entscheiden müssen – die Pflichten aus § 38 im Klartext

Seit dem 6. Dezember 2025 gilt in Deutschland die nationale NIS-2-Gesetzgebung. Für viele mittelständische Unternehmen ändert sich damit etwas Grundlegendes: Informationssicherheit ist nicht länger allein Sache der IT. Sie wird zur Aufgabe der Unternehmensführung, und das steht ausdrücklich im Gesetz.

Was § 38 verlangt – in einfacher Sprache

Das Gesetz richtet sich direkt an die Geschäftsleitungen betroffener Einrichtungen und formuliert drei klare Pflichten.

• Erstens: Umsetzen. Sie sind verpflichtet, die geforderten Risikomanagementmaßnahmen aktiv freizugeben und umzusetzen.
• Zweitens: Überwachen. Es genügt nicht, die Aufgabe einmal weiterzugeben. Sie müssen sich vergewissern, dass die Maßnahmen auch tatsächlich wirken.
• Drittens: Schulen lassen und schulen. Sie müssen regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können. Kein IT-Fachwissen ist nötig, aber die Fähigkeit, mitreden und entscheiden zu können.

Dann greift eine persönliche Haftung. Wer als Geschäftsführung schuldhaft handelt, haftet der eigenen Einrichtung für den entstandenen Schaden. Neu ist dabei nicht die Haftung an sich, sondern die ausdrückliche gesetzliche Pflicht, sich persönlich um das Thema zu kümmern. Der Gedanke „Das betrifft mich als Eigentümer nicht“ ist dabei die falsche Schlussfolgerung. Denn selbst in inhabergeführten Betrieben bleibt die Pflicht bestehen, zum Beispiel im Insolvenzfall oder bei Nachfolgekonflikten.

Warum diese Vorschrift so wichtig ist

Bisher konnten Geschäftsführungen das Thema IT-Sicherheit weitgehend an die Technik abgeben. Neu ist mit § 38 vor allem die ausdrückliche, öffentlich-rechtliche Pflicht, sich selbst um ein funktionierendes Risikomanagement zu kümmern. Das ist kein Grund zur Sorge, sondern ein klarer Auftrag – und einer, den Sie mit einem strukturierten Vorgehen gut erfüllen können.

Ein Hinweis für inhabergeführte Betriebe: Die Haftung gegenüber der eigenen Gesellschaft ist nicht der einzige Hebel. Anspruchsinhaber der Innenhaftung ist zwar die Gesellschaft, sodass ein Gesellschafter-Geschäftsführer hier viel selbst in der Hand hat. Wirksam bleiben aber weitere Punkte: In der Insolvenz zieht der Insolvenzverwalter mögliche Ansprüche ein – ein vorheriger Verzicht greift dann nicht. Bei Gesellschafter- oder Nachfolgekonflikten kann die Frage der Pflichterfüllung schnell relevant werden. Bußgelder treffen die Gesellschaft unabhängig davon. Und die Pflicht selbst lässt sich ohnehin nicht abbedingen. Kurz: „Betrifft mich als Eigentümer nicht“ ist die falsche Schlussfolgerung.

Verhältnismäßigkeit ist ausdrücklich vorgesehen

Was Ihr Unternehmen leisten muss, richtet sich nach Größe und Sektor. Von einem mittelständischen Betrieb werden nicht dieselben Strukturen erwartet wie von einem Großkonzern. Gerade in NRW, wo viele Unternehmen als Zulieferer in industrielle Lieferketten eingebunden sind, lohnt sich der genaue Blick auf die eigene Rolle. Wer an betroffene Auftraggeber liefert, wird in der Praxis häufig vertraglich zu Sicherheitsnachweisen verpflichtet, auch ohne selbst direkt unter die Regelung zu fallen.

Vier Fragen stehen jetzt an

Das Gesetz verlangt von Ihnen keine technischen Detailkenntnisse, sondern Führungsentscheidungen. Bin ich betroffen? Wer trägt bei uns die Verantwortung und mit welchen Mitteln? Wie überwache ich die Umsetzung? Und wie halte ich mich selbst und mein Team auf dem Stand?

Die gute Nachricht: Sie müssen das nicht alleine herausfinden und auch nicht alles auf einmal stemmen. Wer früh und Schritt für Schritt vorgeht, schafft sich Klarheit und vermeidet Hektik.

Ein klarer Fahrplan gibt Orientierung

Die gute Nachricht: Sie müssen nicht alles auf einmal stemmen. Wer früh und Schritt für Schritt vorgeht, schafft sich Klarheit und vermeidet Hektik. Ein bewährter Einstieg:

1. Betroffenheit prüfen. Klären Sie zuerst, ob und wie Ihr Unternehmen unter NIS-2 fällt – nach Sektor, Größe und Rolle in der Lieferkette.
2. Standort bestimmen. Verschaffen Sie sich einen Überblick, wo Ihr Unternehmen heute steht.
3. Maßnahmenplan entwickeln. Übersetzen Sie die Anforderungen in konkrete, priorisierte Schritte.
4. Umsetzung begleiten und überwachen. Verankern Sie das Risikomanagement dauerhaft – mit klaren Verantwortlichkeiten und regelmäßiger Kontrolle.

Dieser Beitrag bietet eine erste Orientierung und bildet nicht jede rechtliche Detailfrage ab. Er ersetzt keine individuelle fachliche oder rechtliche Beratung im Einzelfall.

So kommen Sie weiter

Als NIS-2-Anlaufstelle NRW unterstützen wir kleine und mittlere Unternehmen (KMU) in NRW dabei, Licht ins Dunkel zu bringen. Unser Orientierungsangebot ist kostenfrei, unabhängig und praxisnah. Falls Sie betroffen sind, können wir Ihnen darüber hinaus eine kostenfreie, dreitägige IT-Sicherheitsberatung anbieten.

Die NIS-2 Anlaufstelle NRW wird durch das Ministerium für Wirtschaft, Industrie, Klimaschutz und Energie des Landes Nordrhein-Westfalen gefördert.

Über den Autor

Dieser Beitrag wurde von Markus Rüping, Head of IT-Security bei der R.iT GmbH, beigesteuert. Die R.iT GmbH ist eine IT-Unternehmensberatung aus Bochum und unterstützt die NIS-2-Anlaufstelle NRW. Schwerpunkt der Arbeit von Markus Rüping ist die praxisnahe Begleitung mittelständischer Unternehmen bei Cybersicherheit sowie bei der Vorbereitung auf die Anforderungen der NIS-2-Gesetzgebung und deren Begleitung.