Pflichten der Geschäftsleitung und des Vorstands nach NIS2: was Artikel 20 verlangt und wann Geschäftsleiter haftbar gemacht werden können

Nach Artikel 20 NIS2 muss das Leitungsorgan jeder wesentlichen und wichtigen Einrichtung die Cybersicherheitsmaßnahmen nach Artikel 21 billigen und ihre Umsetzung überwachen, und seine Mitglieder müssen an Schulungen teilnehmen. Das Leitungsorgan kann für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden. In wesentlichen Einrichtungen kann einer Person auf Ebene der Geschäftsführung als letztes Mittel vorübergehend untersagt werden, Leitungsaufgaben wahrzunehmen.

Dieser Leitfaden behandelt die drei Pflichten, wer das Leitungsorgan ist, ob die Billigung delegiert werden kann, wann Geschäftsleiter haftbar gemacht werden können, das vorübergehende Leitungsverbot, was nationale Gesetze ergänzen, eine Vorlage für den Vorstand, wie Nachweise der Überwachung aussehen, und eine Checkliste.

Pflicht oder Folge	Grundlage	Gilt für	In der Praxis
Maßnahmen nach Artikel 21 billigen	Art. 20 Abs. 1	Wesentliche und wichtige	Ein dokumentierter Beschluss zu benannten Dokumenten und Versionen
Ihre Umsetzung überwachen	Art. 20 Abs. 1	Wesentliche und wichtige	Regelmäßige Berichte, Fragen, nachverfolgte Maßnahmen
Mitglieder nehmen an Schulungen teil	Art. 20 Abs. 2	Wesentliche und wichtige	Ein Schulungsnachweis für jedes Mitglied
Verantwortlichkeit für Verstöße gegen Artikel 21	Art. 20 Abs. 1	Wesentliche und wichtige	Form und Voraussetzungen legt das nationale Recht fest
Haftung der Personen, die die Einhaltung sicherstellen müssen	Art. 32 Abs. 6, Art. 33 Abs. 5	Wesentliche und wichtige	Form und Voraussetzungen legt das nationale Recht fest
Vorübergehendes Verbot, Leitungsaufgaben wahrzunehmen	Art. 32 Abs. 5 Buchst. b	Nur wesentliche, nicht öffentliche Verwaltung	Letztes Mittel nach einer versäumten Frist
Höchstbußgelder von mindestens 10 Mio. EUR oder 2 % (7 Mio. EUR oder 1,4 %)	Art. 34	Die Einrichtung, nicht ihre Geschäftsleiter	Beträge im nationalen Recht festgelegt

Welche Pflichten hat der Vorstand nach NIS2?

Artikel 20 Absatz 1 besteht aus einem Satz: „Die Mitgliedstaaten stellen sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die von diesen Einrichtungen zur Einhaltung von Artikel 21 ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße gegen diesen Artikel durch die betreffenden Einrichtungen verantwortlich gemacht werden können.“

Erwägungsgrund 137 nennt den Zweck: ein hohes Maß an Verantwortung für die Risikomanagementmaßnahmen und die Berichtspflichten. Die Pflichten sind für wesentliche und wichtige Einrichtungen identisch; Aufsicht und Durchsetzung unterscheiden sich, wie in wesentliche und wichtige Einrichtungen nach NIS2 beschrieben.

Die Maßnahmen nach Artikel 21 billigen

Das Leitungsorgan billigt die Maßnahmen, die die Einrichtung zur Einhaltung von Artikel 21 ergreift: die zehn Mindestmaßnahmen, die in NIS2 Artikel 21 erläutert werden. Die Billigung ist kein bloßes Abnicken. Die Richtlinie sagt nicht, wie oft, aber ein 2024 gebilligtes und seither nie wieder aufgegriffenes Paket von Policies sagt wenig über die heutigen Maßnahmen aus. Sinnvoll ist eine erneute Billigung nach wesentlichen Änderungen und mindestens einmal im Jahr.

Ihre Umsetzung überwachen

NIS2 definiert „überwachen“ nicht. In der Praxis erhält das Leitungsorgan regelmäßige Berichte, fragt, ob die Maßnahmen wirken, und hakt nach. Artikel 21 Absatz 2 Buchstabe f verlangt bereits Verfahren zur Bewertung der Wirksamkeit der Maßnahmen; deren Ergebnisse sind die naheliegende Grundlage. Wenn das Sicherheitsteam Bedenken wegen ungepatchter Systeme oder fehlender Backups äußert, handeln Sie. Ein Vorstand, der informiert war und nichts getan hat, ist am schwersten zu verteidigen.

An Schulungen teilnehmen

Artikel 20 Absatz 2 verpflichtet die Mitgliedstaaten sicherzustellen, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen „an Schulungen teilnehmen müssen“. Außerdem fordern die Mitgliedstaaten die Einrichtungen auf, ihren Mitarbeitern „regelmäßig“ entsprechende Schulungen anzubieten. Ziel sind ausreichende Kenntnisse und Fähigkeiten, um Risiken zu erkennen und Risikomanagementpraktiken im Bereich der Cybersicherheit sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu bewerten. NIS2 legt weder Lehrplan noch Stundenzahl noch Häufigkeit fest. Inhalte, Format und Nachweise behandelt NIS2-Schulungspflichten für Leitung und Beschäftigte.

Wer gilt als Leitungsorgan?

NIS2 sagt es nicht: Keine der 41 Begriffsbestimmungen in Artikel 6 erfasst das „Leitungsorgan“, also entscheiden das nationale Recht und Ihre Gesellschaftsform. In einer monistischen Struktur ist es in der Regel der Verwaltungsrat oder die Geschäftsführung. In einer dualistischen Struktur prüfen Sie, ob Ihr nationales Recht den Vorstand, den Aufsichtsrat oder beide nennt.

Für Einrichtungen der öffentlichen Verwaltung gilt Artikel 20 Absatz 1 unbeschadet der nationalen Haftungsregeln für öffentliche Einrichtungen, öffentliche Bedienstete sowie gewählte oder ernannte Amtsträger.

Kann der Vorstand die NIS2-Billigung delegieren?

Die Richtlinie regelt die Delegation nicht ausdrücklich. Der Text beantwortet die Frage trotzdem größtenteils.

1. Die Pflicht liegt beim Leitungsorgan. Artikel 20 Absatz 1 richtet Billigung und Überwachung an die Leitungsorgane, und Erwägungsgrund 137 wiederholt dies. Nichts in Artikel 20 erlaubt diesem Organ, die Pflicht zu übertragen.
2. Die Arbeit kann delegiert werden. Risikoanalyse, Policies, Kontrollen und Berichterstattung können beim CISO, bei der IT oder bei einem externen Dienstleister liegen. Die Richtlinie sagt nicht, wer die Arbeit erledigt.
3. Die Haftung folgt nicht der Arbeit. Nichts in Artikel 20 Absatz 1 deutet darauf hin, dass die Verantwortlichkeit des Leitungsorgans auf den CISO übergeht, wenn dieser die Umsetzung übernimmt.
4. Offen sind die Ausschüsse. Ob ein Risiko- oder Prüfungsausschuss an Stelle des Leitungsorgans billigen kann, regelt NIS2 nicht. Das entscheiden das nationale Recht und das Gesellschaftsrecht.

Sinnvoll ist, dass ein Ausschuss oder der CISO vorbereitet und empfiehlt und das gesamte Leitungsorgan entscheidet und den Beschluss protokolliert.

Wann können Geschäftsleiter nach NIS2 haftbar gemacht werden?

Die Richtlinie kennt zwei Wege.

Artikel 20 Absatz 1: das Leitungsorgan. Es kann „für Verstöße gegen diesen Artikel durch die betreffenden Einrichtungen verantwortlich gemacht werden“, gemeint ist Artikel 21. Das betrifft die Risikomanagementmaßnahmen, nicht die Meldung von Sicherheitsvorfällen nach Artikel 23.

Artikel 32 Absatz 6: natürliche Personen. Jede natürliche Person, die für eine wesentliche Einrichtung verantwortlich ist oder als ihr gesetzlicher Vertreter handelt, und zwar aufgrund der Befugnis, sie zu vertreten, für sie Entscheidungen zu treffen oder sie zu kontrollieren, muss befugt sein, die Einhaltung durch die Einrichtung sicherzustellen. Die Mitgliedstaaten müssen es ermöglichen, solche Personen für Verstöße gegen ihre Pflichten zur Sicherstellung der Einhaltung der Richtlinie haftbar zu machen. Artikel 33 Absatz 5 wendet dies auf wichtige Einrichtungen an. Dieser Weg erfasst die gesamte Richtlinie, einschließlich der Meldung von Sicherheitsvorfällen.

Die Form der Geschäftsleiterhaftung (zivilrechtlich, verwaltungsrechtlich oder anders) und den Verschuldensmaßstab bestimmt das nationale Recht. „Verantwortlich gemacht werden können“ beschreibt eine Möglichkeit, keine automatische Folge jeder Lücke.

Für Durchsetzungsmaßnahmen verpflichtet Artikel 32 Absatz 7, der über Artikel 33 Absatz 5 auf wichtige Einrichtungen anwendbar ist, die Behörden, verschiedene Umstände zu berücksichtigen, darunter Schwere, Dauer, verursachten Schaden, Vorsatz oder Fahrlässigkeit des Urhebers des Verstoßes, Maßnahmen zur Schadensbegrenzung und Zusammenarbeit.

Die Geldbußen nach Artikel 34 werden gegen die Einrichtung verhängt, nicht gegen ihre Geschäftsleiter: Höchstbeträge von mindestens 10 Mio. EUR oder 2 % des weltweiten Umsatzes bei wesentlichen Einrichtungen und 7 Mio. EUR oder 1,4 % bei wichtigen. Einzelheiten in NIS2-Geldbußen.

Kann einem CEO nach NIS2 die Geschäftsleitung untersagt werden?

Ja, in einer wesentlichen Einrichtung, am Ende einer Abfolge nach Artikel 32 Absatz 5.

1. Frühere Maßnahmen nach Artikel 32 Absatz 4 Buchstaben a bis d und f sind wirkungslos geblieben: Warnungen, verbindliche Anweisungen, Anordnungen, Verstöße einzustellen oder die Artikel 21 und 23 einzuhalten, Anordnungen, Auditempfehlungen umzusetzen.
2. Die Behörde setzt eine Frist zur Behebung der Mängel.
3. Verstreicht die Frist, kann die Behörde eine Zertifizierung oder Genehmigung für die Dienste vorübergehend aussetzen oder die zuständige Stelle um die Aussetzung ersuchen, und sie kann die zuständigen Stellen oder Gerichte ersuchen, jeder natürlichen Person, die auf Ebene der Geschäftsführung oder des gesetzlichen Vertreters für Leitungsaufgaben verantwortlich ist, vorübergehend zu untersagen, in dieser Einrichtung Leitungsaufgaben wahrzunehmen.

Das Verbot gilt nur, bis die Mängel behoben sind, und nicht für Einrichtungen der öffentlichen Verwaltung. Erwägungsgrund 133 bezeichnet es als letztes Mittel, das verhältnismäßig und unter Wahrung der Verteidigungsrechte anzuwenden ist. Artikel 33 sieht für wichtige Einrichtungen keine entsprechende Befugnis vor.

Was ergänzen die nationalen Gesetze?

Artikel 20 erreicht die Geschäftsleiter nur über das nationale Recht. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt, weil sie die vollständige Umsetzung von NIS2 nicht mitgeteilt hatten. Prüfen Sie daher, ob Ihr Gesetz in Kraft ist, bevor Sie sich auf seine Einzelheiten stützen.

Luxemburg ist ein Beispiel für ein Gesetz, das weiter geht. Nach Artikel 13 seines Gesetzes vom 5. Mai 2026 billigt das Leitungsorgan die nach Artikel 12, dem Artikel zum Risikomanagement, erforderlichen Maßnahmen, überwacht sie und kann für Verstöße gegen Artikel 12 verantwortlich gemacht werden. Seine Mitglieder müssen regelmäßig an Schulungen teilnehmen, und die Einrichtungen müssen ihren Mitarbeitern regelmäßige Schulungen anbieten, wozu die Richtlinie sie nur auffordert. Mehr dazu im luxemburgischen NIS2-Gesetz.

Suchen Sie in Ihrem eigenen Gesetz nach der Haftungsregel und wen sie nennt, nach einer etwaigen Schulungshäufigkeit und danach, ob die Delegation geregelt ist.

Was gehört in eine NIS2-Vorstandsvorlage?

Genug, damit das Leitungsorgan billigen und überwachen kann, statt nur zur Kenntnis zu nehmen. Eine Gliederung zum Übernehmen:

NIS2-VORSTANDSVORLAGE (Richtlinie (EU) 2022/2555, Artikel 20 und 21)
Einrichtung: ...........  Sitzungsdatum: ........
Kategorie: wesentlich/wichtig

1. ERBETENE BESCHLÜSSE
   Billigen oder erneut billigen: Dokument, Version, Änderungen
   Risikoakzeptanz: Risiko-ID, Risikoeigentümer, Begründung, Prüftermin
   Ressourcen: Budget- oder Personalantrag und das adressierte Risiko

2. STAND DER MASSNAHMEN NACH ARTIKEL 21 ABS. 2 BUCHST. A BIS J
   Je Maßnahme: Status, Änderung seit der letzten Vorlage, Verantwortliche
   Offene Lücken: ID, Schweregrad, Fälligkeit, überfällig ja/nein

3. WIRKSAMKEIT, ARTIKEL 21 ABS. 2 BUCHST. F
   MFA-Abdeckung, administrativer und Fernzugriff ....... %
   Kritische Patches innerhalb der eigenen Frist ........ %
   Letzter Wiederherstellungstest: Datum, System, Ergebnis
   Letzte Übung zu Sicherheitsvorfällen: Datum, Befunde, Maßnahmen

4. SICHERHEITSVORFÄLLE UND MELDUNGEN, ARTIKEL 23
   Erhebliche Sicherheitsvorfälle seit der letzten Vorlage: Anzahl
   Fristen von 24 Stunden, 72 Stunden und einem Monat eingehalten: ja/nein
   Beinahe-Vorfälle und Lehren

5. LIEFERANTEN, ARTIKEL 21 ABS. 2 BUCHST. D
   Kritische Lieferanten: bewertet, überfällig, offene Punkte

6. AUFSICHT
   Anfragen der Behörde, Audits, Feststellungen, Fristen

7. SCHULUNG, ARTIKEL 20 ABS. 2
   Geschulte Mitglieder: Name, Datum, Anbieter, Inhalt

8. MASSNAHMEN AUS DER LETZTEN SITZUNG
   Maßnahme, Verantwortliche, Fälligkeit, erledigt / offen mit Begründung

Wie sieht der Nachweis der Überwachung durch den Vorstand aus?

Nach den Artikeln 32 und 33 kann die Behörde dokumentierte Konzepte und Nachweise ihrer Umsetzung anfordern. Für das Leitungsorgan müssen die Nachweise Entscheidungen auf ausreichender Informationsgrundlage belegen, nicht bloße Anwesenheit.

• Die Billigung. Ein Protokoll, das die gebilligten Dokumente und Versionen, das Datum und die Anwesenden nennt. „Der Vorstand hat den Sicherheitsbericht zur Kenntnis genommen“ ist keine Billigung.
• Die Informationen. Die Vorlage in der Fassung vom Sitzungstag, zusammen mit dem Protokoll aufbewahrt.
• Das Hinterfragen. Gestellte Fragen und gegebene Antworten, im Protokoll festgehalten.
• Die Nachverfolgung. Maßnahmen mit Verantwortlichen und Fälligkeiten, und die nächste Vorlage, die sie als erledigt ausweist oder begründet.
• Risikoakzeptanz. Entscheidungen, ein Risiko zu akzeptieren, mit Begründung und Prüftermin.
• Schulung. Ein Nachweis für jedes Mitglied: Datum, Anbieter, Inhalt.
• Eskalation. Wann ein erheblicher Sicherheitsvorfall eintrat, wann der Vorstand davon erfuhr und was er beschloss.

Was Artikel 20 offenlässt

Artikel 20 sagt billigen und überwachen. Er sagt nicht, auf welcher Informationsgrundlage, wie oft oder anhand welcher Maßnahmen. In dieser Lücke überwacht der Vorstand am Ende eine Ampelfolie, die von den Überwachten selbst erstellt wurde. Die Folie kann melden, dass MFA vollständig umgesetzt ist, während der Identitätsanbieter noch Administratorkonten ohne MFA führt.

Diese Lücke zu schließen ist eine technische Aufgabe. Die Zahlen in der Vorlage sollten aus den Systemen stammen, die den tatsächlichen Stand kennen, also Identitätsanbieter, Endpoint-Management, Cloud-Konten und Ticketsystem, wobei ein Mensch die Ausnahmen prüft, bevor sie den Vorstand erreichen. So arbeitet die CloudSoul-Plattform: automatisch erhobene Nachweise, mit menschlicher Prüfung im Prozess (Human-in-the-Loop).

Außerdem muss jemand für die Vorlage verantwortlich sein und die Fragen des Vorstands beantworten. In einem Unternehmen ohne CISO ist das oft ein virtueller CISO. Das Gesamtprogramm finden Sie auf der NIS2-Compliance-Seite.

NIS2-Checkliste für den Vorstand

• Klären Sie, welches Organ nach Ihrem nationalen Recht das Leitungsorgan ist.
• Dokumentieren Sie die Billigung der Maßnahmen nach Artikel 21 mit Angabe von Dokumenten und Versionen.
• Legen Sie einen Berichtsrhythmus und Auslöser für die Eskalation erheblicher Sicherheitsvorfälle fest.
• Nehmen Sie aus den Systemen gewonnene Kennzahlen zur Wirksamkeit in jede Vorlage auf.
• Protokollieren Sie Fragen, Beschlüsse, Verantwortliche und Fristen, und schließen Sie sie beim nächsten Mal ab.
• Dokumentieren Sie die Schulung jedes Mitglieds: Datum, Anbieter, Inhalt.
• Prüfen Sie Ihr nationales Recht zu Haftung, Schulungshäufigkeit und Delegation.
• Halten Sie Vorlagen und Protokolle für ein Ersuchen der Behörde bereit.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 6, 20, 21, 32, 33 und 34, Erwägungsgründe 133 und 137, EUR-Lex. Artikeltext: Artikel 20, Artikel 32, Artikel 33, Artikel 34, Erwägungsgründe 131 bis 144.
• Luxemburg, Gesetz vom 5. Mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, Artikel 12 und 13, Legilux; parlamentarisches Dossier zum Gesetzentwurf 8364, einschließlich des Berichts der Commission des Institutions vom 13. April 2026, Chambre des Députés.
• Kommission verklagt Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof wegen fehlender Umsetzung von NIS2, 8. Juli 2026, Europäische Kommission.

Häufige Fragen