D&O-Versicherung: Warum NIS-2 sie für Geschäftsführer wichtiger macht
Viele Geschäftsführer:innen wissen nicht, dass sie mit ihrem gesamten Privatvermögen für Pflichtverletzungen in der GmbH haften können. „Die GmbH gehört mir doch, das betrifft mich nicht" — ein Trugschluss. Die GmbH mag wie eine solide Burg wirken, eine uneinnehmbare Festung ist sie deshalb noch lange nicht. Seit Ende 2025 gilt das für einen ganz konkreten Bereich noch einmal deutlich verschärft: Cybersicherheit.
Die Grundlage: persönliche Haftung nach Gesellschaftsrecht
Wer eine GmbH gründet, will damit oft auch das eigene Privatvermögen schützen — "Gesellschaft mit beschränkter Haftung" klingt danach. Diese Haftungsbeschränkung schützt aber nicht vor den Konsequenzen eigener Pflichtverletzungen in der Geschäftsführung. Verletzt eine Geschäftsführung ihre Sorgfaltspflichten — etwa bei Verstößen gegen Aufklärungspflichten bei drohender Zahlungsunfähigkeit, einem verspäteten Jahresabschluss oder einer zu spät gestellten Insolvenzantragstellung — haftet sie dafür persönlich. Verletzen mehrere Geschäftsführer:innen ihre jeweiligen Pflichten und entsteht der Gesellschaft dadurch ein Schaden, können sie gesamtschuldnerisch haften. Eine interne Ressortverteilung beseitigt die eigenen Organisations- und Überwachungspflichten nicht automatisch. Für einen Fehler eines anderen Geschäftsführers haftet jedoch nicht jedes Mitglied ohne eigene Pflichtverletzung.
Eine D&O-Versicherung (Directors-and-Officers-Versicherung) prüft im Streitfall, ob ein geltend gemachter Anspruch rechtlich berechtigt ist, und übernimmt im begründeten Fall den Schaden bis zur vereinbarten Versicherungssumme — auch direkt gegenüber der eigenen GmbH. Versicherungsnehmerin ist meist die Gesellschaft selbst, versichert sind neben der Geschäftsführung häufig auch Prokurist:innen.
Neu seit NIS-2: eine explizite Cybersicherheitspflicht der Geschäftsleitung
Seit dem 6. Dezember 2025 ist in Deutschland das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft. Es betrifft schätzungsweise rund 29.500 Unternehmen und schafft mit § 38 des neu gefassten BSI-Gesetzes (BSIG) erstmals eine ausdrückliche Cybersicherheitspflicht der Geschäftsleitung: Sie muss die gesetzlich vorgeschriebenen Risikomanagementmaßnahmen umsetzen, ihre Umsetzung fortlaufend überwachen und regelmäßig an Schulungen zur Erkennung und Bewertung von Cyber-Risiken teilnehmen. Operative IT-Aufgaben können an interne oder externe Fachleute übertragen werden. Bei Unternehmen, die als besonders wichtige oder wichtige Einrichtung unter das BSIG fallen, bleibt die Geschäftsleitung jedoch für die Umsetzung und Überwachung der vorgeschriebenen Risikomanagementmaßnahmen verantwortlich.
Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie der eigenen Einrichtung nach den gesellschaftsrechtlichen Regeln — bei der GmbH also über § 43 Abs. 2 GmbHG, bei der AG über § 93 Abs. 2 AktG. Wichtig dabei: Ob gesetzlich vorgeschriebene Pflichten eingehalten werden müssen, steht nicht im freien unternehmerischen Ermessen. Bei der Auswahl und Ausgestaltung der konkreten Risikomanagementmaßnahmen verlangt § 30 BSIG jedoch eine Bewertung ihrer Eignung, Verhältnismäßigkeit und Wirksamkeit unter Berücksichtigung von Risiko, Unternehmensgröße und Umsetzungskosten. Wie sich dies im Haftungsfall auf den Schutz unternehmerischer Entscheidungen (Business Judgment Rule) auswirkt, hängt von der konkreten Entscheidung und den Umständen des Einzelfalls ab. Welche Darlegungs- und Beweislast die Geschäftsleitung im Haftungsfall konkret trifft, kann je nach Rechtsform, Anspruchsgrundlage und den Umständen des Einzelfalls unterschiedlich ausfallen.
Die Bußgelder, die ein Unternehmen selbst treffen können, sind erheblich: Je nach Verstoß können gegen besonders wichtige Einrichtungen Geldbußen bis zu 10 Millionen Euro und gegen wichtige Einrichtungen bis zu 7 Millionen Euro verhängt werden. Bei bestimmten Verstößen und einem Gesamtumsatz von mehr als 500 Millionen Euro kann stattdessen ein umsatzbezogener Höchstbetrag von bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Gesamtumsatzes gelten.
Was das für die D&O-Versicherung bedeutet
Die gute Nachricht zuerst: Die Gesetzesbegründung zu § 38 BSIG stellt ausdrücklich klar, dass D&O-Versicherungen durch NIS-2 nicht eingeschränkt werden sollen — sie bleiben das zentrale Instrument, um die persönliche Haftung der Geschäftsleitung abzusichern. Allerdings bestehen reale Deckungslücken: D&O-Policen greifen in der Regel nicht bei vorsätzlichen Pflichtverletzungen. Ob ein über längere Zeit komplett fehlendes Sicherheitsmanagement trotz bestehender NIS-2-Pflicht im Einzelfall als vorsätzlich gewertet wird, hängt von den konkreten Umständen ab — das Risiko einer solchen Einordnung sollte aber nicht unterschätzt werden. Bußgelder selbst sind zudem oft nur eingeschränkt versicherbar. Deshalb gilt seit NIS-2 noch mehr als zuvor: Eine gute Absicherung braucht die Kombination aus D&O-Versicherung und einer passenden Cyberversicherung für das Unternehmen selbst. Wie eine solche Cyberversicherung aufgebaut ist, erkläre ich in meinem Artikel „Was eine Cyberversicherung wirklich abdeckt".
Die beste Verteidigung im Streitfall ist ohnehin Dokumentation: Wer im Ernstfall lückenlos nachweisen kann, dass Risikomanagementmaßnahmen beschlossen, umgesetzt und überwacht wurden und die vorgeschriebenen Schulungen stattgefunden haben, steht deutlich besser da als jemand, der sich nur auf sein gutes Gedächtnis verlässt.
Praxisfälle, in denen eine D&O greifen kann
Persönliche Haftung gegenüber Dritten — etwa bei einer Verletzung der Aufklärungspflichten bei drohender Zahlungsunfähigkeit, einem nicht rechtzeitigen oder unzutreffenden Jahresabschluss, Schäden durch verspätete Insolvenzantragstellung oder der Vorspiegelung einer nicht vorhandenen Solvenz des Unternehmens.
Persönliche Haftung gegenüber der eigenen Gesellschaft — etwa bei unzureichender Kontrolle von Rechnungsfreigaben, versäumter Fristwahrung, einem Kreditverkauf ohne Prüfung der wirtschaftlichen Verhältnisse des Käufers, dem Abschluss von Arbeitsverträgen trotz abzeichnender Überschuldung oder eben einem unzureichenden Cybersicherheits-Risikomanagement im Sinne von NIS-2.
Fazit
Eine GmbH ohne D&O-Versicherung ist wie ein Fallschirmspringer ohne Reserveschirm. Mit NIS-2 ist ein weiterer, sehr konkreter Grund dazugekommen: Cybersicherheit ist seit Ende 2025 gesetzlich explizit Chefsache — mit gesetzlicher Umsetzungs- und Überwachungsverantwortung der Geschäftsleitung betroffener Einrichtungen. Wenn du wissen willst, wie eine D&O-Versicherung für dich und dein Unternehmen aussehen könnte, buch dir gerne ein kostenloses Erstgespräch.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Versicherungsberatung im Einzelfall.
Quellen: § 38 BSIG im Wortlaut · § 30 BSIG im Wortlaut · § 65 BSIG im Wortlaut · § 43 GmbHG im Wortlaut · NIS-2-FAQ des BSI · Pöppel Rechtsanwälte, „NIS2-Managerhaftung und D&O-Versicherungsschutz in Deutschland"