D&O-Versicherung: Warum NIS-2 sie für Geschäftsführer wichtiger macht
Für Verbindlichkeiten einer GmbH haftet grundsätzlich die Gesellschaft mit ihrem Vermögen. Geschäftsführer können jedoch bei eigenen Pflichtverletzungen persönlich in Anspruch genommen werden. Für Einrichtungen, die unter die entsprechenden BSIG-Pflichten fallen, gehören dazu auch gesetzliche Aufgaben zur Cybersicherheit. Eine D&O-Versicherung kann bestimmte Haftpflichtansprüche absichern, ersetzt aber weder diese Aufgaben noch die Cyberversicherung des Unternehmens.
Die Grundlage: persönliche Haftung nach Gesellschaftsrecht
Wer eine GmbH führt, muss die Sorgfaltspflichten gegenüber der Gesellschaft beachten. Verletzt ein Geschäftsführer diese Pflichten und entsteht der Gesellschaft dadurch ein Schaden, kann er persönlich zum Ersatz verpflichtet sein. Bei mehreren Geschäftsführern sind die jeweiligen Aufgaben und Pflichtverletzungen zu prüfen. Eine interne Aufgabenverteilung hebt Organisations- und Überwachungspflichten nicht automatisch auf. Die persönliche Haftung folgt deshalb nicht schon daraus, dass das Unternehmen einen Verlust erleidet.
Eine D&O-Versicherung (Directors-and-Officers-Versicherung) kann versicherte Haftpflichtansprüche prüfen, unberechtigte Forderungen abwehren und berechtigte Ansprüche im vereinbarten Umfang erfüllen. Versicherungssumme, Selbstbehalte und Ausschlüsse ergeben sich aus dem Vertrag. Versicherungsnehmerin ist meist die Gesellschaft selbst, versichert sind neben der Geschäftsführung häufig auch Prokurist:innen.
Neu seit NIS-2: eine explizite Cybersicherheitspflicht der Geschäftsleitung
Seit dem 6. Dezember 2025 ist in Deutschland das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft. Nach Angaben der Initiative Wirtschaftsschutz, herausgegeben vom Bundesministerium des Innern, wird das BSI dadurch künftig rund 29.500 Einrichtungen beaufsichtigen, für die neue gesetzliche Pflichten in der IT-Sicherheit gelten. Zuvor waren es etwa 4.500. Mit § 38 des neu gefassten BSI-Gesetzes (BSIG) schafft das Gesetz erstmals eine ausdrückliche Cybersicherheitspflicht der Geschäftsleitung: Sie muss die gesetzlich vorgeschriebenen Risikomanagementmaßnahmen umsetzen, ihre Umsetzung fortlaufend überwachen und regelmäßig an Schulungen zur Erkennung und Bewertung von Cyber-Risiken teilnehmen. Operative IT-Aufgaben können an interne oder externe Fachleute übertragen werden. Bei Unternehmen, die als besonders wichtige oder wichtige Einrichtung unter das BSIG fallen, bleibt die Geschäftsleitung jedoch für die Umsetzung und Überwachung der vorgeschriebenen Risikomanagementmaßnahmen verantwortlich.
Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie der eigenen Einrichtung nach den gesellschaftsrechtlichen Regeln: bei der GmbH also über § 43 Abs. 2 GmbHG, bei der AG über § 93 Abs. 2 AktG. Wichtig dabei: Ob gesetzlich vorgeschriebene Pflichten eingehalten werden müssen, steht nicht im freien unternehmerischen Ermessen. Bei der Auswahl und Ausgestaltung der konkreten Risikomanagementmaßnahmen verlangt § 30 BSIG jedoch eine Bewertung ihrer Eignung, Verhältnismäßigkeit und Wirksamkeit unter Berücksichtigung von Risiko, Unternehmensgröße und Umsetzungskosten. Wie sich dies im Haftungsfall auf den Schutz unternehmerischer Entscheidungen (Business Judgment Rule) auswirkt, hängt von der konkreten Entscheidung und den Umständen des Einzelfalls ab. Welche Darlegungs- und Beweislast die Geschäftsleitung im Haftungsfall konkret trifft, kann je nach Rechtsform, Anspruchsgrundlage und den Umständen des Einzelfalls unterschiedlich ausfallen.
Die Bußgelder, die ein Unternehmen selbst treffen können, sind erheblich: Je nach Verstoß können gegen besonders wichtige Einrichtungen Geldbußen bis zu 10 Millionen Euro und gegen wichtige Einrichtungen bis zu 7 Millionen Euro verhängt werden. Bei bestimmten Verstößen und einem Gesamtumsatz von mehr als 500 Millionen Euro kann stattdessen ein umsatzbezogener Höchstbetrag von bis zu 2 Prozent beziehungsweise 1,4 Prozent des weltweiten Gesamtumsatzes gelten.
Was das für die D&O-Versicherung bedeutet
Zur D&O-Versicherung selbst sagt das BSIG nichts: Es regelt die Pflichten der Geschäftsleitung und ihre Haftung gegenüber der eigenen Einrichtung, nicht die Versicherbarkeit dieser Haftung. Auch die Begründung zu § 38 im Regierungsentwurf (BT-Drucksache 21/1501, gedruckte Seite 154) befasst sich ausschließlich mit der Billigung und Überwachung der Maßnahmen, mit der Binnenhaftung nach den allgemeinen gesellschaftsrechtlichen Grundsätzen und mit den Schulungspflichten. Eine Aussage zu D&O-Versicherungen enthält sie nicht. Ob und in welchem Umfang eine konkrete Police für Pflichtverletzungen nach dem BSIG eintritt, richtet sich deshalb allein nach dem jeweiligen Vertrag. Entscheidend sind auch die Ausschlüsse. Das unverbindliche GDV-Muster vom Oktober 2026 schließt unter anderem vorsätzliche Schadenverursachung und wissentliche Pflichtverletzungen aus. Ein einzelner Vertrag kann anders formuliert sein. Ob ein konkretes Versäumnis unter einen Ausschluss fällt, muss anhand der Klausel und der Umstände geprüft werden. Behördliche Bußgelder sind von Schadenersatzansprüchen zu unterscheiden; ihre Übernahme darf nicht vorausgesetzt werden. Deshalb gilt seit NIS-2 noch mehr als zuvor: Eine gute Absicherung braucht die Kombination aus D&O-Versicherung und einer passenden Cyberversicherung für das Unternehmen selbst. Wie eine solche Cyberversicherung aufgebaut ist, erkläre ich im Beitrag zu den Leistungen einer Cyberversicherung.
Die beste Verteidigung im Streitfall ist ohnehin Dokumentation: Wer im Ernstfall lückenlos nachweisen kann, dass Risikomanagementmaßnahmen beschlossen, umgesetzt und überwacht wurden und die vorgeschriebenen Schulungen stattgefunden haben, steht deutlich besser da als jemand, der sich nur auf sein gutes Gedächtnis verlässt.
Welche Haftungsansprüche zu prüfen sind
Ansprüche der eigenen Gesellschaft: Wirft die Gesellschaft einem Geschäftsführer einen Fehler vor, müssen Pflichtverletzung, Schaden und die weiteren Haftungsvoraussetzungen geprüft werden. Ein möglicher Vorwurf wäre etwa, dass vereinbarte Kontrollen für Zahlungsfreigaben nicht organisiert wurden. Daraus folgt noch keine Zusage der D&O-Versicherung.
Ansprüche von Gläubigern oder anderen Dritten: Eine unbezahlte Rechnung der GmbH macht den Geschäftsführer nicht automatisch persönlich zahlungspflichtig. Dafür braucht es eine eigene rechtliche Anspruchsgrundlage. Welche Pflichten verletzt wurden und welcher Schaden daraus entstanden ist, muss im Einzelfall geklärt werden.
Besondere Prüfung in der Unternehmenskrise: Insolvenzantragspflichten und die Regeln für Zahlungen nach Eintritt der Insolvenzreife sind gesondert zu betrachten. Ob ein daraus geltend gemachter Anspruch versichert ist, hängt vom konkreten D&O-Vertrag ab. Prüfe insbesondere Insolvenzregelungen, Ausschlüsse und die zeitlichen Voraussetzungen für Anspruchserhebung und Meldung.
Fazit
Prüfe für dein Unternehmen getrennt, welche gesetzlichen Cybersicherheitspflichten gelten, wie deren Umsetzung dokumentiert ist und welche Risiken Cyber- und D&O-Versicherung tatsächlich abdecken. Eine Police ersetzt kein Sicherheitsmanagement. Wenn du wissen willst, wie eine D&O-Versicherung für dich und dein Unternehmen aussehen könnte, buch dir gerne ein kostenloses Erstgespräch.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Versicherungsberatung im Einzelfall.
Quellen: § 38 BSIG im Wortlaut · § 30 BSIG im Wortlaut · § 65 BSIG im Wortlaut · § 13 GmbHG im Wortlaut · § 43 GmbHG im Wortlaut · § 823 BGB im Wortlaut · § 15a InsO im Wortlaut · § 15b InsO im Wortlaut · GDV: Musterbedingungen AVB D&O, Stand Oktober 2026 (unverbindlich) · NIS-2-FAQ des BSI · Regierungsentwurf NIS2UmsuCG, BT-Drucksache 21/1501 (Begründung zu § 38, gedruckte Seite 154) · Initiative Wirtschaftsschutz (Herausgeber: Bundesministerium des Innern), „Bedrohungen im Cyberraum"
Zuletzt aktualisiert am .