Verantwortung lässt sich delegieren. Haftung nicht.

Wir freuen uns, dass Rechtsanwalt Dr. Christian H. W. Trentmann, LL.M. Legal Tech (TRM LEGAL, Hannover) im Folgenden als Gastbeitrag für den KRITIS-Kompass einordnet, worauf Geschäftsleitung und Aufsichtsrat jetzt achten sollten:

Wer die Bußgeldrisiken des neuen KRITIS-Dachgesetzes allein am Sanktionskatalog des Gesetzes selbst misst, unterschätzt sie leicht um eine Zehnerpotenz. Drei Punkte werden in der Praxis regelmäßig übersehen – und sind für Geschäftsleitung und Aufsichtsrat entscheidend:

1) Der eigentliche Kostenfaktor steht nicht im KRITIS-DachG

Der Bußgeldrahmen des Dachgesetzes ist in § 24 vergleichsweise moderat und nicht umsatzgekoppelt. Das ökonomisch dominierende Risiko folgt aus dem parallel anwendbaren BSIG in der Fassung der NIS2-Umsetzung: bis zu 10 Mio. € oder 2 % des weltweiten Konzernumsatzes, je nachdem, welcher Betrag höher ist. Betreiber kritischer Anlagen sind fast immer zugleich „besonders wichtige Einrichtungen" – beide Regime gelten nebeneinander, eine Sperrwirkung besteht nicht. Für die Risikobewertung im Aufsichtsrat ist die BSIG-Zahl die maßgebliche.

2) Sanktioniert wird nicht der Mangel, sondern die Missachtung der Aufsicht

Der Bußgeldkatalog knüpft nur an zwei Pflichtenkreise an: Registrierung und Aufsichtskooperation. Die materiellen Resilienzpflichten selbst sind für sich genommen nicht unmittelbar bußgeldbewehrt. Der kritische Moment für die Compliance ist deshalb nicht der festgestellte Mangel – sondern der Eingang der vollziehbaren behördlichen Anordnung. Ab diesem Zeitpunkt ist das Verhalten fristgebunden bußgeldbewehrt. Eskalationswege müssen genau darauf zugeschnitten sein.

3) Die Geschäftsleitungshaftung entscheidet sich an der Beweislast

§ 20 KRITIS-DachG begründet keine neue Haftung – er ist eine Verweisung auf das allgemeine Organhaftungsrecht. Die Verschärfung liegt woanders: Die Norm macht die Resilienzpflichten zur ausdrücklichen Leitungsaufgabe und entzieht sie damit dem Schutz der Business Judgment Rule. Die Abwägung „Umsetzungskosten gegen Bußgeldrisiko" ist bei zwingendem Recht keine zulässige Leitungsentscheidung, sondern selbst pflichtwidrig.

Der eigentliche Punkt ist schließlich die gesellschaftsrechtliche Beweislastumkehr: Im Streitfall muss der Geschäftsleiter beweisen, dass er pflichtgemäß gehandelt hat – nicht die Gesellschaft das Gegenteil.

Kurz gesagt: Ohne Dokumentation keine Entlastung.

Billigungsbeschluss zu den Resilienzmaßnahmen, ein nachweisbarer Überwachungsturnus und die dokumentierte Befassung mit Abweichungsmeldungen sind keine Formalia. Sie sind das Beweismittel des Geschäftsleiters – in einem Haftungsprozess, der typischerweise erst Jahre später geführt wird.

Empfehlung aus der Beratungspraxis

KRITIS- und BSIG-Compliance sollten nicht in getrennten Projektsträngen aufgesetzt werden. Die Lücken entstehen an den Schnittstellen – im Meldewesen, in der Nachweisführung und bei den Schulungen.

Gastbeitrag von Dr. Christian H. W. Trentmann, LL.M. Legal Tech, Rechtsanwalt – TRM LEGAL, Hannover.

Hinweis: Dieser Beitrag dient einer ersten Orientierung und ersetzt keine rechtliche Prüfung im Einzelfall.