NIS-2 und CSDDD Compliance-Hammer schlägt zu: Führungskräfte stehen persönlich in der Haftung

Anbieter zum Thema

NAVEX Deutschland GmbH

d.velop AG

xSuite Group GmbH

Esker Software Entwicklungs-und Vertrieb

Unternehmen in Deutschland müssen sich dieses Jahr auf verschärfte regulatorische Vorschriften einstellen, etwa zur Compliance. Unternehmen, die sich daran nicht halten, müssen mit Bußgeldern in Millionenhöhe rechnen.

Neues Jahr – neue gesetzliche Vorschriften und Herausforderungen. So bringt 2026 verschärfte Auflagen für über 30.000 deutsche Betriebe mit sich. Neue Regelungen verlangen Echtzeit-Berichte, nachweisbare Compliance-Ergebnisse sowie eine lückenlose Dokumentation von Vorfällen. Und: Führungskräfte werden persönlich haftbar.

Um die Anforderungen zu erfüllen, müssen Unternehmen ihre Prozesse so optimieren, dass Verstöße in diesem Jahr in Echtzeit dokumentiert werden. Nur so können sie den Behörden gegenüber jederzeit prüffähige Nachweise erbringen.

Oliver Riehl, Regional Vice President Sales bei Navex

So können Verstöße gegen die Corporate Sustainability Due Diligence Directive (CSDDD) – abhängig von der nationalen Ausgestaltung – zu erheblichen Strafen von bis zu fünf Prozent des weltweiten Nettojahresumsatzes führen.  Zudem sind zum Jahreswechsel die EU-NIS-2-Richtlinie sowie der AI Act und der Cyber Resilience Act in ihre jeweilige Umsetzungs- und Übergangsphase eingetreten und erhöhen den regulatorischen Druck auf Unternehmen.

Schwierige Umsetzung von EU-Vorschriften

Laut den Daten des State of Risk and Compliance Report 2025 von Navex hatten bereits fast ein Drittel der deutschen Unternehmen Schwierigkeiten bei der Umsetzung von EU-Vorschriften. „Mit dem Hinzukommen weiterer Regelungen dürfte sich die Situation noch weiter verschärfen“, prognostiziert Oliver Riehl, Regional Vice President Sales bei Navex.

So müssen nach der NIS-2-Richtlinie sicherheitsrelevante Vorfälle in der Regel innerhalb von 24 Stunden gemeldet werden, während die neuen Vorschriften auch die technische Nachweisbarkeit der Wirksamkeit von Kontrollen und Maßnahmen verlangen. Oliver Riehl betont, dass es nicht ausreiche, nur auf Verstöße zu reagieren. Unternehmen müssten auch präventive Maßnahmen ergreifen. „Um diese Anforderungen zu erfüllen, müssen Unternehmen ihre Prozesse so optimieren, dass Verstöße in diesem Jahr in Echtzeit dokumentiert werden. Nur so können sie den Behörden gegenüber jederzeit prüffähige Nachweise erbringen.“

Compliance-Verstöße: Führungskräfte haften persönlich

Insbesondere Geschäftsführungen werden künftig stärker in die Pflicht genommen. Die NIS-2-Richtlinie macht ausdrücklich Führungskräfte für die Einhaltung von Risiko- und Sorgfaltspflichten verantwortlich. Oliver Riehl warnt: „Wer die Umsetzung der Sicherheitsstandards nicht aktiv überwacht und steuert, kann im Rahmen der nationalen Umsetzung persönlich haftungsrelevant werden.“

Der Experte empfiehlt daher, automatisierte Kontrollen einzuführen, die Dokumentation kontinuierlich zu pflegen und standardisierte Protokolle zu entwickeln. Nur mit einer klaren Struktur könnten Unternehmen ihren verschärften Verpflichtungen nachkommen. Dazu müssten Führungskräfte Verantwortlichkeiten an Teamleiter delegieren, Managementkontrollen einrichten und Schulungen durchführen. Als Folge werde man zunehmend sehen, dass Investitionen und Budgets umverteilt werden, um sicherzustellen, dass diese Maßnahmen effektiv umgesetzt werden.

Compliance-Daten: Schlüssel für Geschäftsentscheidungen

Die Rolle von Compliance-Prozessen in Unternehmen verändere sich laut dem Navex-Experten grundlegend. Dieses Jahr markiere voraussichtlich den Übergang von reaktivem Handeln hin zu vorausschauender Compliance: Moderne KI-Systeme werten Beschwerden, Vorfälle und Prozessdaten aus und erstellen Risiko-Analysen, die potenzielle Vorfälle erkennen, bevor sie eintreten. Compliance wird zunehmend aktiv Einfluss auf operative Entscheidungen und die Gestaltung von Geschäftsprozessen nehmen.

Lieferketten: Es stehen strengere Kontrollen bevor

Auch das Thema Lieferketten-Kontrollen hält die Unternehmen auf Trab. Das deutsche Lieferkettensorgfaltspflichtengesetz (LkSG) führte 2023 erste Vorgaben ein, die jedoch im vergangenen Jahr rückwirkend gelockert wurden. Doch spätestens bis Juli 2027 werden mit der Umsetzung der Corporate Sustainability Due Diligence Directive in nationales Recht neue Regelungen in Kraft treten.

Navex geht davon aus, dass dies den Handlungsdruck auf Unternehmen deutlich erhöhen könnte. „Die Vertragsklauseln in Bezug auf Menschenrechte und Klimaschutz werden wesentlich strenger. Zudem werden konkrete Nachweise über die Ergebnisse von Compliance-Maßnahmen verlangt, anstelle rein formeller Pflichten“, erklärt Oliver Riehl. Auch die neuen maximalen Bußgelder nach der CSDDD liegen mehr als doppelt so hoch wie beim LkSG und könnten für viele Unternehmen ein erhebliches finanzielles Risiko darstellen. 

Die Prognose von Riehl: Man werde sehen, dass Unternehmen, die sich bereits 2026 gründlich auf die Auswirkungen der CSDDD vorbereiten, im Vorteil sein werden, sobald die neuen Vorschriften umgesetzt und kontrolliert werden. Diese Unternehmen könnten nicht nur finanzielle Strafen vermeiden, sondern auch Reputationsschäden und Kundenverlust vorbeugen und damit ihren Fortbestand sichern. Laut Riehl würden dabei nur Programme erfolgreich sein, die Falldaten auf Risiken von Geschäftspartnern zurückführen, prüffähige Kennzahlen liefern und Compliance vertraglich absichern können.