Zwei neue EU-Verordnungen, zwei Fristen, ein gemeinsamer Nenner: Wer als Geschäftsführer oder Vorstand die Compliance-Verantwortung für den Cyber Resilience Act (CRA) oder den EU Data Act delegiert und sich dann nicht mehr darum kümmert, riskiert persönliche Haftung. Nicht als abstrakte Möglichkeit, sondern als konkretes, bereits heute geltendes Risiko.
Dieser Beitrag richtet sich an Entscheider - Geschäftsführer, CFOs, Vorstände - die verstehen wollen, was CRA und Data Act für ihre persönliche Rechtsstellung bedeuten. Die technischen und operativen Details beider Regelwerke finden Sie in unseren Pillar-Posts zum [1] und zum [2].
Die Ausgangslage: Neue Regelwerke, alte Haftungsgrundlagen
CRA und Data Act sind EU-Verordnungen mit unmittelbarer Geltung in allen Mitgliedstaaten. Sie schaffen keine neue Organhaftung - aber sie konkretisieren, was von einer ordentlichen Geschäftsleitung heute erwartet wird.
Die Haftung von Geschäftsführung und Vorständen ist im Wesentlichen durch die Sorgfaltspflichten nach § 43 GmbHG und § 93 AktG geprägt. Beide Normen verlangen von den Organmitgliedern die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters. Was das im digitalen Kontext konkret bedeutet, wird durch neue Regulierung laufend präzisiert.
IT-Sicherheit und Cyberresilienz gehören seit langem zum Pflichtenkern ordnungsgemäßer Unternehmensleitung. Zu den Organpflichten gehört insbesondere, das Unternehmen auf strukturelle Veränderungen durch fortschreitende Digitalisierung auszurichten - das umfasst sowohl die Weiterentwicklung von Produkten und Dienstleistungen als auch die Anpassung der Unternehmensorganisation.
Kurz gesagt: Wer CRA und Data Act nicht kennt und keine Maßnahmen ergreift, handelt im Zweifel fahrlässig - und das ist haftungsrechtlich relevant.
CRA: Was Geschäftsführer persönlich verantworten
Wer ist betroffen?
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist am 10. Dezember 2024 in Kraft getreten. Er gilt für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen - also für vernetzte Hardware, eingebettete Software, IoT-Geräte und Industriesteuerungen, die auf dem EU-Markt bereitgestellt werden.
Der CRA betrifft deutlich mehr Unternehmen als klassische IT- oder Hardwarehersteller. Entscheidend ist, ob ein Produkt mit digitalen Elementen auf dem EU-Markt bereitgestellt wird und direkt oder indirekt mit einem Gerät, Netzwerk, einer App, API oder Cloud verbunden werden kann. Auch wer ein Produkt unter eigenem Label importiert oder wesentlich verändert, gilt als Hersteller und trägt die volle Compliance-Verantwortung - [3].
Die entscheidenden Fristen
Ab dem 11. September 2026 gelten die Meldepflichten des CRA: Aktiv ausgenutzte Schwachstellen müssen binnen 24 Stunden als Frühwarnung an ENISA gemeldet werden, eine vollständige Meldung folgt innerhalb von 72 Stunden, ein Abschlussbericht binnen 14 Tagen. Die vollständigen Hauptpflichten - Secure-by-Design, Schwachstellenmanagement über den Lebenszyklus, SBOM und CE-Kennzeichnung - gelten ab dem 11. Dezember 2027.
Für die Geschäftsleitung bedeutet das: Die Meldepflichten sind keine IT-Aufgabe, die man in 2026 noch schnell einrichten kann. Die erste CRA-Deadline ist am 11. September 2026: Schwachstellen müssen binnen 24 Stunden an ENISA gemeldet werden. Wer diesen Prozess erst 2026 aufsetzt, ist zu spät.
Das Bußgeldrisiko
Bei Verstößen gegen wesentliche Cybersicherheitsanforderungen sowie zentrale Hersteller- und Meldepflichten drohen nach dem CRA Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes - je nachdem, welcher Betrag höher ist.
Für Verstöße gegen Verfahrens- und Kennzeichnungspflichten (CE-Kennzeichnung, EU-Konformitätserklärung, technische Dokumentation) sind bis zu 10 Millionen Euro oder 2 Prozent fällig; für falsche oder irreführende Angaben gegenüber Behörden bis zu 5 Millionen Euro oder 1 Prozent. Maßgeblich ist jeweils der höhere Betrag.
Hinzu kommt: Unternehmen, die nicht rechtzeitig CRA-konform werden, riskieren nicht nur hohe Bußgelder, sondern vor allem den kompletten Verlust des EU-Marktzugangs für ihre digitalen Produkte.
Bußgelder treffen das Unternehmen – die Organhaftung trifft Sie persönlich. Wenn die Geschäftsleitung nachweislich keine angemessenen Compliance-Strukturen aufgebaut hat, können Gesellschaft oder Gesellschafter Schadensersatz direkt beim Geschäftsführer geltend machen. Die Beweislast liegt dabei beim Organ, nicht beim Kläger.
Data Act: Organpflichten für Dateninhaber und Produkthersteller
Was der Data Act von der Leitungsebene verlangt
Der EU Data Act (Verordnung (EU) 2023/2854) ist seit dem 12. September 2025 in allen EU-Mitgliedstaaten unmittelbar anwendbar. Er verpflichtet Hersteller vernetzter Produkte und Anbieter verbundener Dienste, Nutzern auf Verlangen Zugang zu den generierten Daten zu gewähren - kostenlos, direkt und in maschinenlesbarem Format.
Der Data Act etabliert ein neues Regulierungsregime, das erstmals einen Zugangsanspruch zu Daten ermöglicht. Unternehmen müssen sich darauf einstellen, dass der Zugriff auf Nutzungsdaten nicht länger exklusiv beim Hersteller oder Anbieter liegt, sondern Nutzern und Dritten offensteht. Die Verordnung erfordert Anpassungen in Produktdesign, Vertragsgestaltung und Datenmanagement.
Für die Geschäftsleitung ist entscheidend: Die Umsetzung des Data Act ist kein isoliertes Compliance-Projekt. Sie betrifft Verträge, IT-Architektur, Datenstrategie und Governance gleichermaßen. Wer diese Themen ausschließlich in der IT-Abteilung oder beim Datenschutzbeauftragten parkt, ohne selbst Verantwortung zu übernehmen, läuft Gefahr, seiner Organisationspflicht nicht nachzukommen.
Für neu in Verkehr gebrachte vernetzte Produkte gilt ab dem 12. September 2026 die Pflicht zum Data-Access-by-Design: Produkte müssen so konstruiert sein, dass sie den direkten Datenzugang technisch ermöglichen.
Sanktionsrahmen
Verstöße gegen den Data Act können Bußgelder nach sich ziehen. Laut dem aktuellen Referentenentwurf für ein deutsches Durchführungsgesetz sind je nach Art des Verstoßes Sanktionen von bis zu 5 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vorgesehen. Die zuständige Aufsichtsbehörde soll die Bundesnetzagentur werden.
Wichtig: CRA und Data Act sind voneinander unabhängige Regelwerke. Der CRA regelt Cybersicherheit und Produktsicherheit; der Data Act regelt Datenzugang und Vertragsrecht. Beide sind zudem von der DSGVO und NIS2 zu unterscheiden. Wer in mehreren dieser Regime tätig ist, muss die Pflichten parallel erfüllen - und kann bei Verstößen parallel sanktioniert werden.
Delegation und Überwachungspflicht: Was wirklich nicht delegierbar ist
Ein verbreitetes Missverständnis: Compliance-Aufgaben können an Fachabteilungen, externe Berater oder einen CISO delegiert werden. Das stimmt - aber nur teilweise.
Die Haftung der Geschäftsleitung für die Einhaltung der Risikomanagementmaßnahmen ist persönlich und nicht delegierbar. Die Geschäftsleitung kann die Umsetzung delegieren. Die Verantwortung bleibt bei ihr.
Was das in der Praxis bedeutet: Die Geschäftsleitung muss sicherstellen, dass geeignete Strukturen aufgebaut werden, und muss deren Funktionieren überwachen. Unabhängig von einem konkreten Cyberangriff ist die Geschäftsleitung verpflichtet, potenzielle Risiken zu identifizieren und zu bewerten. Persönliche Haftung droht nicht bei Fehleinschätzungen im Einzelfall, wohl aber bei strukturellem Organisationsversagen. Die Verantwortung beschränkt sich dabei nicht auf strategische Entscheidungen, sondern umfasst auch den Aufbau und die Aufrechterhaltung tragfähiger Organisationsstrukturen.
Für CRA und Data Act heißt das konkret: Die Geschäftsleitung muss klare interne Zuständigkeiten benennen, Ressourcen bereitstellen, Fortschritte regelmäßig abfragen und die Ergebnisse dokumentieren.
Dokumentation als Schutzschild: Die Beweislastfrage
Die Beweislast ist zulasten der Geschäftsleitung verteilt. § 93 Abs. 2 Satz 2 AktG verlangt vom Vorstandsmitglied den Beweis, dass es die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt hat. Beim GmbH-Geschäftsführer gilt die entsprechende Beweislastverteilung nach § 43 Abs. 2 GmbHG. Wer nach einem Cyberangriff nicht nachweisen kann, dass angemessene Schutzmaßnahmen bestanden, haftet.
Für CRA und Data Act bedeutet das: Dokumentation ist kein bürokratischer Selbstzweck, sondern Ihr wichtigstes Verteidigungsmittel. Die Dokumentation und regelmäßige Kontrolle von Maßnahmen ist im Haftungsfall von entscheidender Bedeutung, da sie belegt, dass die Geschäftsleitung ihren Organisationspflichten nachgekommen ist.
Konkret sollten Geschäftsführer und Vorstände sicherstellen, dass folgende Punkte schriftlich festgehalten und regelmäßig aktualisiert werden:
- Betroffenheitsanalyse: Welche Produkte und Dienste fallen unter CRA bzw. Data Act?
- Interne Zuständigkeiten und Eskalationswege
- Nachweise über durchgeführte Risikoanalysen und Konformitätsbewertungen
- Protokolle über Geschäftsleitungsbeschlüsse zu Compliance-Maßnahmen
- Meldeprozesse für Schwachstellen und Sicherheitsvorfälle (CRA ab September 2026)
Lassen Sie Ihre persönliche Haftungssituation unter CRA und Data Act von unseren Experten einschätzen – konkret, ohne Schachtelsätze, mit klarem Handlungsplan.
Haftungsrisiko jetzt prüfen lassenD&O-Versicherung: Schutz mit Lücken
Viele Geschäftsführer verlassen sich auf ihre D&O-Versicherung als Auffangnetz. Das ist grundsätzlich richtig - aber mit einem wichtigen Vorbehalt.
Zur Absicherung des Haftungsrisikos empfiehlt sich der Abschluss einer D&O-Versicherung (Directors and Officers Liability Insurance). Diese schützt das Privatvermögen der Organmitglieder vor Ansprüchen wegen Pflichtverletzungen im Rahmen ihrer Organstellung.
Allerdings gilt: D&O-Versicherungen decken grundsätzlich die persönliche Haftung von Geschäftsführern und Vorständen. Bei Cyberangriffen kommt es auf die konkreten Obliegenheiten der Police an. Viele Versicherer verlangen dokumentierte IT-Sicherheitsmaßnahmen, regelmäßige Updates und die Einhaltung regulatorischer Vorgaben als Voraussetzung für die Deckung.
Wer also keine CRA- oder Data-Act-Compliance nachweisen kann, riskiert nicht nur Bußgelder und Schadensersatzansprüche - sondern auch den Verlust des D&O-Schutzes genau dann, wenn er ihn braucht. Während die D&O-Versicherung Geschäftsleiter vor den finanziellen Folgen persönlicher Inanspruchnahme schützt, dient die Cyber-Versicherung der Absicherung unternehmensbezogener Schäden infolge von Cyberangriffen, IT-Störungen oder Datenverlusten. In einem digital geprägten Haftungsumfeld ist ein angemessener Versicherungsschutz zugleich Ausdruck verantwortungsbewusster Unternehmensleitung.
Prüfen Sie daher Ihre bestehenden Policen auf Aktualität - sowohl die D&O- als auch eine etwaige Cyber-Versicherung.
Der integrierte Blick: Recht und Steuer gemeinsam denken
CRA und Data Act sind primär rechtliche Themen - aber sie haben auch steuerliche und betriebswirtschaftliche Dimensionen. Compliance-Investitionen (Dokumentation, Schwachstellenmanagement, technische Anpassungen) können steuerlich relevant sein. Bußgelder hingegen sind grundsätzlich nicht abzugsfähig. Wer beides im Blick hat, trifft bessere Entscheidungen.
Als integrierte Kanzlei mit Expertise in IT-Recht, Gesellschaftsrecht und Steuerberatung begleiten wir Entscheider von der ersten Betroffenheitsanalyse bis zur rechtssicheren Umsetzung - und verbinden dabei die rechtliche mit der steuerlichen Perspektive.
Sprechen Sie uns direkt an. Wir klären in einem unverbindlichen Erstgespräch, wo Ihr Unternehmen steht – und was die Geschäftsleitung konkret tun muss.
Erstgespräch vereinbarenHaftet der Geschäftsführer persönlich für CRA-Verstöße des Unternehmens?
Direkte Adressatin der CRA-Bußgelder ist das Unternehmen. Die persönliche Haftung des Geschäftsführers entsteht auf einer zweiten Ebene: Wenn das Unternehmen wegen eines CRA-Verstoßes Schaden erleidet (z.B. Bußgeld, Marktrücknahme, Schadensersatzansprüche Dritter), kann die Gesellschaft den Geschäftsführer nach § 43 GmbHG in Regress nehmen – sofern er seine Sorgfaltspflichten verletzt hat. Die Beweislast liegt beim Geschäftsführer.
Gilt der Data Act auch für SaaS-Anbieter?
Rein cloudbasierte SaaS-Dienste ohne Verbindung zu einem vernetzten Produkt fallen grundsätzlich nicht unter den CRA. Der Data Act hingegen kann SaaS-Anbieter treffen, wenn ihre Dienste mit vernetzten Produkten verbunden sind und dabei Nutzungsdaten entstehen. Die Abgrenzung ist im Einzelfall zu prüfen.
Kann die Geschäftsleitung die CRA-Compliance vollständig delegieren?
Die operative Umsetzung kann und sollte delegiert werden – an interne Fachkräfte, einen CISO oder externe Berater. Die Überwachungspflicht und die Letztverantwortung verbleiben jedoch beim Organ. Wer delegiert, muss sicherstellen, dass geeignete Personen beauftragt wurden, ausreichend Ressourcen bereitstehen und Ergebnisse regelmäßig kontrolliert und dokumentiert werden.
Was ist der Unterschied zwischen CRA und Data Act aus Haftungssicht?
Der CRA adressiert Cybersicherheit und Produktsicherheit – er verpflichtet Hersteller, sichere Produkte zu entwickeln, Schwachstellen zu melden und Konformität nachzuweisen. Der Data Act regelt Datenzugang und Vertragsrecht – er verpflichtet Dateninhaber, Nutzern Zugang zu ihren Daten zu gewähren und faire Vertragsbedingungen einzuhalten. Beide Regelwerke sind unabhängig voneinander und von der DSGVO. Verstöße können parallel sanktioniert werden.
