C-Level Haftung 2026: Was die Geschäftsleitung nachweisen muss

Management Summary

Die C-Level Haftung hat sich 2026 nicht dem Grunde nach geändert. Geändert hat sich, woran sie gemessen wird. Wo die Organpflicht früher an einer allgemeinen Sorgfaltsformel hing, knüpfen die neuen Rechtsakte an konkrete, prüfbare Einzelhandlungen an: ein gebilligter Beschluss, eine eingehaltene Meldefrist, eine dokumentierte Schulung. Das verschiebt die Beweislage. Wer den Vorgang nicht belegen kann, hat aus Sicht einer Aufsicht oder eines Gerichts nicht sorgfältig gehandelt, unabhängig davon, wie gut die Organisation tatsächlich arbeitet.

Drei Termine haben 2026 bereits gewirkt. Am 6. Februar 2026 ist die Novelle des Außenwirtschaftsgesetzes in Kraft getreten und hat das Sanktionsstrafrecht verschärft. Seit dem 2. August 2026 ist die KI-Verordnung allgemein anwendbar, während die Pflichten für Hochrisiko-Systeme durch den Digital Omnibus in die Jahre 2027 und 2028 verschoben wurden. Ab dem 11. September 2026 greifen die Meldepflichten des Cyber Resilience Act, und zwar auch für Produkte, die längst im Markt sind.

Zwei Themen laufen in die Gegenrichtung. Die EU-Entgelttransparenzrichtlinie ist am 7. Juni 2026 fällig geworden, ohne dass ein deutsches Umsetzungsgesetz vorliegt. Und die europäische Geldwäscheverordnung gilt erst ab dem 10. Juli 2027, während die neue Behörde AMLA in Frankfurt die technischen Standards derzeit konsultiert. In beiden Fällen ist der Zeitpunkt der Rechtsgeltung nicht identisch mit dem Zeitpunkt, zu dem eine Geschäftsleitung die Datengrundlage aufbauen muss.

Für die Führungsebene ergibt sich daraus eine schmale, aber klare Aufgabe: keine sechs Einzelprojekte, sondern eine gemeinsame Nachweisakte, die für jeden Rechtsakt Beschluss, Zuständigkeit, Überwachungstakt und Eskalationsweg festhält. Der Rest ist Fachaufgabe und delegierbar.

Warum C-Level Haftung 2026 anders bewertet wird

Die gesellschaftsrechtliche Grundlage ist unverändert. Ein GmbH-Geschäftsführer schuldet nach § 43 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes und haftet der Gesellschaft für den Schaden aus einer Pflichtverletzung. Für den Vorstand einer Aktiengesellschaft gilt § 93 AktG mit derselben Struktur, ergänzt um die Business Judgement Rule in § 93 Abs. 1 Satz 2 AktG: Wer auf angemessener Informationsgrundlage und ohne Sondereinfluss zum Wohl der Gesellschaft entscheidet, handelt nicht pflichtwidrig, auch wenn die Entscheidung sich später als falsch erweist.

Diese Schutzregel greift jedoch nur bei unternehmerischen Entscheidungen. Bei gebundenen Pflichten, die das Gesetz der Geschäftsleitung ausdrücklich zuweist, gibt es kein Ermessen und damit auch keine Ermessensprivilegierung. Genau hier setzt die Entwicklung von 2026 an: Der Gesetzgeber schreibt zunehmend nicht mehr nur ein Ziel vor, sondern eine Handlung des Organs.

Vom Ziel zur benannten Organhandlung

Das deutlichste Beispiel liefert § 38 BSIG in der Fassung des NIS-2-Umsetzungsgesetzes, das seit dem 6. Dezember 2025 gilt. Absatz 1 verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Absatz 2 ordnet die Haftung gegenüber der Einrichtung an. Absatz 3 verlangt die regelmäßige Teilnahme der Geschäftsleitung an Schulungen zu Cybersicherheitsrisiken. Die operative Arbeit darf an eine IT-Leitung, einen Informationssicherheitsbeauftragten oder einen externen Dienstleister gehen. Billigung, Überwachung und die eigene Schulung bleiben beim Organ.

Der Cyber Resilience Act folgt derselben Logik mit anderen Mitteln. Art. 14 der Verordnung (EU) 2024/2847 verlangt vom Hersteller eines Produkts mit digitalen Elementen die Meldung einer aktiv ausgenutzten Schwachstelle und eines schwerwiegenden Sicherheitsvorfalls, gestuft nach 24 Stunden, 72 Stunden und einem Abschlussbericht. Diese Pflicht gilt ab dem 11. September 2026 und damit deutlich vor dem allgemeinen Geltungsbeginn der Verordnung im Dezember 2027. Sie erfasst auch Produkte, die vorher in Verkehr gebracht wurden. Für die Geschäftsleitung ist das keine Produktfrage, sondern eine Frage der Reaktionsfähigkeit: Eine 24-Stunden-Frist lässt sich nur einhalten, wenn Zuständigkeit, Erreichbarkeit und Freigabeweg vorher festgelegt sind.

Wegfall von Karenzzeiten

Im Sanktionsrecht hat sich der Maßstab in eine dritte Richtung verschoben. Die Novelle des Außenwirtschaftsgesetzes ist am 6. Februar 2026 in Kraft getreten und setzt die Richtlinie (EU) 2024/1226 um; im Kern novelliert sind die §§ 18 und 19 AWG sowie § 82 AWV. Nach Darstellung des Bundesministeriums für Wirtschaft und Energie zählen zu den wesentlichen Neuerungen die Strafbewehrung von Verstößen gegen Transaktionsverbote, die Strafbewehrung bestimmter Fälle vorsätzlicher Sanktionsumgehung sowie die Strafbarkeit leichtfertiger Verstöße gegen das Ausfuhrverbot für Dual-Use-Güter.

Das Ministerium weist zugleich darauf hin, dass die allgemeinen strafrechtlichen Irrtumsregeln gutgläubig handelnden Unternehmen weiterhin Schutz bieten und dass sich der Wirtschaftsausschuss des Deutschen Bundestages in einer ergänzenden Erklärung entsprechend geäußert hat. Für die Steuerungsebene bleibt der Befund dennoch: Der zeitliche Puffer zwischen Veröffentlichung einer Listung und der eigenen Reaktionsfähigkeit ist kein organisatorischer Komfort mehr, sondern ein Haftungsparameter.

Die Zurechnung über das Ordnungswidrigkeitenrecht

Neben der Innenhaftung steht die Zurechnung zum Unternehmen. § 130 OWiG sanktioniert die Verletzung der Aufsichtspflicht des Betriebsinhabers, wenn eine betriebsbezogene Zuwiderhandlung durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre; § 30 OWiG erlaubt die Geldbuße gegen den Verband. Diese beiden Vorschriften sind der Grund, weshalb Aufsichtsbehörden bei einem Verstoß regelmäßig zuerst nach der Organisationsstruktur fragen und erst danach nach dem Einzelvorgang. Die neuen Rechtsakte liefern der Aufsicht dafür präzisere Anknüpfungspunkte als bisher.

Fazit: C-Level Haftung braucht eine belastbare Nachweisakte

Der Befund für die C-Level Haftung im September 2026 ist nüchterner, als der Blick auf sechs Rechtsakte vermuten lässt. Die Sorgfaltsmaßstäbe der §§ 43 GmbHG und 93 AktG sind unverändert. Neu ist, dass mehrere Rechtsakte die Organhandlung selbst benennen und damit prüfbar machen. Wo das Gesetz eine gebundene Pflicht formuliert, hilft kein unternehmerisches Ermessen.

Drei Kernbotschaften bleiben:

• Der Nachweis ist die Pflicht. Nicht die Maßnahme allein, sondern ihre dokumentierte Billigung und Überwachung entscheidet im Prüfungsfall.
• Auslagerung verschiebt Arbeit, nicht Verantwortung. Ein Dienstleister kann die Nachweisführung erleichtern; die Letztverantwortung bleibt beim Organ.
• Fristverschiebungen sind kein Aufschub der Bestandsaufnahme. Was in den Anwendungsbereich fällt, muss vor der Umsetzung geklärt sein und veraltet nicht.

Für Geschäftsleitung und Aufsichtsrat ist der nächste sinnvolle Schritt deshalb keine Investitionsentscheidung, sondern eine Bestandsaufnahme mit klarer Frage: Zu welchem der sechs Rechtsakte gibt es einen datierten Beschluss, und wer berichtet darüber in welchem Takt?

Quellen

Primärquellen zuerst, danach die Behördenseiten. Alle Angaben im Beitrag sind gegen diese Quellen geprüft.

• Verordnung (EU) 2024/2847 – Cyberresilienz-VerordnungRechtsgrundlage für die Meldepflichten nach Art. 14 und für die gestaffelten Geltungstermine bis Dezember 2027.
• Verordnung (EU) 2024/1624 – EU-GeldwäscheverordnungSteht für den Geltungsbeginn am 10. Juli 2027 und für die Meldepflicht nach Art. 69.
• Richtlinie (EU) 2024/1226 – SanktionsstrafrechtUnionsrechtliche Grundlage der AWG-Novelle, einschließlich der Vorgaben zur Leichtfertigkeit bei Dual-Use-Gütern.
• Richtlinie (EU) 2023/970 – EntgelttransparenzSteht für die am 7. Juni 2026 abgelaufene Umsetzungsfrist und die inhaltlichen Anforderungen an Entgeltstrukturen.
• Bundesministerium für Wirtschaft und Energie, Pressemitteilung vom 6. Februar 2026Belegt Inkrafttreten und Inhalt der AWG-Novelle sowie den Hinweis auf die Erklärung des Wirtschaftsausschusses.
• Deutscher Bundestag, Drucksache 21/2508 (PDF)Gesetzentwurf zur Anpassung von Straftatbeständen bei Verstößen gegen restriktive Maßnahmen, mit Begründung zu §§ 18, 19 AWG.
• AMLA, Konsultation zum Meldeformat nach Art. 69 Abs. 3 AMLRBelegt Eröffnung am 2. Juli 2026, Frist zum 20. September 2026 und das öffentliche Hearing im September 2026.
• AMLA, Übersicht der RegulierungsinstrumenteLaufender Stand aller Mandate für technische Standards und Leitlinien unter AMLR und AMLD.

Zu Verfahrensständen laufender deutscher Gesetzgebung ist im Beitrag bewusst monatsgenau formuliert. Wo ein Beleg fehlt, ist die Aussage neutral gehalten und nicht einer Behörde zugeschrieben.