NIS2 Geschäftsführerhaftung: was § 38 BSIG von der Geschäftsleitung verlangt
Die Geschäftsleitung muss die Sicherheitsmaßnahmen nach § 30 BSIG umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). Verletzt sie diese Pflichten schuldhaft und entsteht dem Unternehmen dadurch ein Schaden, haftet sie dem Unternehmen. Das richtet sich nach dem Gesellschaftsrecht, wie bei anderen Pflichten der Geschäftsführung auch.
Wen § 38 BSIG betrifft
§ 38 BSIG gilt für die Geschäftsleitung jeder besonders wichtigen und jeder wichtigen Einrichtung. So nennt das Gesetz die Unternehmen, für die NIS2 gilt.
Geschäftsleitung ist, wer nach Gesetz, Satzung oder Gesellschaftsvertrag die Geschäfte führt und das Unternehmen vertritt. In einer GmbH sind das die Geschäftsführer, in einer AG der Vorstand.
§ 2 Nr. 13 BSIG · § 38 BSIG
Die drei Pflichten
§ 38 BSIG nennt drei Pflichten. Die ersten beiden stehen in Absatz 1, die dritte in Absatz 3.
Umsetzen
Die Geschäftsleitung sorgt dafür, dass die Maßnahmen nach § 30 BSIG im Betrieb ankommen, zum Beispiel ein Notfallplan, geprüfte Datensicherungen oder ein zweiter Faktor bei der Anmeldung. Die Arbeit selbst können andere erledigen, etwa die IT oder ein Dienstleister.
§ 38 Abs. 1 BSIG
Überwachen
Sie prüft, ob die Maßnahmen umgesetzt sind und wirken. Wie oft und in welcher Form, schreibt das Gesetz nicht vor. Eine festgehaltene Besprechung mit Datum, Ergebnis und Aufgaben ist ein naheliegender Nachweis.
§ 38 Abs. 1 BSIG
Schulen
Jedes Mitglied der Geschäftsleitung nimmt regelmäßig an Schulungen teil. Ziel ist, Risiken zu erkennen und zu bewerten und ihre Folgen für die Dienste des Unternehmens zu beurteilen. Eine Stundenzahl nennt das Gesetz nicht. Die Gesetzesbegründung liest „regelmäßig“ als Schulungen, die mindestens alle drei Jahre angeboten werden.
§ 38 Abs. 3 BSIG
Die EU-Richtlinie formuliert es etwas anders: Die Leitung billigt die Maßnahmen, gibt sie also frei, und überwacht ihre Umsetzung (Art. 20 Abs. 1 NIS 2). Das deutsche Gesetz verlangt, dass sie die Maßnahmen umsetzt.
Wie die Haftung geregelt ist
Verletzt die Geschäftsleitung diese Pflichten und entsteht dem Unternehmen dadurch schuldhaft ein Schaden, haftet sie dem eigenen Unternehmen. Man nennt das Innenhaftung: Den Anspruch hat das Unternehmen, nicht eine Behörde oder ein Kunde.
Die Haftung richtet sich nach dem Gesellschaftsrecht der jeweiligen Rechtsform. Bei einer GmbH ist das § 43 GmbHG, bei einer AG § 93 AktG. Nur wo das Gesellschaftsrecht keine solche Regel hat, haftet die Geschäftsleitung nach dem BSIG selbst.
Schuldhaft heißt: vorsätzlich oder fahrlässig. Ob ein Anspruch besteht und wie hoch er ist, hängt vom Einzelfall ab.
§ 38 Abs. 2 BSIG · § 43 GmbHG · § 93 AktG
Was die Behörde tun kann
Bußgelder regelt § 65 BSIG. Für Verstöße gegen die Maßnahmen oder die Meldepflicht liegt die Obergrenze bei 10 Millionen Euro für besonders wichtige und bei 7 Millionen Euro für wichtige Einrichtungen. Das sind Höchstbeträge.
Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde einer unzuverlässigen Geschäftsleitung die Tätigkeit als letztes Mittel vorübergehend untersagen. Das setzt voraus, dass das Unternehmen Anordnungen des BSI trotz Frist nicht befolgt. Die Untersagung gilt nur, bis es sie befolgt. Für wichtige Einrichtungen sieht das Gesetz das nicht vor.
§ 61 Abs. 9 BSIG · § 65 BSIG · Art. 32 Abs. 5 NIS 2
Die Bußgelder im EinzelnenWas die Geschäftsleitung abgeben kann
Die Arbeit kann sie abgeben: an die IT, an eine Person, die die Informationssicherheit koordiniert, oder an einen Dienstleister. Die Pflicht, umzusetzen und zu überwachen, bleibt bei ihr. § 38 BSIG richtet sich an die Geschäftsleitung selbst.
Die Schulung kann niemand für sie besuchen. Jedes Mitglied der Geschäftsleitung nimmt selbst teil.
Was das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
Die Geschäftsleitung besteht hier oft aus einer oder zwei Personen. Sie muss die Maßnahmen nicht selbst einrichten. Sie muss wissen, was festgelegt ist, und nachsehen, ob es läuft.
Halten Sie drei Dinge fest: welche Dokumente die Geschäftsleitung freigegeben hat und wann, wann sie den Stand zuletzt geprüft und was sie entschieden hat, und für jedes Mitglied die letzte Schulung.
Dass das Unternehmen die Maßnahmen umsetzt, muss es ohnehin dokumentieren. Dieselben Unterlagen zeigen, dass die Geschäftsleitung ihre Pflichten wahrgenommen hat.
§ 30 Abs. 1 Satz 3 BSIG
Ein Beispiel
Eine erfundene Firma: ein Hersteller von Fördertechnik mit 90 Beschäftigten und zwei Geschäftsführern. Maschinenbau steht in Anlage 2 des BSIG, also ist die Firma eine wichtige Einrichtung.
Januar: Beide Geschäftsführer besuchen eine Schulung für die Geschäftsleitung. Sie halten Datum, Anbieter und Inhalt fest.
Februar bis April: Der IT-Leiter und der IT-Dienstleister legen die Maßnahmen fest. Daraus entstehen die Dokumente, etwa die Leitlinie und der Notfallplan.
Mai: Die Geschäftsführer lesen die Dokumente und geben sie frei. Einen Punkt setzen sie bewusst nicht um und schreiben die Begründung dazu.
Danach: Einmal im Jahr setzen sie sich mit dem IT-Leiter zusammen. Sie schauen auf Vorfälle, offene Punkte und die größten Risiken und halten fest, wer was bis wann erledigt. Den Abstand hat die Firma selbst gewählt; das Gesetz nennt keinen.
So geht das im Durchgang
Im Durchgang auf nisd2.eu entsteht dabei, was die Geschäftsleitung für § 38 BSIG festhalten sollte.
Ein Schritt hält für jedes Mitglied der Geschäftsleitung die letzte Schulung fest, mit Datum und, wenn es einen gibt, dem Nachweis.
Aus Ihren Antworten entstehen die Dokumente, etwa die Leitlinie und der Notfallplan.
Die Geschäftsleitung liest jedes Dokument und gibt es in der App frei, angemeldet mit dem eigenen Zugang. Name und Datum stehen danach auf jedem Dokument.
Wollen Sie einen Punkt bewusst nicht umsetzen, schreiben Sie auf, warum. Die Geschäftsleitung unterschreibt diese Entscheidung mit.
Die Managementbewertung hält fest, wann die Geschäftsleitung den Stand geprüft hat, was sie entschieden hat und wer was bis wann erledigt.
Häufige Fragen
Haftet die Geschäftsleitung für NIS2 persönlich?
Sie haftet dem eigenen Unternehmen für einen Schaden, den sie durch eine schuldhafte Verletzung ihrer Pflichten aus § 38 Abs. 1 BSIG verursacht. Das richtet sich nach dem Gesellschaftsrecht, bei einer GmbH nach § 43 GmbHG. Ob ein Anspruch besteht, hängt vom Einzelfall ab.
Was verlangt § 38 Abs. 3 BSIG?
Jedes Mitglied der Geschäftsleitung nimmt regelmäßig an Schulungen teil, um Risiken zu erkennen und zu bewerten und ihre Folgen für die Dienste des Unternehmens zu beurteilen. Dauer, Format und Anbieter schreibt das Gesetz nicht vor. Die Gesetzesbegründung liest „regelmäßig“ als mindestens alle drei Jahre.
Kann die Geschäftsleitung die Verantwortung an die IT abgeben?
Die Arbeit ja, die Pflicht nicht. § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen und zu überwachen. Sie kann andere damit beauftragen, muss aber nachsehen, ob es geschieht.
Gilt das auch für kleine Unternehmen?
Es gilt für jede besonders wichtige und jede wichtige Einrichtung. Ob Ihr Unternehmen dazugehört, hängt von Sektor und Größe ab (§ 28 BSIG). Wie viele Personen die Geschäftsleitung hat, spielt keine Rolle.
Deckt eine D&O-Versicherung das ab?
Das hängt von der einzelnen Police ab. Das BSIG regelt das nicht. Lassen Sie die Bedingungen Ihrer Police prüfen.
Quellen
- BSI-Gesetz (BSIG) §§ 2 Nr. 13, 28, 30, 38, 61, 65, gesetze-im-internet.de/bsig_2025
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 20 und 32, EUR-Lex
- Gesetzesbegründung zum NIS2UmsuCG, BT-Drs. 21/1501, S. 154 (zu § 38 Abs. 3)
- § 43 GmbHG und § 93 AktG, gesetze-im-internet.de
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Governance & Haftung
Die Geschäftsführung schulen lassen
Jedes Mitglied der Geschäftsführung, regelmäßig.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Risikomanagement
Die Leitlinie schreiben
Ein kurzes Grundsatzdokument, das die Geschäftsführung freigibt.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
