Geschäftsleiterhaftung nach § 38 BSIG: Was neben dem Bußgeld droht

§ 38 BSIG begründet konkrete Pflichten der Geschäftsleitung: Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei einer schuldhaften Pflichtverletzung mit Schaden kann eine Haftung gegenüber der eigenen Einrichtung entstehen. Davon zu unterscheiden sind behördliche Bußgelder und Aufsichtsmaßnahmen. Die oft genannten zehn Millionen Euro sind kein pauschaler persönlicher Haftungsbetrag.

Autor: Chris Müller. Rechtsstand und redaktionelle Prüfung: 5. September 2026.

Für wen § 38 BSIG gilt

Die Vorschrift betrifft Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, soweit keine einschlägige Ausnahme greift. Geschäftsleitung meint nach § 2 Nummer 13 BSIG die natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Geschäftsführung und Vertretung berufen ist. Eine Person unterliegt diesen Leitungspflichten nicht schon deshalb, weil ihre Stellenbeschreibung „Informationssicherheit“ enthält.

Prüfen Sie vorab die Einstufung und die Ausnahmen in § 28 BSIG. Gerade im Energie-, Telekommunikations- und Finanzbereich können andere gesetzliche Regelungen maßgeblich sein. Für die Vorbereitung eignet sich die Anleitung zur NIS2-Betroffenheitsprüfung.

Umsetzung und Überwachung brauchen erkennbare Entscheidungen

§ 38 Absatz 1 BSIG verlangt sowohl Umsetzung als auch Überwachung der nach § 30 zu ergreifenden Maßnahmen. Die Geschäftsleitung muss nicht jeden technischen Arbeitsschritt selbst ausführen. Sie braucht klare Zuständigkeiten und geeignete Informationen. Die Verantwortlichen müssen ihr wesentliche Mängel rechtzeitig vorlegen.

Ein Bericht mit einer grünen Gesamtampel reicht dafür nicht, wenn offene Risiken darin verschwinden. Lassen Sie sich nennen, welcher wichtige Dienst betroffen ist, welche Schutzmaßnahme fehlt und bis wann eine Entscheidung gebraucht wird. Bei einer verzögerten Umsetzung müssen Zwischenmaßnahmen und Auswirkungen des Aufschubs erkennbar bleiben.

Der Maßstab folgt aus § 30 BSIG: Maßnahmen müssen zum Risiko passen und wirksam sein; die Einhaltung ist zu dokumentieren. Prüfen Sie neben der Richtlinie, ob der Wiederherstellungstest das vereinbarte Ziel erreicht hat und ob die Verantwortlichen einen auffälligen Testbefund behoben haben.

Innenhaftung: Pflichtverletzung, Verschulden und Schaden

Nach § 38 Absatz 2 haften Geschäftsleitungen ihrer Einrichtung für schuldhaft verursachte Schäden nach den auf deren Rechtsform anwendbaren gesellschaftsrechtlichen Regeln. Nur wenn diese keine entsprechende Haftungsregelung enthalten, greift die subsidiäre Haftung nach dem BSIG. Bei einer GmbH ist insbesondere § 43 GmbHG relevant; für den Vorstand einer Aktiengesellschaft § 93 AktG.

Ein erfolgreicher Angriff beweist daher für sich genommen noch keine persönliche Haftung. Zu prüfen sind die konkrete Pflichtverletzung, das Verschulden, ein entstandener Schaden und der ursächliche Zusammenhang. Umgekehrt schützt ein ausgebliebenes Bußgeld nicht automatisch vor einem gesellschaftsrechtlichen Anspruch. Die Einrichtung kann durch eine mangelhafte Sicherheitsorganisation Schäden erlitten haben, deren Bewertung unabhängig vom Bußgeldverfahren erfolgt.

Lassen Sie gesondert rechtlich prüfen, ob und in welchem Umfang ein gegen die Einrichtung verhängtes Bußgeld im Innenverhältnis weitergereicht werden kann. Dokumentieren Sie Wiederherstellungskosten, Betriebsunterbrechung und andere Schadenspositionen getrennt, damit sie im konkreten Fall beurteilt werden können.

Welche Bußgeldrahmen das BSIG unterscheidet

§ 65 BSIG ordnet verschiedene Verstöße unterschiedlichen Höchstbeträgen zu. Die folgenden Beträge sind gesetzliche Höchstrahmen für die jeweils genannten Tatbestände, keine automatisch festzusetzenden Summen. Die konkrete Ahndung setzt die Prüfung des Verstoßes und seiner Umstände voraus.

Beispiel eines Verstoßes	Besonders wichtige Einrichtung	Wichtige Einrichtung
Bestimmte Verstöße gegen Maßnahmen-, Dokumentations- oder Meldepflichten	Bis zehn Millionen Euro	Bis sieben Millionen Euro
Dieselben erfassten Tatbestände bei Gesamtumsatz über 500 Millionen Euro	Bis zwei Prozent des Gesamtumsatzes	Bis 1,4 Prozent des Gesamtumsatzes
Erfasste fehlerhafte oder verspätete Registrierungsangaben	Bis 500.000 Euro	Bis 500.000 Euro

Die höheren Grundrahmen betreffen § 65 Absatz 2 Nummer 1 Buchstabe d, Nummern 2 bis 5 und 9 in Verbindung mit Absatz 5 Nummer 1. Die umsatzbezogenen Regeln stehen in den Absätzen 6 bis 8 und beziehen den weltweiten Umsatz des zugehörigen Unternehmens im vorhergehenden Geschäftsjahr ein. Die Registrierung wird unter anderem durch Absatz 2 Nummer 6 und Absatz 5 Nummer 5 erfasst. Weitere Tatbestände haben eigene Grenzen.

Aus der Bezeichnung „NIS2-Verstoß“ lässt sich deshalb kein bestimmtes Bußgeld ableiten. Auch die persönliche Haftung nach § 38 wird nicht mit diesen Höchstbeträgen gedeckelt. Prüfen Sie als Geschäftsleitung, welchem Tatbestand eine mögliche Pflichtverletzung zuzuordnen ist.

Aufsicht kann Änderungen im Betrieb verlangen

Das BSI kann im Rahmen von § 61 BSIG unter anderem Prüfungen und die Beseitigung von Mängeln anordnen. Absatz 9 beschreibt für besonders wichtige Einrichtungen als letztes Mittel auch fachrechtliche Genehmigungsaussetzungen und eine vorübergehende Tätigkeitsuntersagung für unzuverlässige Geschäftsleitungen durch die zuständige Aufsichtsbehörde. Vorausgesetzt sind unter anderem nicht befolgte Anordnungen trotz Fristsetzung und der erforderliche Zusammenhang.

Eine solche Untersagung folgt also nicht automatisch aus einem Sicherheitsvorfall. Für wichtige Einrichtungen ist der anlassbezogene Aufsichtsmechanismus nach § 62 BSIG gesondert zu berücksichtigen. Nehmen Sie behördliche Schreiben deshalb mit Frist, zuständiger Person und nachgewiesener Erledigung in die Leitungsvorlage auf.

Eine praktische Vorlage für die nächste Leitungssitzung

Entscheidungspunkt	Benötigte Information	Dokumentiertes Ergebnis
Wesentliches Risiko	Betroffener Dienst, Auswirkung und bestehender Schutz	Behandlung mit Verantwortlichem
Offene Maßnahme	Ursache der Verzögerung und Abhängigkeiten	Termin, Mittel und Zwischenmaßnahme
Wirksamkeitsprüfung	Testumfang, Ergebnis und verbleibender Mangel	Nachbesserung oder begründeter Abschluss
Vorfallbereitschaft	Erreichbarkeit und Ergebnis einer Meldeübung	Korrigierter Ablauf mit Stellvertretung
Schulungsbedarf	Vorwissen, neue Risiken und bisherige Teilnahme	Themen und geplanter Schulungstermin

Halten Sie auch Rückfragen und abweichende Einschätzungen fest. Ein nachvollziehbares Protokoll zeigt, auf welcher Informationsbasis die Leitung entschieden hat. Wie Sie die Aufgaben verteilen, lesen Sie im Beitrag zu § 38 BSIG und der Geschäftsleitung.

Vereinheitlichen Sie die Berichterstattung, wenn die Geschäftsleitung Informationen aus mehreren Abteilungen erst zusammensuchen muss. Hinweise zur Organisation finden Sie auf der Seite KaitoSec für den Mittelstand; die Anforderungen können Sie im NIS2-Framework-Überblick nachlesen.

Schulung muss Entscheidungen ermöglichen

§ 38 Absatz 3 verlangt regelmäßige Schulungen, legt aber selbst keinen festen jährlichen Turnus fest. Die Inhalte sollen das Erkennen und Bewerten von IT-Risiken, den Umgang damit und die Auswirkungen auf die erbrachten Dienste ermöglichen. Die Teilnehmenden sollten deshalb in der Schulung ihre eigenen Verantwortlichkeiten und nachvollziehbare Entscheidungssituationen bearbeiten. Bewahren Sie Inhalte und Teilnahmebelege auf und überprüfen Sie den weiteren Bedarf.

Häufige Fragen

Kann die Geschäftsleitung alle Aufgaben an die IT abgeben?

Operative Aufgaben können verteilt werden. Die gesetzliche Pflicht der Geschäftsleitung zu Umsetzung und Überwachung entfällt dadurch nicht.

Drohen jeder Geschäftsführung persönlich zehn Millionen Euro?

Nein. Die Zahl stammt aus einem bestimmten Bußgeldrahmen. Persönliche Innenhaftung wird anhand ihrer eigenen gesetzlichen Voraussetzungen beurteilt.

Reicht eine einmalige Schulung?

§ 38 verlangt regelmäßige Teilnahme. Ein einmaliger Termin ersetzt keine fortlaufende Organisation des Schulungsbedarfs.

Verhindert eine sorgfältige Dokumentation jede Haftung?

Nein. Sie macht Entscheidungen und Überwachung nachvollziehbar. Entscheidend bleiben die tatsächliche Pflichterfüllung und die Umstände des Einzelfalls.