Persönliche Haftung der Geschäftsleitung nach § 38 BSIG

§ 38 BSIG ist der Paragraph, den Geschäftsführer am häufigsten falsch verstehen. Er regelt, dass Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen die Risikomanagementmaßnahmen nach § 30 BSIG persönlich umsetzen und überwachen müssen. Bei Pflichtverletzung droht Innenhaftung gegenüber der eigenen Einrichtung, also ein Regress aus dem Privatvermögen. Dieser Artikel erklärt, was § 38 BSIG tatsächlich vorschreibt, wo die häufigsten Missverständnisse liegen, und welche Dokumentation Sie als IT-Leiter oder CISO vorbereiten sollten, damit Ihre Geschäftsführung abgesichert ist.

Was § 38 BSIG konkret vorschreibt

Der Gesetzgeber hat die Verantwortung für Cybersicherheit bewusst auf die Leitungsebene gehoben. § 38 BSIG enthält drei getrennte Pflichten, die kumulativ gelten.

§ 38 Abs. 1 BSIG: Umsetzen und Überwachen

„Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen." – § 38 Abs. 1 BSIG

Zwei Verben sind entscheidend: „umsetzen" und „überwachen". Beide werden weiter unten im Detail erklärt. Beachten Sie: Das deutsche Umsetzungsgesetz verwendet bewusst den stärkeren Begriff „umsetzen" statt des in Art. 20 der NIS2-Richtlinie verwendeten „billigen". Die Geschäftsleitung muss die Maßnahmen also nicht nur genehmigen, sondern aktiv dafür sorgen, dass sie realisiert werden.

§ 38 Abs. 2 BSIG: Innenhaftung gegenüber der Einrichtung

„Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts." – § 38 Abs. 2 BSIG

Der zentrale Punkt: Es handelt sich um Innenhaftung. Die Geschäftsleitung haftet gegenüber der eigenen Einrichtung, nicht direkt gegenüber dem BSI oder einer anderen Behörde. Bußgelder nach § 65 BSIG treffen die Einrichtung als juristische Person. Die Einrichtung kann dann über gesellschaftsrechtliche Regeln beim Geschäftsführer Regress nehmen. Auf diesem Weg wird das Privatvermögen exponiert, aber eben indirekt.

§ 38 Abs. 3 BSIG: Schulungspflicht

Das Leitungsorgan muss an Schulungen zu Cybersicherheitsrisiken und deren Auswirkungen auf die Einrichtung teilnehmen. Auch der Belegschaft muss die Teilnahme an Schulungen ermöglicht werden. Das BSI empfiehlt in seiner Handreichung zur NIS-2-Geschäftsleitungsschulung (Oktober 2025) einen Umfang von etwa 4 Stunden und eine Wiederholung mindestens alle 3 Jahre. Diese Werte sind Empfehlungen, keine verbindlichen Mindestanforderungen. Das Gesetz selbst spricht von „regelmäßig" und „ausreichenden Kenntnissen und Fähigkeiten". Die Schulungspflicht besteht unabhängig davon, ob ein Sicherheitsvorfall eingetreten ist.

Art. 20 NIS2-Richtlinie: Der europäische Rahmen

Art. 20 der NIS2-Richtlinie verpflichtet alle EU-Mitgliedstaaten, vergleichbare Regelungen zur Verantwortung der Leitungsorgane zu schaffen. Die konkreten Anforderungen richten sich nach dem jeweiligen nationalen Umsetzungsgesetz. Bemerkenswert: Während Art. 20 NIS2-RL die Formulierung „billigen und überwachen" verwendet, geht der deutsche Gesetzgeber mit „umsetzen und überwachen" in § 38 BSIG bewusst weiter. Wer Tochtergesellschaften in anderen EU-Ländern betreibt, sollte die jeweilige nationale Umsetzung separat prüfen.

Was „umsetzen" wirklich bedeutet

§ 38 Abs. 1 BSIG verwendet das Verb „umsetzen", nicht das in Art. 20 NIS2-RL genannte „billigen". Der Unterschied ist rechtlich relevant.

„Billigen" (Art. 20 NIS2-RL) bedeutet: eine formale, dokumentierte Zustimmungsentscheidung auf Basis ausreichender Informationen treffen. Die Geschäftsleitung genehmigt die vorgeschlagenen Maßnahmen.

„Umsetzen" (§ 38 Abs. 1 BSIG) geht darüber hinaus: Die Geschäftsleitung muss aktiv dafür sorgen, dass die Risikomanagementmaßnahmen nach § 30 BSIG tatsächlich realisiert werden. Das umfasst:

• Die Risikoanalyse nach § 30 BSIG beauftragen und deren Ergebnisse formal zur Kenntnis nehmen
• Das Informationssicherheits-Richtlinienwerk genehmigen und in Kraft setzen
• Ausreichende Ressourcen (Personal, Budget, Infrastruktur) bereitstellen
• Den Behandlungsplan für identifizierte Risiken freigeben
• Den Notfall- und Incident-Response-Plan genehmigen und dessen Funktionsfähigkeit sicherstellen

Der KaitoSec NIS2 Guide bildet diesen Prozess in Kapitel 5 (Governance) strukturiert ab. Die Template Library enthält Vorlagen für Geschäftsführungsbeschlüsse und Richtliniendokumente.

Was „überwachen" wirklich bedeutet

„Überwachen" ist eine kontinuierliche Pflicht. Es reicht nicht, die Risikoanalyse einmal zur Kenntnis zu nehmen und das Thema für erledigt zu halten.

Überwachen bedeutet in der Praxis:

• Regelmäßige (mindestens vierteljährliche) Berichterstattung an das Leitungsorgan über den Sicherheitsstatus der Einrichtung
• Dokumentierte Kenntnisnahme dieser Berichte durch das Leitungsorgan
• IT-Sicherheit als fester Tagesordnungspunkt in Geschäftsführungssitzungen
• Eskalation erheblicher Sicherheitsvorfälle an das Leitungsorgan in Echtzeit
• Nachverfolgung des Umsetzungsstands offener Sicherheitsmaßnahmen

Der Maßstab: „Wusste oder hätte wissen müssen." Wenn die Geschäftsführung bei einem schwerwiegenden Vorfall nicht nachweisen kann, dass sie ausreichend informiert war und aktiv Aufsicht ausgeübt hat, wird der Regressanspruch der Einrichtung schwer abzuwehren sein.

Delegation – was geht und was nicht

Die häufigste Fehlannahme: „Wir haben einen CISO, die NIS2-Verantwortung liegt bei ihm."

Die Pflicht zur Umsetzung und Überwachung ist nicht delegierbar. Das Leitungsorgan kann die operative Durchführung an einen CISO oder Informationssicherheitsbeauftragten (ISB) delegieren. Es kann aber nicht die Umsetzungs- und Überwachungspflicht selbst delegieren. Die Geschäftsführung bleibt verantwortlich dafür, dass:

1. die delegierte Person ausreichend qualifiziert und mit Ressourcen ausgestattet ist,
2. ein funktionierendes Berichtswesen vom CISO/ISB an das Leitungsorgan existiert,
3. das Leitungsorgan die Berichte tatsächlich zur Kenntnis nimmt und dokumentiert,
4. auf erkannte Probleme reagiert wird.

Der CISO schützt den Geschäftsführer nicht vor § 38 BSIG. Er ist der Mechanismus, durch den der Geschäftsführer seiner Pflicht nachkommt. Der KaitoSec Vor-Check hilft dabei, den aktuellen Stand der Sicherheitsmaßnahmen strukturiert zu erfassen und Lücken zu identifizieren.

Wie das Privatvermögen tatsächlich exponiert wird

Die Haftung der Geschäftsleitung nach § 38 BSIG funktioniert anders, als viele annehmen. Es gibt keinen direkten Bußgeldbescheid gegen den Geschäftsführer persönlich. Der Weg führt über zwei Stufen.

Bußgelder gegen die Einrichtung (§ 65 BSIG)

Verstöße gegen die Pflichten aus § 30 BSIG werden nach § 65 BSIG geahndet. Die Bußgelder treffen die Einrichtung als juristische Person:

• Besonders wichtige Einrichtungen: Bis zu 10 Millionen Euro
• Wichtige Einrichtungen: Bis zu 7 Millionen Euro

Die prozentualen Obergrenzen (2 % bzw. 1,4 % des weltweiten Jahresumsatzes) greifen erst bei Einrichtungen mit einem Gesamtumsatz von über 500 Millionen Euro (§ 65 Abs. 6 und 7 BSIG). Für die meisten KMU, die Zielgruppe von KaitoSec, sind die festen Euro-Beträge die relevante Obergrenze.

Regress: Wie das Unternehmen auf den Geschäftsführer zugreift

Wenn die Einrichtung ein Bußgeld zahlt, weil die Geschäftsleitung ihre Pflichten nach § 38 Abs. 1 BSIG nicht erfüllt hat, kann die Einrichtung beim Geschäftsführer Regress nehmen. Das ist ein zivilrechtlicher Anspruch nach den Regeln des jeweiligen Gesellschaftsrechts (z. B. § 43 Abs. 2 GmbHG für GmbH-Geschäftsführer, § 93 Abs. 2 AktG für Vorstände).

Auf diesem Weg wird das Privatvermögen exponiert. Die GmbH-Haftungsbeschränkung schützt Gesellschafter vor Gläubigeransprüchen, nicht den Geschäftsführer vor Regressansprüchen der eigenen Gesellschaft.

D&O-Versicherung – kein automatischer Schutz

Directors & Officers (D&O)-Versicherungen werden oft als Sicherheitsnetz genannt. Zwei kritische Einschränkungen:

• Vorsatz und grobe Fahrlässigkeit: D&O-Versicherungen decken in der Regel vorsätzliche Verstöße nicht ab. Wenn die Geschäftsführung systematisch ihrer Pflicht nicht nachgekommen ist, kann die Versicherung die Leistung verweigern.
• Regulatorische Bußgelder: Viele D&O-Policen schließen Bußgelder von Regulierungsbehörden explizit aus. Prüfen Sie Ihre Police. Der bloße Besitz einer D&O-Versicherung ist kein NIS2-Schutz.

Tätigkeitsverbot als letztes Mittel (§ 61 Abs. 9 BSIG)

Bei besonders schwerwiegenden, wiederholten Verstößen kann die zuständige Aufsichtsbehörde natürlichen Personen, die Leitungsaufgaben in besonders wichtigen Einrichtungen ausüben, die vorübergehende Ausübung dieser Aufgaben untersagen. Drei Einschränkungen sind relevant: Erstens gilt das Tätigkeitsverbot nur für besonders wichtige Einrichtungen, nicht für wichtige Einrichtungen. Zweitens wird es nicht vom BSI direkt verhängt, sondern von der zuständigen Aufsichtsbehörde nach Verweisung durch das BSI. Drittens ist es ein letztes Mittel nach vorherigen, erfolglosen Anordnungen.

Was bedeutet das in der Praxis?

Diese Pflichten lassen sich in konkrete, dokumentierbare Maßnahmen übersetzen. Die folgende Liste ist kein Ersatz für eine rechtliche Beratung, aber sie zeigt, welche Dokumentation im Ernstfall den Unterschied macht.

Was die Geschäftsführung tun muss

• Risikoanalyse formal zur Kenntnis nehmen und freigeben: Die Risikoanalyse nach § 30 BSIG wird dem Leitungsorgan präsentiert und mit Unterschrift und Datum formal genehmigt. Dieses Dokument muss im Ernstfall vorgelegt werden können.
• Sicherheitsrichtlinien in Kraft setzen: Das Informationssicherheits-Richtlinienwerk (Leitlinie, Passwortrichtlinie, Zugangskontrolle, Incident Response Plan) wird vom Leitungsorgan formal genehmigt und unterzeichnet.
• Vierteljährliche Sicherheitsberichte entgegennehmen: Der CISO/ISB erstattet mindestens quartalsweise Bericht: offene Risiken, Vorfallsstatus, Maßnahmenfortschritt. Das Leitungsorgan bestätigt die Kenntnisnahme schriftlich.
• IT-Sicherheit in GF-Sitzungen aufnehmen: IT-Sicherheit ist fester Tagesordnungspunkt in regelmäßigen Geschäftsführungssitzungen. Das Protokoll dokumentiert, was besprochen und entschieden wurde.
• ISB/CISO formal bestellen: Ein schriftliches Bestellungsdokument mit klarem Mandat, Ressourcenzusage und Berichtslinie an das Leitungsorgan.
• Schulung absolvieren (§ 38 Abs. 3 BSIG): Das BSI empfiehlt etwa 4 Stunden Cybersicherheitsschulung innerhalb von 3 Jahren. Teilnahmenachweise aufbewahren. Details hierzu im separaten Artikel A-15.
• Erhebliche Vorfälle in Echtzeit erhalten: Der Incident-Response-Prozess muss sicherstellen, dass das Leitungsorgan bei erheblichen Sicherheitsvorfällen unverzüglich informiert wird.

Was die Haftung NICHT reduziert

• Einen CISO zu haben, ohne ihn mit Ressourcen, Mandat und Berichtslinie auszustatten
• Sicherheitsberichte zu erhalten, aber nie formal zu bestätigen oder darauf zu reagieren
• Alles an die IT-Abteilung zu delegieren und sich nie mit Sicherheitsthemen auf Geschäftsführungsebene zu befassen
• Sich auf eine D&O-Versicherung zu verlassen, ohne die Police auf NIS2-Relevanz geprüft zu haben

Die Dokumentationsstrategie

Im Fall einer BSI-Prüfung oder in einem Haftungsverfahren müssen Sie nachweisen können, dass das Leitungsorgan seiner Pflicht aus § 38 BSIG nachgekommen ist. Die folgenden Dokumente bilden das Kerngerüst:

• GF-Sitzungsprotokolle: Mit Tagesordnungspunkt „IT-Sicherheit / NIS2-Compliance" und dokumentierten Beschlüssen. Mindestens quartalsweise.
• Unterzeichnete Genehmigungen: Risikoanalyse, Risikobehandlungsplan, Informationssicherheitsleitlinie, alle mit Datum und Unterschrift des Leitungsorgans.
• Bestätigte Berichte: Schriftliche Bestätigungen, dass der Quartalsbericht des ISB/CISO zur Kenntnis genommen wurde. Datum und Empfänger dokumentieren.
• ISB/CISO-Bestellungsurkunde: Formales Dokument mit Mandat, Ressourcenrahmen, Berichtslinie und Datum der Bestellung.
• Schulungsnachweise: Teilnahmebestätigungen für alle Mitglieder des Leitungsorgans. Format: Zertifikat, Teilnehmerliste oder E-Learning-Abschlussnachweis.
• Vorfallseskalations-Dokumentation: Nachweise, dass das Leitungsorgan bei erheblichen Vorfällen informiert wurde (Zeitstempel, Kanal, Inhalt der Erstmeldung).

Für die Formalisierung des Leitungsorgan-Beschlusses zu NIS2-Maßnahmen enthält die KaitoSec Template Library eine Vorlage „Geschäftsführungsbeschluss NIS2-Umsetzung". Sie deckt alle relevanten Pflichtpunkte ab und ist auf die Anforderungen von § 38 BSIG ausgerichtet.

Häufige Missverständnisse – klargestellt

• „Unsere IT kümmert sich um Sicherheit, das ist nicht meine Aufgabe als GF." Falsch. § 38 BSIG ist nicht delegierbar. Die operative Umsetzung kann bei der IT liegen. Die Umsetzungs- und Überwachungspflicht liegt beim Leitungsorgan.
• „Wir sind eine GmbH, der GF ist durch den Corporate Veil geschützt." Nicht gegenüber der eigenen Gesellschaft. § 38 Abs. 2 BSIG begründet einen Innenhaftungsanspruch. Die Einrichtung kann beim Geschäftsführer Regress nehmen.
• „Wir haben eine D&O-Versicherung, wir sind abgesichert." Prüfen Sie Ihre Police. Regulatorische Bußgelder und Verstöße bei grober Fahrlässigkeit sind häufig ausgeschlossen.
• „Wir sind 'wichtige Einrichtung', nicht 'besonders wichtige' – da gelten weichere Regeln." Die Umsetzungs- und Überwachungspflicht nach § 38 Abs. 1 BSIG gilt für beide Kategorien. Der Unterschied liegt im Bußgeldrahmen (10 Mio. vs. 7 Mio. Euro) und beim Tätigkeitsverbot, das nur für besonders wichtige Einrichtungen möglich ist.
• „Das BSI kann mich persönlich mit einem Bußgeld belegen." Nein. Bußgelder nach § 65 BSIG treffen die Einrichtung. Das Privatvermögen wird über den Innenhaftungs-Regress der Einrichtung gegen den Geschäftsführer exponiert.
• „Einmal genehmigen reicht." Nein. Die Überwachungspflicht ist kontinuierlich. Eine einmalige Genehmigung der Risikoanalyse ohne fortlaufende Aufsicht erfüllt § 38 Abs. 1 BSIG nicht.

Verbindung zu anderen NIS2-Themen

Artikel A-09 steht nicht isoliert. Die persönliche Haftung der Geschäftsführung bildet das Dach über dem gesamten NIS2-Compliance-Programm:

• B-03 (Risikoanalyse): Das Ergebnis der Risikoanalyse muss vom Leitungsorgan formal freigegeben werden. Ohne diese Freigabe ist B-03 für die Haftungsfrage unvollständig.
• A-03 (Was eine Risikoanalyse bedeutet): Die Geschäftsführung muss verstehen, was sie freigibt. Artikel A-03 liefert das konzeptionelle Fundament.
• A-15 (Pflichtschulung Geschäftsführer): Die Schulungspflicht aus § 38 Abs. 3 BSIG wird dort im Detail behandelt: Inhalte, Formate, Nachweisführung.
• NIS2 Guide Kapitel 5 (Governance): Der KaitoSec NIS2 Guide bildet die Schritte 5-2 (Geschäftsführungsbeschluss dokumentieren) und 5-3 (Berichtswesen einrichten) strukturiert ab.

Der nächste Schritt für die Geschäftsführung: Den Geschäftsführungsbeschluss aus der KaitoSec Template Library herunterladen, ausfüllen und in der nächsten GF-Sitzung formal beschließen. Der KaitoSec Vor-Check zeigt vorab, wo die größten Lücken liegen.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für Fragen zur konkreten rechtlichen Einordnung Ihrer Situation wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.