NIS2-Geschäftsführerhaftung: §38 BSIG erklärt
Drei neue Pflichten — und eine Haftung gegenüber der eigenen Einrichtung, nicht gegenüber Dritten oder dem Staat. Was GmbH-Geschäftsführer und Vorstände wissen müssen.
Die 3 Pflichten der Geschäftsleitung
§38 BSIG kodifiziert erstmals explizit drei Cybersecurity-Pflichten für Geschäftsleiter besonders wichtiger und wichtiger Einrichtungen. Dazu gehört auch die Sicherstellung der 24h-Meldepflicht nach §32 BSIG.
Umsetzungspflicht
§38 Abs. 1 i.V.m. §30 BSIGDie Geschäftsleitung muss die Risikomanagementmaßnahmen nach §30 BSIG ergreifen — darunter Risikoanalyse, Incident-Response, Business Continuity, Lieferkettensicherheit und Kryptografie.
Überwachungspflicht
§38 Abs. 1 BSIGDie Geschäftsleitung muss die Umsetzung der Maßnahmen aktiv kontrollieren. Operative Aufgaben können delegiert werden; die Überwachungspflicht weist §38 Abs. 1 BSIG der Geschäftsleitung zu.
Schulungspflicht
§38 Abs. 3 BSIGGeschäftsleiter müssen regelmäßig an Cybersecurity-Schulungen teilnehmen. Ein festes Intervall nennt das Gesetz nicht — die Gesetzesbegründung sieht mindestens alle drei Jahre angebotene Schulungen als „regelmäßig“ an. Diese Pflicht ist tatsächlich neu durch NIS2.
Was die Haftung wirklich bedeutet
Die Darstellung der „persönlichen Geschäftsführerhaftung“ wird oft vereinfacht. Hier die juristische Realität.
Innenhaftung, nicht Außenhaftung
Der Geschäftsführer haftet gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden — nicht direkt gegenüber Dritten oder dem Staat. Eine persönliche Haftung mit Privatvermögen ist möglich, aber der Anspruchsgegner ist das Unternehmen selbst. Der Höhe nach ist diese Haftung nicht begrenzt — der Rahmen des §65 BSIG gilt für Bußgelder gegen die Einrichtung, nicht für den Schadensersatzanspruch der Gesellschaft gegen ihr Organ.
§43 Abs. 2 GmbHG / §93 Abs. 2 AktG
§38 Abs. 2 BSIG verweist auf die gesellschaftsrechtlichen Haftungsregeln der jeweiligen Rechtsform. Diese Haftung bestand bereits vor NIS2 für jede Form der Pflichtverletzung — auch für IT-Sicherheit.
Explizite Kodifizierung + Schulungspflicht
Was NIS2 tatsächlich ändert: Die Umsetzungs- und Überwachungspflicht ist nun explizit kodifiziert, was die Beweisführung in einem Haftungsprozess erleichtert. Die Schulungspflicht ist tatsächlich neu.
Operative Delegation ist möglich
Der Referentenentwurf enthielt ein ausdrückliches Delegationsverbot. Diese Passage wurde im finalen Gesetz gestrichen. Operative Aufgaben können delegiert werden; die Letztverantwortung und Überwachungspflicht verbleiben bei der Geschäftsleitung.
Untersagung der Geschäftsleitung
Als letztes Mittel kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§61 Abs. 9 Satz 2 Nr. 2 BSIG) — eine scharfe Sanktionsmöglichkeit neben der zivilrechtlichen Haftung.
Kein Strafrecht — zivilrechtliche Haftung
§38 BSIG begründet eine zivilrechtliche Haftung, keine strafrechtliche Verantwortung. Die Bußgelder nach §65 BSIG richten sich gegen die Einrichtung, nicht persönlich gegen den Geschäftsführer.
Bußgelder nach dem NIS2UmsuCG
Bußgelder richten sich gegen die Einrichtung, nicht persönlich gegen den Geschäftsführer. Die prozentualen Schwellenwerte greifen erst ab 500 Mio. EUR Jahresumsatz.
Die prozentuale Bußgeldschwelle (2 % bzw. 1,4 %) greift nur „abweichend" vom Festbetrag und ausschließlich für Unternehmen mit einem Gesamtumsatz von über 500 Mio. EUR. Für kleinere Unternehmen gilt ausnahmslos der Festbetrag.
Was Geschäftsführer jetzt tun müssen
Fünf konkrete Schritte, um die Geschäftsleitungspflichten nach §38 BSIG zu erfüllen und das Haftungsrisiko zu minimieren.
Betroffenheit feststellen
Prüfen Sie, ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung nach §28 BSIG gilt — inklusive Konzerneffekte bei verbundenen Unternehmen.
Risikomanagement nach §30 umsetzen
Implementieren Sie die zehn Risikomanagementmaßnahmen: Risikoanalyse, Incident-Response, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugangskontrolle und mehr.
Überwachungsstruktur aufbauen
Definieren Sie Reporting-Linien, KPIs und regelmäßige Reviews. Delegation ist möglich — aber dokumentieren Sie Verantwortlichkeiten und behalten Sie die Überwachung.
Schulungen absolvieren
Planen Sie Cybersecurity-Schulungen für alle Geschäftsleitungsmitglieder. Ein festes Intervall nennt das Gesetz nicht — die Gesetzesbegründung sieht mindestens alle drei Jahre angebotene Schulungen als „regelmäßig“ an. Dokumentieren Sie Teilnahme und Inhalte.
Meldeprozesse etablieren
Richten Sie einen 24h-Meldeprozess ein. Die erste Meldung an das BSI muss innerhalb von 24 Stunden erfolgen — nicht erst nach 72 Stunden.
Erfüllen Sie die Geschäftsleitungspflichten nach §38 BSIG?
Prüfen Sie mit dem Readiness-Check, ob Ihr Unternehmen die Anforderungen an Risikomanagement, Überwachung und Schulung erfüllt — und wo Handlungsbedarf besteht.