Was § 38 BSIG von der Geschäftsleitung verlangt
§ 38 BSIG trägt die Überschrift „Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen“ und hat drei Absätze. Absatz 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Absatz 2 regelt die Haftung, Absatz 3 die Schulungspflicht. Die NIS2-Richtlinie spricht in Artikel 20 davon, dass die Leitungsorgane die Maßnahmen billigen und ihre Umsetzung überwachen. Das deutsche Gesetz formuliert mit „umsetzen“ noch aktiver.
| Pflicht | Fundstelle | Was das praktisch heißt | Typischer Nachweis |
|---|---|---|---|
| Maßnahmen umsetzen | § 38 Abs. 1 mit § 30 BSIG | Risikomanagement beauftragen, Prioritäten und Budget beschließen, Zuständigkeiten festlegen | Beschluss der Geschäftsleitung, Maßnahmenplan mit Budget und Terminen |
| Umsetzung überwachen | § 38 Abs. 1 BSIG | Regelmäßige Berichte einfordern, Abweichungen nachverfolgen, Wirksamkeit prüfen lassen | Berichte, Protokolle der Sitzungen, Prüfberichte |
| Regelmäßig schulen | § 38 Abs. 3 BSIG | Alle Mitglieder der Geschäftsleitung nehmen an Schulungen zu Risiken und Risikomanagement teil | Teilnahmenachweise mit Datum, Dauer und Inhalten |
| Für Schäden einstehen | § 38 Abs. 2 BSIG | Bei schuldhafter Pflichtverletzung Haftung gegenüber dem eigenen Unternehmen | Dokumentierte, informierte Entscheidungen |
Das BSI stellt in seiner Handreichung zur Geschäftsleitungsschulung klar, dass die Geschäftsleitung diese Aufgabe nicht delegieren kann. Sie kann Arbeit verteilen, etwa an eine Informationssicherheitsbeauftragte, die IT oder einen Dienstleister, aber nicht die Verantwortung.
Wer zur Geschäftsleitung zählt
„Geschäftsleitung“ ist nach § 2 Nummer 13 BSIG jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist. In der GmbH sind das die Geschäftsführerinnen und Geschäftsführer, in der AG die Mitglieder des Vorstands. Die Pflichten treffen alle Mitglieder, nicht nur die Person, die für IT zuständig ist. Das BSI geht davon aus, dass die Schulungspflicht in der großen Mehrheit der Einrichtungen mehrere Personen trifft. Es hält es außerdem für sinnvoll, Personen mit Entscheidungsvollmacht einzubeziehen, die der Geschäftsleitung zuarbeiten. Ob bei besonderen Rechtsformen weitere Personen erfasst sind, sollten Sie rechtlich prüfen lassen.
Ausgenommen sind Bereiche mit eigenen Regeln. Finanzunternehmen, die unter die EU-Verordnung DORA fallen, sind nach § 28 Absatz 6 BSIG unter anderem von den §§ 30, 32 und 38 BSIG ausgenommen. Für sie gelten die Vorgaben von DORA.
Wie die Haftung funktioniert
§ 38 Absatz 2 BSIG schafft keine neue Haftung gegenüber Dritten, sondern verweist auf das Gesellschaftsrecht: Geschäftsleitungen, die ihre Pflichten aus Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln ihrer Rechtsform. Nur wenn es dort keine Haftungsregel gibt, haften sie nach dem BSIG selbst. In der Praxis heißt das:
- GmbH: Geschäftsführer müssen die Sorgfalt eines ordentlichen Geschäftsmannes anwenden und haften bei Pflichtverletzung der Gesellschaft solidarisch für den Schaden (§ 43 GmbHG).
- AG: Für Vorstände gilt § 93 AktG. Im Streitfall müssen sie beweisen, dass sie sorgfältig gehandelt haben. Keine Pflichtverletzung liegt vor, wenn eine unternehmerische Entscheidung auf angemessener Information und zum Wohl der Gesellschaft getroffen wurde (§ 93 Absatz 1 Satz 2 AktG).
- Schaden: Typische Positionen nach einem Vorfall sind Kosten für Wiederherstellung und Forensik, Betriebsunterbrechung und Vertragsstrafen. Ob auch Bußgelder auf die Geschäftsleitung abgewälzt werden können, ist rechtlich umstritten.
Neben der Haftung kommen Aufsichtsmaßnahmen hinzu. Das BSI kann gegenüber einzelnen besonders wichtigen Einrichtungen Audits anordnen und bei wichtigen Einrichtungen tätig werden, wenn Tatsachen auf Verstöße hindeuten (§§ 61 und 62 BSIG). Laut Fachpresse will es ab dem ersten Quartal 2027 erste Einrichtungen zu Audits verpflichten. Kommt eine besonders wichtige Einrichtung Anordnungen trotz Frist nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Absatz 9 BSIG). Die hohen Bußgeldrahmen des § 65 BSIG von bis zu 10 Millionen Euro knüpfen an die Einrichtung an.
Prüfen Sie außerdem Ihre D&O-Versicherung: Deckt sie Pflichtverletzungen im Bereich der Informationssicherheit, und welche Mindeststandards verlangt der Versicherer? Dieser Artikel ersetzt keine Rechtsberatung.
Schulungspflicht: was das BSI empfiehlt
§ 38 Absatz 3 BSIG verlangt, dass die Geschäftsleitung regelmäßig an Schulungen teilnimmt, um Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten und ihre Auswirkungen auf die Dienste der Einrichtung beurteilen zu können. Intervall und Dauer schreibt das Gesetz nicht vor. Orientierung geben die Handreichung des BSI zur Geschäftsleitungsschulung (Version 1.0 vom 17. April 2026) und das Beispielcurriculum vom 28. Oktober 2026, das als Ausgangspunkt für die Erstschulung gedacht ist:
- Inhalt: Jede Schulung soll drei Bereiche abdecken: Erkennung und Bewertung von Risiken, Risikomanagementpraktiken mindestens im Umfang der Maßnahmen nach § 30 Absatz 2 BSIG und die Beurteilung der Auswirkungen. Eine Schulung nur über Maßnahmen bewertet das BSI als nicht ausreichend.
- Rhythmus: eine ausführliche Erstschulung, danach regelmäßige Folgeschulungen. Anlässe für eine neue Schulung sind ein Wechsel in der Geschäftsleitung und deutliche Änderungen bei Geschäftsprozessen, Risikolage oder Maßnahmen.
- Format: nicht nur Frontalunterricht. Das BSI nennt unter anderem einen festen Quartalstermin mit der oder dem Informationssicherheitsbeauftragten, Planspiele, Audit-Simulationen, Fallstudien und Live-Hacking als Ergänzung.
- Anbieter: extern oder intern. Das BSI hält eine Mischung für sinnvoll, weil rein interne Schulungen die unabhängige Sicht verlieren und rein externe die Besonderheiten der Einrichtung übersehen können.
- Prüfung: Eine Prüfung der Teilnehmenden ist weder gesetzlich noch vom BSI vorgesehen.
Die Geschäftsleitungsschulung ist getrennt von den Schulungen für Mitarbeitende nach § 30 Absatz 2 Nummer 7 BSIG zu sehen. Beides ist Pflicht.
Was die Geschäftsleitung dokumentieren sollte
Ob die Geschäftsleitung ihre Pflichten erfüllt hat, zeigt sich im Ernstfall an Unterlagen. Nach Auffassung des BSI spiegelt sich der Lernerfolg der Schulungen in der Dokumentation der Entscheidungen im Risikomanagement wider. Diese Unterlagen sollten vorliegen:
- Ergebnis der Betroffenheitsprüfung mit Datum, Einstufung und Begründung, dazu der Nachweis der Registrierung
- Beschlüsse zu Risikoanalyse, Maßnahmenplan, Budget und Zuständigkeiten, einschließlich bewusst akzeptierter Restrisiken
- regelmäßige Berichte an die Geschäftsleitung zu Stand der Maßnahmen, Vorfällen und Prüfergebnissen, mit Protokoll der Beratung
- Schulungsnachweise mit Anbieter oder interner Stelle, Namen und Funktion der Teilnehmenden, Datum, Uhrzeit, Dauer und Inhalten mit Bezug zu § 38 Absatz 3 BSIG, so wie es das BSI empfiehlt
- der Meldeprozess für erhebliche Sicherheitsvorfälle und die Protokolle von Übungen
- Ergebnisse von Wirksamkeitsprüfungen wie Penetrationstests, Audits und Wiederherstellungstests, mit Nachverfolgung der Mängel
Die Pflicht zur Dokumentation der Maßnahmen selbst steht in § 30 Absatz 1 BSIG. Wer sie nicht erfüllt, handelt ordnungswidrig, mit demselben Bußgeldrahmen wie bei fehlenden Maßnahmen.
Die ersten 90 Tage: ein praktischer Plan
| Zeitraum | Aufgaben | Ergebnis |
|---|---|---|
| Tag 1 bis 30 | Betroffenheit prüfen und dokumentieren, Registrierung prüfen oder nachholen, Verantwortliche für Informationssicherheit benennen, Meldeweg für erhebliche Vorfälle festlegen, Erstschulung der gesamten Geschäftsleitung terminieren | Registrierung, klare Rollen, Meldekette mit Vertretung |
| Tag 31 bis 60 | Bestandsaufnahme von Systemen, Zugängen und Dienstleistern, Risikoanalyse, Abgleich mit den zehn Mindestmaßnahmen nach § 30 BSIG, Sofortmaßnahmen wie MFA, Backups und Updates | Lückenliste mit Prioritäten, erste Lücken geschlossen |
| Tag 61 bis 90 | Maßnahmenplan mit Budget und Terminen beschließen, Berichtsrhythmus festlegen, zum Beispiel quartalsweise, erste Wirksamkeitsprüfung beauftragen, Planspiel zu einem Vorfall mit der Geschäftsleitung | Beschluss, Berichtswesen, erster Nachweis der Wirksamkeit |
Die zehn Mindestmaßnahmen und passende Nachweise beschreibt der Artikel NIS2-Risikomanagement nach § 30 BSIG. Falls die Registrierung noch fehlt, hilft NIS2-Registrierung verpasst, für den Meldeweg der Artikel Incident-Response-Plan.
Typische Fehler
- „Das macht unsere IT.“ Genau diese Antwort führt das BSI in seinen Leitfragen für Geschäftsleitungen unter denen auf, die weitere Nachfragen erfordern.
- Nur eine Person der Geschäftsleitung wird geschult, obwohl alle Mitglieder schulungspflichtig sind.
- Beschlüsse werden mündlich gefasst und nicht protokolliert.
- Es gibt einen Maßnahmenplan, aber keinen festen Berichtsrhythmus, in dem die Umsetzung überprüft wird.
- Die Wirksamkeit wird nie getestet. Ein Penetrationstest oder ein geübter Wiederanlauf zeigt mehr als jede Richtlinie, siehe Penetrationstest: Kosten und Ablauf.
- Der Meldeprozess existiert nur auf Papier und wurde nie geübt.
Wie Unite2Link unterstützt
Wir unterstützen die Geschäftsleitung dort, wo Technik und Verantwortung zusammenkommen: mit Schulungen und Übungen, die an Ihrer eigenen Infrastruktur ansetzen, mit einer technischen Bestandsaufnahme gegen die Mindestmaßnahmen, mit Berichten, auf deren Grundlage eine Geschäftsleitung entscheiden kann, und mit Penetrationstests als Nachweis der Wirksamkeit. Die rechtliche Beratung zu Haftung und Organpflichten übernehmen Ihre Juristinnen und Juristen. Wir arbeiten bei Ihnen vor Ort und online. Mehr auf der Seite Cybersicherheit.