Ratgeber
NIS-2-Haftung: was § 38 BSIG von der Geschäftsführung verlangt
Über die Haftung von Geschäftsführern nach NIS-2 wird viel geschrieben, und das meiste davon ist eine Spur zu scharf formuliert. Die wichtigste Klarstellung deshalb gleich vorweg: § 38 BSIG macht dich nicht persönlich gegenüber dem BSI haftbar. Er macht dich gegenüber deinem eigenen Unternehmen haftbar.
Das klingt nach einer Feinheit. Es ist der Unterschied zwischen einem Bußgeld, das die Firma trifft, und einem Regressanspruch, den deine eigenen Gesellschafter gegen dich richten können.
Dieser Text referiert, was im Gesetz steht. Ob und wie es auf deinen Betrieb wirkt, ist eine rechtliche Bewertung und gehört zu einem Anwalt, nicht in einen Ratgeber.
Die drei Pflichten
§ 38 BSIG verteilt drei Aufgaben an die Geschäftsleitung. Sie stehen nebeneinander; keine ersetzt eine andere.
Billigen
Die Risikomanagementmaßnahmen nach § 30 BSIG müssen von der Geschäftsleitung gebilligt werden. Billigen heißt entscheiden, nicht zur Kenntnis nehmen. Ein Umlaufbeschluss, den niemand gelesen hat, erfüllt den Zweck der Vorschrift nicht — und im Streitfall zählt, was dokumentiert ist.
Überwachen
Die Umsetzung muss veranlasst und überwacht werden. Das ist kein einmaliger Akt zum Stichtag, sondern ein laufender Vorgang. Wer einmal freigibt und danach nicht mehr hinschaut, hat die zweite Hälfte der Pflicht nicht erfüllt.
Schulen
Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen. Persönlich. Diese Pflicht trifft sie selbst und lässt sich nicht an die IT weiterreichen.
Was Haftung hier bedeutet
§ 38 Absatz 2 BSIG ordnet an, dass Mitglieder der Geschäftsleitung ihrer Einrichtung den Schaden ersetzen, den sie durch eine schuldhafte Verletzung dieser Pflichten verursachen. Der Maßstab kommt aus dem Gesellschaftsrecht — für die GmbH aus § 43 GmbHG, für die AG aus § 93 AktG.
Drei Dinge folgen daraus, die in der Berichterstattung oft untergehen.
Erstens: Es geht um Innenhaftung. Anspruchsberechtigt ist die eigene Einrichtung, nicht die Behörde und nicht ein geschädigter Dritter. Praktisch heißt das: Der Anspruch wird erst dann relevant, wenn Gesellschafter, ein Insolvenzverwalter oder ein Nachfolger ihn geltend machen.
Zweitens: Es braucht ein Verschulden. Ein Sicherheitsvorfall allein begründet keine Haftung. Es muss eine Pflichtverletzung dazukommen — und die liegt in der Regel nicht darin, dass etwas passiert ist, sondern darin, dass vorher nichts entschieden, nichts überwacht und nichts dokumentiert wurde.
Drittens: Bußgelder nach § 65 BSIG treffen die Einrichtung, nicht das Geschäftsleitungsmitglied. Wer beides in einen Topf wirft, kommt auf Zahlen, die so nicht stimmen.
Ob eine D&O-Versicherung solche Ansprüche deckt, hängt am konkreten Vertrag. Das ist eine Frage an deinen Versicherer, und sie lohnt sich, bevor der Fall eintritt.
Was sich delegieren lässt
Die Umsetzung darfst du abgeben. Ein IT-Leiter, ein externer Dienstleister, ein Informationssicherheitsbeauftragter — alles zulässig und in den meisten Betrieben auch sinnvoll.
Was du nicht abgeben kannst, ist die Überwachung. Die Aufgabe wandert, die Pflicht bleibt. Genau hier liegt der häufigste Denkfehler: „Darum kümmert sich unsere IT" beschreibt eine funktionierende Arbeitsteilung und zugleich eine unerfüllte Pflicht.
In der Praxis läuft es darauf hinaus, dass du einen Rhythmus brauchst. Wer berichtet dir wann, in welcher Form, und was passiert mit offenen Punkten? Ein Quartalsbericht mit Datum und Beschluss ist im Zweifel mehr wert als ein Jahr guter Absichten.
Die Schulungspflicht
§ 38 Absatz 3 BSIG verlangt regelmäßige Schulungen der Geschäftsleitung. Das Gesetz sagt nicht, wie oft, wie lange und in welchem Format.
Diese Unbestimmtheit ist unangenehm, aber sie ist auch ehrlich: Ein Zwei-Personen-Handwerksbetrieb und ein Energieversorger brauchen nicht dasselbe. Was das Gesetz erkennbar nicht meint, ist ein einmaliger Termin nach der Gesetzesänderung und danach nichts mehr.
Ein Anhaltspunkt aus der Praxis: einmal jährlich, dokumentiert, mit Bezug auf die eigenen Risiken statt auf allgemeine Cybersicherheit. Wer nachweisen will, dass er die Maßnahmen gebilligt hat, sollte belegen können, dass er verstanden hat, was er da billigt.
Was du vorlegen können musst
Wenn es ernst wird, zählt nicht, was getan wurde, sondern was sich zeigen lässt. Drei Unterlagen tragen die Hauptlast:
Der Billigungsbeschluss
Datiert, mit Bezug auf die konkreten Maßnahmen nach § 30. Ein Protokolleintrag reicht, wenn er erkennen lässt, worüber entschieden wurde.
Der Überwachungspfad
Wer hat wann worüber berichtet, welche Punkte waren offen, was ist daraus geworden. Ein Maßnahmenplan mit Verantwortlichen und Fristen erfüllt das nebenbei.
Die Schulungsnachweise
Teilnahme der Geschäftsleitung, mit Datum und Inhalt. Eine Teilnahmebestätigung ohne Themenangabe hilft im Zweifel wenig.
Opspect unterstützt bei diesen Nachweispflichten: Risiken, Maßnahmen mit Verantwortlichen und Fristen, Lieferanten und Vorfälle liegen an einem Ort, und der Stand lässt sich als Bericht ausgeben. Die Entscheidung, ob deine Maßnahmen ausreichen, nimmt dir keine Software ab.
Bist du überhaupt betroffen?
§ 38 greift nur, wenn deine Einrichtung unter NIS-2 fällt. Die Selbsteinschätzung führt in etwa zwei Minuten durch die Kriterien.
Häufige Fragen
Haftet der Geschäftsführer persönlich?
Gegenüber der eigenen Einrichtung ja, wenn er die Pflichten aus § 38 BSIG schuldhaft verletzt und dadurch ein Schaden entsteht. Gegenüber dem BSI oder geschädigten Dritten begründet § 38 keine unmittelbare Haftung.
Kann ich das an meinen IT-Leiter delegieren?
Die Umsetzung ja. Die Überwachung und die eigene Schulung nicht — beide treffen die Geschäftsleitung persönlich.
Wie oft muss die Geschäftsleitung geschult werden?
Das Gesetz sagt „regelmäßig" und nennt kein Intervall. Ein jährlicher, dokumentierter Termin mit Bezug auf die eigenen Risiken ist ein verbreiteter Anhaltspunkt, keine gesetzliche Vorgabe.
Was passiert, wenn wir gar nicht unter NIS-2 fallen?
Dann greift § 38 BSIG nicht. Ob eine Einrichtung betroffen ist, hängt an Sektor, Größe und Rolle in der Lieferkette — das lässt sich vorab prüfen.
Zahlt eine D&O-Versicherung solche Ansprüche?
Das hängt vom konkreten Vertrag ab und ist eine Frage an den Versicherer. Pauschal lässt sich das nicht beantworten.
Reicht es, wenn wir eine Sicherheitssoftware einsetzen?
Nein. § 38 verlangt Entscheidungen, Überwachung und Schulung durch die Geschäftsleitung. Software kann die Nachweise liefern und den Überblick herstellen; die Pflichten bleiben bei den Personen.