Geschäftsführerhaftung bei NIS2: was § 38 BSIG wirklich verlangt

Über die persönliche Verantwortung der Geschäftsführung bei NIS2 wird viel geschrieben, und einiges davon steht so nicht im Gesetz. § 38 BSIG hat drei Absätze: zwei Handlungspflichten, eine Schulungspflicht ohne Intervall und eine Haftung, die zur eigenen Einrichtung führt. Dieser Beitrag geht sie einzeln durch und hält sich dabei an den Wortlaut.

Absatz 1: umsetzen und überwachen sind zwei Pflichten

§ 38 Abs. 1 BSIG lautet: Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

Zwei Verben, zwei Pflichten. Die erste lässt sich delegieren, die zweite nicht ohne Rückkanal: Wer die Umsetzung überwachen soll, braucht einen Bericht und einen Termin, an dem er ankommt. Ein Beschluss, die IT möge sich kümmern, deckt nur die erste Hälfte ab.

Worauf sich beides bezieht, steht in § 30 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Bei der Verhältnismäßigkeit sind unter anderem Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen zu berücksichtigen. § 30 Abs. 1 Satz 3 BSIG bestimmt ausdrücklich: Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.

§ 30 Abs. 2 Satz 2 BSIG nennt die Mindestbestandteile in zehn Nummern:

• Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
• Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
• Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
• Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
• grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
• Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
• Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen
• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung

An dieser Liste lässt sich die Überwachungspflicht abarbeiten; die passenden Nachweise ordnet NIS2-Pflichten konkret.

Wen § 38 BSIG überhaupt adressiert

Geschäftsleitung ist nach § 2 Nr. 13 BSIG eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nach derselben Nummer nicht als Geschäftsleitung. Gemeint ist also der eingetragene Geschäftsführer oder das Vorstandsmitglied, nicht die IT-Leitung.

Ob Ihre Einrichtung besonders wichtig oder wichtig ist, entscheidet § 28 BSIG. Die Vorschrift arbeitet nicht mit einer einzigen Schwelle, sondern mit mehreren Fallgruppen: Absatz 1 zählt die besonders wichtigen Einrichtungen in Nummern auf, Absatz 2 die wichtigen. Jede Nummer hat eigene Voraussetzungen, und nur ein Teil von ihnen knüpft überhaupt an Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme an. Eine Einheitstabelle bildet das nicht ab, deshalb steht hier keine. Lesen Sie die Nummern einzeln; den Prüfweg dazu beschreibt der NIS2-Betroffenheits-Check.

Zwei Sätze werden dabei leicht überlesen. § 28 Abs. 2 BSIG endet mit der Feststellung, dass besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung von den wichtigen Einrichtungen ausgenommen sind. Wer bereits unter eine Nummer des Absatzes 1 fällt, ist also nicht zusätzlich wichtige Einrichtung, sondern ausschließlich besonders wichtige. Und § 28 Abs. 3 BSIG erlaubt, bei der Zuordnung zu einer Einrichtungsart nach den Anlagen 1 und 2 solche Geschäftstätigkeiten unberücksichtigt zu lassen, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind.

Wie Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme zu bestimmen sind, sagt § 28 Abs. 4 BSIG: Anzuwenden ist, außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die Empfehlung der Kommission 2003/361/EG mit Ausnahme von Artikel 3 Absatz 4 des Anhangs. Wer nach Kopfzahl aus der Lohnbuchhaltung rechnet, rechnet nach einer anderen Regel als das Gesetz.

Prüfen Sie zuletzt die beiden Ausnahmeabsätze, bevor Sie § 38 auf sich beziehen. § 28 Abs. 5 BSIG nimmt die dort bezeichneten besonders wichtigen und wichtigen Einrichtungen von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 aus — der Absatz erfasst beide Arten, nicht nur die besonders wichtigen. § 28 Abs. 6 BSIG nimmt die dort aufgezählten Einrichtungen von den §§ 30, 31, 32, 35, 36, 38 und 39 aus, an erster Stelle Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554. Fällt Ihre Einrichtung darunter, gilt § 38 BSIG für Ihre Geschäftsleitung nicht.

Absatz 2: Die Haftung führt zur eigenen Einrichtung

§ 38 Abs. 2 Satz 1 BSIG lautet: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts.

Drei Merkmale stecken darin. Gehaftet wird gegenüber der eigenen Einrichtung, nicht gegenüber Kunden oder Behörden. Vorausgesetzt ist ein schuldhaft verursachter Schaden, nicht der Pflichtverstoß allein. Der Maßstab kommt aus dem Recht der Rechtsform.

Satz 2 stellt klar: Nach diesem Gesetz haften Geschäftsleitungen nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten. Bei GmbH und AG enthalten sie eine.

Der Verzicht auf solche Ansprüche ist bei der AG an eine eigene Frist gebunden, und auch diese Frist hat einen benannten Anfang. Nach § 93 Abs. 4 Satz 3 AktG kann die Gesellschaft erst drei Jahre nach der Entstehung des Anspruchs auf Ersatzansprüche verzichten oder sich über sie vergleichen, und auch dann nur, wenn die Hauptversammlung zustimmt und nicht eine Minderheit, deren Anteile zusammen den zehnten Teil des Grundkapitals erreichen, zur Niederschrift Widerspruch erhebt. Satz 4 nimmt die zeitliche Beschränkung zurück, wenn der Ersatzpflichtige zahlungsunfähig ist und sich zur Abwendung des Insolvenzverfahrens mit seinen Gläubigern vergleicht oder wenn die Ersatzpflicht in einem Insolvenzplan geregelt wird.

Absatz 3: Schulungspflicht ohne Intervall

Nach § 38 Abs. 3 BSIG müssen die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

Ein Intervall, einen Mindestumfang oder einen Anbieter nennt das Gesetz nicht. Wer jährlich schult, wählt einen praktikablen Turnus, keine gesetzliche Frist. Entscheidend ist der Nachweis, denn beide Aufsichtsvorschriften nennen genau diesen Absatz. Nach § 61 Abs. 1 BSIG kann das Bundesamt gegenüber einzelnen besonders wichtigen Einrichtungen anordnen, die Erfüllung der dort genannten Verpflichtungen durch Audits, Prüfungen oder Zertifizierungen unabhängiger Stellen prüfen zu lassen; § 38 Abs. 3 gehört dazu. Und § 62 Abs. 1 BSIG lautet: Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.

Die Beträge des § 65 Abs. 5 BSIG sind ein Rahmen, keine Regelbuße, und sie sind nach Fallgruppen gestaffelt. Für die in Nummer 1 aufgezählten Fälle reicht der Rahmen bis zu zehn Millionen Euro bei besonders wichtigen und bis zu sieben Millionen Euro bei wichtigen Einrichtungen. Welche Verstöße das sind, ergibt sich erst aus der Verweisung in Nummer 1 auf die Tatbestände des Absatzes 2; wer die Zahl zitiert, sollte den Tatbestand mitzitieren. Zu den Meldepflichten führt NIS2-Meldung in 24 Stunden.

Was davon in die Akte gehört

Die Überwachungspflicht lässt sich im Nachhinein nur belegen, wenn sie beim Stattfinden festgehalten wurde. Ein Maßnahmenkatalog ohne Datum beweist nicht, wann er zuletzt geprüft wurde. Fünf Einträge tragen die Nachweiskette:

• Einstufung mit Datum: Sektor, Einrichtungsart, Mitarbeiterzahl, Umsatz, Bilanzsumme, Ergebnis, herangezogene Nummer des § 28 BSIG.
• Maßnahmen aus § 30 Abs. 2 Satz 2 BSIG, den zehn Nummern zugeordnet, mit einem Verantwortlichen je Nummer.
• Überwachung: Termin, Teilnehmer, Bericht, Beschluss. Das ist die zweite Hälfte von Absatz 1.
• Schulungen nach § 38 Abs. 3 BSIG mit Datum, Inhalt und Teilnehmer.
• Dokumentation nach § 30 Abs. 1 Satz 3 BSIG, versioniert statt überschrieben.

Von dieser Kette deckt RegelWerk allein das erste Glied ab, und auch das nur als grobe Vorsortierung. Die Einstufung entsteht aus einer von drei Sektorgruppen und einer einzigen Schwelle, nämlich 50 Mitarbeitern oder 10 Millionen Euro Umsatz. Ergebnis ist einer von vier Zuständen: wesentliche Einrichtung, wichtige Einrichtung, Prüffall oder nicht betroffen. Das ist die Sprache des Werkzeugs; das BSIG spricht von besonders wichtigen und wichtigen Einrichtungen. Die Fallgruppen des § 28 BSIG rechnet RegelWerk nicht nach, weder die Nummern des Absatzes 1 noch die Jahresbilanzsumme.

Daran hängt eine abhakbare Pflichten-Roadmap. Ihre Punkte tragen einen Horizont, also sofort, 30, 60 oder 90 Tage, laufend, jährlich oder optional. Ein Datum tragen sie nicht, einen Verantwortlichen ebenso wenig, und den zehn Nummern des § 30 Abs. 2 Satz 2 BSIG sind sie nicht zugeordnet. Das zweite Glied der Kette ersetzt die Roadmap deshalb nicht.

Die übrigen vier Glieder gehören in Ihre eigene Akte. RegelWerk speichert ein Profil je Konto und überschreibt es bei jeder Änderung; gesichert werden Sektor, Mitarbeiterzahl, Umsatz, KI-System, die Häkchen der Roadmap und ein Änderungszeitpunkt. Ein Überwachungsprotokoll, Schulungsnachweise und eine Versionshistorie führt das Werkzeug nicht.

Was RegelWerk ebenfalls nicht leistet: Es beurteilt keinen Einzelfall nach § 38 Abs. 2 BSIG und ersetzt keine Rechtsberatung.

Häufige Fragen

Haften Geschäftsführer bei NIS2 persönlich?

Ja, aber gegenüber der eigenen Einrichtung. § 38 Abs. 2 Satz 1 BSIG bestimmt, dass Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts haften. Eine Haftung gegenüber Kunden oder Behörden ordnet die Vorschrift nicht an.

Wie hoch ist die Haftung nach § 38 BSIG?

§ 38 BSIG nennt keinen Betrag und keine Obergrenze. Maßgeblich sind der schuldhaft verursachte Schaden und das Recht der jeweiligen Rechtsform, für die GmbH also § 43 GmbHG, für die AG § 93 AktG. Nach § 38 Abs. 2 Satz 2 BSIG greift eine Haftung nach dem BSIG selbst nur, wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.

Wann verjähren die Ansprüche gegen die Geschäftsleitung?

Nach § 43 Abs. 4 GmbHG verjähren die Ansprüche in fünf Jahren. Nach § 93 Abs. 6 AktG verjähren sie in zehn Jahren bei Gesellschaften, die zum Zeitpunkt der Pflichtverletzung börsennotiert sind, bei anderen Gesellschaften in fünf Jahren. Anknüpfungspunkt ist damit der Börsenstatus im Zeitpunkt der Pflichtverletzung, nicht der Status im Zeitpunkt der Geltendmachung.

Wie oft muss die Geschäftsführung nach NIS2 geschult werden?

§ 38 Abs. 3 BSIG verlangt eine regelmäßige Teilnahme an Schulungen, nennt aber kein Intervall, keinen Mindestumfang und keinen Anbieter. Ein jährlicher Turnus ist eine praktikable Wahl, keine gesetzliche Frist. Weil § 61 Abs. 1 und § 62 Abs. 1 BSIG diesen Absatz ausdrücklich nennen, sollten Datum, Inhalt und Teilnehmer dokumentiert sein.

Kann einem Geschäftsführer die Tätigkeit untersagt werden?

Nach § 61 Abs. 9 BSIG kann das Bundesamt der zuständigen Aufsichtsbehörde mitteilen, dass eine besonders wichtige Einrichtung seinen Anordnungen trotz Fristsetzung nicht nachkommt. Die Aufsichtsbehörde kann daraufhin als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit vorübergehend untersagen. Zulässig ist das nur so lange, bis die Einrichtung den Anordnungen des Bundesamtes nachkommt.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall — wenden Sie sich dafür an fachkundige Beratung.