§38 BSIG · Persönliche Haftung

NIS2 Geschäftsführerhaftung: Was Führungskräfte jetzt wissen müssen

§38 BSIG des NIS2UmsuCG begründet eine direkte, persönliche Pflicht der Leitungsorgane — nicht nur der IT-Abteilung. Wer die Risikomanagementmaßnahmen nicht billigt, überwacht und an Schulungen teilnimmt, haftet persönlich und riskiert ein Tätigkeitsverbot durch das BSI.

NIS2-Checkliste für Führungskräfte Betroffenheit prüfen

Bußgelder treffen das Unternehmen — Haftung trifft Sie persönlich

§65 BSIG sieht Bußgelder gegen die Einrichtung vor (bis zu 10.000.000 € für besonders wichtige Einrichtungen). Davon getrennt begründet §38 BSIG eine persönliche zivilrechtliche Haftung der Geschäftsleitung gegenüber dem Unternehmen bei schuldhafter Pflichtverletzung. Diese ist weder durch Satzung noch durch Beschluss im Voraus ausschließbar.

Max. Bußgeld (bes. wichtig)

10.000.000 €

oder 2% Umsatz

Max. Bußgeld (wichtig)

7.000.000 €

oder 1.4% Umsatz

Tätigkeitsverbot

Möglich

bei schwerwiegenden Verstößen

§38 BSIG · NIS2UmsuCG

Die fünf Kernpflichten der Leitungsorgane

Billigungspflicht

§38 Abs. 1 BSIG

Die Leitungsorgane müssen die Risikomanagementmaßnahmen nach §30 BSIG ausdrücklich billigen. Eine stillschweigende Duldung genügt nicht. Der Beschluss sollte dokumentiert werden.

Überwachungspflicht

§38 Abs. 1 BSIG

Die Geschäftsleitung ist laufend zur Überwachung der Umsetzung verpflichtet — nicht nur zur einmaligen Beauftragung. Regelmäßige Berichterstattung durch den CISO oder die IT-Abteilung an die Leitungsebene ist erforderlich.

Schulungspflicht

§38 Abs. 3 BSIG

Leitungsorgane müssen an einschlägigen Schulungen zur Cybersicherheit teilnehmen. Dieses Wissen ist an die Mitarbeitenden weiterzuvermitteln. Dokumentation der Teilnahme empfohlen.

Persönliche Haftung

§38 Abs. 2 BSIG

Bei schuldhafter Pflichtverletzung können Leitungsorgane persönlich in Haftung genommen werden. Der Haftungsanspruch kann nicht im Voraus durch Gesellschaftervertrag oder Satzung ausgeschlossen werden.

Tätigkeitsverbot

§65 Abs. 7 BSIG

Das BSI kann bei besonders wichtigen Einrichtungen vorübergehend untersagen, dass eine Führungsperson ihre Leitungsaufgaben ausübt, wenn schwerwiegende Verstöße festgestellt werden.

Was Führungskräfte konkret tun müssen

Beschluss zur Billigung dokumentieren

Formalisieren Sie die Billigung der Risikomanagementmaßnahmen als Geschäftsleitungsbeschluss. Protokollierung im Managementprotokoll ist Best Practice.

Regelmäßige CISO-Berichte einfordern

Etablieren Sie eine Berichtspflicht des CISOs oder IT-Leiters an die Geschäftsleitung — mindestens quartalsweise. Dokumentieren Sie Entscheidungen.

Schulungen nachweisbar absolvieren

Nehmen Sie an zertifizierten NIS2/Cybersicherheits-Schulungen teil. Lassen Sie Teilnahme und Datum durch Zertifikate belegen.

BSI-Registrierung sicherstellen

Vergewissern Sie sich, dass Ihr Unternehmen im MUK-Portal registriert ist. Die Frist 2026-03-06 ist abgelaufen — Nachregistrierung sofort.

Häufige Fragen zur Geschäftsführerhaftung

Gilt §38 BSIG für GmbH-Geschäftsführer und AG-Vorstände gleichermaßen?: Ja. §38 BSIG richtet sich an die Leitungsorgane der Einrichtung ohne Unterschied der Rechtsform. GmbH-Geschäftsführer, AG-Vorstände und auch Organe anderer Rechtsformen (z.B. Genossenschaftsvorstände) sind erfasst, soweit die Einrichtung unter NIS2UmsuCG fällt.
Kann ich die Haftung durch D&O-Versicherung absichern?: Eine D&O-Versicherung kann das Haftungsrisiko wirtschaftlich abfedern, hebt die gesetzliche Pflicht aber nicht auf. Zudem decken viele D&O-Policen Bußgeldansprüche nicht ab. Lassen Sie die Deckung durch Ihren Versicherungsmakler auf NIS2-Szenarien prüfen.
Was passiert, wenn mehrere Geschäftsführer im Amt sind?: Alle Leitungsorgane sind verpflichtet. Eine Ressortverteilung (z.B. 'IT ist Sache des CTO') entlastet nicht vollständig — jedes Leitungsorgan muss die Einhaltung überwachen und bei Auffälligkeiten einschreiten.
Wann konkret kann das BSI ein Tätigkeitsverbot verhängen?: §65 Abs. 7 BSIG erlaubt das BSI bei besonders wichtigen Einrichtungen ein vorübergehendes Tätigkeitsverbot, wenn schwerwiegende Verstöße gegen Cybersicherheitspflichten festgestellt werden und andere Maßnahmen nicht ausreichen. Das ist eine ultima-ratio-Maßnahme, keine Routinekontrolle.

Compliance-Nachweis für die Geschäftsleitung

EuroComply erstellt prüfungsfertige NIS2-Nachweise — Risikoregister, Maßnahmendokumentation und Schulungsnachweise — die Sie als Führungskraft entlasten.

NIS2-Check starten

Dieser Inhalt dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Maßgeblich ist das NIS2UmsuCG in seiner jeweils gültigen Fassung. Für konkrete Fragen zur Haftung wenden Sie sich an einen auf IT-Recht oder Gesellschaftsrecht spezialisierten Anwalt.