Zum Hauptinhalt springen
NIS2 Service
NIS2 Service – Startseite
§ 38 BSIG

Pflichten der Geschäftsleitung

Drei Absätze, die Geschäftsführung und Vorstand persönlich betreffen — Umsetzung, Überwachung und die eigene Schulung. Hier steht, was das Gesetz wirklich sagt.

Die kurze Antwort

§ 38 BSIG trägt die amtliche Überschrift „Umsetzungs-, Überwachungs- und Schulungspflicht“. Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen, sie haftet bei schuldhafter Pflichtverletzung ihrer eigenen Einrichtung nach Gesellschaftsrecht, und sie muss regelmäßig selbst an Schulungen teilnehmen.

Zwei Missverständnisse halten sich hartnäckig: Der Begriff „billigen“ stammt aus Artikel 20 der NIS2-Richtlinie und steht so nicht im deutschen Gesetz. Und die Haftung nach Absatz 2 ist eine Innenhaftung gegenüber der Gesellschaft — keine unmittelbare Haftung gegenüber Dritten.

§ 38 BSIG Absatz für Absatz

Absatz 1

Umsetzen und überwachen

„Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.“

Die Verantwortung liegt bei der Leitung, nicht bei der IT. Delegieren lässt sich die Durchführung — nicht die Überwachung. Das Gesetz verlangt beides: dass die Maßnahmen umgesetzt werden und dass die Leitung sich davon überzeugt.

Nachweise

  • Beschluss der Geschäftsleitung zu Sicherheitsleitlinie und Risikomethodik, mit Datum
  • Wiederkehrendes Sicherheitsreporting an die Leitung mit dokumentierter Kenntnisnahme
  • Protokollierte Entscheidungen über bewusst getragene Restrisiken
  • Nachverfolgung offener Maßnahmen mit Statusberichten an die Leitung
Absatz 2

Haftung — enger, als oft behauptet

„Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.“

Zwei Einschränkungen, die in Marktdarstellungen regelmäßig fehlen. Erstens ist es eine Innenhaftung gegenüber der eigenen Gesellschaft — keine unmittelbare Haftung gegenüber Kunden oder Dritten. Zweitens ist die Regelung nach Satz 2 subsidiär: Enthält das anwendbare Gesellschaftsrecht bereits eine Haftungsregelung, greift sie und nicht das BSIG. Bei GmbH und Aktiengesellschaft ist das mit § 43 GmbHG und § 93 AktG der Fall. Eine im Regierungsentwurf noch vorgesehene Klausel, wonach ein Verzicht auf Ersatzansprüche unwirksam sei, ist nicht Gesetz geworden. Praktisch relevant bleibt § 38 trotzdem: Er definiert die Pflicht, deren Verletzung den Schadensersatzanspruch überhaupt erst begründet.

Nachweise

  • Dokumentierte Befassung der Leitung — sie ist der wirksamste Entlastungsbeleg
  • Nachvollziehbare Begründung, warum Maßnahmen in dieser Tiefe verhältnismäßig sind
  • Prüfung bestehender D&O-Deckung auf Ausschlüsse bei Pflichtverletzungen
Absatz 3

Eigene Schulung — nicht delegierbar

„Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen.“

Die Pflicht trifft die Leitungspersonen selbst. Eine Mitarbeiterschulung erfüllt sie nicht. Das Gesetz nennt keinen festen Umfang und keinen Turnus — es verlangt „regelmäßig“ und ein inhaltliches Ziel: Risiken erkennen und bewerten können. Wer Umfang und Rhythmus festlegt, sollte diese Festlegung begründen und dokumentieren.

Nachweise

  • Teilnahmenachweis je Leitungsperson mit Datum und Inhaltsübersicht
  • Schulungsinhalte, die erkennbar auf Risikoerkennung und -bewertung zielen
  • Festgelegter Wiederholungsrhythmus mit Begründung

Fünf Fehler auf Leitungsebene

NIS2 wird vollständig an die IT delegiert

Die Überwachungspflicht nach Absatz 1 bleibt bei der Leitung. Sie lässt sich organisatorisch unterstützen, aber nicht abgeben.

Die Leitung wird nicht geschult

Absatz 3 richtet sich ausdrücklich an die Leitungspersonen. Eine Awareness-Schulung für alle Beschäftigten deckt das nicht ab.

Es gibt keinen dokumentierten Beschluss

Ohne Protokoll ist die Befassung der Leitung nicht belegbar — und genau dieser Beleg ist der erste, nach dem eine Prüfung fragt.

Restrisiken werden getragen, aber nicht entschieden

Ein bewusst akzeptiertes Restrisiko ist zulässig. Ein unbemerkt getragenes ist eine Pflichtverletzung.

Das Reporting endet auf Abteilungsebene

Wenn Sicherheitskennzahlen die Leitung nie erreichen, existiert die Überwachung nur auf dem Papier.

Welche Maßnahmen die Leitung überwachen muss, steht in der Übersicht der zehn Maßnahmenbereiche nach § 30 BSIG. Die Schulungspflicht aus Absatz 3 behandelt die Seite zur Geschäftsleitungs-Schulung.

Häufige Fragen

Welche Pflichten hat die Geschäftsleitung nach NIS2?
§ 38 BSIG nennt drei: Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (Absatz 1), sie haftet bei Pflichtverletzung ihrer eigenen Einrichtung nach Gesellschaftsrecht (Absatz 2), und sie muss regelmäßig selbst an Schulungen teilnehmen (Absatz 3). Die Überwachungspflicht und die Schulungspflicht treffen die Leitungspersonen persönlich und lassen sich nicht delegieren.
Haftet der Geschäftsführer bei NIS2 persönlich?
§ 38 Abs. 2 BSIG regelt eine Haftung gegenüber der eigenen Einrichtung — nicht gegenüber Kunden oder anderen Dritten. Verletzt die Geschäftsleitung ihre Pflichten aus Absatz 1 schuldhaft und entsteht der Einrichtung dadurch ein Schaden, kann die Gesellschaft Ersatz verlangen, nach den Regeln des für ihre Rechtsform geltenden Gesellschaftsrechts. Darstellungen, die daraus eine allgemeine Privathaftung machen, gehen über den Gesetzeswortlaut hinaus.
Muss die Geschäftsleitung wirklich selbst geschult werden?
Ja. § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen ausdrücklich, regelmäßig an Schulungen teilzunehmen. Ziel ist, Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Eine allgemeine Sensibilisierung der Beschäftigten erfüllt diese Pflicht nicht — sie richtet sich an eine andere Zielgruppe und hat einen anderen Inhalt.
Wie oft und wie lange muss die Schulung sein?
Das Gesetz nennt weder Stundenzahl noch Turnus. Es verlangt „regelmäßig“ und knüpft an ein inhaltliches Ziel an. Daraus folgt praktisch: Die Einrichtung legt Rhythmus und Umfang selbst fest, muss diese Festlegung aber begründen und die Teilnahme dokumentieren können. Angaben Dritter zu einer angeblich vorgeschriebenen Mindeststundenzahl finden im Gesetzestext keine Grundlage.
Welcher Nachweis entlastet die Geschäftsleitung am stärksten?
Die dokumentierte Befassung. Ein Protokoll, aus dem hervorgeht, dass die Leitung die Risikolage kannte, die Maßnahmen entschieden, die Umsetzung verfolgt und Restrisiken bewusst akzeptiert hat, ist der wirksamste Beleg für die Erfüllung der Überwachungspflicht — und im Streitfall wertvoller als jede technische Maßnahme.

Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Der zitierte Wortlaut stammt aus § 38 BSIG. Fachliche Einordnung zur technischen und organisatorischen Umsetzung — keine Rechtsberatung. Für die gesellschaftsrechtliche Bewertung im Einzelfall ziehen Sie bitte anwaltlichen Rat hinzu.

Belegen Sie die Überwachungspflicht?

Wir prüfen, ob Beschlüsse, Reporting und Schulungsnachweise Ihrer Leitungsebene einer Prüfung standhalten — und ergänzen, was fehlt.

Standortbestimmung anfragen