Die NIS-2-Pflichten der Geschäftsleitung nach § 38 BSIG — Umsetzen, Überwachen, Schulen

1. Worum es geht — drei Pflichten in einem Paragraphen

§ 38 des BSI-Gesetzes (BSIG) ist die zentrale Norm für die Cyber-Compliance-Pflichten der Geschäftsleitung in besonders wichtigen Einrichtungen und wichtigen Einrichtungen. Der Paragraph bündelt drei Geschäftsleitungspflichten und eine Haftungsregel — Absatz 1 enthält die Umsetzung und Überwachung der Risikomanagementmaßnahmen nach § 30 BSIG [N-BSIG-30], Absatz 2 regelt die Innenhaftungs-Brücke, Absatz 3 enthält die persönliche Schulungspflicht:

• Absatz 1 verlangt zwei Pflichten in einem Satz: die Umsetzung der Risikomanagementmaßnahmen nach § 30 BSIG und die Überwachung dieser Umsetzung.
• Absatz 2 enthält die Haftungs-Brücke ins Gesellschaftsrecht: wer die Pflichten aus Absatz 1 verletzt, haftet seiner Einrichtung nach § 43 GmbHG [N-GmbHG-43], § 93 AktG [N-AktG-93] oder den entsprechenden Vorschriften der jeweiligen Rechtsform. Diese Innenhaftung gegenüber der eigenen Einrichtung ist von Außenansprüchen strikt zu trennen: Außenansprüche können – je nach Anspruchsgegner und Tatbestand – gegen die Einrichtung und nur unter gesondert zu prüfenden Voraussetzungen gegen Organmitglieder laufen. Artikel 82 DSGVO [EU-DSGVO] richtet den Schadensersatzanspruch amtlich gegen Verantwortliche oder Auftragsverarbeiter; eine persönliche Geschäftsleiterhaftung folgt daraus nicht automatisch, sondern braucht eine eigene deliktische oder organschaftliche Begründung. Die Außenhaftung wird in Aufsichtsrats-Haftung aufgearbeitet.
• Absatz 3 ist die Schulungspflicht, die seit dem 6. Dezember 2025 die Geschäftsleitung selbst betrifft.

Das ergibt drei Pflichten, die der Gesetzgeber bewusst zusammen in einer Norm verankert hat: umsetzen, überwachen, schulen. Wer nur an die Schulung denkt, übersieht zwei Drittel der Norm. Wer nur an Umsetzung denkt, übersieht den eigentlichen Sorgfalts-Hebel — die Überwachung. Dieser Pillar-Artikel arbeitet die drei Pflichten gemeinsam auf und zeigt, wie sie ineinandergreifen.

§ 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen).
(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
(2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
(3) Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
Quelle: BSI-Gesetz in der Fassung des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. 2025 I Nr. 301 vom 05.12.2025, in Kraft seit 06.12.2025. Aktueller Stand mit Berücksichtigung der Änderungen durch das KRITIS-Dachgesetz vom 11. März 2026, verkündet im BGBl. 2026 I Nr. 66 vom 16. März 2026.

Diese drei Pflichten gelten unabhängig davon, ob die Einrichtung eine GmbH, eine AG, eine SE, eine Genossenschaft oder eine andere Rechtsform hat — der Paragraph adressiert die Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG [N-BSIG-2-13], also jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 BSIG [N-BSIG-29] gelten ausdrücklich nicht als Geschäftsleitung (für bestimmte landeseigene oder kommunale Verwaltungs-Dienstleister greifen darüber hinaus separate Ausnahme-Schwellen nach § 28 Absatz 8 BSIG [N-BSIG-28], die in Abschnitt 3.2 dargestellt werden).

2. Rechtliche Grundlage und Architektur des § 38 BSIG

§ 38 BSIG [N-BSIG-38] ist die deutsche Umsetzung von Artikel 20 der NIS-2-Richtlinie [EU-NIS2] (Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union). Die Richtlinie verlangt in Artikel 20 Absatz 1 von den Mitgliedstaaten zu gewährleisten, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die von diesen Einrichtungen zur Einhaltung von Artikel 21 ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit „billigen“, ihre Umsetzung „überwachen“ und für „Verstöße gegen diesen Artikel durch die betreffenden Einrichtungen“ verantwortlich gemacht werden können. Artikel 20 Absatz 2 ergänzt die Schulungs-Anforderung.

Der deutsche Gesetzgeber hat diese Vorgaben strukturell in einem einzigen Paragraphen gebündelt. Für die Anwendungspraxis ist deshalb entscheidend, dass Umsetzung, Überwachung, Haftungs-Brücke und Schulung in § 38 BSIG zusammen gelesen werden:

• Einheitlicher Adressatenkreis im nicht ausgenommenen §-28-Anwendungsbereich: Soweit § 38 BSIG nicht durch eine Bereichsausnahme nach § 28 Absatz 5, 6 oder 8 BSIG [N-BSIG-28] ausgeschlossen ist, richten sich alle drei Pflichten an dieselbe Personengruppe (Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG [N-BSIG-2-13]), und zwar in besonders wichtigen Einrichtungen und wichtigen Einrichtungen gleichermaßen. Die Differenzierung zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen verschiebt vor allem Aufsichts- und Bußgeldfolgen; sie ändert den Pflichtenkern des § 38 BSIG nicht.
• Asymmetrische Haftungs-Brücke: Absatz 2 koppelt amtlich nur die Pflichtverletzungen nach Absatz 1 (Umsetzung und Überwachung) an das Gesellschaftsrecht der jeweiligen Rechtsform — die Schulungspflicht aus Absatz 3 ist von dieser Haftungs-Brücke nicht unmittelbar erfasst. Eine Verletzung der Schulungspflicht kann allerdings im Rahmen der allgemeinen Organpflichten und Sorgfaltsmaßstäbe (§ 43 GmbHG [N-GmbHG-43] / § 93 AktG [N-AktG-93]) eigenständig haftungsrelevant werden, sowie aufsichtsrechtlich über § 62 BSIG [N-BSIG-62] gegenüber wichtigen Einrichtungen verfolgt werden.
• Querverweise statt Eigenständigkeit: § 38 BSIG enthält den Pflichtenkern nur in der Klammer. Inhaltlich verweist Absatz 1 auf die Mindestmaßnahmen aus § 30 BSIG [N-BSIG-30]. Bei Betreibern kritischer Anlagen kommt § 31 BSIG [N-BSIG-31] hinzu. Wer § 38 BSIG isoliert liest, übersieht den eigentlichen Pflichten-Katalog.

Diese Architektur erklärt, warum dieser Artikel nicht beim § 38 BSIG stehenbleiben kann. Die unmittelbare Verweis-Substanz des § 38 Absatz 1 BSIG liegt in § 30 BSIG (Risikomanagement-Maßnahmen der Einrichtung). Für Betreiber kritischer Anlagen treten anlagenspezifisch die Zusatz-Anforderungen aus § 31 BSIG hinzu. § 32 BSIG [N-BSIG-32] regelt eine eigenständige Einrichtungspflicht (Meldepflichten), die nicht unmittelbar in § 38 Absatz 1 BSIG verwiesen ist, aber funktional in die Compliance-Organisation der Geschäftsleitung hineinwirkt (siehe Abschnitt 9). Daneben treffen die Einrichtung weitere flankierende BSIG-Pflichten, die in der Krise operativ relevant werden: § 35 BSIG [N-BSIG-35] erfasst die Unterrichtungspflichten gegenüber den Empfängern der Dienste (Absatz 1: Anordnung durch das Bundesamt im Fall eines erheblichen Sicherheitsvorfalls; Absatz 2: kraft Gesetzes für Einrichtungen aus den dort genannten Sektoren — Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste — bei einer erheblichen Cyberbedrohung, vorbehaltlich der Interessenabwägung nach § 35 Absatz 2 Satz 3 BSIG). § 36 BSIG [N-BSIG-36] regelt die Rückmeldungen des Bundesamtes gegenüber meldenden Einrichtungen (Absatz 1: Eingangsbestätigung unverzüglich, nach Möglichkeit innerhalb von 24 Stunden, sowie auf Ersuchen Orientierungshilfen oder operative Beratung; Absatz 2: Öffentlichkeits-Anordnung des Bundesamtes nach Anhörung der betreffenden Einrichtung, soweit eine Sensibilisierung der Öffentlichkeit erforderlich ist oder die Offenlegung anderweitig im öffentlichen Interesse liegt). Diese § 35-/§ 36-Pflichten richten sich amtlich an die Einrichtung; ihre operative Wahrnehmung verlangt aber Organisations- und Überwachungsleistung der Geschäftsleitung im Sinne der § 38 Absatz 1 BSIG-Pflichten. Vertieft im Krisen-Pillar Cyber-Vorfall: die ersten 72 Stunden. Die folgenden Abschnitte arbeiten diese Norm-Kette einzeln auf.

3. Adressatenkreis — wer ist gemeint?

§ 38 BSIG [N-BSIG-38] knüpft an drei Begriffe an, die jeweils eigene Normen haben: „Geschäftsleitung“ (definiert in § 2 Nummer 13 BSIG [N-BSIG-2-13]), „besonders wichtige Einrichtung“ und „wichtige Einrichtung“ (definiert in § 28 BSIG). Eine Geschäftsführerin einer GmbH außerhalb des Anwendungsbereichs des § 28 BSIG ist von § 38 BSIG nicht erfasst. Innerhalb des § 28-Anwendungsbereichs ist sie von § 38 BSIG erfasst, soweit keine Bereichsausnahme nach § 28 Absatz 5, Absatz 6 oder Absatz 8 BSIG [N-BSIG-28] die konkrete Pflicht ausschließt.

3.1. Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG

Die amtliche Definition lautet:

§ 2 BSIG (Begriffsbestimmungen). Im Sinne dieses Gesetzes ist oder sind [...] 13. „Geschäftsleitung“ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung;
Quelle: § 2 Nummer 13 BSIG in der Fassung des NIS2UmsuCG, BGBl. 2025 I Nr. 301 vom 5. Dezember 2025.

Aus dieser Definition folgen vier Klarstellungen:

• „Eine natürliche Person“: Eine juristische Person kann nicht selbst Geschäftsleitung im Sinne des BSIG sein. Bei der GmbH & Co. KG verläuft die Vertretungs- und Organkette über zwei Stufen: Die KG selbst wird nach § 170 Absatz 1 HGB [N-HGB-170] nicht durch ihre Kommanditisten vertreten, sondern durch die persönlich haftende Gesellschafterin — typischerweise eine Komplementär-GmbH. Die Komplementär-GmbH ist nach § 161 Absatz 2 HGB [N-HGB-161] in Verbindung mit § 124 HGB [N-HGB-124] zur Vertretung der KG berufen (Kommanditisten sind nach § 170 Absatz 1 HGB als solche nicht vertretungsbefugt); sie selbst handelt nach § 35 Absatz 1 GmbHG [N-GmbHG-35] durch ihre Geschäftsführer. Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG sind daher nicht die Komplementär-GmbH als juristische Person und nicht die Kommanditisten, sondern die Geschäftsführerinnen und Geschäftsführer der Komplementär-GmbH — sie sind über diese mittelbare Organstellung „nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung“ der KG-Einrichtung berufen. Erfasst sind insbesondere organschaftlich berufene Leitungsmitglieder: Geschäftsführer einer GmbH, Vorstandsmitglieder einer AG, geschäftsführungs- und vertretungsbefugte persönlich haftende Gesellschafter sowie vergleichbare organschaftlich berufene Leitungsmitglieder anderer Rechtsformen (Vorstand der Genossenschaft nach § 24 GenG [N-GenG-24], geschäftsführende Direktoren der monistischen SE nach § 40 SEAG [N-SEAG-40] (Geschäftsführung) und § 41 SEAG [N-SEAG-41] (Vertretung) (der Verwaltungsrat der monistischen SE leitet zwar nach § 22 SEAG [N-SEAG-22] die Gesellschaft strategisch; Geschäftsführung und Vertretung liegen aber nach §§ 40, 41 SEAG bei den geschäftsführenden Direktoren, sodass für § 2 Nummer 13 BSIG die geschäftsführenden Direktoren Geschäftsleitung im engeren Sinn sind, während der Verwaltungsrat als eigenes Leitungs- und Überwachungsorgan mit SEAG-/AktG-Haftungsbezug daneben relevant bleibt), bei Stiftungen jedenfalls die Vorstandsmitglieder nach § 84 Absatz 1 und 2 BGB; weitere Stiftungsorgane nur, soweit sie nach Gesetz oder Satzung zugleich zur Führung der Geschäfte und zur Vertretung der Stiftung berufen sind. Zur Sorgfaltspflicht der Organmitglieder siehe § 84a Absatz 2 BGB [N-BGB-84a]; zur möglichen Haftungsprivilegierung § 84a Absatz 3 BGB i.V.m. § 31a BGB [N-BGB-31a]). Nicht als Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG erfasst sind Prokuristen, Generalbevollmächtigte oder sonstige Führungskräfte, die nur kraft rechtsgeschäftlicher Vollmacht (§§ 48, 54 HGB / § 167 BGB [N-BGB-167]) handeln und nicht „nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen“ sind. Sie können aber über Delegations-, Organisations- und Aufsichtspflichten der echten Geschäftsleitung in die Verantwortlichkeitskette eingebunden sein. Eine eigene ordnungswidrigkeitsrechtliche Verantwortlichkeit über § 130 OWiG [N-OWiG-130] kommt nur nach den allgemeinen Zurechnungsregeln, insbesondere bei einer Stellung oder Beauftragung im Sinne des § 9 OWiG [N-OWiG-9], in Betracht; daneben können arbeits- oder dienstvertragliche Pflichten relevant werden. Diese Pfade laufen nicht über § 38 BSIG.
• „Zur Führung der Geschäfte und zur Vertretung berufen“: Die Definition koppelt Geschäftsführung und Vertretung. Nicht erfasst sind Personen, die lediglich intern Leitungsaufgaben wahrnehmen oder nur rechtsgeschäftlich bevollmächtigt handeln, ohne nach Gesetz, Satzung oder Gesellschaftsvertrag zugleich zur Vertretung der Einrichtung berufen zu sein. Bei der GmbH ist allerdings zu beachten: Bestellte Geschäftsführer sind nach § 35 Absatz 1 GmbHG zwingend organschaftliche Vertreter der Gesellschaft; § 37 Absatz 2 GmbHG [N-GmbHG-37] sperrt zudem die Wirkung von Beschränkungen der Vertretungsbefugnis gegenüber Dritten. Interne Ressortverteilungen, Gesamtvertretungsregelungen (§ 35 Absatz 2 GmbHG) oder gesellschaftsvertragliche Beschränkungen der Vertretungsbefugnis ändern an der organschaftlichen Vertretungsberufung des einzelnen bestellten Geschäftsführers daher grundsätzlich nichts. Bei der AG vertritt nach § 78 Absatz 1 Satz 1 AktG [N-AktG-78] der Vorstand die Gesellschaft; die konkrete Einzel- oder Gesamtvertretung der Vorstandsmitglieder richtet sich nach § 78 Absatz 2 und Absatz 3 AktG. Bei der Genossenschaft folgt die Vertretung dem § 25 GenG [N-GenG-25]. Der Regelfall ist Einzelgeschäftsführung mit Vertretungsmacht oder Gesamtvertretung mit Geschäftsführung.
• „Berufen“: Maßgeblich ist die formale Bestellung, nicht die faktische Wahrnehmung. Ein „faktischer Geschäftsführer“ ohne Bestellung kann nach allgemeinem Gesellschaftsrecht (§ 43 GmbHG [N-GmbHG-43] analog) haften, ist aber kein BSIG-Geschäftsleiter — die BSIG-Pflichten treffen die bestellten Personen. Wer faktisch geführt hat, aber nicht bestellt war, kann allerdings durch die zivilrechtliche Innenhaftung mit erfasst werden, die § 38 Absatz 2 BSIG nicht ersetzt, sondern flankiert.
• „Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung“: Diese Klausel ist die zentrale Abgrenzung gegenüber dem Verwaltungsrecht. Die Bundesverwaltung hat eine eigene Sektor-Regelung in § 29 BSIG [N-BSIG-29]; § 38 BSIG erfasst dagegen die Privatwirtschaft sowie öffentliche Unternehmen, die nicht zur Bundesverwaltung im Sinne des § 29 BSIG gehören (etwa rechtlich verselbständigte Bundes-, Landes- oder Kommunal-Beteiligungen außerhalb von § 28 Absatz 8 BSIG).

3.2. Besonders wichtige und wichtige Einrichtungen nach § 28 BSIG

Wer Adressat des § 38 BSIG ist, ergibt sich aus den Schwellen des § 28 BSIG. Die zentralen Konstellationen sind:

• Betreiber kritischer Anlagen sind unabhängig von der allgemeinen Unternehmensgröße (Mitarbeiterzahl / Umsatz / Bilanzsumme) immer besonders wichtige Einrichtungen (§ 28 Absatz 1 Satz 1 Nummer 1 BSIG). Die KMU-Schwellen aus den Anlagen 1 und 2 greifen bei ihnen nicht. Voraussetzung ist allerdings, dass die physische Anlage selbst den anlagenspezifischen Schwellenwert der Sektoren-Rechtsverordnung überschreitet (zum Beispiel die in der bislang geltenden BSI-Kritisverordnung [N-BSIKritisV] definierten Versorgungs-Schwellen wie 500 000 versorgte Personen im Trinkwasser- oder Energiebereich). Die anlagenspezifischen Schwellenwerte werden über die Rechtsverordnung nach §§ 4 Absatz 3, 5 Absatz 1 KRITIS-Dachgesetz [N-KRITISDachG] festgesetzt, die im Mai 2026 noch nicht in Kraft getreten ist. Bis zum Inkrafttreten dieser Rechtsverordnung bleibt die bisherige BSI-Kritisverordnung als Übergangsregelung relevant — sie tritt erst mit Inkrafttreten der neuen Rechtsverordnung außer Kraft (§ 66 BSIG [N-BSIG-66] ordnet als Anwendungs- und Übergangsregelung an, dass § 2 Nummer 22 und 24 BSIG [N-BSIG-2-22] sowie § 33 Absatz 2 BSIG [N-BSIG-33] erst anzuwenden sind, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes erlassene Rechtsverordnung gilt; bis zur Geltung dieser Rechtsverordnung ist § 2 Nummer 22 und 24 BSIG in der bis einschließlich 16.03.2026 geltenden Fassung weiter anzuwenden).
• Sonstige Einrichtungen aus Anlage 1 [N-BSIG-Anl1] BSIG (etwa Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienste-Verwaltung, öffentliche Verwaltung der Länder, Weltraum — soweit nicht durch DORA [EU-DORA] oder ähnliche sektor-spezifische Rechtsakte verdrängt) gelten als besonders wichtige Einrichtung nur dann, wenn sie anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten, einer in Anlage 1 BSIG bestimmten Einrichtungsart zuzuordnen sind und zusätzlich mindestens 250 Mitarbeiter beschäftigen oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen (§ 28 Absatz 1 Satz 1 Nummer 4 BSIG). Das Entgeltlichkeits-Merkmal ist amtlich Voraussetzung der Adressaten-Eigenschaft und wird gerade bei konzerninternen IT-Töchtern, Shared-Service-Gesellschaften und internen Plattform-Strukturen relevant; die Umsatz-Bilanzsummen-Schwelle ist eine Und-Verknüpfung: beide Werte müssen überschritten sein, um darüber besonders wichtig zu werden.
• Sonstige Einrichtungen aus den Anlagen 1 und 2 BSIG gelten als wichtige Einrichtung ebenfalls nur dann, wenn sie anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten, einer in Anlage 1 oder 2 BSIG bestimmten Einrichtungsart zuzuordnen sind und zusätzlich mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen (§ 28 Absatz 2 Satz 1 Nummer 3 BSIG). Auch hier ist die Umsatz-Bilanzsummen-Schwelle eine Und-Verknüpfung.
• Vernachlässigbarkeitsregel nach § 28 Absatz 3 BSIG. Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können nach § 28 Absatz 3 BSIG amtlich „solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind“. Das ist relevant für Mischbetriebe, die zwar formal eine Anlage-1- oder Anlage-2-Tätigkeit ausüben, bei denen diese Tätigkeit aber im Verhältnis zur Gesamttätigkeit nur einen Bagatell-Anteil ausmacht — etwa eine industrielle Hauptproduktion mit untergeordnetem IT-Service-Anteil. Eine gefestigte Auslegungslinie zur Bagatell-Schwelle besteht noch nicht; in der Risikoanalyse ist diese Bagatell-Spur konservativ zu prüfen und zu dokumentieren.
• Telekommunikations-Pfad: Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind besonders wichtige Einrichtungen, wenn sie mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen (§ 28 Absatz 1 Satz 1 Nummer 3 BSIG). Sie sind wichtige Einrichtungen, wenn sie weniger als 50 Mitarbeiter beschäftigen und einen Jahresumsatz oder eine Jahresbilanzsumme von jeweils 10 Millionen Euro oder weniger aufweisen (§ 28 Absatz 2 Satz 1 Nummer 2 BSIG). Für diese Einrichtungen ist anschließend die Bereichsausnahme des § 28 Absatz 5 BSIG mitzulesen: Die BSIG-Pflichten nach §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 sind im dort geregelten Soweit-Umfang ausgeschlossen und durch die fachrechtliche Parallelarchitektur insbesondere nach § 165 TKG [N-TKG-165] überlagert.
• Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter (§ 28 Absatz 1 Satz 1 Nummer 2 BSIG) sind unabhängig von der Größe besonders wichtige Einrichtungen — der Wortlaut „qualifiziert“ bezieht sich amtlich nur auf die Vertrauensdiensteanbieter; TLD-Registries und DNS-Diensteanbieter sind ohne weitere Qualifikations-Voraussetzung erfasst. Einfache (nicht-qualifizierte) Vertrauensdiensteanbieter sind nach § 28 Absatz 2 Satz 1 Nummer 1 BSIG wichtige Einrichtungen.

§ 28 BSIG kennt drei wichtige Bereichs-Ausnahmen, die in der Praxis häufig übersehen werden:

• § 28 Absatz 5 BSIG: Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze sind nach § 28 Absatz 5 Satz 1 BSIG von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG ausgenommen; für sie läuft die Geschäftsleitungs- und IT-Sicherheitsverantwortung fachrechtlich insbesondere über § 165 TKG. Entsprechendes gilt für Energieversorgungsnetze, Energieanlagen und digitale Energiedienste im Anwendungsbereich der §§ 5c bis 5e EnWG [N-EnWG-5c-5e]. § 28 Absatz 5 Satz 2 BSIG ordnet amtlich an: Satz 1 gilt nicht in zwei Konstellationen: (a) soweit die Einrichtung über die in Satz 1 genannten Anlagen hinaus weitere kritische Anlagen im Sinne des § 2 Nummer 22 BSIG in Verbindung mit § 2 Nummer 3 KRITIS-Dachgesetz (amtliche Definition: kritische Anlage ist eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist) betreibt; oder (b) soweit sie aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 BSIG bestimmten Einrichtungsarten zuzuordnen ist. Zusätzlich enthält § 28 Absatz 5 Satz 4 BSIG eine Sonder-Regelung für Energieanlagen: Stellt der Betrieb einer Energieanlage nach Satz 1 Nummer 2 im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung nur eine Nebentätigkeit dar, findet die Ausnahme nach Absatz 5 keine Anwendung — die Einrichtung unterliegt dann den vollen BSIG-Pflichten, obwohl sie formal Energieanlagen betreibt. Ergebnis der § 28 Absatz 5-Ausnahmeprüfung: Sind die Voraussetzungen des Satzes 1 erfüllt und greifen keine Rückausnahmen nach Satz 2 (weitere kritische Anlagen oder weitere Anlage-1/2-Tätigkeiten) oder Satz 4 (Energie-Nebentätigkeit), ist die Pflicht nach §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG ausgeschlossen. Greift eine Rückausnahme wegen weiterer kritischer Anlagen oder weiterer Anlage-1/2-Tätigkeiten, bleibt die Pflicht nur im gesetzlichen Soweit-Umfang bestehen; bei weiteren kritischen Anlagen ist zusätzlich die Reichweitenregel des § 28 Absatz 5 Satz 3 BSIG für die dafür erforderlichen informationstechnischen Systeme zu beachten. Greift die Rückausnahme wegen Energie-Nebentätigkeit (§ 28 Absatz 5 Satz 4 BSIG), bleibt die Pflicht insgesamt bestehen. Sind die Tatbestandsmerkmale der Rückausnahmen oder die Reichweite der betroffenen Tätigkeiten/IT-Systeme im Einzelfall nicht sicher feststellbar, ist das Ergebnis unklar; bis zur Klärung sollte die Pflicht konservativ als bestehend behandelt werden. Wichtige Klarstellung — kein Pflichten-Vakuum: Die BSIG-Ausnahme nach § 28 Absatz 5 BSIG bedeutet nicht, dass für TK- und Energie-Betreiber gar keine fachrechtlichen Geschäftsleitungs-Pflichten gelten. Im Telekommunikationsbereich enthält § 165 Absatz 2b bis 2d TKG für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste, die besonders wichtige Einrichtungen im Sinne von § 28 Absatz 1 Satz 1 Nummer 3 BSIG oder wichtige Einrichtungen im Sinne von § 28 Absatz 2 Satz 1 Nummer 2 BSIG sind, eine zu § 38 BSIG parallele Pflichten-Architektur: Umsetzungs- und Überwachungspflicht (§ 165 Absatz 2b TKG), Innenhaftung der Geschäftsleitung nach den Regeln des Gesellschaftsrechts (§ 165 Absatz 2c TKG) und regelmäßige Schulungspflicht der Geschäftsleitung (§ 165 Absatz 2d TKG). Im Energiesicherheitsbereich enthält § 5e Absatz 1 bis 3 EnWG die entsprechende Typenplatte für Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 EnWG (Umsetzungs- und Überwachungspflicht in Absatz 1, Innenhaftung in Absatz 2, Schulungspflicht in Absatz 3). Die fachrechtliche Aufsicht über diese parallelen Pflichten liegt nicht beim Bundesamt für Sicherheit in der Informationstechnik [B-BSI], sondern bei der Bundesnetzagentur — die BSIG-Pflichten und die fachrechtlichen Pflichten laufen aber inhaltlich auf den gleichen Schutzzweck zu.

• § 28 Absatz 6 BSIG: Finanzunternehmen nach Artikel 2 Absatz 2 der DORA-Verordnung (Verordnung (EU) 2022/2554) sowie Unternehmen, für die die Anforderungen der DORA-Verordnung aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes [N-KWG-1a] oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes [N-VAG-293] gelten, sind von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG ausgenommen. Anders als die TK-/Energie-Ausnahme in § 28 Absatz 5 BSIG (die zusätzlich die §§ 61 und 62 BSIG-Aufsicht ausschließt) nimmt § 28 Absatz 6 BSIG die §§ 61 und 62 BSIG nicht ausdrücklich aus. Die §§ 61/62-Aufsicht läuft jedoch bezogen auf die ausgenommenen Pflichten aus §§ 30, 31, 32, 35, 36, 38 und 39 BSIG weitgehend leer, weil die zugrundeliegenden Pflichten ausgenommen sind und die BaFin nach DORA das eigenständige Aufsichts-Regime trägt. Nicht ausgenommen sind daneben bestehende BSIG-Restpflichten, insbesondere Registrierungspflichten nach §§ 33 und 34 BSIG, soweit deren Tatbestand erfüllt ist; Verstöße gegen § 33 Absatz 1 und 2 Satz 1 BSIG sowie gegen § 34 Absatz 1 BSIG sind nach § 65 Absatz 2 Nummer 6 BSIG bußgeldbewehrt; § 65 Absatz 2 Nummer 8 BSIG betrifft nicht § 34 Absatz 1, sondern § 34 Absatz 2 BSIG. DORA ist hier lex specialis: Banken, Versicherungen, Wertpapierfirmen, Kryptodienstleister, zentrale Gegenparteien und ähnliche Adressaten unterliegen den DORA-Anforderungen statt den BSIG-Pflichten zum IKT-Risikomanagement. Diese lex-specialis-Wirkung suspendiert jedoch nur die in § 28 Absatz 6 BSIG genannten BSIG-Pflichten und die daran anknüpfende BSI-Pflichtenarchitektur; die rechtsformspezifische gesellschaftsrechtliche Grundhaftung der Geschäftsleitung (§ 43 GmbHG, § 93 AktG [N-AktG-93], bei Aufsichtsorganen § 116 AktG [N-AktG-116] i.V.m. § 93 AktG) bleibt auch bei DORA-regulierten Rechtsträgern unberührt und wird dann materiell durch die DORA-Pflichten unterlegt. Auch Akteure der Telematikinfrastruktur sind nach § 28 Absatz 6 Nummer 2 BSIG in den dort genannten SGB-V-Bezügen ausgenommen — namentlich die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 SGB V, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 SGB V zugelassenen Dienste sowie Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 SGB V bestätigte Anwendungen nutzen. Ergebnis der § 28 Absatz 6 Nummer 2-Ausnahmeprüfung: Für diese Akteure sind die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG ausgeschlossen, soweit ihre Tätigkeit in den genannten SGB-V-Bezügen liegt. Außerhalb dieses Bezugs bleibt die BSIG-Pflicht bestehen, sofern der Rechtsträger im Übrigen unter § 28 BSIG fällt. Ist im Einzelfall unklar, ob die konkrete Tätigkeit unter die genannten SGB-V-Bezüge fällt, ist das Ergebnis unklar. Wichtig bei Konzernstrukturen: Die DORA-Ausnahme gilt streng einrichtungsspezifisch für das regulierte Finanzunternehmen als juristische Person — nicht für den Mutterkonzern. Bei Mischkonzernen oder Industrie-Holdings mit regulierten Finanztöchtern (etwa Konzern-eigene Leasing-, Factoring- oder Versicherungs-Gesellschaften) bleibt die unregulierte Muttergesellschaft den BSIG-Pflichten nur dann unterworfen, wenn sie als eigener Rechtsträger selbst eine eigenständige § 28-Betroffenheit erfüllt. In den typischen sonstigen Anlage-1- oder Anlage-2-Konstellationen bedeutet das: Zuordnung zu einer Einrichtungsart aus Anlage 1 oder 2, entgeltliches Anbieten von Waren oder Dienstleistungen gegenüber anderen natürlichen oder juristischen Personen und Erreichen der jeweils maßgeblichen Schwellenwerte, soweit keine Bereichsausnahme greift. Wenn IT-Sicherheitsmängel in der Konzern-zentralen IT auf die Mutter und auf die regulierte Tochter zugleich durchschlagen, können BSIG- und DORA-Sanktionen kumulativ eintreten — sie richten sich allerdings gegen verschiedene Rechtsträger (Mutter nach BSIG, regulierte Tochter nach DORA) und betreffen unterschiedliche Pflichtenkreise; eine automatische Doppelbestrafung derselben Handlung gegen denselben Adressaten folgt daraus nicht. Agiert die Muttergesellschaft zusätzlich als konzerninterner IKT-Dienstleister für regulierte Finanztöchter, kann sie als IKT-Dienstleister im DORA-Drittparteienrisikomanagement relevant werden. Die allgemeine Definition des IKT-Drittdienstleisters steht dabei in Artikel 3 DORA (Begriffsbestimmungen) — Artikel 31 DORA regelt demgegenüber die Einstufung kritischer IKT-Drittdienstleister durch die europäischen Aufsichtsbehörden (ESA). Artikel 31 Absatz 8 DORA nimmt mehrere Gruppen von dieser Kritikalitäts-Einstufung aus, darunter Finanzunternehmen, die IKT-Dienstleistungen für andere Finanzunternehmen bereitstellen, sowie gruppeninterne IKT-Dienstleister (also gerade die typische konzerninterne Konstellation). Diese Ausnahme betrifft jedoch nur die Einstufung als kritischer IKT-Drittdienstleister; die DORA-Anforderungen an das IKT-Drittparteienrisikomanagement und die vertragliche Steuerung nach Artikel 28 und Artikel 30 DORA bleiben für das regulierte Finanzunternehmen weiterhin relevant. Die DORA-Vertragsanforderungen ergeben sich aus den Regeln zum IKT-Drittparteienrisiko, insbesondere Artikel 28 DORA (amtliche Überschrift: „Allgemeine Prinzipien“; inhaltlich: allgemeine Grundsätze zum IKT-Drittparteienrisiko) und Artikel 30 DORA (wesentliche Vertragsbestimmungen). Uneingeschränkte Zugangs-, Inspektions- und Auditrechte sind nach amtlichem Wortlaut in Artikel 30 Absatz 3 Buchstabe e DORA für vertragliche Vereinbarungen zur Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen ausdrücklich geregelt; Artikel 30 Absatz 3 Buchstabe e erfasst außerdem alternative Bestätigungsniveaus, die uneingeschränkte Zusammenarbeit bei Vor-Ort-Inspektionen und Audits sowie Angaben zu Umfang, Häufigkeit und Verfahren dieser Inspektionen; allgemeine Mindestvertragsinhalte stehen in Artikel 30 Absatz 2 DORA — selbst wenn die Muttergesellschaft nach § 28 BSIG keine eigenständige besonders wichtige oder wichtige Einrichtung ist. Ergebnis der § 28 Absatz 6-Ausnahmeprüfung: Für das DORA-regulierte Finanzunternehmen ist die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG-Pflicht vollständig ausgeschlossen; für die unregulierte Konzernmutter bleibt die BSIG-Pflicht hingegen bestehen, sofern sie als eigener Rechtsträger auf eigenständiger § 28-Grundlage erfasst ist. In den typischen sonstigen Anlage-1- oder Anlage-2-Konstellationen setzt dies eigene Anlage-1- oder Anlage-2-Tätigkeiten und das Erreichen der maßgeblichen Schwellenwerte voraus.

• § 28 Absatz 8 BSIG: Rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften sowie juristische Personen, an denen ausschließlich Gebietskörperschaften (ausgenommen der Bund) beteiligt sind, sind unter zwei kumulativen Voraussetzungen ausgenommen — zu dem Zweck errichtet, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und durch vergleichbare landesrechtliche Vorschriften reguliert. Eine Bundes-Beteiligung an der juristischen Person schließt die Ausnahme aus. Ergebnis der § 28 Absatz 8-Ausnahmeprüfung: Sind beide kumulativen Voraussetzungen erfüllt — Errichtung zur Leistungserbringung im öffentlichen Auftrag für Verwaltungen und Regulierung durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf § 28 Absatz 8 BSIG — und besteht keine Bundes-Beteiligung an der juristischen Person, ist die BSIG-Pflicht ausgeschlossen. Fehlt eine der Voraussetzungen oder besteht eine Bundes-Beteiligung, bleibt die Pflicht bestehen, soweit die Einrichtung im Übrigen unter § 28 BSIG fällt. Ist im Einzelfall nicht sicher feststellbar, ob die landesrechtliche Regulierung vergleichbar im Sinne der Norm ist oder ob die Beteiligungsstruktur der juristischen Person ausschließlich aus Gebietskörperschaften besteht (etwa bei mehrstufigen Holding-Strukturen), bleibt das Ergebnis unklar; bis zur Klärung sollte die Pflicht konservativ als bestehend behandelt werden.

• § 37 BSIG [N-BSIG-37] (Ausnahmebescheid): Neben den Bereichs-Ausnahmen des § 28 BSIG kennt das BSIG mit § 37 BSIG eine zusätzliche, antrags- bzw. vorschlagsabhängige Befreiungs-Spur. Nach § 37 Absatz 1 Satz 1 BSIG kann das Bundesministerium des Innern auf Vorschlag bestimmter Ressorts der Länder und des Bundes oder auf eigenes Betreiben eine besonders wichtige oder wichtige Einrichtung von Verpflichtungen nach dem BSIG teilweise befreien (einfacher Ausnahmebescheid) nach Maßgabe des Absatzes 2 oder insgesamt befreien (erweiterter Ausnahmebescheid) nach Maßgabe des Absatzes 3 — vorausgesetzt, die Einrichtung hält Vorgaben ein, die den BSIG-Verpflichtungen gleichwertig sind. Nach § 37 Absatz 2 BSIG können Einrichtungen, die in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung (einschließlich Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten) tätig sind oder Dienste erbringen oder ausschließlich für Behörden mit diesen Aufgaben tätig sind, von den Risikomanagementmaßnahmen nach § 30 BSIG [N-BSIG-30] und den Meldepflichten nach § 32 BSIG [N-BSIG-32] befreit werden; ihre Sicherheit in der Informationstechnik muss anderweitig gewährleistet und beaufsichtigt werden. Nach § 37 Absatz 3 BSIG können Einrichtungen, die ausschließlich in relevanten Bereichen tätig sind oder Dienste erbringen, insgesamt von den in Absatz 2 genannten Pflichten und zusätzlich von den Registrierungspflichten nach §§ 33 und 34 BSIG befreit werden. Nach § 37 Absatz 4 BSIG gelten die Absätze 1 bis 3 nicht, wenn die betreffende Einrichtung ein Vertrauensdiensteanbieter ist. Für die Schulungspflicht aus § 38 Absatz 3 BSIG enthält § 37 BSIG keine ausdrückliche Befreiungs-Tatbestandsnennung. Der einfache Ausnahmebescheid nach § 37 Absatz 2 BSIG betrifft amtlich die Risikomanagementmaßnahmen nach § 30 BSIG und die Meldepflichten nach § 32 BSIG; der erweiterte Ausnahmebescheid nach § 37 Absatz 3 BSIG erweitert dies um die Registrierungspflichten nach §§ 33 und 34 BSIG. Eine Einbeziehung der Schulungspflicht aus § 38 Absatz 3 BSIG über die Auffangformel „Verpflichtungen nach diesem Gesetz“ in § 37 Absatz 1 Satz 1 BSIG ist dogmatisch nicht abschließend geklärt; nach der textlich naheliegenden Lesart bindet die „nach Maßgabe des Absatzes 2/3“-Verweisung die Befreiungswirkung auf die dort enumerativ genannten Pflichten — ein Befreiungsanspruch für die Schulungspflicht aus § 38 Absatz 3 BSIG sollte daher als anwaltlich offen behandelt und nicht als gesicherte Befreiungsspur dargestellt werden. Praktisch ist die § 37-Spur für nicht-staatliche Einrichtungen sehr selten — sie zielt auf staatsnahe oder ausschließlich für Staatsfunktionen tätige Akteure und greift nicht für gewöhnliche Wirtschaftsteilnehmer.

Eine vertiefte Behandlung des Adressatenkreises mit Branchen-Beispielen und Schwellen-Diagrammen findet sich im Pillar-Artikel zum NIS-2-Adressatenkreis (Selbst-Check für Geschäftsführer). Für die Pflichten-Aufarbeitung in diesem Artikel reicht die Feststellung: wer unter § 28 BSIG fällt, fällt auch unter § 38 BSIG — vorbehaltlich der Bereichs-Ausnahmen aus § 28 Absätze 5, 6 und 8 BSIG sowie etwaiger Ausnahmebescheide nach § 37 BSIG.

Zuständigkeits- und DVO-Caveat bei grenzüberschreitenden digitalen Einrichtungsarten. Vor jeder §-60-Sonderzuständigkeitsprüfung ist zunächst die allgemeine Zuständigkeit nach § 59 BSIG [N-BSIG-59] bzw. eine fachrechtliche Sonderzuständigkeit zu dokumentieren. Für DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Anbieter, Rechenzentrumsdienste, Content Delivery Networks, Managed Services Provider, Managed Security Services Provider sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen sozialer Netzwerke ist — soweit sie vom Anwendungsbereich der Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] erfasst sind — neben § 60 BSIG [N-BSIG-60] die unmittelbar geltende EU-Konkretisierung mitzulesen. Für Vertrauensdiensteanbieter gilt die Durchführungsverordnung (EU) 2024/2690 ebenfalls. Einrichtungen, die lediglich Domänennamen-Registrierungsdienste erbringen, sind von dieser EU-DVO-Schicht zu trennen und nicht ohne eigenen amtlichen Nachweis in den Pflichtenkreis der Durchführungsverordnung (EU) 2024/2690 einzubeziehen. Die Verordnung präzisiert technische und methodische Anforderungen zu Art. 21 Abs. 2 NIS-2-Richtlinie [EU-NIS2] sowie die Fälle, in denen ein Sicherheitsvorfall nach Art. 23 NIS-2 als erheblich gilt. Für § 38 BSIG bedeutet das: Die Geschäftsleitung muss bei den jeweils erfassten Einrichtungsarten nicht nur § 30 BSIG abstrakt, sondern auch die einschlägigen EU-DVO-Anforderungen in Governance, Berichtswesen und Dokumentation abbilden. Darüber hinaus gilt zusätzlich § 60 BSIG: Das Bundesamt ist nach § 60 Absatz 1 BSIG für diese Einrichtungsarten nur dann zuständig, wenn ihre EU-Hauptniederlassung in der Bundesrepublik Deutschland liegt; ist das der Fall, ist das Bundesamt für die Einrichtung in der gesamten Europäischen Union zentral zuständig. Maßgeblich ist nach § 60 Absatz 2 BSIG der Mitgliedstaat, in dem die Entscheidungen zum Cybersicherheits-Risikomanagement vorwiegend getroffen werden — hilfsweise der Mitgliedstaat der Durchführung der Cybersicherheits-Maßnahmen oder der mit der höchsten Beschäftigtenzahl. Einrichtungen ohne EU-Niederlassung, die aber Dienste in der EU anbieten, müssen nach § 60 Absatz 3 BSIG einen EU-Vertreter benennen. Liegt die zentrale Zuständigkeit nicht in Deutschland, folgt daraus nicht „keine Cyber-Compliance-Pflicht“, sondern dass die maßgebliche NIS-2-/nationale Pflichtenkette und Aufsicht nach dem zuständigen Mitgliedstaat zu bestimmen ist; § 60 Absatz 5 BSIG lässt zudem Amtshilfe-Konstellationen für Deutschland offen. Die Zuständigkeits-Vorprüfung gehört daher als eigene Spur in die Compliance-Akte.

4. Pflicht 1 — Umsetzung der Risikomanagementmaßnahmen nach § 38 Absatz 1, 1. Halbsatz BSIG

Die erste Pflicht aus § 38 Absatz 1 BSIG [N-BSIG-38] ist die Umsetzungspflicht. Sie verlangt von der Geschäftsleitung, die nach § 30 BSIG [N-BSIG-30] durch die Einrichtung zu ergreifenden Risikomanagementmaßnahmen tatsächlich „umzusetzen“. Was Umsetzung im Rechtssinne bedeutet, lässt sich aus der Kopplung von § 38 BSIG mit § 30 BSIG und mit dem allgemeinen Sorgfaltsmaßstab der jeweiligen Rechtsform präzisieren.

4.1. Umsetzung ist nicht Delegation, sondern Verantwortlichkeit

Der Begriff „Umsetzung“ in § 38 Absatz 1 BSIG bedeutet nicht, dass die Geschäftsleiterin oder der Geschäftsleiter persönlich die zehn Mindestmaßnahmen technisch operativ vornimmt. Die operative Durchführung kann an die IT-Abteilung, an externe IT-Dienstleister, an Information-Security-Officer oder an Managed-Security-Service-Provider delegiert werden. Was nicht delegiert werden kann, ist die Verantwortlichkeit für die Umsetzung. Diese ergibt sich aus dem deutschen Gesellschaftsrecht und ist in der ständigen Rechtsprechung des Bundesgerichtshofs zur Geschäftsführungs- und Vorstandshaftung entwickelt.

Der maßgebliche Sorgfaltsmaßstab folgt aus § 43 Absatz 1 GmbHG [N-GmbHG-43] („Sorgfalt eines ordentlichen Geschäftsmannes“) beziehungsweise aus § 93 Absatz 1 Satz 1 AktG [N-AktG-93] („Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters“). Die Business Judgment Rule nach § 93 Absatz 1 Satz 2 AktG (analog für GmbH-Geschäftsführer) schützt das „Wie“, nicht das „Ob“ der NIS-2-Pflichten. Die unternehmerische Ermessens-Entscheidung über Anbieterauswahl, Rollout-Reihenfolge, Budget-Allokation oder Priorisierung einzelner Maßnahmen ist unter den fünf BJR-Voraussetzungen (unternehmerische Entscheidung, vernünftige Annahme, angemessene Informationsgrundlage, Handeln zum Wohle der Gesellschaft, Gutglaubens-Lage) pflichtwidrigkeits-fest. Die Frage ob die zehn Mindestmaßnahmen aus § 30 Absatz 2 BSIG überhaupt umgesetzt werden, ist demgegenüber gebundene Legalitätspflicht ohne Ermessensspielraum — hier greift die BJR nicht (vergleiche dazu als nicht rechtskräftige, aber praxisprägende Instanzentscheidung zur Compliance-Organisationspflicht die Neubürger [R-Neubuerger]-Entscheidung, LG München I, Urteil vom 10. Dezember 2013 — 5 HK O 1387/10. Die Entscheidung baut auf der älteren BGH-Linie zur Aufsichts- und Verfolgungspflicht auf (BGH, Urteil vom 21. April 1997 — II ZR 175/95 [R-ARAG], BGHZ 135, 244 — ARAG/Garmenbeck, zur eigenverantwortlichen Prüfung und grundsätzlichen Verfolgung von Ersatzansprüchen der Gesellschaft gegen Vorstandsmitglieder durch den Aufsichtsrat); nachfolgende obergerichtliche Rechtsprechung hat die in Neubürger formulierten Compliance-Pflichten in verwandten Konstellationen konkretisiert (insbesondere OLG Nürnberg, Endurteil vom 30. März 2022 — 12 U 1520/19 [R-OLG-Nbg], zur Compliance-Organisationspflicht in einer GmbH-&-Co.-KG-Konstellation: Geschäftsführer der Komplementär-GmbH; eine Haftung gegenüber der KG verlangt in dieser Struktur eine besondere Anspruchs- und Adressatenbrücke und folgt nicht als schlichter Direktanspruch „gegenüber der KG nach § 43 Absatz 2 GmbHG“; unter anderem ging es um unzureichende interne Organisation und fehlende Vier-Augen-Kontrolle); ausführlich Innenhaftung der Geschäftsleitung). Die Geschäftsleitung kann den Umfang oder die operative Ausgestaltung einzelner Maßnahmen ermessen — die Erfüllung der Pflicht als solche ist nicht disponibel. Bei Aktiengesellschaften kommt § 91 Absatz 2 AktG [N-AktG-91] (Pflicht zur Einrichtung eines Risikofrüherkennungssystems, eingeführt mit KonTraG 1998) hinzu, bei börsennotierten Aktiengesellschaften zusätzlich § 91 Absatz 3 AktG (internes Kontroll- und Risikomanagementsystem, seit FISG vom 3.6.2021, in Kraft 1.7.2021). Beide Normen verdichten den allgemeinen Sorgfaltsmaßstab bereits unabhängig vom BSIG für IT-Risiken — sie können die Innenhaftung auch unterhalb der NIS-2-Schwelle aktivieren. Diese Generalklauseln sind seit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 mit der konkreten Mindestmaßnahmen-Liste aus § 30 Absatz 2 BSIG zusätzlich sektorspezifisch unterlegt. Die Kausalkette zur persönlichen Innenhaftung verläuft dabei in drei Schritten: Erstens ist § 30 BSIG eine Pflicht der Einrichtung — ein objektiver § 30-Mangel begründet zunächst nur einen Einrichtungs-Verstoß. Zweitens setzt § 38 Absatz 1 BSIG diese Einrichtungs-Pflicht auf die Geschäftsleitungs-Ebene um (Umsetzung und Überwachung); ein Einrichtungs-Mangel ist damit ein starkes Indiz für eine Verletzung der Umsetzungs- oder Überwachungspflicht aus § 38 Absatz 1 BSIG, aber kein Automatismus. Drittens braucht es für die persönliche Innenhaftung nach § 38 Absatz 2 BSIG in Verbindung mit § 43 GmbHG / § 93 AktG eine dem jeweiligen Geschäftsleitungs-Mitglied nach Ressortzuständigkeit, Überwachungs- und Eingriffspflichten persönlich zurechenbare Pflichtverletzung sowie Verschulden, Schaden und Kausalität. Nicht jeder objektive § 30-Mangel ist deshalb automatisch eine persönliche Sorgfaltspflicht-Verletzung jedes Geschäftsleitungs-Mitglieds; die Zurechnung ist im Einzelfall nach Organisation, Kenntnis, Erkennbarkeit, Reaktionspflicht und Dokumentation zu prüfen.

Krisen-Konstellation Cyber-Vorfall mit Insolvenznähe: Tritt infolge eines Cyber-Vorfalls eine Zahlungsunfähigkeit oder Überschuldung der Einrichtung ein, verschärft sich der Sorgfaltsmaßstab nochmals. Nach § 15b der Insolvenzordnung [N-InsO-15b] — der den weggefallenen § 64 GmbHG seit dem SanInsFoG (BGBl. 2020 I S. 3256, in Kraft 1. Januar 2021) abgelöst hat — haften die Mitglieder des Vertretungsorgans persönlich für Zahlungen, die nach Eintritt der Zahlungsunfähigkeit oder Überschuldung geleistet werden und nicht mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar sind. § 15b InsO bildet in der Cyber-Krise eine besonders scharfe zivilrechtliche Zahlungsverbots-Spur, weil sie unabhängig von der BSIG-Sphäre an jede einzelne Zahlung im Krisen-Zeitraum anknüpfen kann. Daneben bleiben weitere Krisenpflichten gesondert zu prüfen, insbesondere die Insolvenzantragspflicht nach § 15a InsO [N-InsO-15a] sowie bei Lösegeld- oder vergleichbaren Krisenzahlungen eigenständige straf-, terrorfinanzierungs- und sanktionsrechtliche Risiken einschließlich EU- und gegebenenfalls OFAC-Bezügen; daraus folgt kein Zahlungsautomatismus und kein generelles Zahlungsverbot, sondern eine eigenständige Freigabe-, Dokumentations- und Rechtsprüfspur. § 38 Absatz 2 BSIG bestätigt diese insolvenz- und sanktionsrechtlichen Haftungsspuren nicht ausdrücklich, sondern lässt allgemeine und spezialgesetzliche Organhaftungsrisiken neben der BSIG-Innenhaftungs-Brücke unberührt.

4.2. Umsetzung verlangt Organisation, Ressourcen, Dokumentation

Für die Umsetzung sind insbesondere die folgenden Komponenten maßgeblich, die die Geschäftsleitung sicherstellen muss:

• Geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen im Sinne des § 30 Absatz 1 Satz 1 BSIG. Die Verhältnismäßigkeit ist nach § 30 Absatz 1 Satz 2 BSIG anhand von fünf Kriterien zu bewerten: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie deren gesellschaftliche und wirtschaftliche Auswirkungen. Diese Kriterien sind kumulativ in der Bewertung zu berücksichtigen — nicht alternativ.
• Stand der Technik und europäische bzw. internationale Normen (§ 30 Absatz 2 Satz 1 BSIG): Die Maßnahmen sollen den Stand der Technik einhalten. Was Stand der Technik ist, orientiert sich an den aktuellen Veröffentlichungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI), insbesondere dem IT-Grundschutz-Kompendium und der Cybersicherheits-Handreichung für die Wirtschaft, sowie an ISO/IEC 27001, ISO/IEC 27002 und der einschlägigen IEC-62443-Reihe für industrielle Steuerungssysteme. Diese Veröffentlichungen sind nicht abschließend; das BSI definiert Stand der Technik amtlich nicht abschließend per Verordnung, sondern beschreibt ihn reifegradbezogen. Maßgeblich für die einzelne Einrichtung bleibt die Verhältnismäßigkeits-Bewertung nach § 30 Absatz 1 Satz 2 BSIG.
• Dokumentationspflicht (§ 30 Absatz 1 Satz 3 BSIG): „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“ Die Dokumentationspflicht trifft amtlich die Einrichtung als Adressatin. Ein Verstoß gegen diese Einrichtungs-Dokumentationspflicht ist nach § 65 Absatz 2 Nummer 3 BSIG selbstständig bußgeldbewehrt — unabhängig davon, ob die Maßnahmen materiell umgesetzt wurden. Die Geschäftsleitung muss über ihre Umsetzungs- und Überwachungspflicht aus § 38 Absatz 1 BSIG sicherstellen, dass nicht nur die Maßnahmen ergriffen, sondern auch ihre Umsetzung durch die Einrichtung nachvollziehbar dokumentiert ist.
• Gefahrenübergreifender Ansatz (All-Hazards) (§ 30 Absatz 2 Satz 1 BSIG): Die Maßnahmen müssen nach amtlichem Wortlaut „auf einem gefahrenübergreifenden Ansatz beruhen“. Eine rein digitale Betrachtung reicht damit nicht — physische Risiken (Brand, Wasserschaden, Stromausfall, Einbruch), personelle Risiken (Innentäter, Schlüsselpersonen-Ausfall) und umweltbedingte Risiken (Hochwasser, Hitze) sind in das Risikomanagement zu integrieren, soweit sie auf die Sicherheit der Netz- und Informationssysteme der Einrichtung oder auf die Verfügbarkeit der von ihr erbrachten Dienste durchschlagen können. Diese Querschnitts-Anforderung wirkt wie ein vierter Filter über alle zehn Mindestmaßnahmen aus § 30 Absatz 2 BSIG.

4.3. Aufgaben der Geschäftsleitung im Umsetzungs-Kontext

In der Praxis lassen sich aus den Pflichten der Geschäftsleitung im Umsetzungs-Kontext sechs operative Aufgabenfelder ableiten:

• Strukturentscheidung: Welche Organisationsstruktur für IT-Sicherheit (CISO-Funktion, IT-Sicherheits-Komitee, externer Provider, Eigen-Personal) ist für die konkrete Einrichtung angemessen?
• Ressourcen-Allokation: Wieviel Budget, Personal und Zeit werden zugewiesen? Wer entscheidet bei Konflikten zwischen IT-Sicherheit und anderen Investitionsbedarfen?
• Beschluss-Ebene: Welche IT-Sicherheits-Themen werden auf Geschäftsleitungs-Ebene formal beschlossen? Die NIS-2-Richtlinie [EU-NIS2] verlangt in Artikel 20 Absatz 1, dass die Geschäftsleitung die Maßnahmen „billigt“ — der deutsche Gesetzgeber hat den Begriff „Billigung“ jedoch in § 38 Absatz 1 BSIG nicht ausdrücklich übernommen; der amtliche Wortlaut der deutschen Umsetzungsnorm spricht nur von „umzusetzen“ und „überwachen“. Aus Nachweis-Gründen (Beweislast-Umkehr im Innenhaftungs-Prozess nach § 93 Absatz 2 Satz 2 AktG analog) ist eine protokollierte Beschluss-Fassung der Geschäftsleitung in der Praxis dennoch dringend geboten. Eine Billigung ohne förmliche Beschluss-Lage ist im Nachgang kaum nachweisbar.
• Berichtswesen: Wie wird die Geschäftsleitung über den Umsetzungsstand informiert? Welche Frequenz, welche Detailtiefe, welche Eskalationswege?
• Vertragsmanagement: Wie sind IT-Dienstleisterverträge auf die § 30 Absatz 2 Nummer 4 BSIG-Anforderungen (Sicherheit der Lieferkette) zugeschnitten? Werden Audit-Rechte vereinbart?
• Krisenmanagement: Existiert ein Notfallplan? Wer ist im Krisenfall entscheidungs-befugt? Wie ist die Geschäftsleitung im Krisen-Fall eingebunden?

Diese sechs Aufgabenfelder sind die operative Manifestation der abstrakten Umsetzungspflicht.

5. Pflicht 2 — Überwachung der Umsetzung nach § 38 Absatz 1, 2. Halbsatz BSIG

Die zweite Pflicht aus § 38 Absatz 1 BSIG [N-BSIG-38] ist die Überwachungspflicht. Sie verlangt, dass die Geschäftsleitung „ihre Umsetzung“, also die Umsetzung der nach § 30 BSIG [N-BSIG-30] zu ergreifenden Maßnahmen, „überwacht“. Die Überwachungspflicht ist die anspruchsvollere der beiden Pflichten aus Absatz 1, weil sie über die einmalige Anordnung hinausgeht. Überwachung ist ein Dauer-Sachverhalt.

5.1. Was Überwachung im Rechtssinne bedeutet

Die Pflicht zur Überwachung wurde mit dem NIS2UmsuCG in das BSIG eingeführt. Gesellschaftsrechtlich ist zwischen Aufsichtsratsüberwachung und Geschäftsleitungsorganisation zu trennen: ARAG/Garmenbeck [R-ARAG] (BGH, Urteil vom 21. April 1997 — II ZR 175/95, BGHZ 135, 244) betrifft die Überwachungs- und Anspruchsverfolgungspflichten des Aufsichtsrats. Die Compliance-Organisationspflicht der Geschäftsleitung wird daneben über die nicht rechtskräftige, aber praxisprägende Neubürger [R-Neubuerger]-Entscheidung (LG München I, Urteil vom 10. Dezember 2013 — 5 HK O 1387/10, NZG 2014, 345 — Siemens/Neubürger) und obergerichtliche Folge-Rechtsprechung hergeleitet. Der zugrundeliegende Grundsatz lautet: die operative Durchführung kann delegiert werden, die Überwachungs-Verantwortlichkeit nicht.

Aus dieser Linie und aus der Systematik des § 38 BSIG lassen sich vier Elemente der Überwachungspflicht ableiten:

• Berichtsempfang: Die Geschäftsleitung muss in risikoadäquaten Abständen über den Umsetzungsstand der § 30-Maßnahmen informiert werden. Bei besonders wichtigen Einrichtungen in hochkritischen Sektoren ist eine quartalsweise Berichterstattung an die Geschäftsleitung eine risikokonservative Praxisempfehlung, keine gesetzlich oder behördlich festgelegte Mindestfrequenz; bei Sicherheitsvorfällen, wesentlichen Bedrohungslageänderungen oder kritischen Umsetzungsrückständen treten anlassbezogene Ad-hoc-Berichte hinzu.
• Plausibilitäts-Prüfung: Die Geschäftsleitung darf sich nicht auf den Bericht verlassen, sondern muss seine Plausibilität prüfen. Auffälligkeiten — etwa eine über mehrere Quartale unveränderte „Alles in Ordnung“-Meldung trotz bekannter Bedrohungslage — sind nachzufragen.
• Eingreifen bei Auffälligkeiten: Stellt die Geschäftsleitung Mängel fest oder werden ihr solche berichtet, muss sie korrigierend eingreifen. Wer einen erkannten Mangel ignoriert, verletzt die Überwachungspflicht und damit zugleich die allgemeine Sorgfaltspflicht aus § 43 GmbHG [N-GmbHG-43] oder § 93 AktG [N-AktG-93]. Bei groben Mängeln genügt die einfache Kenntnisnahme nicht, die Geschäftsleitung muss aktiv die Beseitigung anordnen und den Beseitigungs-Erfolg überprüfen.
• Dokumentation der Überwachung: § 30 Absatz 1 Satz 3 BSIG verlangt amtlich die Dokumentation der Einhaltung der Risikomanagement-Verpflichtung nach Satz 1 durch die Einrichtung — also der Umsetzung der zehn Mindestmaßnahmen. Die Überwachungs-Aktivitäten der Geschäftsleitung sind in § 30 Absatz 1 Satz 3 BSIG nicht ausdrücklich als eigenständiger Dokumentations-Tatbestand genannt; ihre Dokumentation ergibt sich aber zwingend aus der Sorgfaltspflicht der Geschäftsleitung selbst: Ohne Berichts-Vorlagen, Beschluss-Protokolle der Geschäftsleitungs-Sitzungen und Eskalations-Vermerke kann die Geschäftsleitung ihre Umsetzungs- und Überwachungspflicht aus § 38 Absatz 1 BSIG im Innenhaftungs-Prozess kaum nachweisen. Diese Dokumente sind zugleich die Beweismittel im Entlastungsbeweis nach § 93 Absatz 2 Satz 2 AktG analog.

5.2. Überwachung ist Bring-Schuld und Hol-Schuld zugleich

Eine in der Praxis häufig fehlinterpretierte Frage ist, ob Überwachung in der internen Cyber-Reporting-Kette nur eine Bring-Schuld der operativen Ebene oder auch eine aktive Nachfasspflicht der Geschäftsleitung ist. Risikokonservativ ist beides anzusetzen: Die operative Ebene schuldet regelmäßige, vollständige und wahre Berichte; die Geschäftsleitung muss Berichtslücken, unplausible Berichte und erkennbare Auffälligkeiten aktiv nachverfolgen. BGH II ZR 78/24 [R-II-ZR-78-24] trägt diese Aussage unmittelbar nur für die Berichtskette Vorstand → Aufsichtsrat einer AG; für CISO/IT-Leitung → Geschäftsleitung ist sie eine Organisations- und Sorgfaltsanalogie, keine unmittelbare Cyber-Rechtsregel. Die operative Ebene schuldet der Geschäftsleitung regelmäßige, vollständige und wahre Berichte; die Geschäftsleitung schuldet der Einrichtung die aktive Nachverfolgung dieser Berichte und das Nachfragen bei Auffälligkeiten. Wer als Geschäftsleitung untätig auf Berichte wartet und dann das Fehlen der Berichte als Entlastung anführt, hat die Hol-Schuld verletzt. Die Analogie stützt sich auf BGH, Urteil vom 14. Oktober 2025 — II ZR 78/24, ECLI:DE:BGH:2025:141025UIIZR78.24.1, zu § 90 Absatz 1 Satz 1 Nummer 3, Absatz 2 Nummer 3, § 111 Absatz 1, § 116 Satz 1 und § 93 Absatz 2 Satz 1 AktG [N-AktG-90]. Der amtlich verifizierte Leitsatzkern lautet sinngemäß: Die Berichts- und Informationspflichten treffen den Vorstand als Bringschuld. Bei unzureichender Berichterstattung muss der Aufsichtsrat durch geeignete Maßnahmen darauf hinwirken, die für eine sinnvolle Geschäftsführungsüberwachung erforderlichen Informationen zu erhalten. Die Entscheidung betrifft unmittelbar die Berichtskette Vorstand → Aufsichtsrat einer AG; die Übertragung auf CISO/IT-Leitung → Geschäftsleitung bleibt eine Organisations- und Sorgfaltsanalogie. Diese Linie ist keine unmittelbare BGH-Rechtsregel für die interne Berichtskette CISO/IT-Leitung → Geschäftsleitung — die Norm-Grundlage des BGH-Urteils ist § 90 Absatz 1 Satz 1 Nummer 3 AktG (Vorstand → Aufsichtsrat einer AG), nicht die innerbetriebliche IT-Sicherheits-Berichtskette. Sie lässt sich aber als Organisations- und Sorgfaltsanalogie auf die NIS-2-Überwachungskette übertragen (im Beleg-Apparat ausdrücklich als Analogie zu kennzeichnen, nicht als unmittelbare Cyber-Rechtsregel): Wenn die Geschäftsleitung ein internes Cyber-Reporting eingerichtet hat, darf sie sich nicht passiv auf ausbleibende oder unzureichende Berichte zurückziehen, muss Berichtslücken erkennen, nachfassen und die Eskalation dokumentieren.

In der Innenhaftungs-Architektur wirkt sich dies entscheidend aus. § 93 Absatz 2 Satz 2 AktG (analog für GmbH-Geschäftsführer nach ständiger BGH-Rechtsprechung) ordnet die Beweislast-Umkehr an. Im Innenhaftungs-Prozess muss die Einrichtung den Eintritt eines Schadens und ein Verhalten der Geschäftsleitung in deren Pflichtenkreis darlegen, das als möglicherweise pflichtwidrig in Betracht kommt. Danach trägt die Geschäftsleitung die Darlegungs- und Beweislast dafür, dass sie die Sorgfalt eines ordentlichen Geschäftsleiters eingehalten hat, sie kein Verschulden trifft oder der Schaden auch bei pflichtgemäßem Alternativverhalten eingetreten wäre. Ohne aussagekräftige Dokumentation ist der Entlastungsbeweis in der Prozesspraxis regelmäßig erheblich erschwert und in typischen Cyber-Organisationsfällen kaum belastbar zu führen.

5.3. Sonderfall Aufsichtsrat / Verwaltungsrat

§ 38 Absatz 1 BSIG adressiert die Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG [N-BSIG-2-13]. Diese Definition umfasst nicht den Aufsichtsrat einer Aktiengesellschaft oder Genossenschaft und nicht den Verwaltungsrat einer SE im monistischen System. Daraus darf nicht der Umkehrschluss gezogen werden, dass diese Aufsichtsorgane überhaupt nichts mit der NIS-2-Überwachung zu tun hätten. Vielmehr greift die allgemeine Überwachungs-Verantwortlichkeit des Aufsichtsrats nach § 111 Absatz 1 AktG [N-AktG-111] (für AG) bzw. die Pflicht zur sorgfältigen und gewissenhaften Tätigkeit nach § 116 Satz 1 in Verbindung mit § 93 Absatz 1 Satz 1 AktG (§ 116 AktG [N-AktG-116] hat amtlich keine Absatz-Gliederung; Satz 1 erklärt § 93 AktG mit Ausnahme des Absatzes 2 Satz 3 — der D&O-Selbstbehalt-Pflicht, die nur den Vorstand trifft — sowie § 15b der Insolvenzordnung [N-InsO-15b] sinngemäß auf die Aufsichtsratsmitglieder anwendbar. § 93 Absatz 6 AktG, der die Verjährung der Innenhaftungs-Ansprüche regelt, gilt für Aufsichtsräte ohne Einschränkung sinngemäß und wirkt damit auch für deren NIS-2-Überwachungs-Versagen). Der Aufsichtsrat überwacht die Geschäftsleitung — und damit auch die Erfüllung der Pflichten aus § 38 BSIG durch diese.

Operative Konkretisierung der Aufsichtsrats-Pflicht: Der Aufsichtsratsvorsitzende fragt zu Recht, wie er die NIS-2-Compliance der Geschäftsleitung überwachen kann, ohne selbst IT-Sachverständiger zu sein. Die Antwort ist organisatorisch: Der Aufsichtsrat setzt die Cyber-Compliance aktiv auf seine Sitzungs-Tagesordnung und fordert vom Vorstand turnusmäßige Vorlagen. Zwei Vorlagen sind in der Praxis ein gut begründbarer Basisstandard der NIS-2-Überwachung, weil sie direkt die Erfüllung der § 38-BSIG-Pflichten dokumentieren: (1) der schriftliche Schulungs-Plan nach § 38 Absatz 3 BSIG einschließlich Teilnahme-Bestätigungen der einzelnen Geschäftsleitungs-Mitglieder; (2) regelmäßige Reife-Berichte zur Umsetzung der zehn Mindestmaßnahmen aus § 30 Absatz 2 BSIG, mit Soll-/Ist-Vergleich und nicht abgeschlossenen Maßnahmen. Hinzu kommt je nach Risikolage als zusätzlicher Praxis-Bericht (3) ein getrennter Überblick zur Risikofinanzierung: (a) D&O-Police [M-AVB-OFFEN] mit Prüfung, ob Organhaftungsansprüche mit Cyber-, NIS-2- oder BSIG-Bezug nicht ausgeschlossen sind, einschließlich Wissentlichkeits-, Notice-, Cooperation-, Selbstbehalts- und Sublimit-Fragen; (b) Cyber-Police mit Prüfung der versicherten Incident-Kosten, Forensik, Betriebsunterbrechung, Datenschutz-/Drittschäden, Krisendienstleister, Sicherheitsobliegenheiten und Ausschlüsse. Die Kurzform „D&O-Police mit Cyber-Deckung“ sollte vermieden werden, weil sie D&O-Deckung und Cyber-First-/Third-Party-Deckung vermischt. Der dritte Punkt betrifft die Risikofinanzierung und Verteidigungsfähigkeit der Organe und der Einrichtung; er ist kein eigener Tatbestand des § 38 BSIG, gehört aber zur Risiko-Architektur, die der Aufsichtsrat im Rahmen seiner allgemeinen Überwachungs-Sorgfalt nach § 111 AktG mitprüfen sollte. Die protokollierte Prüfung dieser Vorlagen ist zugleich der Sorgfalts-Nachweis des Aufsichtsrats im eigenen Innenhaftungs-Prozess nach § 116 i.V.m. § 93 AktG.

Für die Innenhaftung bedeutet das: Aufsichtsräte können bei Sorgfaltspflicht-Verletzungen in der Überwachung der Geschäftsleitung — bereits bei einfacher Fahrlässigkeit nach § 116 Satz 1 i.V.m. § 93 Absatz 1 Satz 1 AktG — selbst haftbar werden, wenn sie eine NIS-2-Pflichtverletzung der Geschäftsleitung erkannt oder bei pflichtgemäßer Sorgfalt erkennen konnten und nicht eingegriffen haben. Die ARAG/Garmenbeck-Linie des BGH (BGH, Urteil vom 21. April 1997 — II ZR 175/95, BGHZ 135, 244 — ARAG/Garmenbeck) verpflichtet den Aufsichtsrat, mögliche Ersatzansprüche der Gesellschaft gegen Vorstandsmitglieder eigenverantwortlich zu prüfen und grundsätzlich zu verfolgen; ein Absehen kommt nur ausnahmsweise nach sorgfältiger Abwägung im Gesellschaftsinteresse in Betracht. Dies ist nicht NIS-2-spezifisch, sondern Ausdruck der allgemeinen Aufsichtsrats-Haftung. Die Tiefe der Innenhaftungs-Architektur — einschließlich der D&O-Versicherbarkeit, der Verjährungs-Fristen und der Klage-Zulassung durch Aktionärsminderheiten nach § 148 AktG [N-AktG-148] — ist Gegenstand des Folge-Pillars (Innenhaftung der Geschäftsleitung).

6. Pflicht 3 — Schulungspflicht der Geschäftsleitung nach § 38 Absatz 3 BSIG

Die dritte Pflicht aus § 38 BSIG [N-BSIG-38] ist die Schulungspflicht in Absatz 3. Anders als die Pflichten aus Absatz 1 betrifft sie nicht das organisatorische Verhalten der Geschäftsleitung gegenüber der Einrichtung, sondern eine persönliche Qualifikations-Anforderung an die Geschäftsleitung selbst. Die Geschäftsleitung muss „regelmäßig an Schulungen teilnehmen“, um drei Fähigkeiten zu erlangen oder aufrechtzuerhalten: das Erkennen und Bewerten von Risiken, die Kenntnis von Risikomanagementpraktiken und die Beurteilung der Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die Dienste der Einrichtung.

Die Schulungspflicht ist eine Eintritts-Pflicht: sie wird nicht erst dann relevant, wenn ein Schadensfall eintritt, sondern zum Pflichten-Zeitpunkt (regelmäßig, also fortlaufend). Sie ist eine der Pflichten, deren Verletzung aufsichtsrechtlich überprüfbar ist: Für besonders wichtige Einrichtungen nennt § 61 Absatz 1 BSIG [N-BSIG-61] die Prüfung der Verpflichtungen nach § 30 Absatz 1 Satz 1, auch in Verbindung mit § 31 Absatz 1 und 2 Satz 1, § 32 Absatz 1 bis 3 sowie § 38 Absatz 3; für wichtige Einrichtungen nennt § 62 BSIG [N-BSIG-62] [N-BSIG-32] [N-BSIG-30] amtlich „§ 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3“ als Anknüpfungspunkte. Die Schulungspflicht ist daher bei beiden Einrichtungskategorien aufsichtsrechtlich anschlussfähig, wenn auch mit unterschiedlicher Aufsichtsarchitektur. § 38 Absatz 1 BSIG selbst wird in § 62 zwar nicht eigens genannt, die materielle Umsetzungs- und Risikomanagementebene ist aber über § 30 Absatz 1 Satz 1 BSIG sehr wohl aufsichtsrechtlich erreichbar — die Aufsicht greift damit auch bei wichtigen Einrichtungen auf die materielle Risikomanagement-Umsetzung durch, ohne § 38 Absatz 1 als eigenständigen Anknüpfungspunkt zu benötigen. Auch die Meldepflichten nach § 32 Absatz 1 bis 3 BSIG sind über § 62 BSIG bei wichtigen Einrichtungen aufsichtsrechtlich greifbar. Die Verletzung der Geschäftsleitungs-Schulungspflicht aus § 38 Absatz 3 BSIG ist damit aufsichtsrechtlich anschlussfähig; sie sollte aber nicht ohne gesonderte Bußgeldanknüpfung als eigener §-65-BSIG-Bußgeldtatbestand behandelt werden. Bußgeldrisiken können über konkrete Anordnungen, § 30-/§ 32-Verstöße oder allgemeine OWiG-Spuren relevant werden und sind von der Schulungsversäumnis-Spur zu trennen.

Die Inhaltlichkeit der Schulungspflicht (Frequenz „regelmäßig“, angemessenes Niveau, Themen-Katalog, Dokumentations-Anforderungen, Verzichts-Verbot durch Satzung, Konsequenzen einer Verletzung) ist Gegenstand des bestehenden Satelliten-Artikels Schulungspflicht der Geschäftsleitung. An dieser Stelle wird auf die dort dokumentierten Inhalte verwiesen und nur drei Aspekte hervorgehoben, die für das Verständnis der § 38-Architektur unverzichtbar sind:

• „Regelmäßig“ ist die einzige Frequenz-Vorgabe des Gesetzes. Eine konkrete Mindest-Frequenz (etwa „mindestens jährlich“) fehlt im BSIG. Bemerkenswert: Artikel 20 Absatz 2 NIS-2-Richtlinie [EU-NIS2] als Quell-Norm enthält das „regelmäßig“ amtlich nur für die Mitarbeiter-Schulungen — die Leitungsorgan-Pflicht lautet dort schlicht „an Schulungen teilnehmen müssen“. Der deutsche Gesetzgeber hat „regelmäßig“ in § 38 Absatz 3 BSIG zusätzlich auf die Geschäftsleitung übertragen — eine Gold-Plating-Erweiterung gegenüber dem EU-Mindeststandard. Soweit der Beleg-Apparat die hierfür herangezogenen BSI-Materialien oder Gesetzesmaterialien konkret nachweist, kann ein Drei-Jahres-Rhythmus mit anlassbezogenen Zusatzschulungen als Orientierungswert vertreten werden; ohne diesen Nachweis sollte die Aussage auf die gesicherte Rechtslage beschränkt werden: Das BSIG verlangt „regelmäßig“, konkrete Intervalle sind risikobasiert nach Risikoexposition, Rollenwechseln, wesentlichen Geschäftsprozessänderungen und Sicherheitsvorfällen festzulegen. Eine jährliche Schulung ist daher eine konservative Compliance-Praxisempfehlung, aber keine typische BSI-/IT-Grundschutz-Mindestlinie und keine gesetzliche Mindestfrequenz.
• Adressat sind die Geschäftsleitungs-Mitglieder selbst. Die persönliche Teilnahme und aktive Befassung können nicht an IT-Verantwortliche oder CISO delegiert werden. Delegierbar sind aber Vorbereitung, Anbieter-Auswahl, Terminorganisation und Dokumentationsführung; das Format kann Präsenz, Live-Online oder ein anderes nachweisbares Lernformat sein, sofern Inhalt, Interaktion/Verständnissicherung und Teilnahme jedes Geschäftsleitungs-Mitglieds belastbar dokumentiert sind.
• Die Inhalte der Schulung müssen den drei Gesetzes-Zielen genügen (Risiko-Erkennung, Risikomanagementpraktiken, Auswirkungs-Beurteilung). Eine reine Awareness-Veranstaltung ohne inhaltliche Tiefe entspricht der Pflicht nicht.

Eine vertiefte Aufarbeitung — einschließlich Sanktionsregimen für Schulungs-Versäumnisse, der Frage einer Versicherungs-Eintrittspflicht bei nachgewiesener Untätigkeit und der Folgen für die Innenhaftungs-Prozesse — findet sich in Schulungspflicht der Geschäftsleitung.

7. Die zehn Mindestmaßnahmen aus § 30 Absatz 2 BSIG

Der Verweis aus § 38 Absatz 1 BSIG [N-BSIG-38] führt auf § 30 BSIG. Im Zentrum von § 30 Absatz 2 BSIG [N-BSIG-30] steht ein Katalog von zehn Mindestmaßnahmen, der den materiellen Pflichtenkern der nicht nach § 28 Absatz 5, 6 oder 8 BSIG [N-BSIG-28] ausgenommenen Einrichtungen im Anwendungsbereich des § 28 BSIG bildet. Diese zehn Maßnahmen konkretisieren den Mindest-Pflichtenkern der Einrichtung nach § 30 Absatz 2 BSIG und bilden zugleich einen zentralen Maßstab für die Umsetzungs- und Überwachungspflicht der Geschäftsleitung nach § 38 Absatz 1 BSIG, soweit § 38 BSIG für die konkrete Einrichtung anwendbar ist. Daneben sind die dynamischen § 30-Schichten mitzulesen: EU-Durchführungsrechtsakte und nationale Rechtsverordnungen nach § 30 Absatz 5 BSIG, mögliche Zertifizierungspflichten nach § 30 Absatz 6 BSIG in Verbindung mit § 56 Absatz 3 BSIG [N-BSIG-56] sowie branchenspezifische Sicherheitsstandards nach § 30 Absatz 8 ff. BSIG, soweit einschlägig. Werden die Maßnahmen nicht beachtet, spricht das regelmäßig für einen Mangel im Risikomanagement-System der Einrichtung; für die persönliche Pflichtverletzung eines einzelnen Geschäftsleitungs-Mitglieds nach § 38 Absatz 2 BSIG i. V. m. § 43 GmbHG [N-GmbHG-43] / § 93 AktG [N-AktG-93] sind zusätzlich Ressort-Zurechnung, Kenntnis oder Erkennbarkeit, Reaktions- und Überwachungspflichten, Verschulden, Schaden und Kausalität zu prüfen — entsprechend der in Abschnitt 4.1 dargestellten Drei-Schritt-Kausalkette.

§ 30 Absatz 2 BSIG: Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen:

1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
2. Bewältigung von Sicherheitsvorfällen,
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
    Quelle: § 30 Absatz 2 BSIG in der Fassung des NIS2UmsuCG, BGBl. 2025 I Nr. 301 vom 5. Dezember 2025.

Die Liste ist abschließend in dem Sinn, dass alle zehn gesetzlichen Themenfelder geprüft, adressiert und dokumentiert sein müssen. Sie ist nicht abschließend in dem Sinn, dass darüber hinausgehende Maßnahmen ausgeschlossen wären — der Gesetzeswortlaut „zumindest“ macht das deutlich. Innerhalb der einzelnen Themenfelder können nicht alle Untermaßnahmen in jeder Einrichtung gleich relevant sein: § 30 Absatz 1 Satz 1 BSIG verlangt amtlich „geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen“, und § 30 Absatz 2 Nummer 10 BSIG verwendet ausdrücklich das Wort „gegebenenfalls“ für gesicherte Notfallkommunikationssysteme. Wo eine Untermaßnahme nach Risikolage, Größe oder Tätigkeitsbild der Einrichtung nicht einschlägig oder nicht verhältnismäßig ist, ist das mit einer dokumentierten Nicht-Anwendbarkeits- oder Angemessenheitsbegründung festzuhalten — eine bloße Auslassung ohne Begründung trägt nicht. Drei systematische Beobachtungen zur Liste sind für die Geschäftsleitungs-Praxis besonders relevant:

• Punkt 4 (Sicherheit der Lieferkette) ist die NIS-2-spezifische Erweiterung gegenüber dem Vorgänger-Regime des IT-Sicherheitsgesetzes. § 30 Absatz 2 Nummer 4 BSIG nennt amtlich „sicherheitsbezogene Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“, ohne ausdrücklich Audit-Rechte zu fordern. Die Geschäftsleitung muss IT-Dienstleisterverträge risikobasiert darauf prüfen lassen, ob sie die Sicherheit der Lieferkette angemessen abbilden. Je nach Kritikalität können Sicherheitsstandards, Nachweis- und Informationspflichten, Audit- oder Zertifizierungsrechte, Meldeketten, Subdienstleister-Regeln und Exit-Rechte erforderlich sein — insbesondere bei Cloud-Anbietern, Managed-Security-Service-Providern und Software-Lieferanten.
• Punkt 7 (grundlegende Schulungen und Sensibilisierungsmaßnahmen) ist die Schulungs- und Sensibilisierungspflicht auf Einrichtungsebene — typischerweise für Beschäftigte, je nach Risikoprofil und Einbindung aber auch für sonstige relevante Personen (etwa dauerhaft eingebundene externe Dienstleister oder konzerninterne Shared-Service-Rollen). Sie steht systematisch neben der Geschäftsleitungs-Schulungspflicht aus § 38 Absatz 3 BSIG. Beide Schulungs-Pflichten sind unabhängig voneinander zu erfüllen.
• Punkt 10 (Multi-Faktor- oder kontinuierliche Authentifizierung sowie gesicherte Kommunikation) ist der am stärksten technisch ausdrücklich konkretisierte Punkt — amtlich nicht nur Multi-Faktor-Authentifizierung, sondern alternativ auch kontinuierliche Authentifizierung sowie zusätzlich gesicherte Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Auch andere Nummern enthalten technisch-praktische Vorgaben oder Beispiele — etwa Backup-Management und Wiederherstellung nach einem Notfall (Nummer 3), Schwachstellenmanagement (Nummer 5) und kryptographische Verfahren (Nummer 8). Die Geschäftsleitung kann den Punkt nicht durch rein organisatorische Maßnahmen ersetzen. Welche Konten, Zugriffe und Kommunikationswege im Einzelnen erfasst sind, ist über das Verhältnismäßigkeits-Kriterium aus § 30 Absatz 1 BSIG zu lösen — eine pauschale Verengung auf „MFA für alle Accounts“ verkürzt den Wortlaut.

Der Verstoß gegen die Umsetzungspflicht aus § 30 Absatz 1 Satz 1 BSIG („eine dort genannte Maßnahme nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergriffen“) ist nach § 65 Absatz 2 Nummer 2 BSIG bußgeldbewehrt. Auch der Verstoß gegen die Dokumentationspflicht aus § 30 Absatz 1 Satz 3 BSIG ist nach § 65 Absatz 2 Nummer 3 BSIG selbstständig bußgeldbewehrt.

8. Anlagenspezifische Erweiterungen für Betreiber kritischer Anlagen nach § 31 BSIG

Für Betreiber kritischer Anlagen kommen über § 31 BSIG [N-BSIG-31] anlagenspezifische Zusatzanforderungen hinzu. Sie betreffen nicht die gesamte Einrichtung pauschal, sondern die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der betriebenen kritischen Anlage maßgeblich sind. Die Betreiber-Eigenschaft selbst und die anlagenspezifischen Schwellenwerte folgen aus dem KRITIS-Dachgesetz [N-KRITISDachG] bzw. der noch nicht in Kraft getretenen Rechtsverordnung nach §§ 4 Absatz 3, 5 Absatz 1 KRITIS-DachG [N-KRITISDachG-4] (im Mai 2026: BSI-Kritisverordnung [N-BSIKritisV] als Übergangsregelung). § 31 BSIG bringt zwei zusätzliche anlagenspezifische Anforderungen:

• § 31 Absatz 1 BSIG lockert das Verhältnismäßigkeits-Kriterium des § 30 Absatz 1 BSIG [N-BSIG-30] für die anlagenspezifischen informationstechnischen Systeme. Auch über das Schutzniveau allgemeiner besonders wichtiger Einrichtungen hinausgehende Maßnahmen gelten als verhältnismäßig, „wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage steht“. Die Schwelle der Unverhältnismäßigkeit ist bei kritischen Anlagen also höher anzusetzen — der Gesetzgeber lässt erkennen, dass das Schutz-Interesse der Allgemeinheit hier den Kosten-Aspekt deutlich überwiegt.
• § 31 Absatz 2 BSIG ist amtlich abgestuft formuliert und unterscheidet zwischen zwingenden Muss-Pflichten und Soll-/Sollte-Anforderungen. Satz 1 verpflichtet Betreiber kritischer Anlagen für die anlagenspezifischen Systeme, Komponenten und Prozesse zum Einsatz von Systemen zur Angriffserkennung. Satz 2 verlangt zwingend: Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sätze 3 bis 5 sind dagegen als Soll- bzw. Sollte-Anforderungen formuliert: Die Systeme sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen (Satz 3); dabei soll der Stand der Technik eingehalten werden (Satz 4); der hierfür erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage stehen (Satz 5). Die Unterscheidung zwischen zwingendem „müssen“ in Satz 2 und „sollten/soll“ in den Sätzen 3 bis 5 ist gesetzgeberisch gewollt und für die Auslegung der Verhältnismäßigkeit der Angriffserkennungs-Lösungen entscheidend.

Für die Geschäftsleitung eines Betreibers kritischer Anlagen bedeuten diese Erweiterungen drei zusätzliche Aufgaben gegenüber den nur § 30 BSIG unterliegenden Einrichtungen:

• Investitions-Priorisierung: Für die anlagenspezifischen Systeme können auch deutlich höhere Investitionen als geboten gelten. Die Geschäftsleitung kann sich gegenüber dem Innenhaftungs-Anspruch nicht auf das Kosten-Argument zurückziehen, wenn die Aufwand-Folgen-Relation aus § 31 Absatz 1 BSIG erfüllt ist.
• Angriffserkennungs-System als verpflichtende Technologie: Anders als bei den meisten Punkten des § 30 Absatz 2 BSIG ist § 31 Absatz 2 BSIG technologie-funktional formuliert — er verlangt „Systeme zur Angriffserkennung“ mit kontinuierlich-automatischer Erfassung und Auswertung. In der Praxis werden SIEM-Systeme (Security Information and Event Management), SOC-Strukturen (Security Operations Center, eigen oder im Outsourcing) oder vergleichbare Protokollierungs-, Detektions- und Reaktionsstrukturen häufig eingesetzt, um diese Anforderungen umzusetzen. Entscheidend ist aber nicht die Produktbezeichnung, sondern dass die gesetzlichen Anforderungen nach § 31 Abs. 2 BSIG und die BSI-Konkretisierungen funktional erfüllt werden — das BSI beschreibt Systeme zur Angriffserkennung reifegradbezogen, nicht als zwingendes Produkt-Modell. Bei kleineren Betreibern kritischer Anlagen kommen unter dem Aufwand-Folgen-Verhältnismäßigkeits-Vorbehalt aus § 31 Absatz 2 Satz 5 BSIG auch verhältnismäßigere Protokollierungs- und Auswertungs-Lösungen in Betracht; die BSI-Orientierungshilfe zu Systemen zur Angriffserkennung beschreibt eine Reife-Gradierung mit mehreren Umsetzungs-Stufen.
• Abgrenzung anlagenspezifisch vs. allgemein: Die strengeren Anforderungen aus § 31 BSIG gelten nur für die anlagenspezifischen informationstechnischen Systeme. Allgemeine Verwaltungs-IT der Einrichtung folgt § 30 BSIG. Die saubere Abgrenzung ist auch für die Dokumentation wichtig — eine Pauschal-Anwendung des § 31-Standards auf die Gesamt-IT ist nicht erforderlich, kann aber sinnvoll sein, soweit die Verwaltungs-IT mit der anlagenspezifischen IT verzahnt ist.

Die Betreiber-Eigenschaft selbst — also die Frage, wer als Betreiber einer kritischen Anlage gilt — ist nicht im BSIG, sondern im KRITIS-Dachgesetz geregelt. § 2 Nummer 1 KRITIS-DachG [N-KRITISDachG-2] definiert den Betreiber kritischer Anlagen als „natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt“; im Sektor Finanzwesen ist abweichend hiervon „bestimmender Einfluss“ gleichbedeutend mit „tatsächlicher Sachherrschaft“, wobei die rechtlichen und wirtschaftlichen Umstände dort unberücksichtigt bleiben. Die Schwellenwerte, ab denen eine Anlage als kritisch gilt, werden in der Rechtsverordnung nach §§ 4 Absatz 3, 5 Absatz 1 KRITIS-Dachgesetz festgesetzt, die im Mai 2026 noch nicht in Kraft getreten ist. Bis zum Inkrafttreten dieser Rechtsverordnung bleibt die bisherige BSI-Kritisverordnung als Übergangsregelung relevant und tritt erst mit Inkrafttreten der neuen Rechtsverordnung außer Kraft. Diese Themen werden in einem eigenen Cluster-A-Artikel zur KRITIS-Spezifik (Konzern, DORA & Insolvenz — Sonderfälle) vertieft.

9. Meldepflichten nach § 32 BSIG als Anschluss-Pflicht der Compliance-Organisation

Die Meldepflichten aus § 32 BSIG [N-BSIG-32] sind systematisch nicht Teil des § 38 Absatz 1 BSIG [N-BSIG-38], sondern eine eigenständige Pflicht der Einrichtung: § 38 Absatz 1 BSIG verweist amtlich nur auf die nach § 30 BSIG zu ergreifenden Risikomanagement-Maßnahmen, nicht auf § 32 BSIG. Sie gehören aber funktional zur Cyber-Compliance-Architektur, weil die Geschäftsleitung die Erkennung, Bewertung und Eskalation erheblicher Sicherheitsvorfälle organisatorisch sicherstellen muss — entweder über die § 30 Absatz 2 Nummer 2 BSIG [N-BSIG-30]-Bewältigung von Sicherheitsvorfällen (dann mittelbar in § 38 Absatz 1 BSIG eingebunden) oder über die allgemeinen gesellschaftsrechtlichen Organisations- und Sorgfaltspflichten aus § 43 GmbHG [N-GmbHG-43] / § 93 AktG [N-AktG-93]. Ein Verstoß gegen § 32 BSIG ist deshalb nicht automatisch eine Pflichtverletzung nach § 38 Absatz 1 BSIG.

Die Erheblichkeits-Schwelle ist in § 2 Nummer 11 BSIG [N-BSIG-2-11] legal definiert: ein Sicherheitsvorfall gilt als erheblich, wenn er (a) schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder (b) andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Norm hat den Vorbehalt einer konkretisierenden Rechtsverordnung nach § 56 Absatz 4 BSIG [N-BSIG-56]; bis zu deren Erlass gilt die Legaldefinition unmittelbar (§ 56 Absatz 5 BSIG betrifft demgegenüber die Krankenhaus-Verordnungsermächtigung zu früheren Nachweis-Zeitpunkten nach § 108 SGB V [N-SGBV-108] — nicht die Erheblichkeits-Konkretisierung). Amtlicher Verweisungsbruch: § 2 Nummer 11 BSIG selbst verweist im Schlusshalbsatz amtlich auf eine „Rechtsverordnung nach § 56 Absatz 5“ — das ist ein redaktioneller Verweisungsbruch des Gesetzgebers, der bei der Absatzanordnung des § 56 BSIG (Erstverkündung BGBl. 2025 I Nr. 301 vom 5.12.2025) nicht nachgezogen wurde und durch das KRITIS-Dachgesetz [N-KRITISDachG] vom 11.3.2026 (BGBl. 2026 I Nr. 66) nicht bereinigt ist. Materielle Ermächtigungsgrundlage für die Erheblichkeits-Konkretisierungs-RVO bleibt § 56 Absatz 4 BSIG nach dem Wortlaut der dortigen Norm („wann ein Sicherheitsvorfall ... als erheblich im Sinne von § 2 Nummer 11 anzusehen ist“). Eine entsprechende Konstellation besteht in § 2 Nummer 23 BSIG [N-BSIG-2-22], der für kritische Komponenten amtlich auf „§ 56 Absatz 7 und 8“ verweist, obwohl § 56 BSIG amtlich nur sieben Absätze hat und die Kritische-Komponenten-RVO materiell in § 56 Absatz 6 steht. Auch § 56 Absatz 7 Satz 1 BSIG selbst ist als Reformdrift-Caveat zu lesen: Der dortige Verweis auf eine Rechtsverordnung „im Sinne des Absatzes 7“ läuft nach aktueller Absatzanordnung zirkulär und ist materiell auf die Kritische-Komponenten-Verordnungsermächtigung in § 56 Absatz 6 BSIG zu beziehen, bis der Gesetzgeber den Verweis bereinigt oder eine belastbare amtliche Auslegung etwas anderes vorgibt. Für die von der Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] erfassten digitalen Einrichtungsarten und Vertrauensdiensteanbieter ist außerdem die unmittelbar geltende EU-Erheblichkeitsschicht mitzudenken; der nationale RVO-Vorbehalt verdrängt diese EU-Schicht nicht. Praktisch bedeutet das: Schon Vorfälle mit potenzieller Wirkung — „verursachen kann“, „beeinträchtigen kann“ — lösen die Meldepflicht aus, nicht erst eingetretene Schäden. Die Erheblichkeits-Bewertung ist zunächst Teil der Meldepflicht der Einrichtung nach § 32 BSIG. Die Geschäftsleitung muss organisatorisch sicherstellen, dass diese Bewertung rechtzeitig, fachlich belastbar und eskalationsfähig erfolgt — eine systematisch zu zurückhaltende Bewertung („nicht erheblich, weil noch keine Auswirkung sichtbar“) kann deshalb über § 38 Absatz 1 BSIG (organisatorische Überwachungspflicht), § 30 Absatz 2 Nummer 2 BSIG (Bewältigung von Sicherheitsvorfällen) oder die allgemeinen gesellschaftsrechtlichen Organpflichten aus § 43 GmbHG / § 93 AktG haftungsrelevant werden.

Die § 32 BSIG-Meldepflichten kennen ein dreistufiges Zeit-Regime:

• Frühe Erstmeldung unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall (§ 32 Absatz 1 Satz 1 Nummer 1 BSIG). Inhalt: ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte.
• Meldung über den Sicherheitsvorfall unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall (§ 32 Absatz 1 Satz 1 Nummer 2 BSIG). Inhalt: Bestätigung oder Aktualisierung der Erstmeldungs-Inhalte, erste Bewertung des Schweregrads und der Auswirkungen, gegebenenfalls Kompromittierungsindikatoren.
• Abschlussmeldung spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2 (§ 32 Absatz 1 Satz 1 Nummer 4 BSIG). Inhalt: ausführliche Beschreibung des Vorfalls, Angaben zur Bedrohungs-Art und zur zugrunde liegenden Ursache, ergriffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen.

Dauert der Sicherheitsvorfall im Zeitpunkt der Abschlussmeldung noch an, legt die Einrichtung nach § 32 Absatz 2 BSIG statt der Abschlussmeldung eine Fortschrittsmeldung vor; die Abschlussmeldung folgt dann nach abschließender Bearbeitung. Auf Ersuchen des Bundesamtes kann zusätzlich nach § 32 Absatz 1 Satz 1 Nummer 3 BSIG eine Zwischenmeldung mit Statusaktualisierungen verlangt werden.

Betreiber kritischer Anlagen müssen nach § 32 Absatz 3 BSIG zusätzlich Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung übermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte; § 32 gilt nach § 28 Absatz 7 BSIG [N-BSIG-28] nicht für Betreiber kritischer Anlagen, soweit sie eine Anlage für Unternehmen nach § 28 Absatz 6 Nummer 1 BSIG betreiben.

Für die Geschäftsleitung folgt aus § 32 BSIG eine doppelte operative Aufgabe:

• Sicherstellung der Erkennungs- und Meldefähigkeit: Die Einrichtung muss organisatorisch und technisch in der Lage sein, einen erheblichen Sicherheitsvorfall zu erkennen und die 24-Stunden-Frist einzuhalten. Das verlangt Meldewege, klare Eskalations-Regeln und Auslöse-Kriterien für die Bewertung „erheblich“. Eine 24/7-Erreichbarkeit der Sicherheits-Verantwortlichen oder ein funktional gleichwertiger Bereitschafts-/Provider-/Krisenmechanismus ist bei 24-Stunden-Meldepflichten und hohem Risiko regelmäßig geboten; sie ist risikobasiert und verhältnismäßig auszugestalten, nicht als ausdrücklicher Gesetzeswortlaut.
• Konsequente Meldung: Verstöße gegen die Meldepflichten aus § 32 Absatz 1 Satz 1 BSIG sind nach § 65 Absatz 2 Nummer 4 BSIG bußgeldbewehrt — der Verweis umfasst amtlich alle Tatbestände des § 32 Absatz 1 Satz 1 BSIG (Erstmeldung nach Nummer 1, 72-Stunden-Meldung nach Nummer 2, die auf Ersuchen des Bundesamtes abzugebende Zwischenmeldung nach Nummer 3 sowie die reguläre Abschlussmeldung nach Nummer 4). Ein Verstoß gegen eine nach Andauern des Vorfalls nachgereichte Abschlussmeldung (§ 32 Absatz 2 Satz 2 BSIG) ist demgegenüber gesondert nach § 65 Absatz 2 Nummer 5 BSIG sanktioniert. Die Geschäftsleitung muss organisatorisch sicherstellen, dass die Meldungen rechtzeitig, vollständig und richtig erfolgen. Ein verschwiegener oder verspäteter Vorfall trifft bußgeldrechtlich primär die Einrichtung als Adressatin des § 65 BSIG [N-BSIG-65]. Ein Innenregress gegen die Geschäftsleitung kommt in Betracht, wenn der Meldeverstoß auf einer persönlich zurechenbaren Verletzung der allgemeinen Organpflichten nach § 43 GmbHG oder § 93 AktG beruht. Die Haftungs-Brücke des § 38 Absatz 2 BSIG greift demgegenüber nur, soweit der Meldefehler zugleich als Verletzung der Umsetzungs- oder Überwachungspflichten nach § 38 Absatz 1 BSIG einzuordnen ist — etwa weil die nach § 30 Absatz 2 Nummer 2 BSIG erforderlichen Prozesse zur Vorfallsbewältigung, Eskalation oder Krisenorganisation unzureichend umgesetzt oder überwacht wurden. Die Regressierbarkeit des Bußgeld-Betrags selbst ist gesondert und rechtsform-, tatbestands- und verschuldensabhängig zu prüfen; für Organregress und D&O ist sie nicht als sichere Standardfolge zu behandeln. Mittelbare Schäden aus dem Verstoß — etwa Verteidigungs-, Reputations- oder Folgekosten — können unter den genannten Voraussetzungen regressrelevant werden, bleiben aber von der Frage zu trennen, ob gerade die Geldbuße selbst erstattungs- oder regressfähig ist.

Eine systematische Aufarbeitung der Meldepflichten — einschließlich der Erheblichkeits-Definition, der Doppel-Meldungen bei zugleich datenschutzrechtlich relevanten Vorfällen nach Artikel 33 DSGVO [EU-DSGVO] und der Abgrenzung zur freiwilligen Meldung nach § 5 BSIG — ist Gegenstand eines eigenen Cluster-A-Pillars zu den NIS-2-Meldepflichten (noch zu publizieren). Für Vertrauensdiensteanbieter gelten zusätzlich überlagernde Sicherheits- und Meldepflichten nach der eIDAS-Verordnung (Verordnung (EU) Nr. 910/2014 in der durch die Verordnung (EU) 2024/1183 geänderten und konsolidierten Fassung): Für nichtqualifizierte Vertrauensdiensteanbieter ist in der aktuellen konsolidierten Fassung insbesondere Artikel 19a Absatz 1 Buchstabe b eIDAS [EU-eIDAS] einschlägig; für qualifizierte Vertrauensdiensteanbieter insbesondere Artikel 24 Absatz 2 Buchstabe fb eIDAS. Beide Regelungspfade enthalten eine 24-Stunden-Unterrichtung im jeweils geregelten Umfang; näher am amtlichen Wortlaut ist die Formulierung: Sicherheitsverletzungen oder Störungen bei Art. 19a Absatz 1 Buchstabe b und Sicherheitsverstöße oder Störungen bei Art. 24 Absatz 2 Buchstabe fb. Die BSIG-Meldepflichten verdrängen diese Pflichten nicht, sondern wirken parallel.

10. Haftungs-Brücke nach § 38 Absatz 2 BSIG

§ 38 Absatz 2 BSIG [N-BSIG-38] ist die zentrale Norm-Verknüpfung zwischen dem öffentlichen Cyber-Sicherheitsrecht und dem privaten Innen-Haftungsrecht. Sie ist der eigentliche Sorgfaltspflicht-Übersetzungs-Mechanismus.

§ 38 Absatz 2 BSIG: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
Quelle: § 38 Absatz 2 BSIG in der Fassung des NIS2UmsuCG, BGBl. 2025 I Nr. 301 vom 5. Dezember 2025.

Die Norm hat eine doppelte Funktion:

• Satz 1 ist Renvoi-Norm ins Gesellschaftsrecht: bei Pflichtverletzungen nach Absatz 1 (Umsetzung, Überwachung) haftet die Geschäftsleitung „nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts“. Konkret heißt das: für GmbH-Geschäftsführer § 43 GmbHG [N-GmbHG-43], für AG-Vorstände § 93 AktG [N-AktG-93], für Genossenschafts-Vorstände § 34 GenG [N-GenG-34], für die geschäftsführenden Direktoren der monistischen SE nach § 40 SEAG [N-SEAG-40] mit Verweis auf § 93 AktG. Die Verwaltungsratsmitglieder der monistischen SE haften nach § 39 SEAG [N-SEAG-39] entsprechend § 93 AktG (ohne § 116 AktG [N-AktG-116]-Zwischenschritt, da § 39 SEAG amtlich direkt auf § 93 AktG verweist) — sie sind allerdings nicht Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG [N-BSIG-2-13], sondern überwachendes Strategieorgan; ihre Haftung läuft daher über die allgemeine Aufsichts- und Sorgfaltspflicht, nicht über § 38 Absatz 1 BSIG. Die spezielle Haftungs-Norm der jeweiligen Rechtsform tritt nicht neben § 38 BSIG, sondern bildet für Absatz-1-Verletzungen die primäre materielle Anspruchsschicht; § 38 Absatz 2 BSIG verdichtet und verweist, ersetzt aber die eigenständige gesellschaftsrechtliche Organhaftung nicht.
• Satz 2 ist Subsidiaritäts-Klausel: Sofern die Rechtsform der Einrichtung eine eigene gesellschaftsrechtliche Haftungs-Regelung kennt (etwa § 43 GmbHG, § 93 AktG, § 34 GenG), bleibt die BSIG-Haftung dahinter zurück — § 38 Absatz 2 Satz 1 BSIG verweist auf das Gesellschaftsrecht und tritt selbst nicht hinzu. Erst wenn das Gesellschaftsrecht der Rechtsform keine Haftungs-Regelung im Sinne des Satzes 1 enthält (denkbar bei manchen Stiftungs-, Verein- oder Personen-gesellschafts-Konstellationen), kommt nach § 38 Absatz 2 Satz 2 BSIG ein BSIG-eigener Haftungs-Anspruch in Betracht, dessen materielle Anforderungen sich aus dem Verweis in Satz 1 ergeben. Die Norm soll Haftungslücken vermeiden, ohne rechtsformspezifische Anspruchsvoraussetzungen, Haftungsprivilegierungen, Beweislastregeln oder ausländische Gesellschaftsrechte zu vereinheitlichen.

Sonder-Konstellation ausländische Rechtsformen: Bei einer Einrichtung in der Rechtsform einer ausländischen Gesellschaft (zum Beispiel UK Private Limited Company, spanische Sociedad Limitada, niederländische Besloten Vennootschap) verweist § 38 Absatz 2 Satz 1 BSIG primär auf das jeweilige ausländische Gesellschaftsrecht. Welches Recht das ist, bestimmt sich nach dem internationalen Gesellschaftsrecht: Für Gesellschaften, die nach dem Recht eines EU-Mitgliedstaats wirksam gegründet wurden, folgt die unionsrechtliche Niederlassungsfreiheit unmittelbar aus der EuGH-Linie Centros [R-Centros]/Überseering [R-Ueberseering]/Inspire Art [R-InspireArt]; eine entsprechende Gleichstellung von EWR-Gesellschaften ist gesondert über den EWR-Rahmen bzw. die einschlägige EWR-/EFTA-Rechtsprechung zu begründen und folgt nicht unmittelbar aus diesen drei EuGH-Entscheidungen selbst. Für Gesellschaften, die nach dem Recht eines EU-Mitgliedstaats wirksam gegründet wurden, folgt aus der EuGH-Linie Centros/Überseering/Inspire Art, dass der Aufnahmestaat die unionsrechtliche Niederlassungsfreiheit und die im Gründungsstaat erworbene Rechts- und Parteifähigkeit achten muss: EuGH, Urteil vom 9. März 1999 — C-212/97, Centros Ltd / Erhvervs- og Selskabsstyrelsen, ECLI:EU:C:1999:126, CELEX 61997CJ0212; EuGH, Urteil vom 5. November 2002 — C-208/00, Überseering BV / Nordic Construction Company Baumanagement GmbH (NCC), ECLI:EU:C:2002:632, CELEX 62000CJ0208; EuGH, Urteil vom 30. September 2003 — C-167/01, Kamer van Koophandel en Fabrieken voor Amsterdam / Inspire Art Ltd, ECLI:EU:C:2003:512, CELEX 62001CJ0167. Missbrauchs- und Betrugsfälle bleiben einzelfallbezogen bekämpfbar. Für Drittstaaten-Gesellschaften, die weder aus der EU/dem EWR stammen noch staatsvertraglich gleichgestellt sind, verweist die BGH-Linie weiterhin auf die Sitztheorie: BGH, Urteil vom 27. Oktober 2008 — II ZR 158/06 [R-II-ZR-158-06], BGHZ 178, 192 — Trabrennbahn (Schweizer AG mit Verwaltungssitz in Deutschland: nach allgemeinen deutschen IPR-Regeln ist der tatsächliche Verwaltungssitz maßgeblich, soweit kein Staatsvertrag etwas anderes regelt). Wenn das ausländische Gesellschaftsrecht eine Haftungs-Regelung kennt (was bei den genannten Rechtsformen typischerweise der Fall ist), gilt diese. Wenn nicht, greift die Auffangnorm aus § 38 Absatz 2 Satz 2 BSIG: dann begründet das BSIG selbst einen eigenen Ersatzanspruch der Einrichtung gegen die Geschäftsleitung. Die rechtsformspezifischen Haftungs-Architekturen werden im Folge-Pillar zur Innenhaftung (Innenhaftung der Geschäftsleitung) vertieft. Für diesen § 38-Pillar sollte bereits eine Mindestwarnung stehen: Verjährungs- und Anspruchssicherungsfragen sind rechtsformspezifisch sofort zu kalendrieren — insbesondere § 43 Absatz 4 GmbHG (fünf Jahre), § 93 Absatz 6 AktG (fünf bzw. zehn Jahre bei börsennotierter AG) und § 34 Absatz 6 GenG. Aufsichtsrats-/Gesellschafterbeschlüsse, Hemmungsvereinbarungen, D&O-Meldungen und Verzichts-/Vergleichssperren dürfen im Vorfall-Nachgang nicht erst im Folgegutachten auftauchen. Die rechtsformspezifischen Haftungs-Architekturen — insbesondere die Beweislast-Umkehr, die Verjährungs-Fristen, die Haftungs-Höhe, die Frage der Versicherbarkeit über D&O-Policen und die Mindest-Cap-Untergrenze für Selbstbehalte nach § 93 Absatz 2 Satz 3 AktG — sind Gegenstand des Folge-Pillars zur Innenhaftung (Innenhaftung der Geschäftsleitung). Dort sind auch die Beweislast-Verteilung, die Haftungs-Gesamtschuldnerschaft mehrerer Geschäftsleiter, die Reichweite der Verzichts- und Vergleichs-Schranken und die Klage-Zulassung durch Aktionärsminderheiten nach § 148 AktG [N-AktG-148] vertieft aufgearbeitet. Für das Verständnis der § 38-Architektur reichen drei Kern-Aussagen:

• § 38 Absatz 2 BSIG schafft für Rechtsformen mit einer anwendbaren gesellschaftsrechtlichen Organhaftungsregel regelmäßig kein zusätzliches BSIG-Parallelregime, sondern verweist auf diese rechtsformspezifische Haftungsregel. Bei ausländischen Rechtsformen ist das nicht deutsches GmbH-/Aktienrecht, sondern das nach internationalem Gesellschaftsrecht maßgebliche ausländische Gesellschaftsrecht; nur wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung im Sinne von § 38 Absatz 2 Satz 1 BSIG enthalten, kommt die Auffangspur des § 38 Absatz 2 Satz 2 BSIG in Betracht. Die Folge ist eine Verdichtung der Sorgfaltspflicht — was bislang abstrakte Generalklausel war, ist nun durch die § 30 Absatz 2 BSIG [N-BSIG-30]-Liste konkret unterlegt.
• Das Verschuldens-Erfordernis bleibt rechtsformspezifisch. Im Kontext des § 38 Absatz 2 BSIG i.V.m. § 43 GmbHG / § 93 AktG reicht bereits einfache Fahrlässigkeit für die Innenhaftung aus. Für Stiftungs- und Vereinskonstellationen muss die rechtsformspezifische Haftungsarchitektur jedoch gesondert mitgeprüft werden: § 84a Absatz 3 BGB [N-BGB-84a] ordnet für Stiftungsorgane die entsprechende Anwendung des § 31a BGB [N-BGB-31a] an; § 31a Absatz 1 BGB begrenzt die Innenhaftung unentgeltlich tätiger oder bis 3 300 Euro jährlich vergüteter Organmitglieder beziehungsweise besonderer Vertreter auf Vorsatz und grobe Fahrlässigkeit, soweit die Satzung die Anwendbarkeit nicht nach § 84a Absatz 3 Satz 2 BGB beschränkt oder ausschließt. Die pauschale Behauptung, alle Geschäftsleiter hafteten erst bei grober Fahrlässigkeit, bleibt für GmbH-/AG-Konstellationen falsch; umgekehrt ist die ebenso pauschale Behauptung, eine grobe-Fahrlässigkeitsschwelle existiere in keiner Rechtsform, zu weit (vergleiche Faktenfalle 23 im CyberSchutzEngel-Glossar).
• § 38 Absatz 2 BSIG ist keine Außenhaftungs-Norm. Sie regelt nur die Haftung gegenüber der eigenen Einrichtung. Die Haftung gegenüber Dritten — etwa Geschädigten eines Cyber-Vorfalls — folgt eigenen Regeln (§ 823, § 826 BGB [N-BGB-826], gegebenenfalls Artikel 82 DSGVO [EU-DSGVO] bei personenbezogenen Daten) und ist in Aufsichtsrats-Haftung aufgearbeitet.

11. Sanktions-Architektur — was passiert bei einer Pflichtverletzung?

Die Sanktions-Architektur des BSIG kombiniert mehrere Ebenen, die alle für die Geschäftsleitung relevant sind, aber rechtlich unterschiedlich strukturiert sind; für diesen Artikel stehen vier Spuren im Vordergrund.

11.1. Innen-Haftung gegenüber der Einrichtung

Die zivilrechtliche Innenhaftung nach § 38 Absatz 2 BSIG [N-BSIG-38] in Verbindung mit dem jeweiligen Gesellschaftsrecht ist die zentrale Sanktion gegen die Geschäftsleitungs-Person persönlich. Sie greift bei Verletzung der Umsetzungs- oder Überwachungspflicht aus § 38 Absatz 1 BSIG und setzt die in Abschnitt 4.1 dargestellte Drei-Schritt-Kausalkette voraus — persönliche Zurechenbarkeit nach Ressort, Verschulden, Schaden und Kausalität bleiben Anspruchsvoraussetzungen der Einrichtung. Sie greift auch dann, wenn die Aufsichtsbehörde kein Bußgeld verhängt — Innenhaftung ist nicht von einem behördlichen Aufgreifen abhängig.

11.2. Bußgelder gegen die Einrichtung

§ 65 BSIG [N-BSIG-65] enthält die bußgeldbewehrten Tatbestände (§ 65 Abs. 2 BSIG: „ordnungswidrig handelt, wer …“) und staffelt die Höchstbeträge nach Einrichtungskategorie und Tatbestand (§ 65 Abs. 5-7 BSIG). Praktisch richtet sich diese Sanktionsspur vor allem gegen die betroffene Einrichtung; eine persönliche Bußgeldverantwortung von Geschäftsleitungsmitgliedern folgt nicht unmittelbar aus § 65 BSIG, sondern nur über die allgemeinen OWiG-Zurechnungs- und Aufsichtspflichtnormen — insbesondere § 9 OWiG [N-OWiG-9] (Handeln für einen anderen) und § 130 OWiG [N-OWiG-130] (Aufsichtspflichtverletzung), siehe Abschnitt 11.3. Die zentralen Tatbestände für den hier behandelten § 30-/§ 32-/§ 38-Pflichtenkreis sind:

• § 65 Absatz 2 Nummer 2 BSIG (Nicht-/Falsch-/Unvollständig-/Nicht-rechtzeitig-Ergreifen einer § 30 Absatz 1 Satz 1-Maßnahme): bei besonders wichtigen Einrichtungen Geldbuße bis zu zehn Millionen Euro nach § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe a BSIG [N-BSIG-30], bei wichtigen Einrichtungen bis zu sieben Millionen Euro nach § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe b BSIG.
• § 65 Absatz 2 Nummer 3 BSIG (Verstoß gegen die Dokumentationspflicht nach § 30 Absatz 1 Satz 3): bei besonders wichtigen Einrichtungen Geldbuße bis zu zehn Millionen Euro nach § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe a BSIG, bei wichtigen Einrichtungen bis zu sieben Millionen Euro nach § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe b BSIG — der Dokumentations-Tatbestand fällt unter denselben Bußgeldrahmen wie die weiteren in § 65 Absatz 5 Satz 1 Nummer 1 BSIG gebündelten Tatbestände des § 65 Absatz 2 Nummer 1 Buchstabe d sowie Nummern 2 bis 5 und Nummer 9. Der Verstoß gegen die Dokumentationspflicht ist damit auf derselben Stufe sanktioniert wie der Verstoß gegen die materielle Umsetzungspflicht selbst.
• § 65 Absatz 2 Nummer 4 und 5 BSIG (Verstöße gegen die Meldepflichten aus § 32 Absatz 1 und Absatz 2 Satz 2): besonders wichtige Einrichtungen bis zu zehn Millionen Euro nach § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe a BSIG [N-BSIG-32], wichtige Einrichtungen bis zu sieben Millionen Euro nach § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe b BSIG.
• DSGVO [EU-DSGVO]-Doppelbußen-Sperre nach § 65 Absatz 11 BSIG: Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 eine Geldbuße, so darf wegen eines Verstoßes nach dem BSIG, der sich aus demselben Verhalten ergibt wie der nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 geahndete Verstoß, keine weitere Geldbuße verhängt werden (§ 65 Absatz 11 BSIG). Diese Sperre betrifft nur die Doppelgeldbuße wegen desselben Verhaltens; Meldepflichten, aufsichtsrechtliche Maßnahmen, Innenhaftung, D&O-Deckung und Regressfolgen bleiben eigenständig zu prüfen.

Abzugrenzen ist § 65 Absatz 5 Satz 2 BSIG: Die dort angeordnete Anwendung des § 30 Absatz 2 Satz 3 OWiG betrifft nur die Fälle des § 65 Absatz 5 Satz 1 Nummer 3 und 4 BSIG, nicht die hier behandelte 10-/7-Millionen-Euro-Stufe nach § 65 Absatz 5 Satz 1 Nummer 1 BSIG und nicht die umsatzbezogenen Stufen der Absätze 6 und 7.

Über § 65 Absatz 6 und Absatz 7 BSIG wird zusätzlich eine umsatzbasierte Bußgeldstufe für bestimmte Großunternehmen aktiviert. Sie greift nur in den dort genannten Tatbestandsfällen des § 65 Absatz 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und Nummer 9 BSIG und nur, wenn der „Gesamtumsatz“ im Sinne des § 65 Absatz 8 BSIG mehr als 500 Millionen Euro beträgt (§ 65 Absatz 8 BSIG definiert Gesamtumsatz amtlich im Sinne der Absätze 6 und 7 als die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat. § 65 Absatz 8 Satz 2 BSIG ergänzt amtlich: „Der Gesamtumsatz kann geschätzt werden.“ Der Begriff „Unternehmen, dem die Einrichtung angehört“ ist im BSIG nicht selbst legaldefiniert. Eine risikokonservative, am Wortlaut des § 65 Absatz 8 BSIG und am unionsrechtlichen Unternehmensverständnis orientierte Lesart versteht den Begriff kartellrechtlich-funktional — also als wirtschaftliche Einheit eines Konzerns. Eine gefestigte höchstrichterliche oder verwaltungsgerichtliche Auslegung speziell zum BSIG-Unternehmensbegriff steht zum Stand Mai 2026 aus. Praxis-Konsequenz für Konzern-Strukturen: Bei einer Tochter-Einrichtung in einer Holding kann nach dieser risikokonservativen Lesart der Konzern-Gesamtumsatz der Mutter maßgeblich sein, nicht nur der Umsatz der einzelnen Tochter. Ein Mittelständler mit 400 Mio. Euro Einzelgesellschafts-Umsatz in einer Holding mit 1,2 Mrd. Euro Konzern-Umsatz kann danach über die 500-Mio.-Schwelle fallen und — je nach Einrichtungskategorie und Tatbestand — der 2-Prozent- oder der 1,4-Prozent-Stufe unterliegen, auch wenn die einzelne juristische Person die Schwelle nicht erreicht. Eine gesicherte höchstrichterliche oder verwaltungsgerichtliche Auslegung des § 65 Abs. 8 BSIG-Unternehmensbegriffs ist zum Stand Mai 2026 soweit ersichtlich nicht entschieden; für die Risiko-Bewertung sollte die Konzern-Lesart aber konservativ unterstellt werden). Für solche Einrichtungen kann abweichend von der starren Eurowert-Grenze geahndet werden: bei besonders wichtigen Einrichtungen mit einer Geldbuße bis zu 2 Prozent des Gesamtumsatzes (§ 65 Absatz 6 BSIG, abweichend von § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe a BSIG); bei wichtigen Einrichtungen bis zu 1,4 Prozent des Gesamtumsatzes (§ 65 Absatz 7 BSIG, abweichend von § 65 Absatz 5 Satz 1 Nummer 1 Buchstabe b BSIG). Beide Stufen — der Eurowert-Höchstbetrag aus Absatz 5 und der Prozentsatz aus Absätzen 6 und 7 — gehören in jede Diskussion um BSIG-Bußgelder, denn welche Stufe in Betracht kommt, hängt nicht allein von der 500-Millionen-Euro-Schwelle, sondern zusätzlich vom einschlägigen Bußgeldtatbestand ab. Die häufig zu hörende Verkürzung „2 Prozent gelten für alle besonders wichtigen Einrichtungen“ ist falsch; ebenso falsch wäre es allerdings, die 2-Prozent-Stufe gar nicht zu nennen, weil sie für die größten Adressaten praxisrelevanter ist als der Eurowert-Höchstbetrag. Zusätzlich ist § 65 Absatz 9 BSIG mitzulesen: § 17 Absatz 2 OWiG [N-OWiG-17] ist in den Fällen des § 65 Absatz 5 Satz 1 Nummer 1 BSIG sowie der Absätze 6 und 7 nicht anzuwenden; die Höchstbeträge halbieren sich in diesen Hochstufen also nicht schon deshalb, weil der Verstoß fahrlässig begangen wurde.

11.3. Persönliche Bußgelder gegen die Geschäftsleitung über das OWiG

§ 65 BSIG sanktioniert primär die Einrichtung. Eine persönliche Bußgeld-Haftung der Geschäftsleitung gibt es im BSIG selbst nicht. Sie kann sich allerdings über die allgemeinen Vorschriften des Ordnungswidrigkeitenrechts ergeben:

• § 9 Absatz 1 und Absatz 2 OWiG (Handeln für einen anderen) sind amtlich Zurechnungs-Normen, keine eigenständigen Bußgeld-Haftungs-Normen. Absatz 1 erfasst insbesondere vertretungsberechtigte Organe juristischer Personen und vertretungsberechtigte Gesellschafter von Personengesellschaften; Absatz 2 erweitert die Zurechnung auf Personen, die beauftragt sind, den Betrieb ganz oder zum Teil zu leiten oder ausdrücklich beauftragt sind, in eigener Verantwortung Aufgaben wahrzunehmen, die dem Inhaber des Betriebs obliegen. Die persönliche Bußgeld-Haftung entsteht damit erst aus dem materiellen OWi-Tatbestand in Verbindung mit § 9 OWiG — § 9 OWiG allein begründet keine eigene Sanktion.
• § 130 OWiG (Verletzung der Aufsichtspflicht) kann eine Bußgeld-Haftung des Inhabers eines Betriebs oder Unternehmens auslösen, wenn dieser vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen. Für den hier relevanten BSIG-Kontext sind vor allem zwei Fälle des § 130 Absatz 3 OWiG maßgeblich: § 130 Absatz 3 Satz 1 OWiG sieht eine Geldbuße bis zu einer Million Euro vor, wenn die zugrundeliegende Pflichtverletzung mit Strafe bedroht ist; § 130 Absatz 3 Satz 3 OWiG koppelt das Höchstmaß der Aufsichtspflichtverletzungs-Geldbuße an das Höchstmaß der zugrundeliegenden Pflichtverletzung, wenn diese mit Geldbuße bedroht ist. § 130 Absatz 3 Satz 4 OWiG ergänzt den Kombinationsfall einer Pflichtverletzung, die gleichzeitig mit Strafe und Geldbuße bedroht ist; das ändert an der NIS-2-Einordnung nichts, weil die hier behandelten BSIG-Pflichtverletzungen bußgeldbewehrt, aber nicht strafbewehrt sind. BSIG-Pflichtverletzungen aus dem § 30- und § 32-Bereich sind nach § 65 BSIG bußgeldbewehrt — nicht strafbewehrt. § 38 BSIG ist demgegenüber differenziert zu behandeln: Absatz 1 wirkt vor allem über die Innenhaftungsbrücke des § 38 Absatz 2 und über die materiellen § 30-Pflichten; Absatz 3 ist aufsichtsrechtlich insbesondere über § 62 BSIG [N-BSIG-62] greifbar, der bei wichtigen Einrichtungen amtlich auf § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 verweist. Eine persönliche Bußgeldspur gegen Geschäftsleitungsmitglieder entsteht nicht unmittelbar aus § 38 BSIG, sondern nur über die allgemeinen OWiG-Zurechnungs- und Aufsichtspflichtnormen und den jeweils zugrunde liegenden bußgeldbewehrten Pflichtverstoß. Damit ist im NIS-2-Kontext nicht § 130 Absatz 3 Satz 1, sondern § 130 Absatz 3 Satz 3 OWiG der sachnähere Anknüpfungspunkt. Nach Satz 3 richtet sich das Höchstmaß der Geldbuße wegen der Aufsichtspflichtverletzung nach dem für die zugrundeliegende Pflichtverletzung angedrohten Höchstmaß. Bei NIS-2-Verstößen ist deshalb sorgfältig zwischen der festen Eurowert-Stufe aus § 65 Absatz 5 BSIG und den umsatzbezogenen Stufen aus § 65 Absatz 6 und 7 BSIG zu unterscheiden; ob und in welchem Umfang diese BSIG-Verbandsrahmen auf persönliche § 130-OWiG-Verfahren durchschlagen, ist die anschließend dargestellte ungeklärte Kernfrage. Wichtige dogmatische Klarstellung: Ob und in welchem Umfang die hohen BSIG-Verbandsbußgeldrahmen aus § 65 BSIG vollständig auf persönliche § 130-OWiG-Verfahren gegen Geschäftsleitungsmitglieder durchschlagen, ist dogmatisch nicht abschließend höchstrichterlich geklärt. Eine Mindermeinung in der Literatur sieht das Bestimmtheitsgebot aus Artikel 103 Absatz 2 GG als verletzt an, weil das BSIG die Verbandsgeldbuße (gegen die Einrichtung) regelt und keine eigene persönliche Bußgeld-Norm gegen Geschäftsleiter enthält. Eine „sichere Untergrenze“ aus § 130 Absatz 3 Satz 1 OWiG (1 Million Euro bei Strafe-Pflichtverletzung) gibt es bei bußgeldbewehrten BSIG-Pflichten nicht — Satz 1 setzt eine Straftat als zugrundeliegende Pflichtverletzung voraus. Praxis-Empfehlung: Die persönliche § 130-OWiG-Spur ist als Risiko ernst zu nehmen; das hypothetische Koppelungs-Risiko an die jeweils einschlägige BSIG-Bußgeldstufe sollte konservativ in die D&O-Police einbezogen werden — als Risikohinweis, nicht als gesicherte persönliche Bußgeld-Obergrenze. Diese Satz-Anatomie ist amtlich: § 130 Absatz 3 Satz 2 OWiG existiert und ordnet die Anwendung des § 30 Absatz 2 Satz 3 OWiG an. Falsch ist die Bezugnahme auf Satz 2 als Koppelungsnorm für bußgeldbewehrte Pflichtverletzungen; diese Funktion hat § 130 Absatz 3 Satz 3 OWiG.

Die Geschäftsleitung muss daher mit vier Sanktions-Spuren rechnen: zivile Innenhaftung gegenüber der eigenen Einrichtung (11.1), Bußgeld gegen die Einrichtung mit Reflex auf die Geschäftsleitung über D&O- und Vermögensschäden (11.2), persönliches Bußgeld über die OWiG-Verknüpfung (11.3) sowie die vorübergehende Tätigkeitsuntersagung gegen die Geschäftsleitungs-Person jedenfalls bei besonders wichtigen Einrichtungen (11.4). Eine vollständige Vergleichs-Tabelle der sechs haftungspraktischen Abgrenzungsschienen (Innenhaftung, Außenhaftung gegenüber Dritten, Verbandsgeldbuße, Tätigkeitsverbot, OWi-Aufsichtspflichtverletzung, strafrechtliche Verantwortung) mit Adressaten-, Rechtsgrundlagen-, Höchstmaß- und Verjährungs-Spalten findet sich im Pillar zur Innenhaftung (Innenhaftung der Geschäftsleitung).

Beweislast-Dissonanz zwischen Zivil- und Ordnungswidrigkeiten-Spur: Die zivilrechtliche Innenhaftung nach § 38 Absatz 2 BSIG i.V.m. § 93 Absatz 2 Satz 2 AktG [N-AktG-93] (für GmbH-Geschäftsführer analog nach ständiger BGH-Rechtsprechung) arbeitet mit Beweislast-Umkehr — die Geschäftsleitung muss aktiv beweisen, dass sie die Sorgfaltspflicht erfüllt hat. Das ordnungswidrigkeitsrechtliche Verfahren nach § 130 OWiG arbeitet demgegenüber mit dem Untersuchungsgrundsatz (§ 46 OWiG i.V.m. der Strafprozessordnung, in dubio pro reo) — die Aufsichtsbehörde muss der Geschäftsleitung das schuldhafte Unterlassen positiv nachweisen. Diese verfahrensrechtliche Dissonanz ist für die persönliche Risikoabschätzung elementar: der Innenhaftungs-Prozess ist faktisch die gefährlichere Spur, weil die Beweislast-Umkehr ohne aktive Dokumentation kaum zu widerlegen ist. Neben diesen monetären Spuren existieren mittelbare Folgen-Dimensionen, die in einer vollständigen Risiko-Betrachtung nicht ausgeblendet werden dürfen: Verlust der D&O-Versicherbarkeit, Reputations-Folgen mit Reflex auf parallele Aufsichtsrats- oder Beirats-Mandate, öffentliche Bekanntmachung des Verstoßes nach § 61 Absatz 8 Nummer 2 BSIG [N-BSIG-61], sowie persönliche und mentale Belastung durch OWi-, aufsichtsrechtliche oder zivilrechtliche Verfahren; strafrechtliche Ermittlungen nur, soweit daneben eigenständige Straftatbestände berührt sind. Diese Dimensionen sind in Innenhaftung der Geschäftsleitung systematisch aufgearbeitet.

11.4. Untersagung der Tätigkeitsausübung nach § 61 Absatz 9 Satz 2 Nummer 2 BSIG

Bei besonders schwerer Pflicht-Verletzung — etwa anhaltender Verweigerung einer Sicherheitsanordnung — kann nach § 61 Absatz 9 BSIG die jeweils zuständige Aufsichtsbehörde (auf Mitteilung des Bundesamtes), wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht, als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13), vorübergehend untersagen (§ 61 Absatz 9 Satz 2 Nummer 2 BSIG; daneben ermöglicht § 61 Absatz 9 Satz 2 Nummer 1 BSIG die vorübergehende Aussetzung der fachrechtlichen Genehmigung der Einrichtung). Die Untersagung ist nach § 61 Absatz 9 Satz 3 BSIG nur so lange zulässig, bis die besonders wichtige Einrichtung den Anordnungen des Bundesamtes nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurden — die Untersagung ist also auf die konkrete Anordnung bezogen und endet, sobald gerade diese Anordnung erfüllt ist; sie dauert nicht fort, solange irgendwelche anderen Anordnungen offen sind. Diese Sanktion ist für die Geschäftsleitung persönlich die schärfste Folge in der BSIG-Architektur, weil sie nicht den Vermögensschaden der Einrichtung, sondern die persönliche Tätigkeitsausübung der Geschäftsleiterin oder des Geschäftsleiters trifft. Für die Einrichtung selbst können — je nach Sachverhalt — umsatzbezogene Bußgelder, öffentliche Bekanntmachung nach § 61 Absatz 8 Nummer 2 BSIG oder eine vorübergehende Aussetzung der fachrechtlichen Genehmigung nach § 61 Absatz 9 Satz 2 Nummer 1 BSIG ebenso oder noch einschneidender wirken. Bei besonders wichtigen Einrichtungen ergibt sie sich unmittelbar aus § 61 Absatz 9 Satz 2 Nummer 2 BSIG, dessen Wortlaut in Satz 1 und Satz 3 ausdrücklich nur „besonders wichtige Einrichtungen“ als Anwendungsbereich nennt. Für wichtige Einrichtungen ist die Anwendung über § 62 BSIG nicht sicher auszuschließen: § 62 BSIG verweist allgemein auf „Maßnahmen nach § 61 BSIG“, und die amtliche Begründung beschreibt für wichtige Einrichtungen grundsätzlich die gleichen Aufsichtsmaßnahmen wie in § 61 für besonders wichtige Einrichtungen (BT-Drucksache 21/1501, Begründung zu § 62 BSIG). Zugleich bleibt die Anwendung von § 61 Absatz 9 BSIG über diesen Verweis dogmatisch angreifbar, weil § 61 Absatz 9 BSIG in seinem eigenen Tatbestand textlich auf „besonders wichtige Einrichtungen“ zugeschnitten ist. Die belastbare Risikoformel lautet daher: Bei wichtigen Einrichtungen ist die Tätigkeitsuntersagung eine offene Auslegungs- und Verhältnismäßigkeitsfrage; sie sollte in der Risikoanalyse nicht als ausgeschlossen behandelt werden.

12. Übergangsregelungen und aktueller Stand zum Mai 2026

Vier zeitliche Aspekte sind für die Pflichten-Erfüllung im Mai 2026 maßgeblich:

• Inkrafttreten des NIS2UmsuCG: Das Gesetz zur Umsetzung der NIS-2-Richtlinie [EU-NIS2] und zur Stärkung der Cybersicherheit wurde am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) verkündet und ist am 6. Dezember 2025 in Kraft getreten. Eine pauschale Übergangsfrist gibt es nicht — die Pflichten aus § 38 Absatz 1 und Absatz 3 BSIG [N-BSIG-38] sind seit dem 6. Dezember 2025 anwendbar.
• Registrierungsfrist nach § 33 BSIG: Die Registrierungspflicht nach § 33 Absatz 1 BSIG [N-BSIG-33] knüpft amtlich an „spätestens drei Monate, nachdem [die Einrichtungen] erstmals oder erneut als besonders wichtige oder wichtige Einrichtungen gelten“ an — nicht pauschal an einen einheitlichen Stichtag. Für Einrichtungen, die bereits mit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 als besonders wichtige oder wichtige Einrichtungen galten, lief die Frist daher grundsätzlich bis zum 6. März 2026; sie sind ab diesem Zeitpunkt in Verzug, soweit sie sich nicht registriert haben. Für Einrichtungen, die erst später erstmals oder erneut in den Anwendungsbereich fallen, beginnt die Drei-Monats-Frist entsprechend später. Betreiber kritischer Anlagen folgen für die Registrierung zusätzlich der Sonder-Schiene aus § 33 Absatz 2 BSIG und § 8 KRITIS-Dachgesetz [N-KRITISDachG]. Wichtige zeitliche Kausalkette: § 33 Absatz 2 BSIG ist nach § 66 BSIG [N-BSIG-66] allerdings erst anzuwenden, wenn die Rechtsverordnung nach §§ 4 Absatz 3, 5 Absatz 1 KRITIS-Dachgesetz gilt — die im Mai 2026 noch nicht in Kraft getreten ist. Ab dem Zeitpunkt ihres Inkrafttretens knüpft § 8 Absatz 1 KRITIS-Dachgesetz an die Registrierung spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich 17. Juli 2026 an. Bis dahin bleibt für die KRITIS-Eigenschaft die bisherige BSI-Kritisverordnung [N-BSIKritisV] als Übergangsregelung relevant. Die Meldepflichten aus § 32 BSIG gelten nach § 32 Absatz 1 Satz 2 BSIG [N-BSIG-32] „frühestens ab Einrichtung des Meldewegs“. Soweit der Meldeweg des Bundesamtes eingerichtet und für die jeweilige Einrichtung nutzbar ist, gelten die Meldepflichten aus § 32 BSIG damit praktisch vollumfänglich.
• Nachweisfristen nach § 61 Absatz 3 BSIG [N-BSIG-61]: Neben der sofortigen materiellen Pflichten-Anwendbarkeit ist die behördliche Nachweisanforderung zeitlich gestaffelt: Gegenüber anderen besonders wichtigen Einrichtungen kann das Bundesamt die Vorlage von Nachweisen über einzelne oder alle in § 61 Absatz 1 BSIG genannten Verpflichtungen frühestens drei Jahre nach Inkrafttreten des NIS2UmsuCG anordnen, also bei Inkrafttreten am 6. Dezember 2025 frühestens ab dem 6. Dezember 2028. Für zugelassene Krankenhäuser nach § 108 SGB V [N-SGBV-108] gilt nach § 61 Absatz 3 Satz 5 BSIG grundsätzlich eine Fünf-Jahres-Schwelle, also frühestens ab dem 6. Dezember 2030, soweit nicht durch Rechtsverordnung nach § 56 Absatz 6 BSIG [N-BSIG-56] ein früherer Zeitpunkt bestimmt wird. CyberSchutzEngel-Hinweis zum Verweisungsbruch: § 56 Absatz 6 BSIG regelt amtlich die Bestimmung kritischer Komponenten; die Krankenhaus-Vorzeit-Rechtsverordnung steht materiell in § 56 Absatz 5 BSIG. Der amtliche Wortlaut der Verweisung wird zitiert; der Bruch ist transparent ausgewiesen. Diese Nachweisfristen verschieben nicht die seit dem 6. Dezember 2025 geltenden materiellen Pflichten; sie betreffen die Vorlage von Nachweisen im Aufsichtsregime.
• KRITIS-Dachgesetz und Sektoren-Rechtsverordnung: Das KRITIS-Dachgesetz wurde mit dem Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 [EU-CER] und zur Stärkung der Resilienz kritischer Anlagen vom 11.03.2026 verkündet (BGBl. 2026 I Nr. 66 vom 16.03.2026) und betrifft die physische Resilienz, nicht die IT-Sicherheit. Die Rechtsverordnung nach §§ 4 Absatz 3, 5 Absatz 1 KRITIS-Dachgesetz, die die Schwellenwerte für kritische Anlagen festlegt, ist im Mai 2026 noch nicht in Kraft getreten. Bis zu ihrem Inkrafttreten bleibt für die KRITIS-Eigenschaft die bisherige BSI-Kritisverordnung als Übergangsregelung relevant und tritt erst mit Inkrafttreten der neuen Rechtsverordnung außer Kraft.
• Verzicht und Vergleich nach § 38 Absatz 2 BSIG: Eine in einem früheren Referentenentwurf vorgesehene Klausel, wonach auf Ersatzansprüche nach § 38 Absatz 2 BSIG nicht verzichtet und über sie kein Vergleich geschlossen werden darf, ist in der verkündeten Fassung des BSIG gestrichen worden. Verzicht und Vergleich richten sich daher nach den gesellschaftsrechtlichen Vorschriften der jeweiligen Rechtsform — für die AG nach § 93 Absatz 4 Satz 3 AktG [N-AktG-93] (Drei-Jahres-Frist nach Anspruchs-Entstehung, Hauptversammlungs-Zustimmung, Minderheits-Widerspruchs-Hürde von einem Zehntel des Grundkapitals); § 93 Absatz 4 Satz 4 AktG enthält eine Ausnahme der Drei-Jahres-Frist, wenn der Ersatzpflichtige zahlungsunfähig ist und sich zur Abwendung des Insolvenzverfahrens mit seinen Gläubigern vergleicht oder wenn die Ersatzpflicht in einem Insolvenzplan geregelt wird; für die GmbH obliegt die Geltendmachung oder der Verzicht nach § 46 Nummer 8 GmbHG [N-GmbHG-46] der Gesellschafter-Versammlung. Anders als bei der AG besteht im GmbH-Recht keine § 93 Absatz 4 Satz 3 AktG entsprechende gesetzliche Drei-Jahres-Sperre; die Entscheidung über Geltendmachung, Verzicht oder Vergleich liegt grundsätzlich bei der Gesellschafterversammlung (§ 46 Nummer 8 GmbHG), begrenzt durch zwingendes Gläubiger- und Kapitalerhaltungsrecht, insbesondere § 30 GmbHG.

13. Praxis-Empfehlungen für die Compliance-Architektur

Aus der Synthese der drei Pflichten und ihrer Verweis-Normen lassen sich neun Praxis-Empfehlungen für die Compliance-Architektur einer NIS-2-pflichtigen Einrichtung formulieren:

• Adressatenkreis-Prüfung schriftlich dokumentieren: Eine schriftliche, regelmäßig aktualisierte Bewertung, ob und mit welcher Begründung die Einrichtung als besonders wichtige oder wichtige Einrichtung qualifiziert, gehört in die Compliance-Akten. Insbesondere die Schwellen-Berechnung nach § 28 Absatz 4 BSIG [N-BSIG-28] ist nachvollziehbar darzustellen: Ausgangspunkt ist die KMU-Empfehlung [EU-KMU] 2003/361/EG; zusätzlich ist die BSIG-Sonderregel des § 28 Absatz 4 Satz 2 zu dokumentieren, wonach Daten von Partner- oder verbundenen Unternehmen nicht hinzuzurechnen sind, wenn die Einrichtung unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf Beschaffenheit und Betrieb ihrer informationstechnischen Systeme, Komponenten und Prozesse unabhängig von diesen Unternehmen ist. Umgekehrt ist festzuhalten, wann diese Unabhängigkeit gerade nicht belastbar begründet werden kann. In Konzernen ist zusätzlich rechtsträgerbezogen festzuhalten, welche Gesellschaft § 28-/§ 38-Adressatin ist, welche Leistungen nur konzernintern zentral erbracht werden und wie die Geschäftsleitung der betroffenen Einzelgesellschaft trotz Group-CISO, Shared-Service-IT oder Matrixorganisation eigene Berichte, Beschlüsse und Eskalationsrechte erhält — Konzern-Delegation ersetzt keine rechtsträgerbezogene Organverantwortung. Zur Adressatenkreis-Akte gehören außerdem die allgemeine BSI-/Fachzuständigkeit nach § 59 BSIG [N-BSIG-59], etwaige §-60-Sonderzuständigkeit, der Registrierungsstatus nach § 33 BSIG [N-BSIG-33], einschlägige §-34-Angaben oder Änderungsanzeigen, Fristbeginn, Fristende, verantwortliche Person, Absendungsnachweis, Kontaktdaten/Kontaktstelle, Registrierungsbestätigung und Aktualisierungsereignisse; DORA-, TK-/EnWG- oder Telematik-Ausnahmen ändern nichts daran, dass verbleibende BSIG-Restpflichten gesondert zu dokumentieren sind.
• § 30 Absatz 2-Liste als Pflichten-Spiegel: Die zehn Mindestmaßnahmen sind in einer Compliance-Matrix mit Ist-/Soll-Stand, Verantwortlichem, Frist und Dokumentations-Verweis zu führen. Bei Auditierungen ist diese Matrix der erste Belegtatbestand.
• Geschäftsleitungs-Beschluss zur NIS-2-Compliance: Ein förmlicher, im Sitzungs-Protokoll dokumentierter Beschluss der Geschäftsleitung zur „Billigung“ der Sicherheitsmaßnahmen im Sinne des Artikel 20 Absatz 1 NIS-2-Richtlinie [EU-NIS2] sollte risikoadäquat und anlassbezogen überprüft und fortgeschrieben werden; ein jährlicher Turnus ist eine konservative Praxisempfehlung, aber keine im BSIG ausdrücklich geregelte Mindestfrequenz. Er ist ein wichtiger Baustein des Nachweises in der Beweislast-Umkehr-Situation.
• Regelmäßige Berichts-Termine: Ein fester, risikoadäquat bemessener Berichts-Termin der IT-Sicherheits-Verantwortlichen an die Geschäftsleitung — bei besonders wichtigen Einrichtungen in hochkritischen Sektoren risikokonservativ häufig quartalsweise — mit standardisierter Berichts-Vorlage und Eskalations-Schwellen.
• Schulungs-Pflicht der Geschäftsleitung selbst dokumentieren: Teilnahme-Bestätigungen, Inhalts-Beschreibungen, Bewertung der Frequenz „regelmäßig“. Bei mehreren Geschäftsleitungs-Mitgliedern ist die Schulung für jedes einzelne nachzuweisen.
• Beschäftigten-Sensibilisierung als eigenständige Pflicht behandeln: § 30 Absatz 2 Nummer 7 BSIG [N-BSIG-30] ist eine eigenständige Pflicht, die unabhängig von der Geschäftsleitungs-Schulungspflicht aus § 38 Absatz 3 BSIG [N-BSIG-38] erfüllt werden muss.
• Vertragsmanagement für die Lieferkette — upstream und downstream: IT-Dienstleisterverträge sind auf § 30 Absatz 2 Nummer 4 BSIG-Konformität zu prüfen und gegebenenfalls anzupassen. Je nach Kritikalität der Leistung können Sicherheitsklauseln, Nachweis- und Informationspflichten, Audit- oder Zertifizierungsrechte, Meldeketten, Subdienstleister-Regeln und Exit-Rechte erforderlich sein; sie sind zu vereinbaren, soweit die risikobasierte Angemessenheitsprüfung dies verlangt. Zusätzlich sollte die Einrichtung prüfen, ob sie selbst gegenüber NIS-2-pflichtigen Kunden, KRITIS-Kunden, Konzernkunden, Kreditgebern, Banken, Warenkreditversicherern, Investoren oder wichtigen B2B-Kunden vertragliche Cyber-Nachweise, Audit-Rechte, Meldefristen, Subdienstleister-Freigaben, Zertifikate, Insurance-Maintenance-Klauseln, Covenant-Default-Folgen, MAC-/Sonderkündigungsrechte oder Vorfallbenachrichtigungen akzeptiert hat. Diese Markt- und Vertragspflichten entstehen nicht unmittelbar aus § 38 BSIG, können aber die Dokumentations- und Eskalationspflicht der Geschäftsleitung faktisch verschärfen; sie sind anwaltlich und vertragsbezogen zu prüfen und dürfen nicht als allgemeiner gesetzlicher Standard behauptet werden.
• Meldewege etablieren und testen: Ein dokumentiertes Meldeweg-Verfahren mit 24/7-Erreichbarkeit, klaren Verantwortlichkeiten und einer regelmäßigen Übungs- und Test-Routine. Erst eine geübte Meldekette reduziert das Risiko, dass die 24-Stunden-Frist verfehlt wird. Neben § 32 BSIG [N-BSIG-32] gehört eine §-35-/§-36-Spur in das Krisenverfahren: Empfängerunterrichtung, Kunden-/Nutzerkommunikation, BSI-Rückfragen, mögliche Öffentlichkeitsanordnung, Abstimmung mit Datenschutz-/eIDAS-Mitteilungen, Kommunikationsfreigabe, Privilegierungsprüfung und Dokumentation. Bei von der Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] erfassten Einrichtungsarten und Vertrauensdiensteanbietern ist die EU-Erheblichkeitsschicht zusätzlich mitzudenken.
• D&O-Police überprüfen: Die im Markt verbreitete Mindest-Cap-Untergrenze für den Selbstbehalt nach § 93 Absatz 2 Satz 3 AktG [N-AktG-93] ist amtlich eine Untergrenze, nicht eine Höchstgrenze (vergleiche Faktenfalle 25 im CyberSchutzEngel-Glossar). Die Versicherungsprüfung ist zweispurig zu dokumentieren: D&O-Police: Erfasst sie Organhaftungsansprüche wegen Cyber-, NIS-2- oder BSIG-Pflichtverletzungen, welche Ausschlüsse, Sublimits, Selbstbehalte, Wissentlichkeits-, Notice- und Cooperation-Obliegenheiten gelten, und wie sind Claim-Meldung, Verteidigungskosten und Innenhaftungsansprüche ausgestaltet? Cyber-Police: Erfasst sie Incident-Response-, Forensik-, Wiederherstellungs-, Betriebsunterbrechungs-, Datenschutz-/Drittschaden- und Krisenkommunikationskosten, welche Sicherheitsobliegenheiten, Fragebogenangaben, Sublimits, Ausschlüsse und Provider-Vorgaben gelten, und welche Wechselwirkungen bestehen zur D&O-Meldung? Cyber-Policen sollten nur dann als Organhaftungsdeckung bezeichnet werden, wenn die konkrete Police dies ausdrücklich vorsieht. Im Vorfall sollte die Meldung an D&O-/Cyber-Versicherer als eigener Krisen-Workstream mit Fristen, Zuständigkeit und Privilegierungsprüfung dokumentiert werden. Dabei sind vier Ebenen getrennt zu dokumentieren: zivilrechtliche Organhaftungsansprüche, Verteidigungs- und Beratungskosten in zivilen, aufsichtsrechtlichen und OWiG-Verfahren, Geldbußen gegen Einrichtung oder Organperson und deren Versicherbarkeit oder Erstattbarkeit nach anwendbarem Recht und Police sowie Incident-, Forensik-, Wiederherstellungs-, Betriebsunterbrechungs- und Drittschadenkosten der Cyber-Police. Nach allgemeiner deckungsprozessualer Dogmatik muss der D&O-Versicherer die Voraussetzungen des konkreten Ausschlusstatbestands darlegen und beweisen. BGH, Urteil vom 19. November 2025 — IV ZR 66/25 [R-IV-ZR-66-25], ECLI:DE:BGH:2025:191125UIVZR66.25.0, trägt für den D&O-Wissentlichkeitsausschluss nach Ziffer 6 ULLA den engeren Punkt, dass gerade die Pflichtverletzung aus gesetzlichen Haftpflichtbestimmungen, wegen der die versicherte Person für einen Vermögensschaden in Anspruch genommen wird, wissentlich erfolgt sein muss. Der Fall betraf D&O-Deckung im Kontext insolvenzrechtlicher Pflichten — eine direkte BGH-Entscheidung zu NIS-2-/BSIG-Pflichten liegt darin gerade nicht. Nicht jede Verletzung einer grundlegenden Pflicht (Kardinalpflicht) genügt automatisch für den Ausschluss wegen wissentlicher Pflichtverletzung; aus der Kardinalpflichten-Verletzung darf nicht ohne weiteres auf die positive Kenntnis der konkreten Pflichtverletzung geschlossen werden. Diese Linie ist im Cyber-Innenhaftungs-Kontext analog auf NIS-2- und BSIG-Pflichten zu übertragen — die Übertragung ist eine plausible Risikoeinschätzung, keine direkte BGH-Rechtsprechung zu NIS-2. Sie spricht aber gegen pauschale Deckungsverweigerungen des D&O-Versicherers wegen NIS-2-Pflichtverletzungen und ersetzt nicht die Prüfung der konkreten Versicherungsbedingungen.

14. Zusammenfassung — drei Pflichten, eine Sorgfalts-Architektur

§ 38 BSIG verlangt von der Geschäftsleitung besonders wichtiger Einrichtungen und wichtiger Einrichtungen drei Pflichten: die Umsetzung der zehn Mindestmaßnahmen nach § 30 BSIG, die Überwachung dieser Umsetzung und die regelmäßige Schulung der Geschäftsleitung selbst. Die unmittelbare Verweis-Substanz des § 38 Absatz 1 BSIG [N-BSIG-38] liegt in § 30 BSIG; für Betreiber kritischer Anlagen treten anlagenspezifisch die Zusatz-Anforderungen aus § 31 BSIG [N-BSIG-31] hinzu. § 32 BSIG [N-BSIG-32] regelt eine eigenständige Einrichtungspflicht (Meldepflichten), die nicht unmittelbar in § 38 Absatz 1 BSIG verwiesen ist, aber organisatorisch über § 30 Absatz 2 Nummer 2 BSIG [N-BSIG-30] (Bewältigung von Sicherheitsvorfällen) und die allgemeinen Organpflichten in die Geschäftsleitungsverantwortung hineinwirkt. Wer § 38 BSIG isoliert liest, übersieht die eigentlichen Pflichten-Kataloge.

Die Pflichten sind sektor-agnostisch konstruiert, gelten aber nur innerhalb des Adressatenkreises aus § 28 BSIG [N-BSIG-28] — also bei besonders wichtigen Einrichtungen und wichtigen Einrichtungen — und sind durch eine Reihe von Bereichs-Ausnahmen (Telekommunikations- und Energie-Sektor, DORA-Finanzunternehmen, Telematik-Infrastruktur, bestimmte Gebietskörperschafts-Verwaltungs-Dienstleister) eingegrenzt.

Die Haftungs-Brücke aus § 38 Absatz 2 BSIG aktiviert das Gesellschaftsrecht der jeweiligen Rechtsform. Bei einer Verletzung der Umsetzungs- oder Überwachungspflicht aus Absatz 1 haftet die Geschäftsleitung ihrer Einrichtung nach § 43 GmbHG [N-GmbHG-43], § 93 AktG [N-AktG-93], § 34 GenG [N-GenG-34] oder den entsprechenden Vorschriften. Die Schulungspflicht aus Absatz 3 fällt nicht unmittelbar unter diese Haftungs-Brücke, kann aber über die allgemeinen gesellschaftsrechtlichen Sorgfaltsmaßstäbe eigenständig haftungsrelevant werden. Diese Haftung ist rechtsformspezifisch verschuldensabhängig: Für GmbH-/AG-Konstellationen reicht bereits einfache Fahrlässigkeit aus; bei Stiftungs- und Vereinskonstellationen sind dagegen mögliche gesetzliche oder satzungsmäßige Haftungsprivilegierungen mitzudenken, insbesondere — soweit deren Tatbestand erfüllt ist — die entsprechende Anwendung des § 31a BGB [N-BGB-31a] über § 84a Absatz 3 BGB [N-BGB-84a].

Auf der Sanktions-Ebene treffen sich vier Spuren: zivile Innenhaftung gegenüber der Einrichtung, Bußgelder gegen die Einrichtung mit Reflex auf die Geschäftsleitung, persönliche Bußgelder über § 9 und § 130 OWiG [N-OWiG-130] sowie — bei besonders schweren Pflichtverletzungen — die vorübergehende Untersagung der Tätigkeitsausübung. Die zuständige Aufsichtsbehörde kann auf Mitteilung des Bundesamtes nach § 61 Absatz 9 Satz 2 Nummer 2 BSIG [N-BSIG-61] die Ausübung der Tätigkeit, zu der die Geschäftsleitung nach § 2 Nummer 13 BSIG [N-BSIG-2-13] berufen ist, jedenfalls gegenüber Geschäftsleitungen besonders wichtiger Einrichtungen vorübergehend untersagen. Für wichtige Einrichtungen ist die Anwendung über den allgemeinen Verweis des § 62 BSIG [N-BSIG-62] auf „Maßnahmen nach § 61“ eine auslegungsbedürftige Verweisfrage (siehe Abschnitt 11.4); wegen des §-62-Verweises und der amtlichen Begründung sollte sie in der Risikoanalyse nicht als ausgeschlossen behandelt werden, auch wenn der Wortlaut des § 61 Absatz 9 BSIG selbst auf besonders wichtige Einrichtungen zugeschnitten ist.

Die operative Konsequenz für jede betroffene Geschäftsleitung lautet: die Compliance-Architektur muss dokumentiert, regelmäßig fortgeschrieben und durch förmliche Beschluss-Lagen abgesichert sein. Ohne Dokumentation gelingt im Innenhaftungs-Prozess der Sorgfalts-Nachweis kaum — deshalb ist der Innenhaftungs-Prozess beweisrechtlich eine besonders gefährliche und praktisch zentrale Risikospur.

15. Querverweise innerhalb des CyberSchutzEngel-Korpus

• Adressatenkreis und Schwellen: Selbst-Check für Geschäftsführer — wer ist von NIS-2 betroffen?
• Schulungspflicht der Geschäftsleitung: Schulungspflicht der Geschäftsleitung — Inhalt, Frequenz, Dokumentation, Sanktionen
• Innen-Haftungs-Architektur: Innenhaftung der Geschäftsleitung — Beweislast-Umkehr, Verjährung, D&O-Versicherung, § 148-AktG-Klagezulassung
• Außen-Haftung gegenüber Dritten: Aufsichtsrats-Haftung — § 823, § 826 BGB [N-BGB-826], Artikel 82 DSGVO [EU-DSGVO]
• Meldepflichten § 32 BSIG [N-BSIG-32]: eigener Cluster-A-Pillar zu den NIS-2-Meldepflichten (noch zu publizieren) — Erheblichkeits-Definition, Doppel-Meldungen, freiwillige Meldung
• KRITIS-Spezifik: Konzern, DORA & Insolvenz — Sonderfälle — Sektoren-RVO, Betreiber-Begriff KRITIS-DachG, anlagenspezifische Anforderungen

15a. Schnittstellen zu anderen EU-Cyber-Rechtsakten

Die § 38 BSIG [N-BSIG-38]-Pflichten-Architektur steht nicht isoliert. Die folgenden zusätzlichen, nicht bereits in den vorherigen Ausnahme- und Meldeblöcken vertieften EU-Schichten sind mitzudenken; DORA [EU-DORA] bleibt als lex-specialis-/§-28-Absatz-6-Schicht, eIDAS [EU-eIDAS] als Vertrauensdienste-/Meldeschicht und die Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690] als digitale Einrichtungsarten- und Vertrauensdienste-Schicht gesondert zu lesen:

• KI-VO [EU-KIVO] (Verordnung (EU) 2024/1689): Artikel 4 KI-VO lautet im maßgeblichen Kern: Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Eine ausdrückliche persönliche Schulungspflicht der Geschäftsleitung selbst enthält Artikel 4 KI-VO jedoch nicht — die Norm adressiert „Personal und andere mit Betrieb/Nutzung befasste Personen“. Für die Geschäftsleitung kann sich aber über die allgemeinen gesellschaftsrechtlichen Sorgfalts-, Organisations- und Überwachungspflichten aus § 43 GmbHG [N-GmbHG-43] / § 93 AktG [N-AktG-93] eine eigene Pflicht ergeben, sich ein ausreichendes Verständnis für den rechtskonformen Einsatz von KI-Systemen in der Einrichtung zu verschaffen — insbesondere wenn die Geschäftsleitung strategische Entscheidungen über Freigabe von Beschaffung oder Vertragsgestaltung mit KI-Anbietern trifft. Soweit KI-Systeme selbst Bestandteil der Cybersecurity-Risikomanagementmaßnahmen nach Art. 21 NIS-2 beziehungsweise § 30 BSIG [N-BSIG-30] sind, ist zusätzlich die Governance-Schicht aus Art. 20 Absatz 1 NIS-2 beziehungsweise die deutsche §-38-BSIG-Umsetzungs- und Überwachungsschicht sauber mitzudenken; Art. 20 NIS-2 ist aber keine allgemeine Billigungsnorm für jede KI-Beschaffung. Wer als Geschäftsleitung das Personal zu KI-Kompetenz verpflichtet, ohne selbst die Voraussetzungen zur sinnvollen Anleitung und Überwachung zu haben, verletzt damit nicht unmittelbar Art. 4 KI-VO, kann aber sehr wohl die eigene gesellschaftsrechtliche Organ-Sorgfalt verletzen. Anwendungsbeginn: Artikel 4 KI-VO gehört zu Kapitel I der Verordnung; nach Artikel 113 KI-VO gelten Kapitel I und II amtlich seit dem 2. Februar 2025. verifiziert gegen den amtlichen KI-VO-Volltext (Verordnung (EU) 2024/1689 vom 13. Juni 2024, Artikel 113). Wo eine Einrichtung sowohl NIS-2-pflichtig als auch KI-System-Anbieter oder -Betreiber ist, addieren sich die Schulungs-Pflichten aus § 38 Absatz 3 BSIG (für die Geschäftsleitung selbst) und die KI-Kompetenz-Pflicht aus Artikel 4 KI-VO (für das jeweils erfasste Personal).

• CRA [EU-CRA] (Verordnung (EU) 2024/2847 vom 23.10.2024, ABl. L, 2024/2847, 20.11.2024, in Kraft 10.12.2024): Die Cyberresilienz-Verordnung regelt Sicherheits-Anforderungen an Produkte mit digitalen Elementen entlang ihres gesamten Lebenszyklus. Sie adressiert rollenbezogen insbesondere Hersteller, Importeure und Händler. Mittelbar kann sie die Geschäftsleitung über die allgemeine Sorgfaltspflicht aus § 43 GmbHG / § 93 AktG treffen, soweit der eigene Rechtsträger im konkreten Geschäftsmodell CRA-pflichtiger Wirtschaftsakteur ist oder CRA-Anforderungen als Beschaffungs-, Lieferketten- oder Sicherheitsmaßstab für die Organisation relevant werden. Eigene CRA-Verstöße können dann Innenhaftungsrisiken auslösen; bei reinen Betreibern oder Beschaffern ist die Rolle gesondert zu prüfen. Die wesentlichen CRA-Anforderungen gelten amtlich ab dem 11. Dezember 2027 (Artikel 71 CRA, verifiziert gegen Verordnung (EU) 2024/2847 vom 23. Oktober 2024, ABl. L, 2024/2847, 20.11.2024). Einzelne Teilanwendungen greifen früher: die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ab dem 11. September 2026, die Notifizierung von Konformitätsbewertungsstellen ab dem 11. Juni 2026.

• Produkthaftungs-RL (Richtlinie (EU) 2024/2853 [EU-PHRL]): Die neue Produkthaftungs-Richtlinie ist als Richtlinie nicht dieselbe unmittelbare Pflichtenschicht wie DSGVO [EU-DSGVO], DORA, KI-VO oder CRA. Sie ist aber für Produkte mit digitalen Elementen, Software- und Cybersecurity-Risiken als zukünftige nationale Haftungsschicht mitzudenken. Sicherheitsrelevante Cybersecurity-Anforderungen können bei der Fehlerhaftigkeitsprüfung relevant werden. Für die §-38-BSIG-Praxis bedeutet das keinen zusätzlichen unmittelbaren BSIG-Pflichtenkatalog, aber einen Produkthaftungs- und Regress-Caveat bei Herstellern, Importeuren, Händlern und produktnahen Software-/Update-Rollen.

Die DORA-Schnittstelle (Verordnung (EU) 2022/2554) ist über § 28 Absatz 6 BSIG [N-BSIG-28] bereits in der Bereichs-Ausnahmen-Aufzählung in Abschnitt 3.2 abgedeckt.

16. Kurzantworten auf die 24 Lese-Fragen

1. Was regelt § 38 BSIG im Kern? § 38 BSIG bündelt die Geschäftsleitungspflichten für besonders wichtige und wichtige Einrichtungen: Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.
2. Warum sind es drei Pflichten und nicht nur eine Schulungspflicht? Absatz 1 enthält Umsetzung und Überwachung der §-30-Maßnahmen; Absatz 3 enthält die Schulungspflicht. Wer nur die Schulung organisiert, lässt den eigentlichen Governance-Kern liegen.
3. Wer ist Geschäftsleitung im Sinne des BSIG? Geschäftsleitung ist die natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der besonders wichtigen oder wichtigen Einrichtung berufen ist. Bloße Prokuristen oder interne Führungskräfte sind nicht automatisch BSIG-Geschäftsleitung.
4. Welche Einrichtungen sind erfasst? Erfasst sind Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen nach § 28 BSIG, soweit keine Bereichs-Ausnahme oder kein Spezialregime die konkrete Pflicht ausschließt.
5. Was bedeutet Umsetzung der Risikomanagementmaßnahmen? Umsetzung bedeutet nicht, dass die Geschäftsleitung jedes technische Detail selbst ausführt. Sie muss aber Organisation, Ressourcen, Verantwortlichkeiten, Fristen, Nachweise und Eskalationswege so einrichten, dass die §-30-Maßnahmen tatsächlich wirksam werden können.
6. Was bedeutet Überwachung der Umsetzung? Überwachung heißt: Die Geschäftsleitung darf sich nicht mit einem einmaligen Beschluss begnügen. Sie braucht Statusberichte, Kontrollpunkte, Nachweise, Eskalation bei Abweichungen und eine nachvollziehbare Reaktion auf Warnsignale.
7. Welche Rolle spielt § 30 BSIG? § 30 BSIG ist der materielle Pflichtenkatalog hinter § 38 Abs. 1 BSIG. Die Mindestbereiche aus § 30 Abs. 2 BSIG sind der Startpunkt für die Roadmap, nicht ein unverbindlicher Ideenkatalog.
8. Welche Rolle spielt § 31 BSIG? Bei Betreibern kritischer Anlagen treten anlagenspezifische Anforderungen hinzu. Die Geschäftsleitung muss deshalb prüfen, ob neben § 30 auch § 31, Nachweise, Prüfungen und KRITIS-spezifische Übergangsfragen relevant sind.
9. Warum gehört § 32 BSIG trotzdem in die Geschäftsleitungsakte? § 32 BSIG adressiert die Einrichtung, nicht unmittelbar § 38 Abs. 1. Die Geschäftsleitung muss aber Meldefähigkeit, Erheblichkeitsentscheidung, 24-/72-Stunden-Kaskade, Stellvertretung und Dokumentation organisatorisch sicherstellen.
10. Was ist bei § 35 und § 36 BSIG wichtig? Neben der BSI-Meldung können Empfängerunterrichtung, BSI-Rückfragen, operative Beratung und Öffentlichkeitsanordnungen relevant werden. Incident-Playbooks dürfen deshalb nicht nur § 32 abbilden.
11. Was ist die Haftungs-Brücke in § 38 Abs. 2 BSIG? § 38 Abs. 2 BSIG verweist bei Verletzung der Pflichten aus Absatz 1 auf die jeweils anwendbaren gesellschaftsrechtlichen Innenhaftungsregeln, etwa § 43 GmbHG oder § 93 AktG.
12. Erfasst § 38 Abs. 2 BSIG auch die Schulungspflicht aus Absatz 3? Nicht unmittelbar. Die Schulungspflicht kann aber über allgemeine Organpflichten, Sorgfaltsmaßstäbe, Aufsicht und Beweisführung haftungsrelevant werden.
13. Kann die Geschäftsleitung persönlich mit einem BSIG-Bußgeld belegt werden? § 65 BSIG ist im Ausgangspunkt ein Einrichtungsregime. Persönliche ordnungswidrigkeitenrechtliche Verantwortlichkeit kann nur über allgemeine Zurechnungs- und Aufsichtspflichtschienen wie § 9, § 30 und § 130 OWiG gesondert zu prüfen sein.
14. Was unterscheidet § 61 und § 62 BSIG? § 61 BSIG betrifft Aufsicht und Durchsetzung gegenüber besonders wichtigen Einrichtungen; § 62 BSIG betrifft wichtige Einrichtungen. Die Einrichtungskategorie bleibt deshalb für Aufsicht, Maßnahmen und Eskalation wichtig.
15. Was bedeutet die mögliche Tätigkeitsuntersagung? Bei besonders wichtigen Einrichtungen kann § 61 Abs. 9 Satz 2 Nr. 2 BSIG unter engen Voraussetzungen auch persönliche Aufsichtsfolgen für Leitungsmitglieder ermöglichen. Das ist kein Automatismus, aber ein erheblicher Eskalationspunkt.
16. Wie wirken TKG und EnWG? Telekommunikations- und Energiesachverhalte können durch § 28 Abs. 5 BSIG aus bestimmten BSIG-Pflichten herausgenommen und in fachrechtliche Parallelpflichten nach TKG oder EnWG verschoben werden. Dadurch entsteht kein Pflichten-Vakuum.
17. Wie wirkt DORA? Für erfasste Finanzunternehmen verdrängt § 28 Abs. 6 BSIG bestimmte BSIG-Pflichten; DORA, Finanzaufsicht und gesellschaftsrechtliche Organisationspflichten bleiben aber maßgeblich.
18. Warum sind § 33 und § 34 BSIG eigene Controls? Registrierung, Angaben, Änderungsanzeigen, Nachweise und Aktualisierungspflichten sind eigene Compliance-Spuren. Sie dürfen nicht in der allgemeinen §-30-/§-32-Arbeit untergehen.
19. Warum ist die Zuständigkeit nach § 59/§ 60 BSIG wichtig? Die richtige Behörden- und EU-Zuständigkeit entscheidet über Meldeweg, Kommunikation, Vertreterlogik und Aufsichtsspur, besonders bei digitalen grenzüberschreitenden Einrichtungsarten.
20. Was muss die Geschäftsleitung dokumentieren? Mindestens Adressatenkreis, Bereichsausnahmen, §-30-Matrix, Beschlusslage, Verantwortliche, Überwachungsberichte, Schulungen, Meldewege, Registrierungsstatus, Vertragsschnittstellen und Versicherungs-/Krisenkommunikation.
21. Welche Bedeutung haben Schulungen praktisch? Schulungen sind Pflicht und Entlastungsnachweis zugleich. Sie dürfen aber nicht isoliert stehen: Schulung ohne Umsetzungs- und Überwachungsnachweise löst das §-38-Problem nicht.
22. Welche Rolle spielen Aufsichtsrat oder Verwaltungsrat? Sie sind nicht immer selbst Geschäftsleitung nach § 2 Nr. 13 BSIG, können aber über Überwachungs-, Informations- und Organpflichten eigene Kontroll- und Dokumentationsanforderungen haben.
23. Welche EU-Schnittstellen sind zusätzlich mitzudenken? KI-VO, CRA, Produkthaftungs-Richtlinie, DORA, eIDAS und die Durchführungsverordnung (EU) 2024/2690 können je nach Rolle, Produkt, Branche und Spezialregime zusätzliche Governance- oder Dokumentationsfragen auslösen.
24. Was sollte die Geschäftsleitung jetzt tun? Erstens den Adressatenkreis und die Ausnahmeprüfung dokumentieren, zweitens eine §-30-/§-38-Roadmap mit Verantwortlichen und Nachweisen beschließen, drittens Melde-, Registrierungs-, Schulungs-, Aufsichts- und Vertragsprozesse in einer prüfbaren Pflichtenakte zusammenführen.

17. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

17.1 Nationale Normen

• [N-BSIG-2-11] § 2 Nummer 11 BSIG — erheblicher Sicherheitsvorfall. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-13] § 2 Nummer 13 BSIG — Geschäftsleitung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-22] § 2 Nummer 22/23/24 BSIG — kritische Anlage / kritische Komponenten / kritische Dienstleistung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-Anl1] Anlage 1 BSIG — Sektoren besonders wichtiger und wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html
• [N-BSIKritisV] BSI-Kritisverordnung — Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz; Außerkrafttreten nach § 12 BSI-KritisV mit Inkrafttreten der neuen KRITIS-DachG-Rechtsverordnung. Fundstelle: https://www.gesetze-im-internet.de/bsi-kritisv/
• [N-KRITISDachG-2] § 2 KRITIS-DachG — Begriffsbestimmungen (Betreiber kritischer Anlagen, Anlage, kritische Anlage, kritische Dienstleistung, Vorfall, Resilienz, Geschäftsleitung). Fundstelle: https://www.gesetze-im-internet.de/kritisdachg/__2.html
• [N-KRITISDachG-4] § 4 KRITIS-DachG — Geltungsbereich und Sektoren; Absatz 2 Nichtanwendungen; Absatz 3 Rechtsverordnung. Fundstelle: https://www.gesetze-im-internet.de/kritisdachg/__4.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-29] § 29 BSIG — Einrichtungen der Bundesverwaltung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__29.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-31] § 31 BSIG — besondere Anforderungen für Betreiber kritischer Anlagen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__31.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-35] § 35 BSIG — Unterrichtungspflichten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__35.html
• [N-BSIG-36] § 36 BSIG — Rückmeldungen des Bundesamtes. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__36.html
• [N-BSIG-37] § 37 BSIG — Ausnahmebescheid. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__37.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-56] § 56 BSIG — Verordnungsermächtigungen (Erheblichkeit, Krankenhaus, kritische Komponenten). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__56.html
• [N-BSIG-59] § 59 BSIG — Zuständigkeit des Bundesamtes (allgemein). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__59.html
• [N-BSIG-60] § 60 BSIG — zentrale EU-Zuständigkeit, Hauptniederlassung, EU-Vertreter. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__60.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen; Krankenhaus-Schonfrist (Abs. 3 S. 5), Leitungsuntersagung (Abs. 9). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-BSIG-66] § 66 BSIG — Anwendungsbestimmungen und Übergangsregelungen (KRITIS-DachG-Übergang). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__66.html
• [N-OWiG-9] § 9 OWiG — Handeln für einen anderen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__9.html
• [N-OWiG-17] § 17 OWiG — Höhe der Geldbuße. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__17.html
• [N-OWiG-130] § 130 OWiG — Verletzung der Aufsichtspflicht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__130.html
• [N-GmbHG-35] § 35 GmbHG — Vertretung der GmbH. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__35.html
• [N-GmbHG-37] § 37 GmbHG — Beschränkung der Vertretungsbefugnis. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__37.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-78] § 78 AktG — Vertretung durch den Vorstand. Fundstelle: https://www.gesetze-im-internet.de/aktg/__78.html
• [N-AktG-90] § 90 AktG — Berichte an den Aufsichtsrat. Fundstelle: https://www.gesetze-im-internet.de/aktg/__90.html
• [N-AktG-91] § 91 AktG — Organisation, Risikofrüherkennung, internes Kontrollsystem. Fundstelle: https://www.gesetze-im-internet.de/aktg/__91.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-111] § 111 AktG — Aufgaben und Rechte des Aufsichtsrats. Fundstelle: https://www.gesetze-im-internet.de/aktg/__111.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-AktG-148] § 148 AktG — Klagezulassungsverfahren. Fundstelle: https://www.gesetze-im-internet.de/aktg/__148.html
• [N-HGB-124] § 124 HGB — Rechtsstellung der Personenhandelsgesellschaft. Fundstelle: https://www.gesetze-im-internet.de/hgb/__124.html
• [N-HGB-161] § 161 HGB — Kommanditgesellschaft. Fundstelle: https://www.gesetze-im-internet.de/hgb/__161.html
• [N-HGB-170] § 170 HGB — Vertretung der KG. Fundstelle: https://www.gesetze-im-internet.de/hgb/__170.html
• [N-GenG-24] § 24 GenG — Vorstand der Genossenschaft. Fundstelle: https://www.gesetze-im-internet.de/geng/__24.html
• [N-GenG-25] § 25 GenG — Vertretung der Genossenschaft. Fundstelle: https://www.gesetze-im-internet.de/geng/__25.html
• [N-SEAG-22] § 22 SEAG — Aufgaben des Verwaltungsrats (monistische SE). Fundstelle: https://www.gesetze-im-internet.de/seag/__22.html
• [N-SEAG-40] § 40 SEAG — geschäftsführende Direktoren. Fundstelle: https://www.gesetze-im-internet.de/seag/__40.html
• [N-SEAG-41] § 41 SEAG — Vertretung durch geschäftsführende Direktoren. Fundstelle: https://www.gesetze-im-internet.de/seag/__41.html
• [N-BGB-31a] § 31a BGB — Haftung von Organmitgliedern und besonderen Vertretern. Fundstelle: https://www.gesetze-im-internet.de/bgb/__31a.html
• [N-BGB-84a] § 84a BGB — Rechte und Pflichten der Stiftungsvorstandsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/bgb/__84a.html
• [N-BGB-167] § 167 BGB — Erteilung der Vollmacht. Fundstelle: https://www.gesetze-im-internet.de/bgb/__167.html
• [N-BGB-826] § 826 BGB — sittenwidrige vorsätzliche Schädigung. Fundstelle: https://www.gesetze-im-internet.de/bgb/__826.html
• [N-InsO-15a] § 15a InsO — Antragspflicht bei Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15a.html
• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html
• [N-TKG-165] § 165 TKG — technische und organisatorische Schutzmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/__165.html
• [N-EnWG-5c-5e] §§ 5c bis 5e EnWG — IT-Sicherheit, Melde- und Leitungspflichten Energie. Fundstelle: https://www.gesetze-im-internet.de/enwg_2005/
• [N-KWG-1a] § 1a KWG — Geltung von EU-Rechtsakten (inkl. DORA) für Institute. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__1a.html
• [N-VAG-293] § 293 VAG — Verordnungsermächtigung / DORA-Geltung im Versicherungsaufsichtsrecht. Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__293.html
• [N-SGBV-108] § 108 SGB V — zugelassene Krankenhäuser. Fundstelle: https://www.gesetze-im-internet.de/sgb_5/__108.html
• [N-KRITISDachG] KRITIS-Dachgesetz — BGBl. 2026 I Nr. 66 vom 16.3.2026. Fundstelle: https://www.recht.bund.de/bgbl/1/2026/66/VO
• [N-GmbHG-46] § 46 GmbHG — Aufgabenkreis der Gesellschafter (u. a. Nr. 8: Geltendmachung von Ersatzansprüchen gegen Geschäftsführer; Nr. 5: Entlastung). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__46.html
• [N-GenG-34] § 34 GenG — Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder (über § 41 GenG sinngemäß für Aufsichtsratsmitglieder). Fundstelle: https://www.gesetze-im-internet.de/geng/__34.html
• [N-SEAG-39] § 39 SEAG — Sorgfaltspflicht und Verantwortlichkeit der Verwaltungsratsmitglieder (monistische SE). Fundstelle: https://www.gesetze-im-internet.de/seag/__39.html

17.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• [EU-DVO-2690] Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17.10.2024. Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-KIVO] Verordnung (EU) 2024/1689 (KI-Verordnung). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• [EU-CRA] Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, CRA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
• [EU-CER] Richtlinie (EU) 2022/2557 (CER-Richtlinie). Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2557/oj
• [EU-KMU] Empfehlung 2003/361/EG der Kommission (KMU-Definition). Fundstelle: https://eur-lex.europa.eu/eli/reco/2003/361/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); deutsche Berichtigungen ABl. L 314 vom 22.11.2016, ABl. L 127 vom 23.5.2018 und ABl. L 74 vom 4.3.2021 (konsolidierte Fassung CELEX 02016R0679). Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj
• [EU-PHRL] Richtlinie (EU) 2024/2853 (Produkthaftungs-Richtlinie), ABl. L 2024/2853 vom 18.11.2024. Fundstelle: https://eur-lex.europa.eu/eli/dir/2024/2853/oj

17.3 Rechtsprechung

• [R-ARAG] BGH, Urteil vom 21.04.1997 — II ZR 175/95 — BGHZ 135, 244 — ARAG/Garmenbeck. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-78-24] BGH, Urteil vom 14.10.2025 — II ZR 78/24 — ECLI:DE:BGH:2025:141025UIIZR78.24.1. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-158-06] BGH, Urteil vom 27.10.2008 — II ZR 158/06 — BGHZ 178, 192 — Trabrennbahn. Fundstelle: https://www.bundesgerichtshof.de/
• [R-Neubuerger] LG München I, Urteil vom 10.12.2013 — 5 HK O 1387/10 — Siemens/Neubürger (nicht rechtskräftig; ECLI im amtlichen Entscheidungsumdruck nicht ausgewiesen). Fundstelle: amtlicher Volltext (Bibliothek); Parallelfundstelle NZG 2014, 345.
• [R-OLG-Nbg] OLG Nürnberg, Endurteil vom 30.03.2022 — 12 U 1520/19 (ECLI im amtlichen Entscheidungsumdruck nicht ausgewiesen). Fundstelle: amtlicher Volltext (Bibliothek).
• [R-Centros] EuGH, Urteil vom 09.03.1999 — C-212/97 — Centros — ECLI:EU:C:1999:126. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:61997CJ0212
• [R-Ueberseering] EuGH, Urteil vom 05.11.2002 — C-208/00 — Überseering — ECLI:EU:C:2002:632. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62000CJ0208
• [R-InspireArt] EuGH, Urteil vom 30.09.2003 — C-167/01 — Inspire Art — ECLI:EU:C:2003:512. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62001CJ0167

17.4 Behörden und amtliche Praxis

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/
• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)

17.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

17.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.