Die Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG

1. Was die Schulungspflicht ist

Die Schulungspflicht aus § 38 Absatz 3 des BSI-Gesetzes (BSIG) verpflichtet die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen. Ziel der Schulungen ist, dass die Geschäftsleitung Cyber-Risiken erkennen und bewerten kann und versteht, welche Auswirkungen diese Risiken und die einschlägigen Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste haben.

Die Schulungspflicht steht neben der Umsetzungs- und Überwachungspflicht aus § 38 Absatz 1 BSIG [N-BSIG-38]. § 38 Absatz 1 BSIG lautet amtlich: „Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.“ Die Schulungspflicht steht im NIS-2-Umsetzungsgesetz neben den Umsetzungs- und Überwachungspflichten in § 38 Abs. 1 BSIG. Sie ist nicht nur eine fachliche Vorgabe — sie ist Teil der Compliance-Architektur, mit der die Geschäftsleitung ihre Entlastung im Haftungsfall vorbereiten kann. Schulung ist dabei kein Safe Harbor: sie ersetzt nicht die ordnungsgemäße Umsetzung und Überwachung nach § 38 Abs. 1 BSIG, sondern ist ein wichtiger Baustein der persönlichen Entlastungs-Dokumentation im Innenhaftungs-Prozess.

2. Rechtliche Grundlage und Wortlaut

Die Vorschrift findet sich im Dritten Teil des BSIG (Sicherheit in der Informationstechnik von Einrichtungen), Kapitel 2 (Risikomanagement, Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten):

§ 38 Absatz 3 BSIG. Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können. Quelle: BSI-Gesetz in der Fassung des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung, BGBl. 2025 I Nr. 301 vom 5. Dezember 2025, in Kraft seit 6. Dezember 2025. Aktueller Stand mit Berücksichtigung der Änderungen durch das KRITIS-Dachgesetz vom 11. März 2026, verkündet im BGBl. 2026 I Nr. 66 vom 16. März 2026.

Die Vorschrift setzt Artikel 20 Absatz 2 der NIS-2-Richtlinie [EU-NIS2] um:

Art. 20 Abs. 2 NIS-2-Richtlinie 2022/2555. Die Mitgliedstaaten stellen sicher, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen an Schulungen teilnehmen müssen, und fordern wesentliche und wichtige Einrichtungen auf, allen Mitarbeitern regelmäßig entsprechende Schulungen anzubieten, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Cybersicherheit und deren Auswirkungen auf die von der Einrichtung erbrachten Dienste zu erwerben. Quelle: Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80, CELEX: 32022L2555.

Wichtig ist die deutsche Operationalisierung: Die NIS-2-Richtlinie spricht von „wesentlichen und wichtigen“ Einrichtungen, das BSIG verwendet konsequent die Formulierung „besonders wichtige Einrichtungen und wichtige Einrichtungen“ — als zwei eigenständige Kategorien, deren Zusammenfassung sprachlich als „besonders wichtige und wichtige Einrichtungen“ verkürzt werden mag, juristisch aber die Eigenständigkeit der beiden Kategorien (nach § 28 Abs. 1 BSIG [N-BSIG-28] einerseits und § 28 Abs. 2 BSIG andererseits) verschleifen würde. Auf Ebene der Grundkategorien sollen beide Begriffspaare dieselbe Rollenlogik abbilden: Die deutsche Terminologie weicht vom Wortlaut der Richtlinie ab, knüpft aber an deren Kategorien wesentlicher und wichtiger Einrichtungen an. Ob eine konkrete Einrichtung nach deutschem Recht pflichtig ist, folgt erst aus § 28 BSIG einschließlich Schwellenwerten, Sondertatbeständen und Bereichsausnahmen.

3. Wer adressiert ist

3.1 Adressat: die Geschäftsleitung

Adressat der Schulungspflicht ist jede natürliche Person, die nach § 2 Nr. 13 BSIG [N-BSIG-2-13] Geschäftsleitung der erfassten Einrichtung ist. Bei mehrgliedrigen Geschäftsleitungen ist die Schulungsplanung deshalb personenbezogen zu führen: Ressortzuständigkeiten können Organisation, Vorbereitung und Umsetzung steuern, entbinden aber nicht von der eigenen regelmäßigen Teilnahme- und Kenntnispflicht jedes erfassten Geschäftsleitungsmitglieds. Wechsel, längere Abwesenheiten, Nichtteilnahme oder Weigerung sollten mit Nachholtermin, Eskalationsentscheidung und Protokollspur dokumentiert werden. § 2 Nummer 13 BSIG definiert sie als eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 BSIG [N-BSIG-29] gelten ausdrücklich nicht als Geschäftsleitung. Erfasst sind somit:

• bei der GmbH: die Geschäftsführer (§ 35 GmbHG)
• bei der Aktiengesellschaft: die Vorstandsmitglieder (§ 76 AktG zur Leitung und § 78 AktG zur Vertretung)
• bei der dualistischen SE: die Mitglieder des Leitungsorgans (Vorstandsfunktion) nach Artikel 39 Absatz 1 der Verordnung (EG) Nr. 2157/2001 des Rates vom 8. Oktober 2001 über das Statut der Europäischen Gesellschaft (SE); § 16 SEAG regelt ergänzend die Zahl der Mitglieder des Leitungsorgans
• bei der monistischen SE: die geschäftsführenden Direktoren nach §§ 40, 41 SEAG, weil sie die Geschäfte führen und die Gesellschaft vertreten; der Verwaltungsrat nach § 22 SEAG [N-SEAG-22] leitet die Gesellschaft strategisch und überwacht ihre Umsetzung, ist aber nicht als solcher Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG, soweit das einzelne Verwaltungsratsmitglied nicht zugleich zur Geschäftsführung und Vertretung berufen ist
• bei Personengesellschaften: die zur Vertretung berufenen Gesellschafter; bei der GmbH & Co. KG ist zusätzlich die Geschäftsführung der geschäftsführenden Komplementär-GmbH gesondert zu prüfen, weil die Komplementär-GmbH die KG geschäftsführend und vertretend trägt. Eine KG-bezogene Sorgfaltspflicht der Komplementär-GmbH-Geschäftsführung folgt aus der allgemeinen gesellschaftsrechtlichen Organsorgfalt; eine eigenständige BGH-Leitlinie mit konkretem Aktenzeichen ist hier nicht zitiert
• bei der Genossenschaft: die Vorstandsmitglieder (§ 24 GenG [N-GenG-24] zur Grundvertretung des Vorstands, § 25 GenG [N-GenG-25] zur Vertretung durch Vorstandsmitglieder und § 27 GenG zur Leitung)
• bei Stiftungen, Vereinen und anderen juristischen Personen: die zur Führung der Geschäfte und zur Vertretung berufenen Organmitglieder, beim Verein insbesondere der Vorstand nach § 26 BGB; bei juristischen Personen des öffentlichen Rechts, Anstalten, Zweckverbänden, Eigenbetrieben und rechtlich unselbstständigen Organisationseinheiten von Gebietskörperschaften ist gesondert anhand Errichtungsgesetz, Satzung, Verbandsordnung oder Organisationsrecht zu prüfen, welche natürliche Person beide Merkmale des § 2 Nr. 13 BSIG erfüllt. Vorgelagert bleibt § 28 Abs. 8 BSIG [N-BSIG-28] zu prüfen; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 BSIG gelten nicht als Geschäftsleitung.

Prokuristen und Generalbevollmächtigte fallen nach § 2 Nummer 13 BSIG nicht direkt unter den Adressatenkreis der Schulungspflicht. Sie können zwar rechtsgeschäftlich vertretungsbefugt sein (§§ 48, 54 HGB / § 167 BGB [N-BGB-167]), sind aber regelmäßig nicht nach Gesetz, Satzung oder Gesellschaftsvertrag zugleich zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen — und damit nicht Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG. Sie sind damit auch nicht Adressaten der zivilrechtlichen Innenhaftungs-Brücke nach § 38 Abs. 2 BSIG [N-BSIG-38]. Persönliche Bußgeldverantwortlichkeit über § 130 OWiG [N-OWiG-130] kann im Einzelfall in Betracht kommen: Eine ordnungswidrigkeitenrechtliche Verantwortlichkeit von Prokuristen oder Generalbevollmächtigten über § 9 Abs. 2 OWiG (insbesondere Nr. 1 — Beauftragung mit der Betriebs- oder Teilbetriebsleitung — oder Nr. 2 — ausdrückliche Beauftragung zur eigenverantwortlichen Wahrnehmung dem Betriebsinhaber obliegender Aufgaben) in Verbindung mit § 130 OWiG ist möglich, wenn ihnen tatsächlich entsprechende Leitungs- oder Aufsichtsbefugnisse übertragen wurden und sie diese pflichtwidrig ausüben oder unterlassen. § 130 OWiG knüpft an unterlassene erforderliche Aufsichtsmaßnahmen an; § 9 OWiG [N-OWiG-9] erweitert die Verantwortlichkeit nur unter bestimmten Vertreter- oder Beauftragten-Konstellationen. Die Erfassung als andere verantwortliche Personen ist keine Automatik, sondern eine Frage der konkreten Aufgaben- und Befugnis-Übertragung. Daneben — und für die Geschäftsleitung haftungs-relevant — kann die Nicht-Einbeziehung geschäftsleitungs-naher Bevollmächtigter in das Cyber-Schulungs- und Compliance-System ein Organisationsverschulden der Geschäftsleitung begründen, wenn diese Personen tatsächlich sicherheitsrelevante Leitungs-, Kontroll- oder Aufsichtsfunktionen wahrnehmen und ihre Einbindung zur ordnungsgemäßen Organisation erforderlich ist. Das persönliche Bußgeld nach § 130 Abs. 3 OWiG richtet sich nach der Art der zugrundeliegenden Pflichtverletzung und ist amtlich mehrstufig aufgebaut: § 130 Abs. 3 Satz 1 OWiG setzt das Höchstmaß bei einer Million Euro an, wenn die zugrundeliegende Pflichtverletzung mit Strafe bedroht ist; Satz 2 enthält den amtlichen Verweis „§ 30 Absatz 2 Satz 3 ist anzuwenden“, der für § 130 OWiG eine Höchstmaßregel aus § 30 Abs. 2 OWiG übernimmt; § 130 Abs. 3 Satz 3 OWiG koppelt das Höchstmaß bei bußgeldbedrohten Pflichtverletzungen an das Höchstmaß der jeweiligen Zuwiderhandlung; § 130 Abs. 3 Satz 4 OWiG enthält eine Sonderregelung für die Kollision von Straf- und Bußgeldhöchstmaßen. Für die Schulungs-Anordnungs-Verletzung nach § 61 Abs. 7 BSIG [N-BSIG-61] bedeutet das einen § 130-OWiG-Rahmen bis zur Höhe des § 65 Abs. 5 Satz 1 Nr. 5 BSIG, also bei vorsätzlicher Begehung bis 500.000 Euro; bei fahrlässiger Begehung ist wegen § 17 Abs. 2 OWiG [N-OWiG-17] grundsätzlich ein Höchstrahmen bis 250.000 Euro zugrunde zu legen, weil § 65 Abs. 9 BSIG die Halbierung für § 65 Abs. 5 Satz 1 Nr. 5 BSIG nicht ausschließt. Die hohen § 130-OWiG-Rahmen von 10 / 7 Millionen Euro greifen erst, wenn die zugrundeliegende Pflichtverletzung selbst unter § 65 Abs. 2 Nr. 1d, 2-5 oder 9 BSIG fällt (z. B. Verstöße im Bereich Risikomanagement, Dokumentation, Meldungen, Unterrichtungspflichten oder behördlicher Öffentlichkeitsinformation). In der Praxis sollten Prokuristen und Generalbevollmächtigte deshalb in den Schulungsplan einbezogen werden — zur eigenen Risikobegrenzung und zum Nachweis angemessener Qualifikation ebenso wie zur Vermeidung eines Organisationsverschuldens-Vorwurfs gegen die Geschäftsleitung selbst.

Aufsichtsräte, Beiräte und ähnliche überwachende Organe sind keine Geschäftsleitung im Sinne des BSIG. Dies gilt insbesondere auch für fakultative Beiräte in der GmbH, die im Mittelstand häufig anstelle eines Aufsichtsrats eingesetzt werden. Sie treffen die Schulungspflicht aus § 38 Abs. 3 BSIG nicht direkt; ob sie nachfolgend beschriebenen mittelbaren Pflichten unterliegen, hängt aber von ihrem konkreten Aufgabenprofil ab — also davon, ob ihnen nach Gesellschaftsvertrag, Geschäftsordnung oder tatsächlicher Ausgestaltung aufsichtsratsähnliche Überwachungsaufgaben übertragen sind. Soweit das der Fall ist, kann sich aus ihren Überwachungs- und Beratungspflichten ein entsprechender Qualifikations- und Informationsbedarf ergeben; eine pauschale Gleichstellung mit dem gesetzlichen Aufsichtsrat lässt sich aus § 52 GmbHG dagegen nicht ableiten.

In der Praxis ist das Bild gleichwohl differenzierter. Aufsichtsräte sind nach § 111 AktG (sowie nach den vergleichbaren Vorschriften für die GmbH-Aufsicht oder für SE-Verwaltungsorgane) verpflichtet, die Geschäftsführung zu überwachen. Diese Überwachungsfunktion lässt sich bei Cyber-Risiken nur sachgerecht ausüben, wenn der Aufsichtsrat selbst die Risiken einschätzen, die Risikomanagementpraktiken bewerten und ihre Auswirkungen auf das Geschäft beurteilen kann — also genau die Kompetenzen erlangt, die § 38 Abs. 3 BSIG für die Geschäftsleitung verlangt. Nach vorsichtiger, noch nicht höchstrichterlich gesicherter Lesart kann sich aus Art. 20 Abs. 2 NIS-2-RL und den allgemeinen Überwachungspflichten des Aufsichtsrats (§ 111 AktG, § 116 AktG [N-AktG-116]) ein mittelbarer Qualifikations- und Informationsbedarf des Aufsichtsrats ergeben; eine unmittelbare Schulungspflicht aus § 38 Abs. 3 BSIG folgt daraus für den Aufsichtsrat nicht.

Praktisch bedeutsam ist diese Frage vor allem für die persönliche Entlastung. Ein ungeschulter Aufsichtsrat kann im Schadensfall in Schwierigkeiten geraten, seine Überwachungspflichten sachgerecht darzulegen — eine unmittelbare Schulungspflicht aus § 38 Absatz 3 BSIG besteht zwar nicht; aus § 111 AktG, § 116 AktG und der allgemeinen Überwachungspflicht kann sich aber ein faktischer Qualifikations- und Informationsbedarf ergeben. Ob die Entlastung nach § 120 AktG (oder die vergleichbare Entlastung in anderen Rechtsformen) im Streitfall verweigert oder angefochten wird, hängt vom Einzelfall ab — eine gesicherte höchstrichterliche Rechtsprechung speziell zur Cyber-Schulung des Aufsichtsrats fehlt bislang. Vorsichtige Praxis: Auch der Aufsichtsrat sollte eine Cyber-Grundausbildung absolvieren. Nicht weil § 38 Absatz 3 BSIG ihn unmittelbar adressiert, sondern weil Cyber-Kompetenz erforderlich sein kann, um die Überwachungspflichten aus § 111 AktG und § 116 AktG sachgerecht wahrzunehmen und im Streitfall darzulegen. Die aktienrechtliche Entlastung nach § 120 AktG ist dabei keine pauschale Enthaftung — § 120 Absatz 2 Satz 2 AktG stellt amtlich klar, dass die Entlastung keinen Verzicht auf Ersatzansprüche enthält; sie kann aber praktisch für Vertrauens-, Reputations- und Beschlussmängelrisiken relevant werden.

3.2 Welche Einrichtungen überhaupt erfasst sind

Die Schulungspflicht greift nur, wenn die Einrichtung selbst unter den Anwendungsbereich des BSIG fällt. Wer Energie, Trinkwasser, Verkehr, Krankenversorgung, Banken, IT-Infrastruktur oder eine Reihe weiterer Bereiche betreibt, kann je nach Größe Pflichten aus dem BSIG haben. Wer Einrichtungen außerhalb dieser Bereiche betreibt, ist grundsätzlich nicht erfasst. Die Prüfung, ob deine Einrichtung darunter fällt, erfolgt in zwei Schritten. Wichtige Differenzierung im Konzern: Maßgeblich für die BSIG-Pflichtigkeit ist die einzelne Einrichtung im Sinne der BSIG-Definition, nicht das Unternehmen oder die Konzern-Gruppe. Ein Mischkonzern kann unter einem Dach BSIG-pflichtige und nicht-pflichtige Einheiten haben. Die Prüfung ist deshalb pro Einrichtung im Sinne des § 28 BSIG und pro Sektor-Zuordnung durchzuführen — also je nach Konstellation pro natürliche oder juristische Person, pro Betreiber kritischer Anlagen oder bei Gebietskörperschaften auch pro rechtlich unselbständiger Organisationseinheit; eine reine Rechtspersonen-Betrachtung greift nicht in allen Fällen.

Erster Schritt: Sektor-Zugehörigkeit und Sondertatbestände. Für die größen- und sektorbezogene Regelerfassung ist zunächst zu prüfen, ob die Einrichtung einer in Anlage 1 oder Anlage 2 BSIG aufgezählten Einrichtungsart zuzuordnen ist. Die abschließende Erfassung ergibt sich aber erst zusammen mit den nachfolgend genannten größenunabhängigen Sondertatbeständen, insbesondere dem Betreiber-kritischer-Anlagen-Tatbestand. Anlage 1 BSIG listet amtlich sieben Sektoren auf:

• 1. Energie (Stromversorgung, Fernwärme- und Fernkälteversorgung, Kraftstoff- und Heizölversorgung, Gasversorgung, Wasserstoff)
• 2. Transport und Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr)
• 3. Finanzwesen mit den Branchen 3.1 Bankwesen (Kreditinstitute) und 3.2 Finanzmarktinfrastrukturen (Handelsplätze, zentrale Gegenparteien); DORA [EU-DORA]-pflichtige Finanzunternehmen sind nach § 28 Abs. 6 Nr. 1 BSIG ausgenommen, soweit sie unter Art. 2 Abs. 2 DORA fallen
• 4. Gesundheit (Krankenhäuser, Labore, Arzneimittelhersteller, Medizinproduktehersteller mit kritischer Funktion)
• 5. Wasser (Trinkwasser- und Abwasserversorgung)
• 6. Digitale Infrastruktur (Internet Exchange Points, DNS-Diensteanbieter, TLD Name Registries, Cloud-Computing-Anbieter, Rechenzentren, Content Delivery Networks, Vertrauensdiensteanbieter, Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste sowie Managed Services Provider [MSP] nach Anlage 1 Nr. 6.1.10 und Managed Security Services Provider [MSSP] nach Anlage 1 Nr. 6.1.11)
• 7. Weltraum (Betreiber von Bodeninfrastrukturen, die im Eigentum oder Betrieb der Mitgliedstaaten oder privater Akteure stehen und der Erbringung von im Weltraum betriebenen Diensten dienen)

Anlage 2 listet sieben weitere Sektoren mit eigener Wertschöpfungs- oder Versorgungsfunktion auf:

• Post- und Kurierdienste
• Abfallbewirtschaftung
• Produktion, Herstellung und Handel mit chemischen Stoffen
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln (Großhandel und industrielle Produktion und Verarbeitung)
• Verarbeitendes Gewerbe / Herstellung von Waren (Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte/elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau — Wortlaut nach Anlage 2 Nr. 5 BSIG in der am Standdatum dieses Artikels geltenden Fassung)
• Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke)
• Forschung

Die Anlage-1/2-Systematik arbeitet mit 14 zusammengefassten Sektorgruppen. Im europäischen Sprachgebrauch werden die Sektoren der NIS-2-Richtlinie [EU-NIS2] auf 18 beziffert — das deutsche BSIG bildet diese Sektoren in eigener Struktur ab. Ob eine konkrete Einrichtung erfasst ist, ergibt sich nicht allein aus der Sektor-Anzahl, sondern aus Einrichtungsart, Schwellenwerten, Sondertatbeständen und Bereichsausnahmen (§ 28 BSIG, Anlagen 1 und 2 BSIG, § 28 Abs. 5/6 BSIG).

Zweiter Schritt: Größe und Sondertatbestände. Steht fest, dass eine Tätigkeit einer Einrichtungsart nach Anlage 1 oder Anlage 2 BSIG zuzuordnen ist, genügt dies bei den allgemeinen Auffangtatbeständen des § 28 Abs. 1 Satz 1 Nr. 4 BSIG und des § 28 Abs. 2 Satz 1 Nr. 3 BSIG noch nicht: Die Einrichtung muss anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten. Erst danach entscheiden die Schwellenwerte über die Einordnung. Vernachlässigbarkeitsregel nach § 28 Abs. 3 BSIG. Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können nach § 28 Abs. 3 BSIG amtlich „solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind“. Das ist relevant für Mischbetriebe, die zwar formal eine Anlage-1- oder Anlage-2-Tätigkeit ausüben, bei denen diese Tätigkeit aber im Verhältnis zur Gesamttätigkeit nur einen Bagatell-Anteil ausmacht — etwa eine industrielle Hauptproduktion mit untergeordnetem IT-Service-Anteil. Eine gefestigte Auslegungslinie zur Bagatell-Schwelle besteht noch nicht; in der Risikoanalyse ist diese Bagatell-Spur konservativ zu prüfen und zu dokumentieren. Bei der Bestimmung von Mitarbeiteranzahl, Jahresumsatz und Jahresbilanzsumme ist nach § 28 Abs. 4 Satz 1 BSIG grundsätzlich die KMU-Empfehlung [EU-KMU] 2003/361/EG mit Ausnahme von Artikel 3 Absatz 4 des Anhangs anzuwenden; dies gilt jedoch nicht für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft. Daten von Partner- oder verbundenen Unternehmen im Sinne der Empfehlung der Kommission (2003/361/EG) sind nach § 28 Abs. 4 Satz 2 BSIG nicht hinzuzurechnen, wenn das Unternehmen unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände mit Blick auf die Beschaffenheit und den Betrieb der informationstechnischen Systeme, Komponenten und Prozesse unabhängig von seinen Partner- oder verbundenen Unternehmen ist.

Wichtig: größenunabhängige Sondertatbestände und Sonder-Schwellen. Einige Einrichtungstypen sind aufgrund ihrer systemischen Bedeutung unabhängig von ihrer Größe erfasst. Sie sind kraft Tätigkeit besonders wichtige oder wichtige Einrichtungen, ohne dass es auf Mitarbeiterzahl oder Umsatz ankommt. Dazu zählen nach § 28 Abs. 1 und Abs. 2 BSIG:

• Betreiber kritischer Anlagen nach § 2 Nr. 22 BSIG [N-BSIG-2-22] sind kraft Tätigkeit besonders wichtige Einrichtungen nach § 28 Abs. 1 Nr. 1 BSIG. Dabei ist § 66 BSIG [N-BSIG-66] ausdrücklich mitzulesen: § 2 Nr. 22 und Nr. 24 BSIG sowie § 33 Abs. 2 BSIG [N-BSIG-33] sind erst anzuwenden, wenn eine auf Grundlage von § 4 Abs. 3 und § 5 Abs. 1 KRITIS-DachG [N-KRITISDachG] erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung bleiben § 2 Nr. 22 und Nr. 24 BSIG in der bis einschließlich 16. März 2026 geltenden Fassung anwendbar. Erst danach greift die neue KRITIS-DachG-Verklammerung vollständig. Sie unterliegen zusätzlich den anlagenspezifischen Anforderungen aus § 30 Abs. 1 BSIG [N-BSIG-30] in Verbindung mit § 31 BSIG [N-BSIG-31] und — nach Maßgabe des Übergangsrechts — dem KRITIS-Dachgesetz. Wichtige Begriffs-Abgrenzung: Die ältere KRITIS-Terminologie ist nicht weggefallen — sie bleibt mit der KRITIS-Verordnung für die anlagenbezogene Einordnung weiter relevant. Ein Unternehmen kann „besonders wichtige Einrichtung“ sein, ohne eine „kritische Anlage“ im Sinne der KritisV zu betreiben; umgekehrt sind alle Betreiber kritischer Anlagen kraft Tätigkeit besonders wichtige Einrichtungen.
• Qualifizierte Vertrauensdiensteanbieter (qTSP nach eIDAS [EU-eIDAS]-Verordnung) als besonders wichtige Einrichtungen
• Vertrauensdiensteanbieter als wichtige Einrichtungen (§ 28 Abs. 2 Satz 1 Nr. 1 BSIG)
• Top-Level-Domain-Name-Registries
• DNS-Diensteanbieter
• Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze ab einer mittleren Schwelle (50 Mitarbeiter oder Jahresumsatz und Bilanzsumme jeweils über 10 Mio. €) — und nach § 28 Abs. 2 Nr. 2 BSIG bereits unterhalb dieser Schwelle als _wichtige_ Einrichtung

Zusätzliche Gebietskörperschafts-Ausnahme nach § 28 Abs. 8 BSIG. Gesondert zu prüfen ist § 28 Abs. 8 BSIG: Dieses Gesetz findet keine Anwendung auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften — ausgenommen der Bund — beteiligt sind, wenn sie zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf § 28 Abs. 8 BSIG reguliert werden. Gerade bei kommunalen IT-Dienstleistern, Zweckverbänden, Anstalten oder GmbH-Strukturen darf die Prüfung daher nicht bei „Gebietskörperschaft / rechtlich unselbständige Organisationseinheit“ stehenbleiben; entscheidend sind zusätzlich Errichtungszweck, Beteiligungsstruktur und landesrechtliche Regulierung.

Wichtige Bereichs-Ausnahme nach § 28 Abs. 5 BSIG. Auch wenn Telekommunikations- und Energie-Anbieter nach § 28 Abs. 1 oder Abs. 2 BSIG als besonders wichtige oder wichtige Einrichtungen eingeordnet sein können, gelten die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nach § 28 Abs. 5 Satz 1 BSIG nicht für Einrichtungen, die (Nr. 1) ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen oder (Nr. 2) Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen — weil das Telekommunikations- bzw. das Energiesicherheits-Recht eigene Sicherheitsregelungen mit eigener Aufsicht enthält. Die Schulungspflicht aus § 38 Abs. 3 BSIG greift in diesen Konstellationen daher grundsätzlich nicht. Für Telekommunikations- und Energie-Betreiber ist dabei gesondert zu prüfen und im Artikel kenntlich zu machen, dass das jeweilige Fachrecht eine eigene Geschäftsleitungs-Schulungspflicht enthalten kann; die BSIG-Ausnahme darf nicht als schulungsfreie Zone verstanden werden. § 165 Absatz 2d TKG [N-TKG-165] lautet amtlich: „Die Geschäftsleitungen von Betreibern öffentlicher Telekommunikationsnetze und Anbietern öffentlich zugänglicher Telekommunikationsdienste, die besonders wichtige Einrichtungen im Sinne von § 28 Absatz 1 Satz 1 Nummer 3 des BSI-Gesetzes oder wichtige Einrichtungen im Sinne von § 28 Absatz 2 Satz 1 Nummer 2 des BSI-Gesetzes sind, müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.“ Die TK-Schulungspflicht ist zu § 38 Absatz 3 BSIG inhaltsgleich. § 5e Absatz 3 EnWG lautet amtlich: „Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 muss regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.“ Die EnWG-Schulungspflicht ist zu § 38 Absatz 3 BSIG inhaltsgleich und unterliegt der BNetzA-Aufsicht. Die BSIG-Schulungspflicht aus § 38 Abs. 3 BSIG kann wieder relevant werden, soweit die Rückausnahmen des § 28 Abs. 5 Satz 2 BSIG einschlägig sind — also wenn die Einrichtung über die TK-/Energie-Anlagen hinaus weitere kritische Anlagen nach § 2 Nr. 22 BSIG betreibt oder aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 BSIG bestimmten Einrichtungsarten zuzuordnen ist. Bei der Rückausnahme wegen weiterer kritischer Anlagen ist § 28 Abs. 5 Satz 3 BSIG ausdrücklich mitzulesen: Satz 2 gilt amtlich „für alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind“. Die Rückausnahme ist daher nicht pauschal als grenzenloses Wiederaufleben sämtlicher BSIG-Pflichten zu formulieren, sondern tätigkeits- und systembezogen zu prüfen. Zusätzlich enthält § 28 Abs. 5 Satz 4 BSIG eine Sonder-Regelung für Energieanlagen: Stellt der Betrieb einer Energieanlage nach Satz 1 Nr. 2 im Hinblick auf die gesamte Geschäftstätigkeit nur eine Nebentätigkeit dar, findet die Ausnahme keine Anwendung — die Einrichtung unterliegt dann den vollen BSIG-Pflichten und damit auch der Schulungspflicht aus § 38 Abs. 3 BSIG. Ergebnis der § 28 Absatz 5-Ausnahmeprüfung: Sind die Voraussetzungen des Satzes 1 erfüllt und greifen keine Rückausnahmen nach Satz 2 (weitere kritische Anlagen oder weitere Anlage-1/2-Tätigkeiten) oder Satz 4 (Energie-Nebentätigkeit), ist die Schulungspflicht nach § 38 Abs. 3 BSIG ausgeschlossen; greift eine Rückausnahme, lebt die BSIG-Schulungspflicht im Umfang des einschlägigen Tätigkeits-, Anlagen- oder Systembezugs wieder auf; insbesondere ist bei § 28 Abs. 5 Satz 2 und Satz 3 BSIG zu prüfen, auf welche weiteren kritischen Anlagen, weiteren Tätigkeiten und hierfür erforderlichen informationstechnischen Systeme sich die Rückausnahme bezieht; sind die Tatbestandsmerkmale der Rückausnahmen im Einzelfall nicht sicher feststellbar, bleibt das Ergebnis unklar.

Konkrete Folgen. Wer einer Einrichtungsart nach Anlage 1 oder Anlage 2 BSIG zuzuordnen ist, die jeweiligen Tatbestandsmerkmale des § 28 BSIG erfüllt — bei den allgemeinen Auffangtatbeständen insbesondere das entgeltliche Anbieten von Waren oder Dienstleistungen gegenüber anderen natürlichen oder juristischen Personen — und die einschlägigen Schwellenwerte erreicht, ist vorbehaltlich der Sondertatbestände, Vernachlässigbarkeitsregel und Bereichsausnahmen nach § 28 Abs. 3, 5, 6 und 8 BSIG erfasst. Wer einer dieser Sektorgruppen angehört, aber unterhalb der Schwellen bleibt, ist grundsätzlich nicht erfasst — sofern nicht einer der größenunabhängigen Sondertatbestände greift. Wer keiner Anlage-1/2-Sektorgruppe angehört und keinen größenunabhängigen Sondertatbestand erfüllt, ist grundsätzlich nicht erfasst, unabhängig von Größe und Umsatz.

Was nicht von § 38 Abs. 3 BSIG erfasst ist, ist trotzdem nicht ohne Cyber-Compliance-Pflichten. Auch außerhalb der Schulungspflicht aus § 38 Abs. 3 BSIG können Cyber- und Resilienzpflichten bestehen: DSGVO [EU-DSGVO]-Pflichten bei Verarbeitung personenbezogener Daten, allgemeine gesellschaftsrechtliche Sorgfaltspflichten der Geschäftsleitung nach § 43 GmbHG [N-GmbHG-43] oder § 93 AktG [N-AktG-93], vertragliche Cyber-Anforderungen als Lieferant einer BSIG-pflichtigen Einrichtung (Stichwort Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG) und — bei Betreibern kritischer Anlagen — zusätzliche physische Resilienzpflichten nach dem KRITIS-Dachgesetz. Zu beachten ist allerdings: Wer kritische Anlagen betreibt, ist nach § 28 Abs. 1 Nr. 1 BSIG grundsätzlich besonders wichtige Einrichtung im Sinne dieses Gesetzes; ob im Einzelfall die Schulungspflicht aus § 38 Abs. 3 BSIG entfällt, ist daher gesondert über die Bereichsausnahmen — insbesondere § 28 Abs. 5 BSIG (TK/Energie) und § 28 Abs. 6 BSIG (DORA-Finanzunternehmen) — zu prüfen. Die Frage „Bin ich von NIS-2 betroffen?“ ist daher nicht identisch mit der Frage „Habe ich Cyber-Compliance-Pflichten?“

3.3 Sonderfall DORA: Finanzunternehmen

Für Unternehmen, die von § 28 Abs. 6 Nr. 1 BSIG erfasst werden, gilt § 38 BSIG nicht direkt. Die Ausnahme erfasst Finanzunternehmen nach Artikel 2 Absatz 2 der DORA-Verordnung (Verordnung (EU) 2022/2554) sowie Unternehmen, auf welche die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes [N-KWG-1a] oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes [N-VAG-293] Anwendung finden; für diese Unternehmen gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht. Der Sammelbegriff „Finanzunternehmen“ in DORA Art. 2 Abs. 2 umfasst die in Art. 2 Abs. 1 Buchstaben a bis t aufgeführten Akteure — also Kreditinstitute, Zahlungsinstitute (einschließlich gemäß der Richtlinie (EU) 2015/2366 ausgenommener Zahlungsinstitute), Kontoinformationsdienstleister, E-Geld-Institute (einschließlich gemäß der Richtlinie 2009/110/EG ausgenommener E-Geld-Institute), Wertpapierfirmen, Anbieter von Krypto-Dienstleistungen, die nach dem DORA-Wortlaut gemäß einer Verordnung des Europäischen Parlaments und des Rates über Märkte für Kryptowerte — heute Verordnung (EU) 2023/1114 (MiCA) — zugelassen sind, und Emittenten wertreferenzierter Token, Zentralverwahrer, zentrale Gegenparteien, Handelsplätze, Transaktionsregister, Verwalter alternativer Investmentfonds, Verwaltungsgesellschaften, Datenbereitstellungsdienste, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, Einrichtungen der betrieblichen Altersversorgung, Ratingagenturen, Administratoren kritischer Referenzwerte, Schwarmfinanzierungsdienstleister und Verbriefungsregister. Für die DORA-Pflichtigkeit ist diese Art.-2-Abs.-2-Zuordnung jedoch zusammen mit den Ausnahmen des Art. 2 Abs. 3 DORA zu lesen, insbesondere für Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, die Kleinstunternehmen oder kleine oder mittlere Unternehmen sind, sowie für die weiteren dort genannten Ausnahmegruppen. Buchstabe u (IKT-Drittdienstleister) ist ausdrücklich nicht in Abs. 2 enthalten und damit auch nicht von der BSIG-Ausnahme erfasst. DORA ist insoweit lex specialis: Die regulatorische Aufsicht über die Schulungspflicht von Finanzunternehmen liegt bei der zuständigen Finanzaufsicht — in Deutschland regelmäßig BaFin und Deutsche Bundesbank, nicht beim Bundesamt für Sicherheit in der Informationstechnik [B-BSI].

Art. 5 Abs. 4 DORA enthält eine funktional vergleichbare, aber nicht deckungsgleiche Leitungsorganpflicht: Mitglieder des Leitungsorgans eines Finanzunternehmens müssen ausreichende Kenntnisse und Fähigkeiten zu den zu managenden IKT-Risiken aktiv auf dem neuesten Stand halten; regelmäßige spezifische, zum IKT-Risiko angemessene Schulungen sind dabei ein ausdrücklich genanntes Mittel (amtlicher Wortlaut „unter anderem indem sie regelmäßig spezielle Schulungen absolvieren“), während § 38 Abs. 3 BSIG die regelmäßige Schulungsteilnahme selbst als Pflicht der Geschäftsleitung besonders wichtiger Einrichtungen und wichtiger Einrichtungen ausgestaltet. Die Detailausgestaltung der DORA-Leitungsorganpflicht folgt primär DORA selbst, den einschlägigen delegierten Rechtsakten/technischen Regulierungs- und Durchführungsstandards sowie der Auslegung der europäischen und national zuständigen Aufsichten; in Deutschland sind BaFin und Deutsche Bundesbank für viele Finanzunternehmen zentrale Aufsichtsakteure. Diese Details sind nicht Gegenstand dieses Artikels.

Wichtig zur Abgrenzung: Die DORA-lex-specialis-Wirkung erfasst die regulatorische Aufsicht. Die gesellschaftsrechtliche Grundhaftung der Geschäftsleitung über § 43 GmbHG und § 93 AktG sowie — für Aufsichtsratsmitglieder — die Verantwortlichkeit nach § 116 AktG i.V.m. § 93 AktG bleiben davon unberührt. Eine Geschäftsleitung, die in einem DORA-pflichtigen Finanzunternehmen ihre Pflichten verletzt, haftet nach allgemeinen gesellschaftsrechtlichen Grundsätzen — DORA suspendiert das Gesellschaftsrecht nicht.

Weitere Bereichsausnahme nach § 28 Abs. 6 Nr. 2 BSIG: Telematikinfrastruktur. Neben den DORA-Finanzunternehmen nach Nummer 1 nimmt § 28 Abs. 6 Nr. 2 BSIG auch bestimmte Akteure der Telematikinfrastruktur amtlich aus dem Geltungsbereich der §§ 30, 31, 32, 35, 36, 38 und 39 BSIG heraus: namentlich die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste sowie Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen. Da § 38 in dieser Ausnahmeliste steht, betrifft die Ausnahme amtlich auch die Schulungspflicht aus § 38 Absatz 3 BSIG. Ergebnis der § 28 Absatz 6 Nummer 2-Ausnahmeprüfung: Greift die Telematik-Ausnahme für den konkreten Rechtsträger und Tätigkeitsbezug, ist die Schulungspflicht aus § 38 Absatz 3 BSIG insoweit ausgeschlossen. Greift sie nicht — etwa weil die Tätigkeit nicht in einem der genannten SGB-V-Bezüge liegt —, bleibt die Schulungspflicht bestehen, sofern die Einrichtung im Übrigen unter § 28 BSIG fällt. Ist im Einzelfall unklar, ob die konkrete TI-Rolle unter die genannten SGB-V-Bezüge fällt, bleibt das Ergebnis unklar.

Konzern-Konstellation Finanz-Holding mit IT-Tochter: Die § 28 Abs. 6 Nr. 1 BSIG-Ausnahme gilt für Finanzunternehmen nach Art. 2 Abs. 2 DORA sowie für weitere Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund der in § 28 Abs. 6 Nr. 1 BSIG genannten nationalen Verweisungen gelten. Wenn eine Bank ihre IT-Dienstleistungen aus einer rechtlich selbständigen Tochtergesellschaft bezieht, ist diese IT-Tochter regelmäßig kein Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA — auch wenn sie über Art. 2 Abs. 1 Buchstabe u DORA als IKT-Drittdienstleister in den DORA-Geltungsbereich fallen kann. Die § 28 Abs. 6 Nr. 1 BSIG-Ausnahme greift damit nicht; daraus folgt aber noch keine automatische BSIG-Pflichtigkeit der IT-Tochter. Sie kann eigenständig unter den BSIG-Anwendungsbereich fallen — etwa als IT-Service-Anbieter in der digitalen Infrastruktur, wenn die Voraussetzungen des § 28 BSIG und der einschlägigen Einrichtungsart erfüllt sind. In der Praxis können solche IT-Töchter je nach konkretem Leistungsbild als Einrichtungen im Sinne der Anlage 1 BSIG Sektor Digitale Infrastruktur einzuordnen sein, insbesondere als Managed Services Provider nach Anlage 1 Nr. 6.1.10 BSIG oder Managed Security Services Provider nach Anlage 1 Nr. 6.1.11 BSIG — Voraussetzung ist, dass die Tochter materiell die jeweilige Einrichtungsart erfüllt (die in Anlage 2 BSIG enthaltenen Anbieter digitaler Dienste erfassen demgegenüber nur Online-Marktplätze, Online-Suchmaschinen und Plattformen sozialer Netzwerke, nicht MSP/MSSP). Je nach Größe und Schwellenwerten nach § 28 BSIG kann die IT-Tochter dabei eine besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG: ≥ 250 Mitarbeiter oder Umsatz > 50 Mio. EUR und Bilanzsumme > 43 Mio. EUR) oder eine wichtige Einrichtung (§ 28 Abs. 2 BSIG: ≥ 50 Mitarbeiter oder Umsatz und Bilanzsumme jeweils > 10 Mio. EUR) sein. Die BSIG-Pflichtigkeit hängt dabei nicht davon ab, ob die IT-Tochter am offenen Markt oder nur konzernintern für die Mutter tätig wird — die Konzern-Innen-Konstellation entlastet allein nicht. Entscheidend ist allerdings, dass die IT-Tochter als rechtlich selbständige Einrichtung anderen juristischen Personen entgeltlich IT- oder Sicherheits-Dienste erbringt (§ 28 Abs. 1 Nr. 4 / Abs. 2 Nr. 3 BSIG knüpfen amtlich an entgeltliche Leistungen gegenüber anderen natürlichen oder juristischen Personen an), einer Einrichtungsart nach Anlage 1 oder 2 BSIG zuzuordnen ist — etwa als MSP (Anlage 1 Nr. 6.1.10) oder MSSP (Anlage 1 Nr. 6.1.11) — und die maßgeblichen Schwellenwerte nach § 28 BSIG erreicht. Eine reine „Konzern-Innen-Dienstleisterin“ ist daher nicht automatisch BSIG-pflichtig; sie ist es aber, sobald die Sektor-, Entgeltlichkeits- und Schwellenwert-Voraussetzungen im Einzelfall erfüllt sind — dann ebenso wie eine extern tätige IT-Gesellschaft, mit der Folge einer eigenständigen Schulungspflicht ihrer Geschäftsleitung nach § 38 Abs. 3 BSIG. Die Tochter ist dann selbst NIS-2-pflichtig und ihre Geschäftsleitung trifft die Schulungspflicht aus § 38 Abs. 3 BSIG, unabhängig davon, dass die Mutter unter DORA reguliert wird. In Finanz-Konzernen mit eigener IT-Holding ist die Schulungspflicht damit auf zwei Ebenen zu prüfen: Mutter unter DORA-Aufsicht, IT-Tochter unter BSIG-Aufsicht. Ergebnis der § 28 Absatz 6-Ausnahmeprüfung: Für das von § 28 Abs. 6 Nr. 1 BSIG erfasste DORA-regulierte Unternehmen ist die Schulungspflicht aus § 38 Absatz 3 BSIG ausgeschlossen; es gilt die parallele DORA-Schulungspflicht aus Artikel 5 Absatz 4 DORA. Für rechtlich selbständige IT-Töchter oder andere Konzernunternehmen bleibt die BSIG-Pflicht bestehen, wenn sie selbst die Sektor-, Entgeltlichkeits- und Schwellenwert-Voraussetzungen nach § 28 BSIG erfüllen. Ist die Einordnung als Finanzunternehmen (Artikel 2 Absatz 2 DORA) oder als reiner IKT-Drittdienstleister (Artikel 2 Absatz 1 Buchstabe u DORA) im Einzelfall nicht sicher feststellbar, bleibt das Ergebnis unklar.

4. Was genau geschult werden muss — die drei Lerngebiete

Der Wortlaut von § 38 Abs. 3 BSIG [N-BSIG-38] beschreibt das Schulungsziel in zwei Stufen, die zusammen drei eigenständige Lerngebiete ergeben:

Alle drei Lerngebiete sind im Wortlaut gleichrangig genannt. Eine Schulung, die nur eines oder zwei der drei Gebiete abdeckt, erfüllt die Vorgabe nach § 38 Abs. 3 BSIG nicht vollständig. Die amtlichen Gesetzesmaterialien zum NIS2UmsuCG bestätigen diese Lesart.

4.1 Konkretisierung durch die BSI-Handreichung

Die BSI-Handreichung „NIS-2-Geschäftsleitungsschulung“ in der Fassung vom 17. April 2026 (Prüfstand Mai 2026) konkretisiert in Kapitel 2 für jedes der drei Lerngebiete einen Katalog von SOLL-Anforderungen. Diese Konkretisierungen sind keine bindende Rechtsquelle, geben aber das Verständnis des BSI von Scope und Anspruch der Schulungspflicht wieder und sind damit eine wichtige Orientierungshilfe für Schulungsanbieter und Geschäftsleitungen.

Für das erste Lerngebiet — Risikoanalyse — soll die Geschäftsleitung einen Überblick über Sinn, Ziele und zentrale Begriffe des Risikomanagements als systematischen Prozess erhalten, verstehen, wie Risiken identifiziert, bewertet und überwacht werden, zentrale Risikoquellen, Schwachstellen und Schutzbedarfe im Kontext der eigenen Einrichtung kennen, mit Grundbegriffen wie Eintrittswahrscheinlichkeit, Schadensart, Schadensausmaß und Risikoakzeptanz vertraut gemacht werden und verstehen, dass Risikomanagement ein kontinuierlicher Prozess ist.

Für das zweite Lerngebiet — Risikomanagementpraktiken — soll die Geschäftsleitung wissen, dass Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen und dokumentieren müssen, dass diese Maßnahmen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit vermeiden sollen, dass die Maßnahmen den jeweils aktuellen Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen müssen, sowie verstehen, wie Maßnahmen ausgewählt, umgesetzt, priorisiert und überprüft werden. Die Geschäftsleitung soll außerdem einen Überblick über Strategien zur Risikobehandlung (Vermeidung, Minderung, Übertragung, Akzeptanz) erhalten und einen ihrer Funktion und Rolle angemessenen Überblick über wesentliche implementierte und geplante Maßnahmen der eigenen Einrichtung haben.

Für das dritte Lerngebiet — Auswirkungen — soll die Geschäftsleitung betriebliche, wirtschaftliche und regulatorische Auswirkungen einschätzen können, Risiken und Maßnahmen gemeinsam bewerten, Cybersicherheitsrisiken als Geschäftsrisiken einordnen, Abhängigkeiten zwischen IT-Systemen, Prozessen und Dienstleistungen erkennen und Zielkonflikte zwischen Sicherheitsmaßnahmen und Dienstleistungserbringung ausgewogen bewerten können.

Die BSI-Handreichung enthält in Kapitel 3 zusätzlich eine ausführliche Liste von Leitfragen, an denen die Geschäftsleitung selbst prüfen kann, ob sie den Stoff verstanden hat — von Fragen zum Geltungsbereich des BSIG bis zu spezifischen Fragen zu einzelnen Risikomanagementmaßnahmen. Diese Leitfragen sind ein wertvoller Selbstkontroll-Maßstab und sollten Bestandteil jeder strukturierten Schulungs-Vorbereitung sein.

5. Was das Gesetz nicht regelt — Frequenz, Form, Dauer

Der Gesetzestext verwendet das Wort „regelmäßig“ und konkretisiert weder Frequenz noch Form noch Dauer. Daraus ergeben sich für die Praxis vier offene Punkte:

5.1 Frequenz

„Regelmäßig“ bedeutet, dass die Schulung in einem nachvollziehbaren Rhythmus wiederholt wird. Der Gesetzeswortlaut des § 38 Abs. 3 BSIG [N-BSIG-38] nennt keine konkrete Frequenz; die amtliche Gesetzesbegründung konkretisiert den Begriff jedoch: Nach der Bundestagsdrucksache 21/1501, Begründung zu § 38 Absatz 3 BSIG, gelten als „regelmäßig“ im Sinne dieser Vorschrift „Schulungen, die mindestens alle 3 Jahre angeboten werden“. Dieser Drei-Jahres-Maßstab ist als amtliche Auslegungshilfe für Behörden und Gerichte stark indiziell, aber nicht selbst Tatbestandsmerkmal des § 38 Abs. 3 BSIG. Das BSI hat die Handreichung zur Geschäftsleitungsschulung im Verlauf des Jahres 2025/2026 mehrfach aktualisiert; in der zum Stand Mai 2026 aktuellen Fassung der BSI-Handreichung wird im Wortlaut betont: „Das BSIG macht zu Intervall und Dauer der verpflichtenden Schulungen von Geschäftsleitungen keine konkreten Vorgaben über den Begriff ‚regelmäßig' hinaus.“ Stattdessen empfiehlt das BSI, Intervall und Dauer dem Risiko angemessen zu wählen und sich nach der Risikoexposition der Einrichtung und den individuellen Fähigkeiten der Geschäftsleitungen zu richten. Daneben nennt die BSI-FAQ im Zusammenhang mit der Gesetzesbegründung einen Zeitraum von mindestens vier Stunden innerhalb von drei Jahren, weist aber zugleich darauf hin, dass eine 4-stündige Schulung in den allermeisten Fällen nicht ausreichen wird. Die vier Stunden sollten daher nicht als Regeldauer, sondern allenfalls als untere Orientierung verstanden werden; Intervall und Dauer sind risikoadäquat nach Risikoexposition der Einrichtung und Vorwissen der Geschäftsleitung zu bestimmen und zu dokumentieren.

Vier konkrete Anlässe für Folgeschulungen werden in der Handreichung ausdrücklich genannt: Wechsel in der Geschäftsleitung, signifikante Änderungen in den Geschäftsprozessen, signifikante Änderungen der Risikoexposition und signifikante Änderungen bei implementierten oder geplanten Risikomanagementmaßnahmen.

In der Praxis kann ein jährlicher Turnus als freiwillig strengerer Rhythmus gewählt werden, ergänzt um anlassbezogene Schulungen bei wesentlichen Änderungen der Bedrohungslage oder der eigenen IT-Architektur. Der Gesetzeswortlaut des § 38 Absatz 3 BSIG verlangt jedoch nur „regelmäßig“ und enthält keine jährliche Frequenz. Da Versicherer ihre Prämien risikoadjustiert kalkulieren, kann eine nachvollziehbar dokumentierte und risikoadäquate Schulungsfrequenz in der Risikoprüfung positiv berücksichtigt werden und sich auf die Vertragsbedingungen einer D&O- oder Cyber-Versicherung auswirken. Ob und in welcher Größenordnung sich das auf Prämien oder Bedingungen auswirkt, hängt vom jeweiligen Versicherer und der weiteren Marktentwicklung ab.

Wichtig: Eine vom Gesetz nicht vorgegebene Frequenz ist nicht das Gleiche wie keine Pflicht. Wer keinerlei wiederkehrenden Schulungsrhythmus dokumentieren kann, riskiert, dass die Aufsicht im Einzelfall die Erfüllung der Pflicht verneint. Eine schriftliche Dokumentation der Schulungspolitik (etwa: „mindestens einmal im Jahr und zusätzlich anlassbezogen“) schafft hier Klarheit gegenüber der Aufsicht.

5.2 Form

Das Gesetz gibt keine Form vor. Mangels gesetzlicher Formvorgabe kommen Präsenzschulungen, Webinare, E-Learning-Kurse, individuelle Coachings und Mischformen in Betracht, sofern sie nach Inhalt, Dauer, Interaktion, Identitäts-/Teilnahmenachweis und Dokumentation geeignet sind, den Kenntnis- und Fähigkeitserwerb nach § 38 Abs. 3 BSIG nachvollziehbar zu ermöglichen. Für Aufsichts-, Versicherungs- und Innenhaftungszwecke sollte die Teilnahme nachvollziehbar dokumentiert werden — etwa mit Inhalt, Datum, Teilnehmenden, Dauer und Schulungsanbieter oder interner Schulungsstelle. Diese Dokumentation ist keine zusätzliche gesetzliche Formvoraussetzung der Schulungsteilnahme selbst; sie dient dem Nachweis, dass die Pflicht aus § 38 Abs. 3 BSIG erfüllt wurde.

5.3 Dauer

Auch hier enthält § 38 Abs. 3 BSIG keine Minuten- oder Stunden-Vorgabe. Die Dauer muss aus Sicht der Einrichtung risikoadäquat begründet werden und geeignet sein, die drei gesetzlichen Lernziele zu erreichen; „angemessen“ ist dabei kein im Gesetz definierter fester Zeitwert. In der Praxis bewegen sich strukturierte Schulungen für Geschäftsleitungen in einer Spanne von wenigen Stunden bis zu mehrtägigen Programmen — abhängig von der Vorbildung der Adressaten und der Komplexität des eigenen Unternehmens.

5.4 Schulungsnachweis

Der Gesetzestext verlangt keinen formellen Schulungsnachweis als Voraussetzung für die Erfüllung der Pflicht. Für die persönliche Entlastungs-Dokumentation ist der Nachweis aber zentral — denn die Geschäftsleitung muss im Streitfall darlegen können, ihre Pflicht aus § 38 Abs. 3 BSIG erfüllt zu haben. Die BSI-Handreichung in der zum Stand Mai 2026 aktuellen Fassung nennt unter dem Punkt zur Dokumentation die folgenden Mindestangaben einer aussagekräftigen Schulungsdokumentation:

• Angaben zum Schulungsanbieter oder zur internen Stelle
• Angaben zu den geschulten Teilnehmenden mit Name und Rolle/Funktion in der Organisation
• Datum, Uhrzeit und Dauer der Schulungseinheiten
• Behandelte Unterrichtsinhalte und ‑formate mit Bezug zu den gesetzlichen Vorgaben aus § 38 Abs. 3 BSIG

Praktisch bewährt hat sich ergänzend die Unterschrift des Geschäftsleitungsmitglieds als Bestätigung der Teilnahme. Eine vom Teilnehmenden unterschriebene Bestätigung wird im Zivilprozess als Privaturkunde im Sinne des § 416 ZPO geführt — die Beweiskraft erstreckt sich nach § 416 ZPO allerdings nur darauf, dass die enthaltene Erklärung — also der Akt der Teilnahme-Bestätigung — vom Aussteller stammt, nicht auf die inhaltliche Tiefe der Schulung. Diese inhaltliche Substanz wird über die Schulungsunterlagen und eine etwaige Lernerfolgskontrolle nachgewiesen.

Die BSI-Handreichung benennt als Mindestangaben einer aussagekräftigen Schulungsdokumentation die oben aufgeführten Punkte (Anbieter/interne Stelle, Teilnehmende mit Name und Rolle, Datum/Uhrzeit/Dauer, behandelte Inhalte mit § 38 Abs. 3-Bezug). Als Best-Practice-Verdichtung kann die Dokumentation darüber hinaus auch den Wiederholungsrhythmus, den organisatorischen Rahmen, die Anbieterqualifikation, den Praxisbezug und etwaige Lernerfolgskontrollen abbilden. Ob die Schulung auch geeignet war, die nach § 38 Abs. 3 BSIG erforderlichen Kenntnisse und Fähigkeiten zu vermitteln, ergibt sich zusätzlich aus Schulungsunterlagen, Anbieter-Qualifikation, Praxisbezug und gegebenenfalls Lernerfolgskontrollen. Schulungs-Dokumentation und Risikomanagement-Dokumentation gehören dabei zusammen und werden im Streitfall gemeinsam gewürdigt. Im Innenhaftungs-Prozess kann eine bloße Anwesenheits-Bescheinigung als alleiniger Entlastungsbeweis zu wenig sein, wenn spätere Risikomanagement-Entscheidungen erkennen lassen, dass zentrale Schulungsinhalte nicht verstanden oder nicht berücksichtigt wurden. § 38 Abs. 3 BSIG verlangt im Wortlaut das Erlangen von Kenntnissen und Fähigkeiten — die Norm ist damit eine Teilnahme- und Qualifikations-Pflicht mit Zielrichtung, aber keine verschuldensunabhängige Erfolgshaftung für jeden späteren Management-Fehler. Entscheidend bleibt die Gesamtwürdigung von Schulung, Dokumentation, Umsetzung und Überwachung im Einzelfall.

Verhältnis zur Sorgfalt nach § 43 GmbHG [N-GmbHG-43] und § 93 AktG [N-AktG-93]. Die ordnungsgemäße Teilnahme an einer geeigneten Schulung kann die Vorgabe aus § 38 Abs. 3 BSIG erfüllen — sie ist aber nicht zugleich Erfüllung der gesellschaftsrechtlichen Sorgfaltspflicht aus § 43 GmbHG oder § 93 AktG. Die Schulung ist die Voraussetzung des Kompetenz-Erwerbs, nicht der Ersatz einer sorgfältigen operativen Risikomanagement-Entscheidung. Bei konkreten Priorisierungs-, Budget- und Maßnahmenentscheidungen kann — soweit ein echter unternehmerischer Beurteilungsspielraum besteht — die Business-Judgment-Rule bzw. ein entsprechender Sorgfaltsmaßstab relevant werden. Dieser Spielraum schützt jedoch nicht die Nichtbeachtung gebundener Compliance-Mindestpflichten, insbesondere nicht die Pflicht zur Umsetzung und Überwachung der nach § 30 BSIG [N-BSIG-30] erforderlichen Maßnahmen und nicht die Teilnahme-/Qualifikationspflicht aus § 38 Abs. 3 BSIG. War die Schulung inhaltlich ungeeignet oder nach Inhalt, Dauer und Zuschnitt nicht darauf angelegt, den erforderlichen Kenntnis- und Fähigkeitserwerb zu ermöglichen, spricht dies dafür, dass die § 38 Abs. 3 BSIG-Pflicht nicht vollständig erfüllt wurde. War die Schulung dagegen geeignet und die erforderlichen Kenntnisse vermittelt, liegt ein späteres Nichtumsetzen erkannter Risiken primär auf der Ebene von § 38 Abs. 1 BSIG, § 30 BSIG und der allgemeinen gesellschaftsrechtlichen Sorgfaltspflicht aus § 43 GmbHG / § 93 AktG — nicht mehr auf der Schulungs-Ebene.

6. Sanktionen und Folgen einer Pflichtverletzung

6.1 Bußgeld nach § 65 BSIG

Eine Verletzung der Schulungspflicht aus § 38 Abs. 3 BSIG [N-BSIG-38] ist nicht direkt im Bußgeldkatalog des § 65 Abs. 2 BSIG genannt — dort wird § 38 nicht eigenständig aufgeführt. Allerdings nimmt § 61 Abs. 1 BSIG [N-BSIG-61] die Pflicht aus § 38 Abs. 3 ausdrücklich in den Kreis der Pflichten auf, deren Erfüllung das Bundesamt durch Audits, Prüfungen oder Zertifizierungen prüfen lassen kann. § 62 BSIG [N-BSIG-62] verweist für wichtige Einrichtungen entsprechend auf § 38 Abs. 3.

Kommt eine Einrichtung der Schulungspflicht nicht ordnungsgemäß nach, kann das Bundesamt bei besonders wichtigen Einrichtungen nach § 61 Abs. 7 BSIG und bei wichtigen Einrichtungen nach § 62 BSIG (ex-post-Aufsichtsmodell bei Anhaltspunkten für eine nicht ordnungsgemäße Umsetzung) Anordnungen zur Umsetzung der Pflicht erlassen. Die Verletzung einer solchen vollziehbaren Anordnung ist amtlich über § 65 Absatz 2 Nummer 1 Buchstabe c BSIG bußgeldbewehrt — denn § 65 Abs. 2 Nr. 1c BSIG erfasst ausdrücklich Anordnungen nach „§ 61 Absatz 3 Satz 1 oder Absatz 6 Satz 1 oder 3 oder Absatz 7 Satz 1 oder 3 oder Absatz 8, jeweils auch in Verbindung mit § 62“. Die Bußgeldhöhe richtet sich nach § 65 Absatz 5 Satz 1 Nummer 5 BSIG: Der Höchstrahmen beträgt für vorsätzliche Verstöße nach Nummer 1 Buchstabe c bis zu 500 000 Euro. Bei fahrlässiger Begehung ist § 17 Abs. 2 OWiG [N-OWiG-17] mitzudenken: Da § 65 Abs. 9 BSIG die Halbierung nach § 17 Abs. 2 OWiG nur für § 65 Abs. 5 Satz 1 Nr. 1 sowie für § 65 Abs. 6 und 7 BSIG ausschließt, bleibt sie für den § 65 Abs. 5 Satz 1 Nr. 5-Bereich anwendbar; der Fahrlässigkeitshöchstrahmen liegt daher grundsätzlich bei 250 000 Euro. Die hohen Stufen von 10 000 000 Euro / 7 000 000 Euro sowie die umsatzbezogenen Höchstbeträge nach § 65 Absatz 6 und 7 BSIG (2 Prozent / 1,4 Prozent weltweiter Gesamtumsatz) gelten amtlich nicht für Anordnungs-Verletzungen nach § 61 Absatz 7 BSIG, sondern ausschließlich für die in Abs. 6 und 7 genannten Tatbestände (Absatz 2 Nr. 1 Buchstabe d, Nr. 2 bis 5 und Nr. 9 — also insbesondere: § 35 BSIG [N-BSIG-35], § 36 Abs. 2 BSIG, § 30 BSIG [N-BSIG-30] und § 32 BSIG [N-BSIG-32]). Damit gilt für eine Schulungs-Anordnungs-Verletzung als Höchstmaß:

• § 65 Absatz 5 Satz 1 Nummer 5 BSIG: bei vorsätzlicher Begehung bis zu 500.000 Euro; bei fahrlässiger Begehung wegen § 17 Abs. 2 OWiG grundsätzlich bis zu 250.000 Euro (für Verstöße gegen Anordnungen nach § 61 Abs. 7 BSIG, auch i.V.m. § 62 BSIG, die unter Nr. 1 Buchstabe c fallen).
• Keine umsatzbezogenen 2 %- / 1,4 %-Stufe: Die umsatzbezogenen Höchstbeträge nach § 65 Absatz 6 und 7 BSIG (2 % bzw. 1,4 % des weltweiten Gesamtumsatzes) setzen voraus, dass das Unternehmen, dem die Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr einen weltweiten Gesamtumsatz von mehr als 500 Mio. EUR erzielt hat. Der Gesamtumsatz ist nach § 65 Absatz 8 BSIG die Summe aller Umsatzerlöse dieses Unternehmens in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr; er ist nicht notwendig der isolierte Umsatz der einzelnen Einrichtung und kann geschätzt werden. Sie gelten amtlich nur für die Fälle des § 65 Absatz 2 Nummer 1 Buchstabe d sowie Nummer 2 bis 5 und Nummer 9 — also insbesondere für Verstöße gegen Anordnungen beziehungsweise Pflichten im Bereich von § 35 BSIG (Unterrichtungspflichten), § 36 Abs. 2 BSIG, § 30 BSIG (Risikomanagement-Maßnahmen + Dokumentation) und § 32 BSIG (Meldepflichten). Eine Schulungs-Anordnungs-Verletzung nach § 61 Abs. 7 BSIG fällt nicht in diese Kategorie. Voraussetzung der Bußgeldbewehrung ist eine förmliche, vollziehbare Anordnung — die reine Verletzung der Schulungspflicht ohne behördliche Anordnung ist vom Tatbestandskatalog des § 65 Abs. 2 BSIG nicht direkt erfasst. Die hohe 10-/7-Mio.-EUR-Stufe beziehungsweise die umsatzbezogene 2 %- / 1,4 %-Stufe greifen im Schulungspflicht-Kontext also gerade nicht — sie betreffen nur die in § 65 Abs. 6 und 7 BSIG genannten schwergewichtigen Pflichten und Anordnungs-Verletzungen, insbesondere im Bereich Risikomanagement, Dokumentation, Meldungen, Unterrichtungspflichten und behördlicher Öffentlichkeitsinformation.
• Hinweis Folgeaussagen-Konsistenz: Für die Schulungs-Anordnungs-Verletzung nach § 61 Abs. 7 BSIG bleibt es beim Bußgeldrahmen bis 500.000 Euro nach § 65 Abs. 5 Satz 1 Nr. 5 BSIG. Die umsatzbezogenen Höchstbeträge nach § 65 Abs. 6 und 7 BSIG (2 % / 1,4 %-Stufe) gelten für diesen Tatbestand nicht — Beispiele mit Milliarden-Umsätzen und zweistelligen Millionen-Bußgeldern betreffen andere BSIG-Verstöße beziehungsweise Anordnungs-Verletzungen (insbesondere im Bereich § 30, § 32, § 35 und § 36 BSIG [N-BSIG-36]), nicht die Schulungspflicht.

Das § 65 BSIG [N-BSIG-65]-Bußgeld trifft in dieser Konstellation die Einrichtung, nicht das einzelne Geschäftsleitungsmitglied persönlich. Eine persönliche Bußgeldverantwortung einzelner Leitungspersonen folgt nicht automatisch aus dem § 65-BSIG-Bußgeld gegen die Einrichtung. Personenbezogen ist eigenständig zu prüfen, ob ein Ordnungswidrigkeitentatbestand der handelnden oder unterlassenden Leitungsperson über § 9 OWiG [N-OWiG-9] zugerechnet werden kann oder ob eine Aufsichtspflichtverletzung nach § 130 OWiG [N-OWiG-130] vorliegt. Bei Organmitgliedern ist § 9 Abs. 1 OWiG als allgemeine Vertreter- und Zurechnungsnorm mitzudenken; bei Prokuristen, Generalbevollmächtigten und sonstigen Beauftragten hängt die persönliche Verantwortlichkeit regelmäßig von der konkreten Aufgaben-, Leitungs- oder Aufsichtsbefugnis im Sinne von § 9 Abs. 2 OWiG und § 130 OWiG ab. Diese persönliche Spur ist konstruktiv und tatbestandlich von der Einrichtungs-Verbandsgeldbuße nach § 65 BSIG getrennt.

6.2 Persönliche Haftung der Geschäftsleitung

Warum die Schulung auch persönlich relevant ist. Das Bußgeld aus Abschnitt 6.1 wegen einer vollziehbaren Schulungs-Anordnung trifft die Einrichtung und ist nach § 65 Abs. 5 Satz 1 Nr. 5 BSIG auf 500.000 Euro begrenzt — es bleibt wirtschaftlich auf der Unternehmensebene und greift gerade nicht auf Konzern-Umsätze durch. Deutlich höhere Bußgeldrahmen können nur bei anderen BSIG-Pflichtverletzungen greifen, insbesondere bei Verstößen gegen Risikomanagement-, Dokumentations- oder Meldepflichten (§ 65 Abs. 2 Nr. 1d, 2-5, 9 BSIG). Daneben besteht eine zweite, oft unterschätzte Risikodimension: die persönliche Haftung der Geschäftsleitung. Wenn die Geschäftsleitung ihre Pflichten verletzt und der Einrichtung daraus ein Schaden entsteht, kann sie mit ihrem Privatvermögen haften — die rechtliche Konstruktion läuft über das Gesellschaftsrecht. Genau diese persönliche Dimension ist der Grund, warum die Schulungspflicht in der Praxis weit jenseits einer reinen Compliance-Übung wahrgenommen werden sollte.

Die Brücke ins Gesellschaftsrecht: § 38 Abs. 2 BSIG. Der zentrale Mechanismus steht in § 38 Abs. 2 BSIG: _„Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.“_ Für GmbH, AG und vergleichbare Rechtsformen ist das keine eigenständige BSIG-Haftung, sondern eine Verweisung auf die bestehende Innenhaftung der Geschäftsleitung gegenüber der eigenen Einrichtung; zugleich enthält § 38 Abs. 2 Satz 2 BSIG einen Auffangtatbestand für Rechtsformen, deren maßgebliche gesellschaftsrechtliche Bestimmungen keine Haftungsregelung nach Satz 1 enthalten. Die einschlägigen Normen sind:

• Bei der GmbH: § 43 GmbHG [N-GmbHG-43] („Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.“)
• Bei der Aktiengesellschaft: § 93 AktG [N-AktG-93] („Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden.“)
• Bei der Genossenschaft: § 34 Absatz 1 Satz 1 GenG („Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters einer Genossenschaft anzuwenden.“).
• Bei der monistischen SE: § 39 SEAG („Für die Sorgfaltspflicht und Verantwortlichkeit der Verwaltungsratsmitglieder gilt § 93 des Aktiengesetzes entsprechend.“) sowie für geschäftsführende Direktoren § 40 Absatz 9 SEAG.
• Bei Stiftungen seit 01.07.2023: § 84a BGB [N-BGB-84a], insbesondere § 84a Absatz 2 Satz 1 BGB („Das Mitglied eines Organs hat bei der Führung der Geschäfte der Stiftung die Sorgfalt eines ordentlichen Geschäftsführers anzuwenden.“) und § 84a Absatz 3 Satz 1 BGB („§ 31a ist entsprechend anzuwenden.“).
• Bei Vereinen: § 27 Absatz 3 Satz 1 BGB („Auf die Geschäftsführung des Vorstands finden die für den Auftrag geltenden Vorschriften der §§ 664 bis 670 entsprechende Anwendung.“) und § 31a BGB [N-BGB-31a] als Haftungsprivilegierungsnorm (Vorsatz / grobe Fahrlässigkeit bei Vergütung bis 3 300 Euro jährlich).

Verletzt die Geschäftsleitung diese Sorgfaltspflicht und entsteht der Einrichtung dadurch ein Schaden — etwa durch einen Cyberangriff, der bei ordnungsgemäßem Risikomanagement vermeidbar gewesen wäre — kann die Einrichtung von der Geschäftsleitung Schadensersatz fordern. Dieser Anspruch richtet sich gegen das Privatvermögen der Geschäftsleitungsmitglieder.

Verschuldensmaßstab in der Innenhaftung. Der Verschuldensmaßstab ist Vorsatz oder Fahrlässigkeit nach § 276 BGB. Bereits einfache Fahrlässigkeit reicht aus, eine Beschränkung auf grobe Fahrlässigkeit kennen § 43 GmbHG und § 93 AktG nicht. Das ist methodisch wichtig: Die in Marketing-Texten gelegentlich anzutreffende Verkürzung „Geschäftsführer haften erst bei grober Fahrlässigkeit persönlich“ trifft auf die Innenhaftung nicht zu. Grobe Fahrlässigkeit wird in anderen Zusammenhängen relevant — bei der D&O-Versicherbarkeit [M-AVB-OFFEN], bei der Bußgeld-Zumessung nach Art. 83 Abs. 2 Buchstabe b DSGVO [EU-DSGVO] oder § 130 OWiG, bei satzungsmäßigen Haftungsbeschränkungen — nicht aber als Tatbestandsschwelle der Anspruchsgrundlage.

Die Schulungspflicht und die Innenhaftung — die genaue Verknüpfung. Die Schulungspflicht aus § 38 Abs. 3 BSIG ist nicht Teil der Pflichtenregelung in § 38 Abs. 1 BSIG (Umsetzung und Überwachung der Risikomanagementmaßnahmen). Die Haftungsregelung in § 38 Abs. 2 BSIG knüpft ausdrücklich an Pflichtverletzungen nach Absatz 1 an, nicht an Verletzungen der Schulungspflicht aus Absatz 3. Eine direkte BSIG-Haftung wegen Verletzung der Schulungspflicht selbst ist im Wortlaut des Gesetzes nicht vorgesehen.

Mittelbar wirkt die Verletzung der Schulungspflicht aber sehr wohl haftungsrelevant: Wenn ein Schaden eintritt, weil die Geschäftsleitung Cyber-Risiken nicht erkannt hat, die sie bei ordnungsgemäßer Schulung hätte erkennen können, kann das im gesellschaftsrechtlichen Sorgfaltsmaßstab nach § 43 GmbHG oder § 93 AktG einen Pflichtverstoß begründen. Die fehlende Schulung wird dann zu einem schwerwiegenden Indiz für eine Verletzung der allgemeinen Sorgfaltspflicht — und genau hier kommt der zweite kritische Mechanismus ins Spiel.

Die Beweislastumkehr — der eigentliche Grund für sorgfältige Dokumentation. Im Aktiengesetz ist in § 93 Abs. 2 Satz 2 ausdrücklich geregelt: _„Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.“_ Im Klartext: Die Gesellschaft muss ein schadensverursachendes Verhalten der Geschäftsleitung in deren Pflichtenkreis darlegen, das als möglicherweise pflichtwidrig in Betracht kommt. Ist diese Schwelle erreicht, muss die Geschäftsleitung darlegen und erforderlichenfalls beweisen, dass sie die Sorgfalt eines ordentlichen Geschäftsleiters eingehalten hat, sie kein Verschulden trifft oder der Schaden auch bei pflichtgemäßem Alternativverhalten eingetreten wäre. Diese Beweislastumkehr ist in § 93 Abs. 2 Satz 2 AktG für den Vorstand gesetzlich fixiert. Bei der GmbH gilt in der Prozesspraxis nach ständiger BGH-Rechtsprechung im Ergebnis ebenfalls eine Geschäftsführer-Entlastungslast: Die GmbH muss darlegen und beweisen, dass und inwieweit ihr durch ein Verhalten des Geschäftsführers in dessen Pflichtenkreis ein Schaden entstanden ist; der Geschäftsführer muss darlegen und erforderlichenfalls beweisen, dass er seinen Sorgfaltspflichten nachgekommen ist, ihn kein Verschulden trifft oder der Schaden auch bei pflichtgemäßem Alternativverhalten eingetreten wäre. Der BGH stützt diese Verteilung insbesondere auf entsprechende Grundsätze zu § 93 Abs. 2 Satz 2 AktG und § 34 Abs. 2 GenG sowie auf die Beweisnot der von dem Organ verwalteten Korporation bei Umständen aus dem Einflussbereich des Geschäftsführers. § 43 GmbHG selbst regelt die Beweislast nicht. In der Prozesspraxis wird bei der GmbH faktisch wie bei der AG von einer Beweislastumkehr ausgegangen — die Geschäftsleitung einer GmbH sollte daher keinesfalls auf eine Kläger-Beweislast hoffen. Konkret heißt das: Das Fehlen eines aussagekräftigen Schulungsnachweises erschwert den Entlastungsbeweis in der GmbH-Prozesspraxis erheblich und kann im Innenhaftungsprozess zulasten der Geschäftsleitung gewürdigt werden — der Geschäftsführer steht ohne Vortrags-Substanz da, während die Gesellschaft ein Verhalten der Geschäftsleitung in deren Pflichtenkreis darzulegen hat, das als möglicherweise pflichtwidrig in Betracht kommt.

Das hat eine sehr konkrete Konsequenz für die Schulungspflicht: Im Streitfall — etwa nach einem Cybervorfall mit Schaden — muss die Geschäftsleitung dokumentieren können, dass sie sich ordnungsgemäß zu Cyber-Risiken hat schulen lassen, regelmäßig, in den drei Lerngebieten nach § 38 Abs. 3 BSIG (Risiko-Erkennung und Risiko-Bewertung, Risikomanagementpraktiken, Auswirkungen auf die erbrachten Dienste). Wer diesen Nachweis nicht führen kann, riskiert, dass sein Entlastungsvortrag im Innenhaftungsprozess mangels Substanz scheitert. Die Beweislast- und Darlegungslastspur folgt bei der AG aus § 93 Abs. 2 Satz 2 AktG und bei der GmbH aus der BGH-Rechtsprechung zu § 43 GmbHG; § 38 Abs. 3 BSIG schafft nicht selbst eine zusätzliche Beweislastumkehr, sondern liefert einen wichtigen tatsächlichen Anknüpfungspunkt für den Entlastungsbeweis. Die Schulungs-Dokumentation ist damit doppelfunktional: Sie ist ein möglicher Compliance- und Aufsichtsnachweis, weil § 61 BSIG die Prüfung und Nachweisanforderung gerade auch der Pflicht aus § 38 Abs. 3 BSIG ermöglicht; zugleich ist sie ein Beweismittel im eigenen Haftungsprozess. Eine gesetzliche Rangfolge zwischen Aufsichtsnachweis und Innenhaftungs-Entlastung enthält § 38 Abs. 3 BSIG nicht. Das ist die juristische Substanz der persönlichen Entlastungs-Dokumentation, die CyberSchutzEngel methodisch verwendet: kein Safe Harbor, sondern ein Baustein, mit dem die Geschäftsleitung den nach § 93 Abs. 2 Satz 2 AktG (bzw. nach der BGH-Rechtsprechung für die GmbH) erforderlichen Entlastungsbeweis vorbereitet.

Wirtschaftliche Dimension der Innenhaftung. Der Schadensersatzanspruch der Einrichtung gegen die Geschäftsleitung kennt kein gesetzliches Höchstmaß. Bei einem schwerwiegenden Cybervorfall — Produktionsstillstand, Erpressungssumme, Datenverlust mit DSGVO-Folgen, Reputationsschaden, Rückgriffsforderungen von Kunden — kann der Schaden in zweistelligen Millionenbereichen liegen, in Konzernverhältnissen auch deutlich darüber. Die Geschäftsleitung haftet im Rahmen ihres Verschuldens, theoretisch unbegrenzt mit dem Privatvermögen. Eine gesetzliche Obergrenze der Innenhaftung der Höhe nach gibt es im deutschen Gesellschaftsrecht nicht systematisch; von der Außenhaftung gegenüber Dritten ist dies zu trennen, weil diese regelmäßig schon dem Anspruchsgrund nach enger und anders dogmatisch begrenzt ist.

Verjährung. Die Verjährung der Innenhaftungs-Ansprüche ist nicht einheitlich, sondern unterscheidet sich nach Rechtsform und, bei der Aktiengesellschaft, nach Börsennotierung. Bei der GmbH verjähren die Ansprüche gegen Geschäftsführer in fünf Jahren nach § 43 Abs. 4 GmbHG. Bei der Aktiengesellschaft verjähren die Ansprüche gegen Vorstandsmitglieder nach § 93 Abs. 6 AktG (in der seit dem 1. Januar 2022 geltenden Fassung nach dem Finanzmarktintegritätsstärkungsgesetz vom 3. Juni 2021, BGBl. 2021 I S. 1534) bei Gesellschaften, die zum Zeitpunkt der Pflichtverletzung börsennotiert sind, in zehn Jahren, bei nicht börsennotierten Aktiengesellschaften in fünf Jahren. Die fünfjährige Verjährungsfrist ist damit für den überwiegenden Teil des Mittelstands — insbesondere GmbHs und nicht-börsennotierte AGs — die maßgebliche Grundlinie; bei börsennotierten Aktiengesellschaften gilt die zehnjährige Verjährung. Für andere im Adressatenkreis genannte Rechtsformen ist die Verjährung gesondert zu prüfen: Bei der Genossenschaft enthält § 34 Abs. 6 GenG ebenfalls eine fünfjährige Frist; bei der SE ist nach dualistischer oder monistischer Struktur auf die aktienrechtlich/SEAG-vermittelten Verantwortlichkeitsregeln zu achten; bei Stiftung und Verein greifen die BGB-Organpflichten, Haftungsprivilegierungen nach § 31a / § 84a BGB und die regelmäßigen Verjährungsregeln, soweit keine Sonderregel eingreift; bei Personengesellschaften hängt die Verjährung von der konkreten Anspruchsgrundlage und Gesellschaftsform ab. Die Aufbewahrungsentscheidung für Schulungsunterlagen sollte deshalb nicht schematisch nur aus GmbH/AG-Fristen abgeleitet werden, sondern rechtsform-, schadens- und verfahrensbezogen dokumentiert werden.

Verjährungs-Mechanik der Bußgeld-Weitergabe. Ob ein gegen die Einrichtung verhängtes BSIG-Bußgeld im Innenverhältnis gegen Geschäftsleitungsmitglieder regressiert werden kann, ist nicht höchstrichterlich speziell für das BSIG geklärt. Insbesondere im Kartellbußgeld-Bereich hat der BGH dem EuGH die Frage vorgelegt, ob Art. 101 AEUV einer nationalen Regelung entgegensteht, nach der eine juristische Person, gegen die wegen eines durch ihr Leitungsorgan begangenen Verstoßes gegen Art. 101 AEUV ein Bußgeld verhängt wurde, den dadurch entstandenen Schaden vom Leitungsorgan ersetzt verlangen kann; die Rechtssache ist beim EuGH als C-347/25 anhängig. Eine Übertragung dieser Diskussion auf das BSIG-Bußgeld ist methodisch denkbar, aber rechtlich offen. Sicherer regressfähig können je nach Fall die Begleitschäden sein — Kosten der Rechtsverteidigung, Untersuchungs- und Sanierungskosten, Betriebsunterbrechungsschäden oder sonstige Vermögensschäden — sofern Pflichtverletzung, Schaden, Kausalität und Verschulden im jeweiligen Einzelfall nachgewiesen sind. Für die Verjährung ist nach Schadensart zu differenzieren: Für Begleitschäden gilt § 200 BGB mit Anspruchsentstehung bei Schadens-Realisierung; für einen etwaigen Bußgeld-Regress hängt die Verjährungs-Frage davon ab, ob die Regressfähigkeit höchstrichterlich anerkannt wird. Damit kann sich die effektive Verfolgungsdauer der Geschäftsleitung über die fünf- bzw. zehnjährige Frist nach der ursprünglichen Pflichtverletzung hinaus erstrecken — die genaue Verteilung ist aber einzelfallabhängig.

Prozessuale Warnung — Zahlungs-Variante ist die für die Geschäftsleitung günstigste Lesart. Ein gegnerischer Anwalt im Innenhaftungs-Prozess kann argumentieren, dass der Schaden bereits mit der Rechtskraft des Bußgeld-Bescheids oder mit der verbindlichen bilanziellen Rückstellung der Bußgeld-Forderung eintritt — die rechtskräftige Belastung mit einer Verbindlichkeit kann nach der allgemeinen BGH-Linie zum Vermögensschaden bereits einen ersatzfähigen Schaden darstellen und die Verjährungsuhr in Gang setzen (dogmatische Ableitung; ein konkretes höchstrichterliches Aktenzeichen speziell zum Bußgeld-Regress gegen Geschäftsleitung ist nicht entschieden — die Aussage ist als gegnerische Prozessvariante zu lesen, nicht als gesicherter Rechtsprechungsfund). Wer als ausscheidende Geschäftsleitung 2025 auf den Ablauf der „fünf Jahre ab Zahlung“ vertraut, sollte deshalb vorsorglich die kürzere Variante (fünf Jahre ab Bescheid-Rechtskraft oder ab Rückstellungs-Verbuchung) als zweites Enthaftungs-Szenario mitdenken — und die Schulungs- und Compliance-Dokumentation so sichern, dass sie auch dann verfügbar ist, wenn die kürzere Variante greift.

Beispiel-Konstellation. Schulungs-Pflichtverletzung 2025, BSI-Anordnung 2027, Bußgeld-Festsetzung 2029, Bußgeld-Zahlung der Einrichtung 2030. Stellt man auf die Zahlung im Jahr 2030 ab, entsteht der Regress-Anspruch der Einrichtung gegen die Geschäftsleitung erst mit dieser Vermögensbelastung; die fünf- bzw. zehnjährige Verjährungsfrist liefe dann bis 2035 (GmbH) oder 2040 (börsennotierte AG) — zehn bis fünfzehn Jahre nach der ursprünglichen Schulungs-Pflichtverletzung. Diese Berechnung beschreibt die zahlungsbezogene Lesart, nicht die einzig sichere Verjährungsmechanik; ein Gegner kann vertreten, dass der Schaden bereits mit Rechtskraft des Bußgeldbescheids oder mit verbindlicher bilanzieller Rückstellung eintritt. Wer als Geschäftsleitung 2025 ausscheidet und sich auf den Ablauf der „fünf Jahre“ verlässt, übersieht diese Verschiebung der Verjährungsuhr regelmäßig.

Schulungsnachweise und Compliance-Unterlagen sollten nach Rechtsform, Verjährungsrisiko, konkreten Vorfällen, behördlichen Verfahren und Versicherungszwecken konservativ aufbewahrt werden; in vielen Risikokonstellationen ist eine zehnjährige Sicherung sachgerecht. Eine kürzere Aufbewahrung kann im späteren Innenhaftungsprozess zu Beweisproblemen führen, ist aber nicht in jeder Rechtsform- und Schadenskonstellation automatisch ein Beweisnotstand. Eine deutlich längere Aufbewahrung ist nur zulässig, soweit Verteidigungs-, Haftungs-, Versicherungs- oder Rückstellungs-Zwecke dies konkret rechtfertigen — Schulungsnachweise enthalten personenbezogene Daten der teilnehmenden Geschäftsleitungs-Mitglieder, sodass die Aufbewahrung dem Speicherbegrenzungs-Grundsatz nach Artikel 5 Absatz 1 Buchstabe e der DSGVO und einem dokumentierten Aufbewahrungs- und Löschkonzept folgen muss. Dies gilt auch nach dem Ausscheiden des Geschäftsleitungsmitglieds aus der Einrichtung; der Anspruch verfolgt das ausgeschiedene Geschäftsleitungsmitglied, der Zugang zu Unterlagen über die ehemalige Einrichtung tut es nicht zwingend.

6.3 Tätigkeitsverbot als letztes Mittel

Die Tätigkeitsuntersagung nach § 61 Absatz 9 Satz 2 Nummer 2 BSIG ist amtlich eng zugeschnitten: Sie greift nur bei besonders wichtigen Einrichtungen und nur, wenn die Einrichtung den Anordnungen des Bundesamtes nach diesem Gesetz trotz Fristsetzung nicht nachkommt. Das Bundesamt kann dies der jeweils zuständigen Aufsichtsbehörde mitteilen. Die zuständige Aufsichtsbehörde kann dann — sofern ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht — als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13 BSIG [N-BSIG-2-13]), vorübergehend untersagen (§ 61 Absatz 9 Satz 2 Nummer 2 BSIG) oder die fachrechtliche Genehmigung der Einrichtung aussetzen (§ 61 Absatz 9 Satz 2 Nummer 1 BSIG). Diese Untersagung ist nach Satz 3 nur solange zulässig, bis die besonders wichtige Einrichtung den Anordnungen nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurde. Für wichtige Einrichtungen ist die personenbezogene Tätigkeitsuntersagung über § 62 BSIG keine identische Automatik. § 62 BSIG verweist aber bei tatsachenbasierter Annahme einer Pflichtverletzung auf Maßnahmen nach § 61 BSIG; ob § 61 Absatz 9 Satz 2 Nummer 2 BSIG im Einzelfall über diesen Verweis greift, ist eine offene Auslegungs- und Verhältnismäßigkeitsfrage und sollte in der Risikoanalyse nicht als ausgeschlossen behandelt werden. Es handelt sich auch nicht um ein dauerhaftes Berufsverbot im Sinne des Strafrechts, sondern um eine konkret-mandatsbezogene Untersagung in der jeweiligen Einrichtung. Die Kausalkette lautet damit: besonders wichtige Einrichtung → Anordnung des Bundesamts → Nichtbefolgung trotz Fristsetzung → Mitteilung an die Aufsichtsbehörde → letztes Mittel → vorübergehende mandatsbezogene Untersagung.

6.4 D&O-Versicherung als Risiko-Transfer

Die wirtschaftliche Folge der Innenhaftung — Zugriff auf das Privatvermögen — kann durch eine Directors-and-Officers-Versicherung (D&O) abgemildert werden. Eine D&O-Versicherung schützt das Vermögen der versicherten Personen vor Schadensersatzforderungen, die sich aus ihrer Organtätigkeit ergeben. Für BSIG-Konstellationen ist dabei zu trennen: § 38 Absatz 2 BSIG eröffnet die ausdrückliche BSIG-Haftungsbrücke nur bei Pflichtverletzungen nach § 38 Absatz 1 BSIG; eine Verletzung der Schulungspflicht aus § 38 Absatz 3 BSIG wirkt demgegenüber nur mittelbar über die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten, insbesondere § 43 GmbHG und § 93 AktG. D&O-Deckungssummen können je nach Unternehmensgröße, Branche, Konzernstruktur, Börsennotierung, Risikoprofil und Versicherungsmarkt im Millionenbereich liegen; die konkrete Marktspanne sollte nur mit Maklerbenchmark, Versichererangebot oder belastbarer Marktstudie beziffert werden.

Wichtig: Eine D&O-Versicherung ist kein Ersatz für die Erfüllung der Schulungspflicht oder für ordnungsgemäßes Risikomanagement. Sie ist eine ergänzende wirtschaftliche Absicherung gegen die Folgen einer haftungsbegründenden Pflichtverletzung. Drei Aspekte sind in der Praxis besonders relevant:

• Vorsatzausschluss und wissentliche Pflichtverletzung. D&O-Policen sehen je nach Bedingungswerk regelmäßig Risikoausschlüsse für vorsätzliches oder wissentlich pflichtwidriges Handeln der versicherten Person vor; Reichweite und Nachweis hängen vom konkreten Bedingungswerk und von der BGH-Linie zur positiven Kenntnis der konkret haftungsauslösenden Pflicht ab. Daneben enthalten die Allgemeinen Versicherungsbedingungen typischerweise einen Ausschluss bei „wissentlicher Pflichtverletzung“. Der Bundesgerichtshof hat im Urteil vom 19. November 2025 — IV ZR 66/25 [R-IV-ZR-66-25], ECLI:DE:BGH:2025:191125UIVZR66.25.0 — zum D&O-Wissentlichkeitsausschluss nach Ziffer 6 ULLA entschieden, dass der Ausschluss nur greift, wenn gerade die Pflichtverletzung wissentlich erfolgte, wegen der die versicherte Person im konkreten Haftungsfall in Anspruch genommen wird. Der Fall betraf D&O-Deckung im Kontext von Ersatzansprüchen wegen Zahlungen nach Insolvenzreife nach § 64 Satz 1 GmbHG a.F.; der BGH hat das Berufungsurteil des OLG Frankfurt am Main – 7. Zivilsenat – vom 05.03.2025 – 7 U 134/23 aufgehoben und zur neuen Verhandlung und Entscheidung an das Berufungsgericht zurückverwiesen. Vorinstanz war das LG Wiesbaden, Entscheidung vom 20.10.2023 – 7 O 2521/20. Eine abschließende Deckungsentscheidung hat der BGH damit nicht getroffen. Die Übertragung dieser Linie auf NIS-2- und Cyber-Compliance-Pflichten ist eine plausible versicherungsrechtliche Analogie, aber keine direkte BGH-Rechtsprechung zu NIS-2. Bedingter Vorsatz und eine bewusste Verschließung vor Tatumständen tragen den Ausschluss nicht; erforderlich ist positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung und das Bewusstsein pflichtwidrigen Handelns. Allgemeines Schulungswissen über Cyber-Risiken belegt nicht ohne weiteres positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung. Konsequenz für das Verhältnis Schulung — D&O-Deckung. Ob der Wissentlichkeitsausschluss im Einzelfall greift, hängt vom konkreten Bedingungswerk und den festgestellten Kenntnistatsachen ab; eine ordnungsgemäße Schulung schwächt die D&O-Deckung nicht automatisch. Schulungspflicht und D&O-Deckung stehen damit nach IV ZR 66/25 nicht in einem strukturellen Zielkonflikt. Wichtige Abgrenzung: Diese BGH-Linie begrenzt den Wissentlichkeitsausschluss gegenüber einer zu weiten Versicherer-Argumentation, ersetzt aber keine Prüfung der Deckung im Einzelfall und schützt nicht vor der zivilrechtlichen Innenhaftung selbst. Wer die Schulungspflicht bewusst ignoriert und dadurch einen Schaden mitverursacht, kann gegenüber der eigenen Einrichtung schadenersatzpflichtig bleiben; die BGH-Schwelle betrifft nur die Frage, ob ein Wissentlichkeitsausschluss nach dem konkreten D&O-Bedingungswerk eingreift.
• Versicherbarkeit beim Vertragsabschluss (Marktpraxis-Beobachtung). Über den Schadensfall hinaus ist in der Marktpraxis zu beobachten, dass D&O- und Cyber-Versicherer das Cyber-Risikoprofil, die Compliance-Architektur, die Risikomanagement-Reife nach NIS-2 und die Dokumentationslage zunehmend in Antrag, Verlängerung und Schadenprüfung einbeziehen können. Eine einheitliche, öffentlich belastbar nachweisbare deutsche Versicherer-Linie zu konkreten NIS-2-Geschäftsleitungs-Schulungsfrequenzen, Deckungssummen oder Ausschlüssen besteht nach Stand Mai 2026 nicht. Für die belastbare Mandatsprüfung sind daher die aktuellen Antragsfragen, Renewal-Fragebögen, AVB- und Bedingungswerke, Maklerauskünfte und schriftlichen Versicherer-Bestätigungen des konkreten Programms maßgeblich. Wer hier wenig vorzeigen kann, muss je nach Risikoprofil, Branche und Anbieter mit Deckungsbeschränkungen, Cyber-Risiko-Ausschlüssen oder verteuerten Konditionen rechnen — eine einheitliche Marktregel besteht im deutschen D&O-Markt Stand Mai 2026 nicht. Diese Versicherer-Praxis ist nicht gesetzlich kodifiziert, sondern Ausdruck des verhärteten Cyber-Versicherungsmarktes; Geltungsstand und Detailausgestaltung variieren zwischen Anbietern und sollten beim eigenen Versicherungsmakler oder D&O-Versicherer konkret eingeholt werden.
• Wirksamkeitsabhängigkeit der Compliance-Dokumentation im Schadensfall. Tritt ein Schaden ein, können Versicherer — je nach Sparte, Bedingungswerk, Schadenanzeige und konkreter Obliegenheitslage — die Cyber-Compliance-Architektur und Schulungsdokumentation abfragen. Ob eine schwache oder fehlende Schulungsdokumentation zu Deckungsdiskussionen, Obliegenheitseinwänden oder bloßen Nachfragen führt, ist anhand der konkreten Police, der Antragsfragen, der Schadenfragebögen und der schriftlichen Versichererkommunikation zu prüfen.
• Selbstbehalt. Bei Vorstandsmitgliedern einer AG muss eine von der Gesellschaft abgeschlossene D&O-Versicherung nach § 93 Abs. 2 Satz 3 AktG einen Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung vorsehen. Praktisch heißt das: Der Vorstand trägt mindestens 10 % des Schadens, und der gesetzlich notwendige Selbstbehalt muss in der vertraglichen Ausgestaltung mindestens bis zur 1,5-fachen festen Jahresvergütung reichen — in der Marktpraxis wird die 1,5-fache Jahresvergütung daher häufig als faktische Obergrenze des Eigenanteils umgesetzt (vergleiche Faktenfalle 25 im CyberSchutzEngel-Glossar: Markt-Lesart als Höchstgrenze vs. Gesetzes-Lesart als Mindest-Untergrenze des Cap-Schwellenwerts). Bei GmbH-Geschäftsführern besteht ein solcher gesetzlicher Pflichtselbstbehalt nicht, kann aber vertraglich vereinbart sein.

Konsequenz: Die Schulung wird zur Selbstschutz-Maßnahme der Geschäftsleitung. Aus dem Zusammenspiel der drei Schichten ergibt sich für die Geschäftsleitung eine robuste Vorsorgelogik. Erstens: Eine Pflichtverletzung im Cyber-Risikomanagement kann über § 38 Abs. 2 BSIG in Verbindung mit § 43 GmbHG oder § 93 AktG zur persönlichen Haftung mit dem Privatvermögen führen, mit Beweislast bei der Geschäftsleitung. Zweitens: Wirtschaftlich tragfähig lässt sich dieses Risiko in nennenswerter Höhe häufig vor allem über eine sorgfältig geprüfte D&O-Versicherung absichern; je nach Unternehmensstruktur kommen ergänzend andere Risikotransfer- oder Selbsttragungsmodelle in Betracht. Drittens: D&O- und Cyberversicherung sind getrennt zu behandeln: Die D&O-Versicherung betrifft primär Organhaftpflicht und Abwehr-/Freistellungsfragen der versicherten Personen; Cyberversicherungen betreffen typischerweise Unternehmens-, Eigenschaden-, Betriebsunterbrechungs-, Incident-Response- und Drittschadenrisiken. Cyber-Compliance-Architektur und Schulungsdokumentation können in beiden Sparten relevant sein, aber mit unterschiedlichen Anknüpfungspunkten: im D&O-Programm vor allem bei Organpflichtverletzung, Wissentlichkeit, Anzeige- und Mitwirkungsobliegenheiten; im Cyberprogramm vor allem bei Underwriting, Mindestschutz, Prävention, Incident-Response und Sicherheitsobliegenheiten. Je nach Risikoprofil und Anbieter kann eine schwache Dokumentation zu Deckungslücken, Cyber-Risiko-Ausschlüssen, höheren Prämien oder zusätzlichen Nachfragen führen — eine einheitliche Versicherer-Linie besteht im deutschen Markt Stand Mai 2026 aber nicht. Damit verschiebt sich die Schulungspflicht aus § 38 Abs. 3 BSIG für die Geschäftsleitung praktisch zu einer wichtigen Selbstschutz-Maßnahme im Vorfeld möglicher Innenhaftungs-Folgen.

Als dritte, von D&O- und Cyberdeckung zu trennende Absicherungsschicht ist Straf- und Ordnungswidrigkeiten-Rechtsschutz gesondert zu prüfen: Er betrifft vor allem Verteidigungskosten handelnder Personen in Ermittlungs-, Bußgeld- und Strafverfahren, nicht die Bußgeldsumme selbst und nicht die zivilrechtliche Organhaftpflicht. Vorschuss, freie Anwaltswahl, Ausschlüsse, Vorsatzklauseln und die Behandlung von Unternehmens- gegenüber Personenverteidigung hängen vom konkreten Bedingungswerk ab.

Konkrete Schulungs-Frequenz-Anforderungen der Versicherer. Stand Mai 2026 existiert im deutschen Markt keine einheitliche Versicherer-Linie zu konkreten Schulungs-Frequenzen für NIS-2-Geschäftsleitungsschulungen. Die D&O- und Cyber-Versicherer prüfen bei Vertragsabschluss die Cyber-Compliance-Architektur zunehmend systematisch, ohne öffentlich konkrete Frequenzen zu fordern. Es ist naheliegend, dass einzelne Versicherer NIS-2-bezogene Risikofragen in Antrag und Renewal aufnehmen; eine einheitliche Marktpraxis ist Stand Mai 2026 nicht belastbar belegt. Geschäftsleitungen sollten daher beim eigenen Versicherungsmakler die konkreten Anforderungen ihres D&O- und Cyber-Versicherers vor Vertragsabschluss schriftlich einholen. Im deutschen Markt etablieren sich daneben Versicherbarkeits-Checks als eigenständige Vorab-Prüfungen, ob die Cyber-Compliance-Architektur einer Einrichtung den Anforderungen der Versicherer genügt — sie können vor dem Versicherungsabschluss Klarheit über bestehende Lücken schaffen. Da die Marktlage sich weiterentwickelt, sollte der Aspekt regelmäßig im Risikomanagement geprüft werden.

7. Übergangsregelungen und aktueller Stand

Das BSIG in der Fassung des NIS2UmsuCG ist seit 6. Dezember 2025 in Kraft. Eine generelle Übergangsfrist für die Schulungspflicht hat der Gesetzgeber nicht vorgesehen — die Pflicht aus § 38 Abs. 3 BSIG [N-BSIG-38] gilt also seit 6. Dezember 2025 unmittelbar.

Allerdings sind die Aufsichts- und Nachweismechanismen gestaffelt:

• § 61 Absatz 1 BSIG [N-BSIG-61] lautet amtlich: „Das Bundesamt kann gegenüber einzelnen besonders wichtigen Einrichtungen anordnen, Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen zur Prüfung der Erfüllung der Verpflichtungen nach § 30 Absatz 1 Satz 1, auch in Verbindung mit § 31 Absatz 1 und 2 Satz 1 und § 32 Absatz 1 bis 3 sowie § 38 Absatz 3 durchführen zu lassen.“ Audit-, Prüfungs- und Zertifizierungs-Anordnungen nach § 61 Abs. 1 BSIG sind bei besonders wichtigen Einrichtungen grundsätzlich ab Inkrafttreten möglich. Ein konkreter Verdacht ist hierfür dem Wortlaut des § 61 Abs. 1 BSIG nicht zwingend vorausgesetzt. Bei der Auswahl ist das Bundesamt jedoch an die allgemeinen Grenzen pflichtgemäßen Ermessens, Verhältnismäßigkeit und Gleichbehandlung gebunden. Die ausdrücklich in § 61 Abs. 4 BSIG genannten Auswahlkriterien (Risikoexposition, Größe der Einrichtung, Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle) gelten ihrem Wortlaut nach unmittelbar nur für Nachweisanforderungen nach § 61 Abs. 3 BSIG; sie können für § 61 Abs. 1 BSIG allenfalls als ermessensleitende Orientierung herangezogen werden.
• Allgemeine Nachweisanforderungen nach § 61 Absatz 3 BSIG dürfen frühestens drei Jahre nach Inkrafttreten dieses Gesetzes gefordert werden — also frühestens am 06.12.2028.
• Für zugelassene Krankenhäuser nach § 108 SGB V [N-SGBV-108] verlängert § 61 Abs. 3 Satz 5 BSIG die Schonfrist auf fünf Jahre — frühestens 6. Dezember 2030. Der amtliche Wortlaut des § 61 Abs. 3 Satz 5 BSIG verweist zwar auf eine Rechtsverordnung nach „§ 56 Absatz 6 BSIG [N-BSIG-56]“; die einschlägige Krankenhaus-Verordnungsermächtigung steht jedoch nach dem amtlichen Wortlaut des § 56 BSIG in Absatz 5 (Absatz 6 betrifft die Bestimmung kritischer Komponenten). Es handelt sich um einen amtlichen internen Verweisungsbruch im BSIG, der seit Erstverkündung (BGBl. 2025 I Nr. 301 vom 5.12.2025) besteht und auch durch das KRITIS-Dachgesetz [N-KRITISDachG] (BGBl. 2026 I Nr. 66) nicht redaktionell bereinigt wurde. Praxis-Warnung Krankenhäuser: Wer als Krankenhaus-Geschäftsleitung mit der Schulungs-Compliance bis 2030 wartet, geht ein vermeidbares Risiko ein — nach der erkennbaren gesetzgeberischen Konzeption soll ein früherer Zeitpunkt durch Rechtsverordnung bestimmt werden können, ohne dass dafür eine Ankündigungs-Frist im Gesetz vorgesehen ist. Wegen des im Gesetz angelegten internen Verweisungsbruchs zwischen § 61 Abs. 3 Satz 5 BSIG und § 56 BSIG sollte diese Frage allerdings bis zu einer redaktionellen Bereinigung oder belastbaren Auslegung nicht als vollständig geklärt dargestellt werden.

Für wichtige Einrichtungen gilt § 62 BSIG [N-BSIG-62] als anlassbezogenes Aufsichtsmodell: „Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.“ Diese ex-post-Aufsicht greift unabhängig von der Drei-Jahres-Frist.

Praxis-Folge. Auch wenn das Bundesamt vor Dezember 2028 keine allgemeinen Nachweisanforderungen nach § 61 Abs. 3 BSIG stellen darf, gilt die Schulungspflicht selbst seit dem 6. Dezember 2025. Daraus folgt jedoch kein gesetzlich fixiertes Sofort-Erstschulungsdatum und keine Jahrespflicht. Praktisch sollte die erste Schulung dennoch nicht als beliebig verschiebbar behandelt werden: Für bereits pflichtige Einrichtungen ist der Startpunkt die eigene Pflichtigkeit seit Inkrafttreten beziehungsweise seit Eintritt in den Anwendungsbereich; für neu bestellte Geschäftsleitungsmitglieder ist die Schulung als Onboarding- und Rollenübernahme-Thema zu planen; bei wesentlichen Risiko-, Prozess- oder IT-Architekturänderungen ist anlassbezogen nachzuschulen. Der Drei-Jahres-Maßstab aus Gesetzesbegründung und BSI-FAQ-Hinweisen ist eine starke Orientierung für Wiederholung und Mindestangebot, aber keine pauschale Erlaubnis, die Erstbefassung ohne dokumentierte Risikoentscheidung bis zum äußersten Rand aufzuschieben. Wer noch nicht geschult hat, sollte mindestens Schulungsentscheidung, risikobasierte Terminierung, verbindlichen Durchführungstermin, Curriculum, Verantwortlichkeit und Nachhol-/Eskalationspfad dokumentiert haben — der Wortlaut „regelmäßig“ verlangt eine begründbare Frequenz, und Intervall/Dauer sind risikoadäquat zu begründen. Eine bloße Terminierungsnotiz ohne konkreten Durchführungspfad wird mit zunehmender Verzögerung als Entlastungsdokumentation schwächer. Wer bis zur ersten Aufsichtsbefassung keinen plausiblen Schulungsrhythmus, keine risikobasierte Terminierung und keine tatsächlich absolvierte oder unmittelbar eingeplante Schulung darlegen kann, riskiert dagegen, dass die Aufsicht oder ein Haftungsgegner die Pflicht seit Inkrafttreten als nicht hinreichend umgesetzt bewertet.

8. Was du als Geschäftsleitung praktisch tun kannst

Die Erfüllung der Schulungspflicht lässt sich pragmatisch in sechs Schritten organisieren:

1. Schulungsplan aufstellen. Ein schriftlicher Schulungsplan beschreibt, in welchem Rhythmus die Geschäftsleitung an Schulungen teilnimmt, welche Inhalte abgedeckt werden und wie die Schulungen dokumentiert werden. Der Plan kann Teil der allgemeinen Compliance-Dokumentation sein.
2. Anbieter auswählen. Geeignete Schulungsanbieter sind etwa: Cyber-spezialisierte Anwaltskanzleien, IT-Sicherheits-Beratungen mit Erfahrung in NIS-2-Compliance, Industrie- und Handelskammern, sofern das konkrete Curriculum die drei Lerngebiete aus § 38 Abs. 3 BSIG [N-BSIG-38] adressatengerecht für Geschäftsleitungen abdeckt. Die Qualifikation der Schulenden sollte als Teil der Anbieter-Auswahl und der persönlichen Entlastungs-Dokumentation nachvollziehbar festgehalten werden; sie ist aber keine eigenständige gesetzliche Mindestangabe des § 38 Abs. 3 BSIG. Wichtig: Die Auswahl des Anbieters ist selbst Teil der Sorgfaltspflicht. Stand Mai 2026 existiert im BSIG kein staatliches Akkreditierungsverfahren für NIS-2-Schulungsanbieter — die formale Teilnahme an einer inhaltlich substanzlosen Schulung erfüllt die Pflicht aus § 38 Abs. 3 BSIG nicht. Wer den billigsten Online-Kurs ohne nachgewiesene fachliche Tiefe wählt, riskiert im Streitfall den Vorwurf des Organisationsverschuldens bei der eigenen Compliance-Architektur. Maßstab für eine sorgfältige Anbieter-Auswahl sind nachweisbare fachliche Qualifikation (juristisch zum BSIG, technisch zur Cyber-Sicherheits-Praxis), Praxiserfahrung mit der konkreten Branche und eine inhaltliche Abdeckung aller drei Lerngebiete aus § 38 Abs. 3 BSIG.
3. Inhalte abdecken. Die Schulung muss alle drei Lerngebiete aus § 38 Abs. 3 BSIG abdecken: Erkennung und Bewertung von Risiken, Risikomanagementpraktiken, Auswirkungen auf erbrachte Dienste. Eine Schulung, die nur die rechtlichen Rahmenbedingungen behandelt, ohne auf das eigene Unternehmen zu beziehen, erfüllt die Pflicht nicht vollständig. Praxis-Empfehlung: Wähle Schulungen mit dokumentierter Lernerfolgskontrolle — etwa Tests, Fallstudien-Auswertungen oder strukturierte Abschluss-Diskussionen. Eine Schulung ohne Lernerfolgskontrolle belegt vor allem die Teilnahme; eine Lernerfolgskontrolle kann zusätzlich helfen, die Eignung der Schulung und den vermittelten Kompetenzstand zu dokumentieren — sie ist kein abschließender Beleg für den Kompetenzerwerb im Sinne einer Erfolgshaftung, aber ein starkes Element der Gesamtwürdigung.
4. Nachweise archivieren. Der Schulungsnachweis nach Abschnitt 5.4 wird mit den Unterlagen zur persönlichen Entlastungs-Dokumentation der Geschäftsleitung gemeinsam aufbewahrt. Aufbewahrungsdauer: mindestens für die einschlägige gesellschaftsrechtliche Verjährungs- und Verteidigungsfrist, risikobasiert nach Rechtsform, Vorfällen, behördlichen Verfahren, Versicherungsprüfungen und laufenden Anspruchs-/Rückstellungssachverhalten. Eine zehnjährige Sicherung kann insbesondere bei börsennotierten AGs oder bei konkreten Langläufer-Risiken sachgerecht sein; außerhalb solcher Konstellationen sollte die Frist in einem dokumentierten Aufbewahrungs- und Löschkonzept nach Art. 5 Abs. 1 lit. e DSGVO [EU-DSGVO] begründet werden. Bei konkreten Sicherheitsvorfällen, behördlichen Verfahren, Bußgeldrisiken, Rückstellungen, Versicherungsprüfungen oder laufenden Innenhaftungssachverhalten sollten die Unterlagen darüber hinaus bis zum endgültigen Abschluss der jeweiligen Risikokonstellation gesichert werden. Archiviere nicht nur die Teilnahmebescheinigung, sondern auch die Schulungsunterlagen selbst (Folien, Skripte, Materialien) als Beleg für die inhaltliche Tiefe der Schulung — gerade gegenüber einem skeptischen Gegner im Prozess ist das der Unterschied zwischen formaler Bescheinigung und materieller Beweissubstanz.
5. Umsetzung der Schulungsinhalte sicherstellen. Eine dokumentierte Schulung bleibt im Streitfall ein relevantes Teilbeweismittel für die Erfüllung der Schulungspflicht. Ihre Entlastungswirkung ist aber begrenzt, wenn erkannte Risiken anschließend nicht angemessen in Risikomanagement, Umsetzung und Überwachung überführt werden. Schulungs-Compliance und operative § 38 Abs. 1-/§ 30-BSIG-Compliance sollten deshalb getrennt dokumentiert, aber gemeinsam gesteuert werden. Wer in der Schulung über eine konkrete Risikokategorie aufgeklärt wurde und danach keine angemessenen Maßnahmen ergreift, kann sich im Innenhaftungs- oder Versicherungsstreitfall nicht mehr auf Unkenntnis berufen — die Schulung wird in dieser Konstellation zum Beweismittel gegen die Geschäftsleitung, nicht für sie. Die operative Umsetzung der Risikomanagement-Pflichten aus § 38 Abs. 1 BSIG in Verbindung mit § 30 BSIG [N-BSIG-30] ist dogmatisch von der Schulungspflicht aus § 38 Abs. 3 BSIG zu trennen. Organisatorisch und beweispraktisch müssen beide Spuren aber verzahnt werden: Schulung dokumentiert Kompetenzaufbau; Umsetzung und Überwachung dokumentieren die tatsächliche Erfüllung der Risikomanagementpflichten.
6. Kontinuierliche Nachsteuerung und Gremien-Review sichern. Nach Erstschulung, Nachweisen und Umsetzungstransfer prüft die Geschäftsleitung risikobasiert und anlassbezogen, ob Schulungsrhythmus, Curriculum, Anbieter, Nachholpfade und Transfermaßnahmen noch zur aktuellen Risikoexposition, IT-Architektur, Geschäftsprozesslage, Sicherheitsvorfällen und Rechts-/Aufsichtsentwicklung passen. Änderungen, Nachholbedarf und Eskalationen werden mit Verantwortlichkeit, Termin und Beschluss-/Protokollspur dokumentiert.

9. Schnittstellen zu DORA, KI-VO und DSGVO

Die Schulungspflicht aus § 38 Abs. 3 BSIG [N-BSIG-38] steht nicht alleine. Andere Rechtsakte enthalten parallele oder spezifischere Pflichten:

• DORA [EU-DORA] (Verordnung (EU) 2022/2554). Für Finanzunternehmen verpflichtet Art. 5 Abs. 4 DORA die Mitglieder des Leitungsorgans, ihre Kenntnisse und Fähigkeiten zu den zu managenden IKT-Risiken aktiv auf dem neuesten Stand zu halten — unter anderem durch regelmäßige spezielle Schulungen. Anders als § 38 Abs. 3 BSIG, der die Schulungsteilnahme selbst zur Pflicht macht, formuliert DORA die Aktualität von Kenntnissen und Fähigkeiten als Ziel und die Schulung als ein Mittel dazu. Beide Pflichten zielen im Ergebnis auf vergleichbare Wissensstände, lassen aber unterschiedlich viel Spielraum bei der Form. DORA ist gegenüber dem BSIG insoweit lex specialis, als die regulatorische Aufsicht über die Schulungspflicht des Leitungsorgans (Art. 5 Abs. 4 DORA) von Finanzunternehmen ausschließlich bei der jeweils zuständigen Finanzaufsicht liegt — in Deutschland regelmäßig BaFin und Bundesbank, nicht beim Bundesamt für Sicherheit in der Informationstechnik. Diese Spezialität bezieht sich auf die Schulungspflicht und die zugehörigen Aufsichtsbefugnisse; sie sagt nichts über das Verhältnis von BSIG und DORA in anderen Pflichtenkreisen. Die gesellschaftsrechtliche Grundhaftung der Geschäftsleitung über § 43 GmbHG [N-GmbHG-43], § 93 AktG [N-AktG-93] bleibt davon unberührt — sie kann bei Pflichtverletzungen der Geschäftsleitung eingreifen, wenn die weiteren Haftungsvoraussetzungen wie Schaden, Kausalität und Verschulden vorliegen, unabhängig davon, ob die verletzte Pflicht aus dem BSIG, aus DORA oder aus dem allgemeinen Sorgfaltsmaßstab folgt. Wichtige dogmatische Klarstellung für DORA-Finanzunternehmen: Die Innenhaftungs-Brücke des § 38 Abs. 2 BSIG gilt nach § 28 Abs. 6 BSIG [N-BSIG-28] für DORA-Finanzunternehmen nicht. Die Innenhaftung der Geschäftsleitung eines DORA-pflichtigen Finanzunternehmens stützt sich deshalb direkt auf die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten aus § 43 GmbHG bzw. § 93 AktG, deren Verletzung sich aus einer DORA-Pflichtverletzung ergeben kann — eine BSIG-spezifische Haftungs-Norm steht im Finanzbereich gerade nicht zur Verfügung.
• KI-VO [EU-KIVO] (Verordnung (EU) 2024/1689). Art. 4 KI-VO lautet amtlich: „Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.“ Diese Pflicht überschneidet sich teilweise mit der BSIG-Schulungspflicht, ist aber inhaltlich auf KI-Systeme spezifisch. Art. 4 KI-VO gilt nach Art. 113 Unterabs. 3 Buchst. a KI-VO bereits seit dem 2. Februar 2025; die Schulungs-Komponente ist damit unabhängig vom allgemeinen KI-VO-Geltungsbeginn am 2. August 2026 bereits verbindlich.
• DSGVO [EU-DSGVO] (Verordnung (EU) 2016/679). Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Art. 32 Abs. 4 DSGVO lautet amtlich: „Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.“ Datenschutz- und Sicherheits-Schulungen des Personals sind ein praxisrelevanter organisatorischer Baustein, soweit sie risikoadäquat zur Gewährleistung eines angemessenen Schutzniveaus beitragen. Eine ausdrückliche Leitungsorgan-Schulungspflicht enthält Art. 32 DSGVO nicht; Schulungs- und Awareness-Maßnahmen können jedoch in der DSGVO-Risikobewertung und bei der Bewertung geeigneter organisatorischer Maßnahmen relevant werden.

Eine integrierte Schulungsarchitektur kann sinnvoll sein, ersetzt aber keine getrennte Prüfung der jeweiligen Rollen, Adressaten, Nachweiszwecke und Aufsichtsregime: § 38 Abs. 3 BSIG adressiert die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen; Art. 5 Abs. 4 DORA das Leitungsorgan von Finanzunternehmen; Art. 4 KI-VO Anbieter und Betreiber von KI-Systemen sowie deren Personal/Beauftragte; Art. 32 DSGVO Verantwortliche, Auftragsverarbeiter und ihnen unterstellte Personen. Praktisch sollte ein integriertes Programm daher modular aufgebaut und pro Regime gesondert dokumentiert werden.

10. Kurzantworten auf die 24 Lese-Fragen

1. Was regelt § 38 Abs. 3 BSIG? Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um Cyber-Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten und deren Auswirkungen auf die erbrachten Dienste beurteilen zu können.
2. Steht die Schulungspflicht allein? Nein. Sie steht neben der Umsetzungs- und Überwachungspflicht aus § 38 Abs. 1 BSIG (die § 30-Risikomanagementmaßnahmen) und ergänzt diese.
3. Wer ist Adressat der Schulungspflicht? Jede natürliche Person, die nach § 2 Nr. 13 BSIG Geschäftsleitung ist — also nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist.
4. Sind Prokuristen und Generalbevollmächtigte erfasst? Nicht direkt nach § 2 Nr. 13 BSIG. Eine ordnungswidrigkeitenrechtliche Verantwortlichkeit über § 9 Abs. 2 i.V.m. § 130 OWiG kann im Einzelfall in Betracht kommen; zur Vermeidung eines Organisationsverschuldens sollten geschäftsleitungsnahe Bevollmächtigte in den Schulungsplan einbezogen werden.
5. Müssen Aufsichtsräte geschult werden? Eine unmittelbare Schulungspflicht aus § 38 Abs. 3 BSIG besteht für sie nicht. Ihre Überwachungspflicht nach § 111/§ 116 AktG begründet aber einen mittelbaren Qualifikationsbedarf.
6. Welche Einrichtungen sind erfasst? Besonders wichtige und wichtige Einrichtungen nach § 28 BSIG — abhängig von Sektor (Anlage 1/2), Größe, Sondertatbeständen und Bereichsausnahmen.
7. Welche Größenschwellen gelten? Besonders wichtige Einrichtung: mindestens 250 Beschäftigte oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme. Wichtige Einrichtung: mindestens 50 Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. €.
8. Was gilt für Finanzunternehmen (DORA)? § 28 Abs. 6 Nr. 1 BSIG nimmt DORA-pflichtige Finanzunternehmen von § 38 BSIG aus; Art. 5 Abs. 4 DORA enthält eine eigene, nicht deckungsgleiche Leitungsorganpflicht. Aufsicht sind regelmäßig BaFin und Deutsche Bundesbank.
9. Was genau muss geschult werden? Drei im Wortlaut gleichrangige Lerngebiete: Erkennung und Bewertung von Risiken, Risikomanagementpraktiken sowie deren Auswirkungen auf die erbrachten Dienste.
10. Reicht es, nur eines der Lerngebiete abzudecken? Nein. Eine Schulung, die nur ein oder zwei der drei Gebiete abdeckt, erfüllt § 38 Abs. 3 BSIG nicht vollständig.
11. Konkretisiert das BSI die Inhalte? Die BSI-Handreichung „NIS-2-Geschäftsleitungsschulung“ (Fassung 17. April 2026) konkretisiert je Lerngebiet SOLL-Anforderungen und Leitfragen. Sie ist eine Orientierungshilfe, keine bindende Rechtsquelle.
12. Wie oft heißt „regelmäßig“? Das Gesetz nennt keine feste Frequenz; die Gesetzesbegründung (BT-Drs. 21/1501) konkretisiert den Begriff. In der Praxis bewährt sich ein jährlicher Turnus, ergänzt um anlassbezogene Schulungen (u. a. Wechsel in der Geschäftsleitung, signifikante Prozess-, Risiko- oder IT-Änderungen).
13. Bedeutet „keine feste Frequenz“ keine Pflicht? Nein. Wer keinen nachvollziehbaren, dokumentierten Schulungsrhythmus vorweisen kann, riskiert, dass die Aufsicht die Erfüllung der Pflicht im Einzelfall verneint.
14. Welche Form ist vorgeschrieben? Keine. Präsenz, Webinar, E-Learning, Coaching oder Mischformen sind möglich, sofern sie nach Inhalt, Dauer, Interaktion und Teilnahmenachweis geeignet und dokumentierbar sind.
15. Welche Dauer ist vorgeschrieben? Keine Minuten- oder Stundenvorgabe. Die Dauer muss risikoadäquat und geeignet sein, die drei gesetzlichen Lernziele zu erreichen.
16. Ist ein Schulungsnachweis Pflicht? Nicht als Voraussetzung der Erfüllung, aber für die persönliche Entlastungs-Dokumentation zentral. Mindestangaben: Anbieter/interne Stelle, Teilnehmende mit Name und Rolle, Datum/Uhrzeit/Dauer, Inhalte mit Bezug zu § 38 Abs. 3 BSIG; eine unterschriebene Teilnahmebestätigung gilt als Privaturkunde nach § 416 ZPO.
17. Welches Bußgeld droht bei Verletzung? Eine vollziehbare Schulungs-Anordnung (§ 61 Abs. 7, auch i.V.m. § 62 BSIG) ist über § 65 Abs. 2 Nr. 1 Buchst. c i.V.m. § 65 Abs. 5 Satz 1 Nr. 5 BSIG bei Vorsatz mit bis zu 500.000 Euro bewehrt, bei Fahrlässigkeit wegen § 17 Abs. 2 OWiG bis zu 250.000 Euro. Die umsatzbezogene Stufe (2 % / 1,4 %) nach § 65 Abs. 6 und 7 BSIG gilt hierfür nicht.
18. Trifft das Bußgeld die Person oder die Einrichtung? Das § 65-BSIG-Bußgeld trifft die Einrichtung. Eine persönliche Bußgeldverantwortung einzelner Leitungspersonen folgt daraus nicht automatisch.
19. Wann haftet die Geschäftsleitung persönlich? Über § 38 Abs. 2 BSIG in Verbindung mit § 43 GmbHG oder § 93 AktG kann eine zivilrechtliche Innenhaftung mit dem Privatvermögen entstehen; es genügt bereits einfache Fahrlässigkeit (§ 276 BGB), und die Beweislast liegt bei der Geschäftsleitung.
20. Wann verjähren Innenhaftungsansprüche? Bei der GmbH in fünf Jahren (§ 43 Abs. 4 GmbHG); bei der AG in zehn Jahren, wenn sie zum Zeitpunkt der Pflichtverletzung börsennotiert war, sonst in fünf Jahren (§ 93 Abs. 6 AktG).
21. Schützt eine D&O-Versicherung? Sie kann die Organhaftung abmildern. Bei AG-Vorständen ist nach § 93 Abs. 2 Satz 3 AktG ein Selbstbehalt von mindestens 10 Prozent bis zum Eineinhalbfachen der festen Jahresvergütung vorzusehen; der Wissentlichkeitsausschluss greift nach BGH IV ZR 66/25 nur für die konkret haftungsauslösende Pflichtverletzung, sodass eine ordnungsgemäße Schulung die Deckung nicht automatisch schwächt.
22. Kann ein Tätigkeitsverbot verhängt werden? Die Tätigkeitsuntersagung nach § 61 Abs. 9 Satz 2 Nr. 2 BSIG ist eng zugeschnitten: nur bei besonders wichtigen Einrichtungen und nur, wenn Anordnungen des Bundesamtes trotz Fristsetzung nicht befolgt werden.
23. Seit wann gilt die Pflicht, und gibt es eine Schonfrist? Die Schulungspflicht gilt seit dem 6. Dezember 2025 unmittelbar; eine generelle Übergangsfrist besteht nicht. Allgemeine Nachweisanforderungen nach § 61 Abs. 3 BSIG dürfen frühestens am 6.12.2028 gefordert werden, bei zugelassenen Krankenhäusern (§ 108 SGB V) frühestens am 6.12.2030.
24. Erfüllt eine Schulung zugleich die gesellschaftsrechtliche Sorgfaltspflicht? Nein. Die ordnungsgemäße Teilnahme kann § 38 Abs. 3 BSIG erfüllen, ist aber nicht zugleich Erfüllung der Sorgfaltspflicht nach § 43 GmbHG / § 93 AktG; erkannte Risiken müssen anschließend auch umgesetzt werden.

11. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

11.1 Nationale Normen

• [N-BSIG-2-13] § 2 Nummer 13 BSIG — Geschäftsleitung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-22] § 2 Nummer 22/23 BSIG — kritische Anlage / kritische Komponenten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-29] § 29 BSIG — Einrichtungen der Bundesverwaltung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__29.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-31] § 31 BSIG — besondere Anforderungen für Betreiber kritischer Anlagen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__31.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-35] § 35 BSIG — Unterrichtungspflichten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__35.html
• [N-BSIG-36] § 36 BSIG — Rückmeldungen des Bundesamtes. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__36.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-56] § 56 BSIG — Verordnungsermächtigungen (Erheblichkeit, Krankenhaus, kritische Komponenten). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__56.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen; Krankenhaus-Schonfrist (Abs. 3 S. 5), Leitungsuntersagung (Abs. 9). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-BSIG-66] § 66 BSIG — Anwendungs- und Übergangsbestimmungen (KRITIS-DachG-Suspendierung). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__66.html
• [N-OWiG-9] § 9 OWiG — Handeln für einen anderen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__9.html
• [N-OWiG-17] § 17 OWiG — Höhe der Geldbuße. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__17.html
• [N-OWiG-130] § 130 OWiG — Verletzung der Aufsichtspflicht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__130.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-GenG-24] § 24 GenG — Vorstand der Genossenschaft. Fundstelle: https://www.gesetze-im-internet.de/geng/__24.html
• [N-GenG-25] § 25 GenG — Vertretung der Genossenschaft. Fundstelle: https://www.gesetze-im-internet.de/geng/__25.html
• [N-SEAG-22] § 22 SEAG — Aufgaben des Verwaltungsrats (monistische SE). Fundstelle: https://www.gesetze-im-internet.de/seag/__22.html
• [N-BGB-31a] § 31a BGB — Haftung von Organmitgliedern und besonderen Vertretern. Fundstelle: https://www.gesetze-im-internet.de/bgb/__31a.html
• [N-BGB-84a] § 84a BGB — Rechte und Pflichten der Stiftungsvorstandsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/bgb/__84a.html
• [N-BGB-167] § 167 BGB — Erteilung der Vollmacht. Fundstelle: https://www.gesetze-im-internet.de/bgb/__167.html
• [N-TKG-165] § 165 TKG — technische und organisatorische Schutzmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/__165.html
• [N-KWG-1a] § 1a KWG — Geltung von EU-Rechtsakten (inkl. DORA) für Institute. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__1a.html
• [N-VAG-293] § 293 VAG — Verordnungsermächtigung / DORA-Geltung im Versicherungsaufsichtsrecht. Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__293.html
• [N-SGBV-108] § 108 SGB V — zugelassene Krankenhäuser. Fundstelle: https://www.gesetze-im-internet.de/sgb_5/__108.html
• [N-KRITISDachG] KRITIS-Dachgesetz — BGBl. 2026 I Nr. 66 vom 16.3.2026. Fundstelle: https://www.recht.bund.de/bgbl/1/2026/66/VO

11.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-KIVO] Verordnung (EU) 2024/1689 (KI-Verordnung). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• [EU-KMU] Empfehlung 2003/361/EG der Kommission (KMU-Definition). Fundstelle: https://eur-lex.europa.eu/eli/reco/2003/361/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); Berichtigung ABl. L 74 vom 4.3.2021. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj

11.3 Rechtsprechung

• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/

11.4 Behörden und amtliche Praxis

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/
• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)

11.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

11.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

12. CyberSchutzEngel-Hinweis

Plattes Group bietet im Rahmen des CyberSchutzEngel-Pakets begleitende NIS-2-Geschäftsleitungsschulungen zu den drei Lerngebieten des § 38 Abs. 3 BSIG sowie eine prüffeste Schulungs- und Compliance-Dokumentation als Entlastungsgrundlage an.