Haftung und Sanktionen unter NIS-2 — der Überblick für die Geschäftsleitung

1. Worum es in diesem Artikel geht

Dieser Pillar-Artikel beantwortet die Frage, was unter dem BSIG in der Fassung des Gesetzes zur Umsetzung der NIS-2-Richtlinie [EU-NIS2] und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301, veröffentlicht am 5. Dezember 2025, in Kraft seit 6. Dezember 2025), zuletzt geändert durch Artikel 4 des Gesetzes vom 11. März 2026 (BGBl. 2026 I Nr. 66 vom 16. März 2026), passieren kann, wenn eine besonders wichtige Einrichtung oder eine wichtige Einrichtung ihre Pflichten verletzt — und was davon die Einrichtung selbst trifft, was die Geschäftsleitung persönlich, was das Aufsichtsorgan und wo das Strafrecht eine eigene Schiene öffnet.

Der Artikel ist als Karte gedacht, nicht als Endpunkt. Jede der fünf Schichten hat einen eigenen Satelliten, der die Mechanik im Detail behandelt: A3-02 zur Innenhaftung der Geschäftsleitung nach § 38 Absatz 2 BSIG [N-BSIG-38], A3-03 zur Aufsichtsrats-Haftung mit BGH II ZR 78/24 [R-II-ZR-78-24], A3-04 zur Verbandsgeldbuße nach § 65 BSIG [N-BSIG-65], A3-05 zum Tätigkeitsverbot nach § 61 Absatz 9 BSIG [N-BSIG-61], A3-06 zur personenbezogenen OWiG- und Strafschiene (§ 65 BSIG i.V.m. § 9 OWiG [N-OWiG-9], § 130 OWiG [N-OWiG-130], § 266 StGB [N-StGB-266], § 15a InsO [N-InsO-15a], § 129 StGB [N-StGB-129]-Konstellationen). Die Verjährungs-Mechanik über alle Schichten behandelt dieser Überblick in den Abschnitten 6.4 und 8.3 bis 8.5; Beweislast und Verteidigung im Innenhaftungs-Prozess vertieft der Satellit A3-02.

Worauf dieser Artikel ausdrücklich verzichtet. Auf jede Form von „Eigentlich geht es nur um …“-Reduktion. Die fünf in diesem Artikel gebündelten Verantwortungsschichten beruhen auf unterschiedlichen gesetzlichen Anknüpfungen und können rechtlich sowie wirtschaftlich nebeneinander wirken. Wer eine Schicht ausblendet, blendet eine reale Folge aus.

1.1 Lese-Fragen, die hier im Überblick eigenständig beantwortet werden

Vier Leitfragen werden in diesem Artikel im Überblick eigenständig beantwortet — ohne dass der Grundbefund auf einen Satelliten ausgelagert wird.

Erstens: Welche fünf Verantwortungsschichten kennt das BSIG in Verbindung mit Gesellschaftsrecht, Ordnungswidrigkeiten- und Strafrecht? Zweitens: Was kann der Einrichtung wirtschaftlich passieren, und in welcher Höhe? Drittens: Was kann den Mitgliedern der Geschäftsleitung persönlich passieren — zivilrechtlich, ordnungswidrigkeitenrechtlich, strafrechtlich, in der Berufsausübung? Viertens: Wie greifen die Schichten zeitlich ineinander — Inkrafttreten, Übergänge, Verjährung, Aufsichts-Eskalation?

Die Detailfragen — etwa „Wie genau läuft die Innenhaftungs-Beweislast ab?“ oder „Welche D&O-Klauseln sind nach BGH IV ZR 66/25 [R-IV-ZR-66-25] problematisch?“ — gehören in die Satelliten. Der Leser, der wissen will, in welchem Risiko-Raum er sich bewegt, findet die Antwort hier.

2. Die fünf Verantwortungsschichten — Karte

Die Sanktions- und Haftungs-Architektur unter NIS-2 ist nicht eine einzige Linie, die von der Pflichtverletzung zur Konsequenz führt. Sie ist ein Geflecht aus fünf eigenständigen Schichten mit jeweils eigenem Anknüpfungspunkt, eigenem Adressaten, eigener Rechtsfolge und eigenem Verfahren.

Die Schichten sind nicht hierarchisch geordnet. Wer eine BSIG-Pflichtverletzung begeht, kann gleichzeitig in Schicht 1 (die Einrichtung wird mit Bußgeld belegt), Schicht 2 (das Bundesamt für Sicherheit in der Informationstechnik [B-BSI] ordnet Mängelbeseitigung an), Schicht 3 (die Einrichtung verklagt die eigene Geschäftsleitung auf Ersatz) und Schicht 5 (ein persönliches OWiG-Verfahren wegen eigener § 65-BSIG-Zuwiderhandlung über § 9 OWiG [N-OWiG-9] oder wegen Aufsichtspflichtverletzung nach § 130 OWiG [N-OWiG-130] in Verbindung mit § 9 OWiG oder, bei hinzutretendem Vermögensnachteil und Vorsatz, ein Strafverfahren nach § 266 StGB [N-StGB-266]) betroffen sein. Schicht 4 kann hinzutreten, wenn das Aufsichtsorgan seinerseits seine Überwachungspflicht verletzt hat.

Wichtige Abgrenzung gegen ein verbreitetes Missverständnis. § 65 BSIG richtet die institutionellen Pauschal- und Umsatz-Rahmen aus Absatz 5 bis 7 in erster Linie gegen die Einrichtung; daraus folgt aber nicht, dass jede personenbezogene OWiG-Schiene ausschließlich über § 130 OWiG laufen würde. Zu trennen sind zwei Fälle: Begeht eine natürliche Person als Organ, Vertreter oder Beauftragter selbst eine tatbestandsmäßige § 65-BSIG-Zuwiderhandlung, kann die persönliche Zurechnung über § 9 OWiG laufen; verletzt die Geschäftsleitung dagegen ihre Aufsichtspflicht über die Organisation, läuft die personenbezogene OWiG-Schiene über § 130 Absatz 1 in Verbindung mit Absatz 3 OWiG und § 9 OWiG. Die Aussage „kein persönliches § 65-Bußgeld allein wegen Organstellung“ bedeutet daher nicht: „nie eine personenbezogene § 65-BSIG-Zuwiderhandlung“.

3. Schicht 1 — Bußgeld gegen die Einrichtung nach § 65 BSIG

Die institutionelle Geldbuße ist die sichtbarste Sanktion. Sie trifft die Einrichtung — je nach Einordnung also insbesondere eine natürliche Person, eine juristische Person, eine Personenvereinigung oder eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft — und sie wird in einem ordnungswidrigkeitenrechtlichen Verfahren festgesetzt. Bei juristischen Personen und Personenvereinigungen stellt § 30 OWiG [N-OWiG-30] die Brücke zur Verbandsgeldbuße her; die persönliche Zurechnung des Handelns oder Unterlassens einer natürlichen Person läuft über § 9 OWiG [N-OWiG-9]. § 65 BSIG [N-BSIG-65] selbst regelt die Tatbestände und das Höchstmaß.

3.1 Die Tatbestände — was als Verstoß gilt

§ 65 Absatz 2 BSIG listet 17 Nummern. Jede einzelne Nummer ist ein eigener Tatbestand, der vorsätzlich oder fahrlässig erfüllt sein kann. Die wichtigsten Tatbestände für die Praxis sind:

§ 65 Absatz 2 Nummer 2 BSIG zitiert amtlich: „entgegen § 30 Absatz 1 Satz 1 eine dort genannte Maßnahme nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift“ — der Kernverstoß gegen das Risikomanagement.

§ 65 Absatz 2 Nummer 3 BSIG zitiert amtlich: „entgegen § 30 Absatz 1 Satz 3 die Einhaltung der Verpflichtung nicht, nicht richtig oder nicht vollständig dokumentiert“ — die Dokumentationspflicht als eigener Tatbestand neben der Sachpflicht.

§ 65 Absatz 2 Nummer 4 BSIG zitiert amtlich: „entgegen § 32 Absatz 1 Satz 1 eine Meldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht“ — die Meldepflichtverletzung, die nach § 32 Absatz 1 Satz 1 Nummer 1 BSIG ausdrücklich „unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall“ eine frühe Erstmeldung verlangt; nach Nummer 2 „unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall“ eine bestätigende oder aktualisierende Meldung; nach Nummer 3 auf Ersuchen des Bundesamtes eine Zwischenmeldung; nach Nummer 4 „spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2,“ eine Abschlussmeldung — wobei nach § 32 Absatz 2 BSIG bei andauerndem Vorfall statt der Abschlussmeldung zunächst eine Fortschrittsmeldung vorzulegen ist.

§ 65 Absatz 2 Nummer 5 BSIG zitiert amtlich: „entgegen § 32 Absatz 2 Satz 2 eine Abschlussmeldung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt“.

§ 65 Absatz 2 Nummer 9 BSIG zitiert amtlich: „entgegen § 35 Absatz 2 Satz 1, auch in Verbindung mit Satz 2, eine Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig macht“.

§ 65 Absatz 2 Nummer 6 BSIG zitiert amtlich: „entgegen § 33 Absatz 1 oder 2 Satz 1, jeweils auch in Verbindung mit einer Rechtsverordnung nach § 56 Absatz 4 Satz 1, oder entgegen § 34 Absatz 1 eine Angabe nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt“ — die Registrierungspflichten nach § 33 (Erst- und Änderungsregistrierung der Einrichtung) und § 34 BSIG (besondere Registrierungspflicht für Domain-Name-Registry-Diensteanbieter und bestimmte Anbieter digitaler Dienste). Diese Bußgeldspur fällt nach § 65 Absatz 5 Satz 1 Nummer 5 BSIG in die Pauschalstufe bis zu 500.000 Euro. Hinweis zum Reform-Drift der Binnenverweisung: Der Verweis auf eine Rechtsverordnung nach § 56 Absatz 4 Satz 1 BSIG ist im aktuellen Konsolidierungsstand eigenständig zu markieren — § 56 Absatz 4 BSIG betrifft die Rechtsverordnung zur Bestimmung, wann ein Sicherheitsvorfall erheblich ist. Für Betreiber kritischer Anlagen sind daneben § 66 BSIG, § 33 Absatz 2 BSIG und § 8 KRITIS-DachG gesondert zu trennen.

§ 65 Absatz 2 Nummer 7 BSIG zitiert amtlich: „entgegen § 33 Absatz 2 Satz 2 nicht sicherstellt, dass er erreichbar ist“. Diese Bußgeldspur fiele nach § 65 Absatz 5 Satz 1 Nummer 6 BSIG in die Pauschalstufe bis zu 100.000 Euro. Wichtige Klarstellung — amtlicher Reform-Drift-Verweisungsbruch. § 33 Absatz 2 BSIG enthält in der seit 17. März 2026 geltenden Fassung (KRITIS-DachG-Reform) nur noch einen einzigen Satz — den Verweis auf § 8 KRITIS-DachG; ein „Satz 2“ existiert in dieser Fassung nicht mehr. Zugleich ordnet § 66 BSIG an, dass die neue Fassung von § 33 Absatz 2 BSIG erst anzuwenden ist, wenn die Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 KRITIS-DachG gilt. Die materielle Erreichbarkeits-Pflicht ist amtlich in § 8 Absatz 1 Nummer 6 KRITIS-DachG verankert (Pflicht zur Angabe „einer Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist; in Bezug auf Maßnahmen nach dem BSI-Gesetz ist die jederzeitige Erreichbarkeit zu gewährleisten“). Die Sanktionsnorm in § 65 Absatz 2 Nummer 7 BSIG ist im Reformschritt nicht redaktionell mit-angepasst worden; ihre Anwendung auf Erreichbarkeits-Verstöße ist damit über den amtlichen Wortlaut derzeit nicht eindeutig herzuleiten. Eine redaktionelle Korrektur durch den Gesetzgeber steht aus.

§ 65 Absatz 2 Nummer 1 BSIG zitiert amtlich die Verletzung vollziehbarer Anordnungen — in vier Buchstaben gestaffelt: Buchstabe a (Anordnungen nach § 11 Absatz 6, § 16 Absatz 1 Satz 1, auch in Verbindung mit Absatz 4, § 17 Satz 1 oder § 39 Absatz 1 Satz 5), Buchstabe b (Anordnungen nach § 14 Absatz 2 Satz 1), Buchstabe c (Anordnungen nach den §§ 18, 40 Absatz 5 Satz 1 oder nach § 61 Absatz 3 Satz 1 oder Absatz 6 Satz 1 oder 3 oder Absatz 7 Satz 1 oder 3 oder Absatz 8, jeweils auch in Verbindung mit § 62), Buchstabe d (Anordnungen nach § 35 Absatz 1 Satz 1 oder § 36 Absatz 2 Satz 1).

Diese Differenzierung der Anordnungs-Verstöße in vier Buchstaben ist nicht kosmetisch — sie steuert das Höchstmaß. Eine Verletzung einer Risikomanagement-Anordnung des Bundesamtes nach § 61 Absatz 7 Satz 1 BSIG [N-BSIG-61] fällt unter Buchstabe c; eine Verletzung einer Drittinformations- oder öffentlichen Bekanntmachungs-Anordnung nach § 61 Absatz 8 BSIG ebenfalls unter Buchstabe c. Sie laufen damit in eine andere Bußgeldstufe als eine Verletzung von Anordnungen nach § 35 Absatz 1 Satz 1 oder § 36 Absatz 2 Satz 1 BSIG (Buchstabe d).

3.2 Die sechs Pauschalstufen nach § 65 Absatz 5 BSIG

Der Pauschalrahmen ist amtlich sechsstufig — nicht zweistufig. Die Stufen knüpfen jeweils an konkrete Tatbestandsmengen aus Absatz 2 (oder Absatz 1, 3, 4) an. § 65 Absatz 5 BSIG zitiert amtlich:

„Die Ordnungswidrigkeit kann geahndet werden:

1. in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9,
   a) bei besonders wichtigen Einrichtungen nach § 28 Absatz 1 Satz 1 mit einer Geldbuße bis zu zehn Millionen Euro,
   b) bei wichtigen Einrichtungen im Sinne des § 28 Absatz 2 Satz 1 mit einer Geldbuße bis zu sieben Millionen Euro,
2. in den Fällen des Absatzes 2 Nummer 11 mit einer Geldbuße bis zu fünf Millionen Euro,
3. in den Fällen des Absatzes 2 Nummer 1 Buchstabe a mit einer Geldbuße bis zu zwei Millionen Euro,
4. in den Fällen des Absatzes 1 und des Absatzes 2 Nummer 10 mit einer Geldbuße bis zu einer Million Euro,
5. in den Fällen des Absatzes 2 Nummer 1 Buchstabe c, Nummer 6, 8, 12 bis 16 und des Absatzes 4 mit einer Geldbuße bis zu fünfhunderttausend Euro und
6. in den Fällen des Absatzes 2 Nummer 1 Buchstabe b, Nummer 7 und 17 und des Absatzes 3 mit einer Geldbuße bis zu hunderttausend Euro.
   In den Fällen des Satzes 1 Nummer 3 und 4 ist § 30 Absatz 2 Satz 3 des Gesetzes über Ordnungswidrigkeiten anzuwenden.“

Praktisch heißt das: Die in der Öffentlichkeit oft genannten zehn Millionen Euro (besonders wichtige Einrichtung) beziehungsweise sieben Millionen Euro (wichtige Einrichtung) gelten ausschließlich für die in Nummer 1 aufgezählte Tatbestandsmenge — also für Risikomanagement-Verstöße nach Absatz 2 Nummer 2, Dokumentationsverstöße nach Absatz 2 Nummer 3, Melde- und Abschlussmeldungsverstöße nach Absatz 2 Nummer 4 und 5, Anordnungs-Verstöße nach Absatz 2 Nummer 1 Buchstabe d sowie Mitteilungs-Verstöße nach Absatz 2 Nummer 9. Für andere Verstöße greifen die niedrigeren Stufen 2 bis 6, jeweils unabhängig von der Einrichtungs-Kategorie; bei einer über § 30 OWiG festgesetzten Verbandsgeldbuße gegen eine juristische Person oder Personenvereinigung ist jedoch in den Fällen des § 65 Absatz 5 Satz 1 Nummer 3 und 4 BSIG § 30 Absatz 2 Satz 3 OWiG anzuwenden, sodass sich das jeweilige Geldbußen-Höchstmaß verzehnfacht.

Praxis-Hinweis zur Anordnungs-Verletzung als Bußgeldhebel. Die Anordnungs-Verletzung nach § 61 Absatz 7 Satz 1 BSIG (Umsetzungs-Anordnung des Bundesamtes) fällt nach § 65 Absatz 2 Nummer 1 Buchstabe c und damit unter Stufe 5 — bis zu fünfhunderttausend Euro. Wer also eine Risikomanagement-Maßnahme nicht umsetzt, muss zunächst mit Stufe 1 rechnen (bis zu zehn Millionen Euro für besonders wichtige Einrichtungen bzw. bis zu sieben Millionen Euro für wichtige Einrichtungen). Wer eine konkrete Bundesamts-Anordnung zur Mängelbeseitigung danach nicht umsetzt, läuft in einen weiteren Tatbestand nach Nummer 1 Buchstabe c mit Stufe 5. Die Sanktionen können nebeneinander treten.

3.3 Die umsatzbezogenen Stufen nach § 65 Absatz 6 und 7 BSIG

Bei wirtschaftlich großen Einrichtungen tritt zur Pauschalstufe eine umsatzbezogene Stufe hinzu — aber tatbestandsabhängig und nicht für alle Verstöße. § 65 Absatz 6 BSIG zitiert amtlich für besonders wichtige Einrichtungen:

„Gegenüber einer besonders wichtigen Einrichtung im Sinne des § 28 Absatz 1 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe a, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 2 Prozent des Gesamtumsatzes geahndet werden.“

§ 65 Absatz 7 BSIG zitiert amtlich für wichtige Einrichtungen denselben Mechanismus mit niedrigerem Satz:

„Gegenüber einer wichtigen Einrichtung im Sinne des § 28 Absatz 2 Satz 1 mit einem Gesamtumsatz von mehr als 500 Millionen Euro kann abweichend von Absatz 5 Satz 1 Nummer 1 Buchstabe b, auch in Verbindung mit § 30 Absatz 2 Satz 2 des Gesetzes über Ordnungswidrigkeiten, eine Ordnungswidrigkeit in den Fällen des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9 mit einer Geldbuße bis zu 1,4 Prozent des Gesamtumsatzes geahndet werden.“

Drei amtliche Eigenschaften dieser umsatzbezogenen Stufe sind für die Praxis zentral. Erstens: Sie greift nicht für alle Tatbestände, sondern ausdrücklich nur für „die Fälle des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9“ — also exakt die Tatbestandsmenge, die in Absatz 5 Nummer 1 abgedeckt ist (Risikomanagement-, Dokumentations-, Melde-, Abschlussmelde- und Mitteilungsverstöße sowie Anordnungs-Verstöße nach Buchstabe d). Wer einen anderen Tatbestand erfüllt — etwa eine Anordnungs-Verletzung nach Nummer 1 Buchstabe c —, bleibt im Pauschalrahmen, auch wenn die Einrichtung einen Gesamtumsatz von mehreren Milliarden Euro hat. Zweitens: Sie greift nur, wenn der Gesamtumsatz die Schwelle von 500 Millionen Euro übersteigt. Drittens: Sie ist im amtlichen Wortlaut nicht zusätzlich („zusätzlich zu“), sondern alternativ („abweichend von“) zur entsprechenden Pauschalstufe formuliert.

Verbreitete Fehlformulierung. „Das Bußgeld beträgt 2 Prozent des weltweiten Umsatzes“ — das ist verkürzt. Korrekt ist: bis zu 2 Prozent (besonders wichtig) bzw. bis zu 1,4 Prozent (wichtig) des Gesamtumsatzes, abweichend vom Pauschalrahmen, nur für die in Absatz 6 bzw. Absatz 7 genannten Tatbestände, nur bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Millionen Euro, und der Gesamtumsatz ist nicht der Umsatz der Einrichtung, sondern — § 65 Absatz 8 BSIG amtlich — die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat.

3.4 Wie der Gesamtumsatz amtlich bestimmt wird (§ 65 Absatz 8 BSIG)

§ 65 Absatz 8 BSIG zitiert amtlich: „Gesamtumsatz im Sinne der Absätze 6 und 7 ist die Summe aller Umsatzerlöse, die das Unternehmen, dem die besonders wichtige Einrichtung oder die wichtige Einrichtung angehört, in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat. Der Gesamtumsatz kann geschätzt werden.“

Das hat drei Folgen für die Praxis. Erstens: Bezugspunkt ist nicht die Einrichtung allein, sondern „das Unternehmen, dem die Einrichtung angehört“. In Konzernkonstellationen weitet sich der amtliche Bezugspunkt damit über die einzelne Einrichtung hinaus aus — wie weit „das Unternehmen“ amtlich reicht, ist eine im Einzelfall zu prüfende Auslegungsfrage; eine gefestigte höchstrichterliche Auslegungslinie speziell zu § 65 Absatz 8 BSIG liegt bislang nicht vor. Zweitens: Maßgeblich ist nicht der laufende Umsatz, sondern der Umsatz „in dem der Behördenentscheidung vorausgegangenen Geschäftsjahr“. Drittens: Das Bundesamt darf den Gesamtumsatz schätzen — eine fehlende Mitwirkung der Einrichtung verhindert die Anwendung der Umsatzstufe nicht; das Bundesamt kann den Gesamtumsatz schätzen. Ob und in welcher Höhe die Schätzung trägt, bleibt im konkreten Verfahren überprüfbar.

3.5 Zwei amtliche Anwendungssperren — § 65 Absatz 9 und Absatz 11 BSIG

§ 65 Absatz 9 BSIG zitiert amtlich: „§ 17 Absatz 2 des Gesetzes über Ordnungswidrigkeiten ist in den Fällen des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7 nicht anzuwenden.“ § 17 Absatz 2 OWiG [N-OWiG-17] ist nicht die Vorteilsabschöpfungsregel, sondern die Fahrlässigkeits-Halbierungsregel: Droht ein Gesetz für vorsätzliches und fahrlässiges Handeln dieselbe Geldbuße an, halbiert § 17 Absatz 2 OWiG grundsätzlich das Höchstmaß für fahrlässiges Handeln. § 65 Absatz 9 BSIG schaltet diese Halbierung für die hohen NIS-2-Stufen aus. Die Vorteilsabschöpfung steht dagegen in § 17 Absatz 4 OWiG; diese Vorschrift wird durch § 65 Absatz 9 BSIG nicht ausgenommen.

§ 65 Absatz 11 BSIG zitiert amtlich ein Doppelbestrafungsverbot zur DSGVO [EU-DSGVO]-Geldbuße:

„Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 eine Geldbuße, so darf eine weitere Geldbuße für einen Verstoß nach diesem Gesetz, der sich aus demselben Verhalten ergibt wie jener Verstoß, der Gegenstand der Geldbuße nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 war, nicht verhängt werden.“

Konkret heißt das: Wenn dasselbe Verhalten zugleich einen BSIG-Tatbestand und einen DSGVO-Tatbestand erfüllt — etwa eine unzureichende technisch-organisatorische Maßnahme nach Art. 32 DSGVO und gleichzeitig eine fehlende Risikomanagement-Maßnahme nach § 30 BSIG [N-BSIG-30] — und die Datenschutz-Aufsichtsbehörde gemäß Art. 58 Absatz 2 Buchstabe i DSGVO eine Geldbuße verhängt, ist eine weitere BSIG-Geldbuße für „denselben Verstoß … aus demselben Verhalten“ amtlich gesperrt. Der Wortlaut des § 65 Absatz 11 BSIG regelt damit ausdrücklich die Sperre einer weiteren BSIG-Geldbuße nach einer DSGVO-Geldbuße; umgekehrte oder weitergehende Doppelverfolgungsfragen sind gesondert nach den allgemeinen ne-bis-in-idem-Grundsätzen zu prüfen.

3.6 Berechnungsbeispiele in den drei Umsatzbändern

Drei Beispiele für eine besonders wichtige Einrichtung mit einem Risikomanagement-Verstoß nach § 65 Absatz 2 Nummer 2 BSIG (also einem Tatbestand der Stufe 1 nach Absatz 5 und zugleich der Umsatzstufe nach Absatz 6).

Bei einer wichtigen Einrichtung sind die Werte gespiegelt: Pauschalrahmen bis zu sieben Millionen Euro nach Absatz 5 Nummer 1 Buchstabe b, Umsatzrahmen bis zu 1,4 Prozent nach Absatz 7. Bei 1,2 Milliarden Euro Gesamtumsatz entspricht das einem Höchstbetrag von 16,8 Millionen Euro.

Diese Beispiele sind Bandbreiten-Skizzen, keine Einzelfallprognosen. Die dargestellten Beträge sind die Grund-Höchstmaße nach § 65 Absatz 5 bis 7 BSIG. Die tatsächliche Geldbuße im Einzelfall richtet sich nach den Bemessungsregeln des § 17 OWiG (Schwere des Vorwurfs, Vorwerfbarkeit, wirtschaftliche Verhältnisse) sowie nach den allgemeinen verwaltungsrechtlichen Verhältnismäßigkeitsanforderungen. Unberührt bleibt insbesondere § 17 Absatz 4 OWiG: Die Geldbuße soll den wirtschaftlichen Vorteil übersteigen; reicht das gesetzliche Höchstmaß hierfür nicht aus, kann es nach § 17 Absatz 4 OWiG überschritten werden. Höchstmaß heißt also nicht Regelmaß — und das Grund-Höchstmaß ist nicht zwingend die absolute Obergrenze bei Vorteilsabschöpfung.

3.7 § 30 OWiG und § 9 OWiG — die Brücken zur juristischen Person und zum Organhandeln

§ 65 BSIG sanktioniert Verstöße. Damit eine Geldbuße tatsächlich gegen die juristische Person festgesetzt werden kann, braucht es zwei OWiG-Brücken.

§ 30 Absatz 1 OWiG lautet amtlich: „Hat jemand 1. als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs, 2. als Vorstand eines nicht rechtsfähigen Vereins oder als Mitglied eines solchen Vorstandes, 3. als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft, 4. als Generalbevollmächtigter oder in leitender Stellung als Prokurist oder Handlungsbevollmächtigter einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung oder 5. als sonstige Person, die für die Leitung des Betriebs oder Unternehmens einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung verantwortlich handelt, wozu auch die Überwachung der Geschäftsführung oder die sonstige Ausübung von Kontrollbefugnissen in leitender Stellung gehört, eine Straftat oder Ordnungswidrigkeit begangen, durch die Pflichten, welche die juristische Person oder die Personenvereinigung treffen, verletzt worden sind oder die juristische Person oder die Personenvereinigung bereichert worden ist oder werden sollte, so kann gegen diese eine Geldbuße festgesetzt werden.“ § 30 Absatz 2 Satz 3 OWiG lautet amtlich: „Verweist das Gesetz auf diese Vorschrift, so verzehnfacht sich das Höchstmaß der Geldbuße nach Satz 2 für die im Gesetz bezeichneten Tatbestände.“ § 30 OWiG (Verbandsgeldbuße) ordnet amtlich an: Wenn jemand als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs (Nummer 1), als Vorstand eines nicht rechtsfähigen Vereins oder als Mitglied eines solchen Vorstandes (Nummer 2), als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft (Nummer 3), als Generalbevollmächtigter oder in leitender Stellung als Prokurist oder Handlungsbevollmächtigter einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung (Nummer 4), oder als sonstige Person, die für die Leitung des Betriebs oder Unternehmens einer juristischen Person oder einer in Nummer 2 oder 3 genannten Personenvereinigung verantwortlich handelt — wozu auch die Überwachung der Geschäftsführung oder die sonstige Ausübung von Kontrollbefugnissen in leitender Stellung gehört (Nummer 5) —, eine Straftat oder Ordnungswidrigkeit begangen, durch die Pflichten, welche die juristische Person oder die Personenvereinigung treffen, verletzt worden sind oder die juristische Person oder die Personenvereinigung bereichert worden ist oder werden sollte, kann gegen diese eine Geldbuße festgesetzt werden.

§ 9 OWiG (Handeln für einen anderen) ergänzt das, indem er besondere persönliche Merkmale, die das Gesetz an den Inhaber knüpft, auf den Vertreter überträgt. Konkret werden Pflichten, die das BSIG der Einrichtung auferlegt, über § 9 OWiG der Geschäftsleitung (als vertretungsberechtigtem Organ) zugerechnet, soweit die Geschäftsleitung in dieser Funktion handelt oder das Handeln unterlässt.

Praktische Konsequenz. Eine fehlende Maßnahme nach § 30 Absatz 2 BSIG ist auf der Tatbestandsseite eine Pflicht der Einrichtung. Die persönliche Zurechnung einer eigenen tatbestandsmäßigen § 65-BSIG-Zuwiderhandlung an die Geschäftsleitung oder an Beauftragte kann über § 9 OWiG laufen. Die Geldbuße gegen die juristische Person läuft zusätzlich über § 30 OWiG. Für die Verbandsgeldbuße braucht es daher eine taugliche Anknüpfungstat einer natürlichen Person und die § 30-OWiG-Brücke; für ein persönliches OWiG-Verfahren ist § 30 OWiG dagegen nicht die Zurechnungsnorm. Lerngeschichte 13 in den CyberSchutzEngel-Formulierungs-Lehren verbietet ausdrücklich, von § 130 OWiG direkt zur Geschäftsleitung zu springen — dieser Sprung läuft amtlich über § 9 OWiG.

3.8 Zuständige Verwaltungsbehörde nach § 65 Absatz 10 BSIG

§ 65 Absatz 10 BSIG bestimmt amtlich: „Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist 1. in den Fällen des Absatzes 2 Nummer 11 das Bundesministerium des Innern und 2. in den Fällen der Absätze 1, 3 und 4 sowie in den Fällen des Absatzes 2, die nicht in Nummer 1 genannt sind, das Bundesamt.“ Für den ganz überwiegenden Teil der Tatbestände entscheidet damit das Bundesamt.

4. Schicht 2 — Aufsichtsmaßnahmen, Verwaltungszwang und Tätigkeitsverbot nach § 61 bis § 63 BSIG

Die zweite Verantwortungsschicht ist regulatorischer Natur. Sie trifft im Ausgangspunkt die Einrichtung — und im letzten Schritt die Geschäftsleitung. Sie ist verfahrensmäßig nicht ein Bußgeldverfahren, sondern ein Verwaltungsverfahren. Sie kann unabhängig vom Bußgeld laufen und vor diesem oder neben diesem stehen.

4.1 Aufsicht über besonders wichtige Einrichtungen nach § 61 BSIG

§ 61 BSIG regelt die Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen. Neben Audits, Nachweisen, Überprüfungen, Anordnungen, öffentlicher Bekanntmachung und Tätigkeitsuntersagung ist als Cross-Regime-Trigger ausdrücklich § 61 Abs. 11 BSIG [N-BSIG-61] mitzulesen: Stellt das Bundesamt im Zuge der Beaufsichtigung oder Durchsetzung fest, dass ein BSIG-Verstoß eine Datenschutzverletzung im Sinne von Art. 4 Nr. 12 DSGVO [EU-DSGVO] zur Folge haben kann, die nach Art. 33 DSGVO zu melden ist, unterrichtet es unverzüglich die Datenschutzaufsichtsbehörden. Diese Behördenkopplung ist von der späteren Bußgeldsperre des § 65 Abs. 11 BSIG zu trennen.

§ 61 Absatz 1 BSIG eröffnet dem Bundesamt amtlich die Befugnis, gegenüber einzelnen besonders wichtigen Einrichtungen anzuordnen, „Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen zur Prüfung der Erfüllung der Verpflichtungen nach § 30 Absatz 1 Satz 1, auch in Verbindung mit § 31 Absatz 1 und 2 Satz 1 und § 32 Absatz 1 bis 3 sowie § 38 Absatz 3 durchführen zu lassen“.

§ 61 Absatz 3 Satz 1 BSIG enthält eine zentrale zeitliche Vorgabe: Das Bundesamt kann gegenüber anderen besonders wichtigen Einrichtungen „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes“ die Vorlage von Nachweisen über die Erfüllung der in Absatz 1 genannten Verpflichtungen anordnen. Das BSIG ist am 6. Dezember 2025 in Kraft getreten — frühestens ab dem 6. Dezember 2028 sind also allgemeine Nachweisanforderungen rechtlich möglich. § 61 Absatz 3 Satz 5 BSIG zitiert amtlich eine Sonderschonfrist für zugelassene Krankenhäuser nach § 108 des Fünften Buches Sozialgesetzbuch [N-SGBV-108]: „Abweichend von Satz 1“ kann das Bundesamt diesen gegenüber „frühestens fünf Jahre nach Inkrafttreten dieses Gesetzes“ Nachweise anordnen — also frühestens ab dem 6. Dezember 2030, „soweit nicht durch Rechtsverordnung nach § 56 Absatz 6 ein früherer Zeitpunkt bestimmt wird“. CyberSchutzEngel-Hinweis zum Verweisungsbruch: § 56 Absatz 6 BSIG [N-BSIG-56] regelt amtlich die Bestimmung kritischer Komponenten; die Krankenhaus-Vorzeit-Rechtsverordnung steht materiell in § 56 Absatz 5 BSIG. Der amtliche Wortlaut der Verweisung wird zitiert; der Bruch ist transparent ausgewiesen.

§ 61 Absatz 5 BSIG gibt dem Bundesamt das Recht, die Einhaltung der Anforderungen nach diesem Gesetz zu überprüfen, sich dabei eines qualifizierten unabhängigen Dritten zu bedienen, und verpflichtet die Einrichtung amtlich zur Mitwirkung — Betretensrecht der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten, Vorlage von Aufzeichnungen, Schriftstücken und sonstigen Unterlagen, Auskunft, „erforderliche Unterstützung“. Für Gebühren und Auslagen begrenzt § 61 Absatz 5 Satz 4 BSIG den Anspruch des Bundesamtes amtlich auf Konstellationen, in denen das Bundesamt „aufgrund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen nach § 30 Absatz 1 begründeten“.

§ 61 Absatz 6 BSIG ermächtigt das Bundesamt, „gegenüber besonders wichtigen Einrichtungen im Benehmen mit der zuständigen Aufsichtsbehörde zur Verhütung oder Behebung eines Sicherheitsvorfalls oder eines Mangels erforderliche Maßnahmen nach § 30 Absatz 1 Satz 1 sowie die Vorlage eines geeigneten Mängelbeseitigungsplanes und eines geeigneten Nachweises über die erfolgte Mängelbeseitigung“ anzuordnen. „Ein Benehmen mit der zuständigen Aufsichtsbehörde kann entfallen, sofern Gefahr im Verzug besteht.“ § 61 Absatz 6 Satz 3 BSIG ergänzt amtlich: „Ferner kann das Bundesamt die Berichterstattung zu den nach Satz 1 angeordneten Maßnahmen innerhalb einer angemessenen Frist verlangen.“

§ 61 Absatz 7 BSIG ermächtigt das Bundesamt zu Anordnungen zur Umsetzung der in Absatz 1 genannten Verpflichtungen — also insbesondere der Pflichten nach § 30 Absatz 1 Satz 1, § 31 Absatz 1 und 2 Satz 1, § 32 Absatz 1 bis 3 sowie § 38 Absatz 3 BSIG [N-BSIG-38] [N-BSIG-32] [N-BSIG-30]. Im Einzelfall kann „die Umsetzung von im Rahmen einer Sicherheitsprüfung formulierten konkreten Empfehlungen … innerhalb einer angemessenen Frist“ angeordnet werden.

§ 61 Absatz 8 BSIG erweitert die Anordnungs-Befugnis auf zwei besondere Konstellationen. Nach Nummer 1 kann das Bundesamt anordnen, die natürlichen oder juristischen Personen, für die die Einrichtung Dienste erbringt oder Tätigkeiten ausübt und die potenziell von einer erheblichen Cyberbedrohung betroffen sind, „über die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen zu unterrichten, die diese Personen als Reaktion auf die Bedrohung ergreifen können“. Nach Nummer 2 kann das Bundesamt anordnen, „Informationen zu Verstößen gegen die in Absatz 1 genannten Verpflichtungen nach durch das Bundesamt bestimmten Vorgaben öffentlich bekannt zu machen“. Die öffentliche Bekanntmachung ist die schärfste reputative Sanktion in der Aufsichts-Schicht — sie ist eine eigenständige Folge und nicht an das Bußgeld gekoppelt.

§ 61 Absatz 9 BSIG steht am Ende der Eskalationsleiter:

„Sofern besonders wichtige Einrichtungen den Anordnungen des Bundesamtes nach diesem Gesetz trotz Fristsetzung nicht nachkommen, kann das Bundesamt dies der jeweils zuständigen Aufsichtsbehörde mitteilen. Die zuständige Aufsichtsbehörde kann, wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht, als letztes Mittel

1. die dieser Einrichtung erteilte Genehmigung nach dem jeweiligen Fachrecht vorübergehend ganz oder teilweise aussetzen und
2. unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13), vorübergehend untersagen.“
   „Die Aussetzung nach Satz 2 Nummer 1 und die Untersagung nach Satz 2 Nummer 2 sind nur solange zulässig, bis die besonders wichtige Einrichtung den Anordnungen des Bundesamtes nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurden.“

Drei amtliche Besonderheiten sind für die Praxis entscheidend. Erstens: Die Tätigkeitsuntersagung ist amtlich „letztes Mittel“ — nicht erste Reaktion auf einen Verstoß, sondern Ende einer Eskalationskette mit Anordnung, Fristsetzung, Nichterfüllung, Mitteilung, Ermessen der sektoralen Aufsichtsbehörde. Zweitens: Sie ist amtlich vorübergehend („vorübergehend untersagen“) und endet, sobald die Einrichtung den Anordnungen nachkommt — sie ist also kein Berufsverbot, sondern eine mandatsbezogene Tätigkeitsuntersagung; ob und wie sich das gesellschaftsrechtlich auf Bestellung, Organstellung oder Geschäftsverteilung auswirkt, ist gesondert nach dem jeweiligen Fach- und Gesellschaftsrecht zu prüfen. Drittens: Sie trifft amtlich „unzuverlässige Geschäftsleitungen“ — die Unzuverlässigkeits-Wertung ist ein eigenes Tatbestandsmerkmal, das in der konkreten Fallkonstellation begründet werden muss.

4.2 Aufsicht über wichtige Einrichtungen nach § 62 BSIG

§ 62 BSIG [N-BSIG-62] schaltet die Aufsicht über wichtige Einrichtungen anders. Die Norm zitiert amtlich:

„Rechtfertigen Tatsachen die Annahme, dass eine wichtige Einrichtung Verpflichtungen nach § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 nicht oder nicht richtig umsetzt, so kann das Bundesamt deren Einhaltung überprüfen und Maßnahmen nach § 61 treffen.“

Drei amtliche Merkmale stehen im Wortlaut: Erstens ist die Aufsicht über wichtige Einrichtungen anlassbezogen — sie verlangt „Tatsachen, die die Annahme rechtfertigen“, nicht eine routinemäßige Stichprobenauswahl. Zweitens nennt § 62 BSIG amtlich nur drei Anknüpfungspunkte: § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 — die operative Schulungspflicht steht hier eigenständig im Wortlaut, die § 38 Absatz 1-Umsetzungs- und Überwachungspflicht ist materiell über § 30 Absatz 1 Satz 1 erreichbar, aber nicht in § 62 BSIG namentlich genannt. Drittens verweist § 62 BSIG bei Bejahung des Anlasses auf Maßnahmen nach § 61 BSIG; für wichtige Einrichtungen sind diese Maßnahmen nur nach Maßgabe der jeweiligen Tatbestandsvoraussetzungen, Zuständigkeiten und Verfahrensschritte des § 61 anzuwenden. Die Eskalation in Absatz 9 (Aussetzung der Genehmigung, Tätigkeitsuntersagung) kommt damit nicht als identischer Automatismus, sondern nur als letzte-Mittel-Kette nach Anordnung, Fristsetzung, Nichtbefolgung, Mitteilung und Entscheidung der zuständigen Aufsichtsbehörde in Betracht.

Cross-Cluster-Konsistenz-Hinweis. CyberSchutzEngel-Pillar A2-01 zur Geschäftsleitungs-Pflichtenseite und A2-04 zur Schulungspflicht behandeln § 62 BSIG mit identischer Reichweite — die § 38 Absatz 1-Pflichten sind über § 30 Absatz 1 Satz 1 BSIG aufsichtsrechtlich erreichbar, ohne dass § 62 BSIG sie wörtlich nennt. Dieser Befund stützt sich auf den amtlichen Wortlaut und ist mehrfach gegen die amtliche Fassung verifiziert; eine gefestigte höchstrichterliche Auslegungslinie zu § 62 BSIG steht noch aus.

4.3 Wie die Aufsichts-Schicht in der Praxis eskaliert

Die Eskalation läuft typischerweise in drei Stufen, ohne dass das BSIG sie ausdrücklich so benennt. In der ersten Stufe wird das Bundesamt über einen Sicherheitsvorfall, eine Nachweispflicht oder eine Anhaltspunkt-Beobachtung tätig und prüft. In der zweiten Stufe ergeht eine Anordnung nach § 61 Absatz 6, 7 oder 8 BSIG. Die Durchsetzung solcher Anordnungen kann zusätzlich über Verwaltungszwang laufen: Sofern das Bundesamt Zwangsgelder verhängt, beträgt deren Höhe nach § 63 BSIG [N-BSIG-63] abweichend von § 11 Absatz 3 VwVG bis zu 100 000 Euro. In der dritten Stufe — bei Nichterfüllung trotz Fristsetzung — wandert die Sache an die sektorale Aufsichtsbehörde, die nach § 61 Absatz 9 BSIG entscheidet.

Jede Stufe ist im Ermessen der Behörde. Es gibt amtlich keinen Automatismus, der aus einer Pflichtverletzung eine Tätigkeitsuntersagung macht. Es gibt keine zusätzliche gesetzliche Wartefrist allein für das Behörden-Benehmen: Bei Gefahr im Verzug kann das Benehmen mit der zuständigen Aufsichtsbehörde nach § 61 Abs. 6 Satz 2 und Abs. 7 Satz 2 BSIG entfallen. Davon unberührt bleiben Anhörung, Bestimmtheit, Begründung, Verhältnismäßigkeit, sofortige Vollziehung, aufschiebende Wirkung und verwaltungsgerichtlicher Eilrechtsschutz nach den allgemeinen Verwaltungsverfahrens- und Verwaltungsprozessregeln.

5. Schicht 3 — Innenhaftung der Geschäftsleitung

Die dritte Schicht ist zivilrechtlich und richtet sich gegen die natürliche Person — gegen die Mitglieder der Geschäftsleitung, die ihre Pflichten verletzt haben. Der BSIG-spezifische Anker für Verletzungen der Umsetzungs- und Überwachungspflicht aus § 38 Absatz 1 BSIG [N-BSIG-38] steht in § 38 Absatz 2 BSIG; daneben können Schulungs-, Krisenfrüherkennungs- und allgemeine Organisationspflichten unmittelbar über das jeweilige Gesellschaftsrecht der Rechtsform haftungsrelevant werden.

5.1 § 38 Absatz 2 BSIG — die Brücke ins Gesellschaftsrecht

§ 38 Absatz 2 BSIG zitiert amtlich:

„Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.“

§ 38 Absatz 1 BSIG zitiert amtlich:

„Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.“

§ 38 Absatz 3 BSIG zitiert amtlich:

„Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.“

§ 38 Absatz 2 BSIG hat genau zwei Sätze. Satz 1 verweist für Pflichtverletzungen „nach Absatz 1“ — also die Umsetzungs- und Überwachungspflicht der Geschäftsleitung in Bezug auf die nach § 30 BSIG [N-BSIG-30] zu ergreifenden Risikomanagement-Maßnahmen — ins Gesellschaftsrecht der Rechtsform. Satz 2 ist eine Subsidiaritätsklausel: Eine eigenständige BSIG-Haftung tritt nur ein, wenn die einschlägige Rechtsform gar keine gesellschaftsrechtliche Haftungsregelung kennt; für die ganz überwiegende Anzahl der Rechtsformen (GmbH, AG, SE, Genossenschaft, Stiftung) ist die gesellschaftsrechtliche Haftungsregel einschlägig.

Wichtige Klarstellung zum Anwendungsbereich. § 38 Absatz 2 BSIG verweist amtlich auf „Pflichten nach Absatz 1“ — also Umsetzung und Überwachung der Risikomanagement-Maßnahmen. Die Schulungspflicht der Geschäftsleitung steht amtlich in § 38 Absatz 3 BSIG; sie ist nicht im Wortlaut der Innenhaftungs-Brücke nach Absatz 2 erfasst. Eine Haftungsfolge aus einer Schulungspflicht-Verletzung läuft daher nicht über § 38 Absatz 2 BSIG, sondern über die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten der Geschäftsleitung (§ 43 GmbHG, § 93 AktG). Dieser Punkt ist in der CyberSchutzEngel-Methodik nach Verschärfung 14d-Verweis dokumentiert; er erklärt empirisch, warum eine pauschale Aussage „Schulungspflicht-Verletzung führt zur Innenhaftung nach § 38 Absatz 2 BSIG“ amtlich nicht trägt.

5.2 § 43 GmbHG — die GmbH-Schiene

§ 43 GmbHG [N-GmbHG-43] regelt amtlich die Haftung der Geschäftsführer:

Absatz 1: „Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.“
Absatz 2: „Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.“
Absatz 3: „Insbesondere sind sie zum Ersatz verpflichtet, wenn den Bestimmungen des § 30 zuwider Zahlungen aus dem zur Erhaltung des Stammkapitals erforderlichen Vermögen der Gesellschaft gemacht oder den Bestimmungen des § 33 zuwider eigene Geschäftsanteile der Gesellschaft erworben worden sind. Auf den Ersatzanspruch finden die Bestimmungen in § 9b Abs. 1 entsprechende Anwendung. Soweit der Ersatz zur Befriedigung der Gläubiger der Gesellschaft erforderlich ist, wird die Verpflichtung der Geschäftsführer dadurch nicht aufgehoben, daß dieselben in Befolgung eines Beschlusses der Gesellschafter gehandelt haben.“
Absatz 4: „Die Ansprüche auf Grund der vorstehenden Bestimmungen verjähren in fünf Jahren.“

Die GmbH-Innenhaftung kennt amtlich vier Tatbestandsmerkmale: Pflichtverletzung beziehungsweise Obliegenheitsverletzung, Schaden, Kausalität und Verschulden. Für mehrgliedrige Geschäftsleitungen sollte der Überblick zusätzlich festhalten: Geschäftsverteilung, Ressortzuständigkeit und Delegation können Pflichtenkreis, Darlegung und Entlastung beeinflussen, beseitigen aber nicht die Gesamtverantwortung für Organisation, Überwachung, Eskalation und Informationsaustausch. Eine gesellschafterliche Entlastung der Geschäftsführer nach § 46 Nummer 5 GmbHG [N-GmbHG-46] ist anders zu behandeln als die Entlastung im Aktienrecht nach § 120 Absatz 2 Satz 2 AktG [N-AktG-120]: In der GmbH kann ein wirksamer Entlastungsbeschluss im Umfang der den Gesellschaftern bekannten oder bei sorgfältiger Prüfung erkennbaren Vorgänge die spätere Geltendmachung von Ersatzansprüchen sperren; verdeckte oder nicht erkennbare Pflichtverletzungen werden dadurch nicht erfasst. BGH, Urteil vom 22. September 2020 — II ZR 141/19 [R-II-ZR-141-19], ist hierfür nur rechtsformpräzise als Folgelinie zu zitieren: Die Entscheidung betrifft im amtlichen Leitsatz die vorbehaltlose Entlastung der Komplementärin einer GmbH & Co. KG durch ihre Mitgesellschafter und die Wirkung zugunsten des Geschäftsführers der Komplementär-GmbH im Verhältnis zur Kommanditgesellschaft; der allgemeine Entlastungsgrundsatz bekannter oder bei sorgfältiger Prüfung erkennbarer Vorgänge wird dort bestätigt, ersetzt aber nicht die rechtsformspezifische Prüfung des GmbH-Entlastungsbeschlusses. Die Beweislast für die GmbH-Innenhaftung ist prozessual enger zu fassen: Die Gesellschaft muss ein Verhalten des Geschäftsführers in dessen Pflichtenkreis sowie Eintritt und Umfang eines Schadens darlegen und beweisen; der Geschäftsführer muss darlegen und erforderlichenfalls beweisen, dass er seinen Sorgfaltspflichten nachgekommen ist, ihn kein Verschulden trifft oder der Schaden auch bei pflichtgemäßem Alternativverhalten eingetreten wäre; diese Mechanik entspricht funktional der Beweislastumkehr aus § 93 Absatz 2 Satz 2 AktG [N-AktG-93] und ist im GmbH-Kontext durch BGH II ZR 140/20 [R-II-ZR-140-20] als Beweislastlinie abgestützt.

Flankierend gilt für GmbH-Geschäftsführer § 1 Absatz 1 StaRUG [N-StaRUG-1] (in Kraft seit 1. Januar 2021): „Die Mitglieder des zur Geschäftsführung berufenen Organs einer juristischen Person (Geschäftsleiter) wachen fortlaufend über Entwicklungen, welche den Fortbestand der juristischen Person gefährden können.“ Cyber-Vorfälle mit potenzieller Bestandsgefährdung fallen materiell in den Anwendungsbereich dieser Krisenfrüherkennungs-Pflicht. Anders als § 91 Absatz 2 AktG [N-AktG-91] ist § 1 StaRUG rechtsformneutral formuliert; für die GmbH-Krisenfrüherkennung ist § 1 StaRUG deshalb der naheliegende gesetzliche Anknüpfungspunkt. Die haftungsrechtliche Anbindung läuft über § 43 Absatz 2 GmbHG.

5.3 § 93 AktG — die AG-Schiene

§ 93 AktG regelt amtlich die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder. Fünf Absätze sind für die Cyber-Haftung zentral.

§ 93 Absatz 1 Satz 1 AktG zitiert amtlich: „Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden.“

§ 93 Absatz 1 Satz 2 AktG (Business Judgment Rule) zitiert amtlich: „Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln.“ Die Business Judgment Rule schützt die Wahl des Wie bei unternehmerischen Entscheidungen — nicht das Ob bei rechtlich gebundenen Pflichten. Die Umsetzung der zehn Mindestmaßnahmen nach § 30 Absatz 2 BSIG ist eine rechtlich gebundene Pflicht. Bei der konkreten Ausgestaltung besteht nur innerhalb des gesetzlich eröffneten Verhältnismäßigkeits- und Angemessenheitsspielraums ein haftungsrechtlich relevanter Einschätzungs- und Entscheidungsspielraum. Die Business Judgment Rule schützt nicht die Unterschreitung des gesetzlichen Mindestniveaus; sie kann nur die vertretbare Auswahl, Priorisierung und Dokumentation geeigneter Maßnahmen innerhalb dieses Pflichtenkorridors stützen.

§ 93 Absatz 2 Satz 1 AktG zitiert amtlich: „Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet.“

§ 93 Absatz 2 Satz 2 AktG zitiert amtlich die Beweislastumkehr: „Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.“ Diese prozessuale Beweislastregel ist die wirtschaftlich wichtigste Eigenschaft der AG-Innenhaftungs-Mechanik — sie kehrt die Beweislast für die Sorgfaltsfrage um.

§ 93 Absatz 2 Satz 3 AktG zitiert amtlich die D&O-Selbstbehaltsregel: „Schließt die Gesellschaft eine Versicherung zur Absicherung eines Vorstandsmitglieds gegen Risiken aus dessen beruflicher Tätigkeit für die Gesellschaft ab, ist ein Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung des Vorstandsmitglieds vorzusehen.“ Diese Schwelle ist amtlich eine gesetzliche Mindestanforderung an die Ausgestaltung des Selbstbehalts, keine gesetzliche Höchstgrenze.

§ 93 Absatz 4 Satz 2 AktG zitiert amtlich eine wichtige Klarstellung für das Verhältnis zum Aufsichtsrat: „Dadurch, daß der Aufsichtsrat die Handlung gebilligt hat, wird die Ersatzpflicht nicht ausgeschlossen.“ Eine Billigung der Vorstands-Maßnahme durch den Aufsichtsrat schließt also amtlich nicht die Innenhaftung der Vorstandsmitglieder aus — relevant in Cyber-Konstellationen, in denen Aufsichtsorgane bestimmte Risikoentscheidungen mitzeichnen.

§ 93 Absatz 4 Satz 3 AktG zitiert amtlich eine Verzichts- und Vergleichssperre: „Die Gesellschaft kann erst drei Jahre nach der Entstehung des Anspruchs und nur dann auf Ersatzansprüche verzichten oder sich über sie vergleichen, wenn die Hauptversammlung zustimmt und nicht eine Minderheit, deren Anteile zusammen den zehnten Teil des Grundkapitals erreichen, zur Niederschrift Widerspruch erhebt.“ § 93 Absatz 4 Satz 4 AktG: „Die zeitliche Beschränkung gilt nicht, wenn der Ersatzpflichtige zahlungsunfähig ist und sich zur Abwendung des Insolvenzverfahrens mit seinen Gläubigern vergleicht oder wenn die Ersatzpflicht in einem Insolvenzplan geregelt wird.“ Die zeitliche Dreijahres-Sperre nach § 93 Abs. 4 Satz 3 AktG bleibt mit den Voraussetzungen der Hauptversammlungszustimmung und des Minderheitenschutzes eigenständig zu prüfen.

§ 93 Absatz 5 Satz 1 AktG eröffnet keine eigenständige deliktische Drittanspruchsgrundlage, sondern eine gesetzliche Geltendmachungsbefugnis der Gläubiger für den Ersatzanspruch der Gesellschaft: „Der Ersatzanspruch der Gesellschaft kann auch von den Gläubigern der Gesellschaft geltend gemacht werden, soweit sie von dieser keine Befriedigung erlangen können.“ § 93 Absatz 3 AktG: „Die Vorstandsmitglieder sind namentlich zum Ersatz verpflichtet, wenn entgegen diesem Gesetz 1. Einlagen an die Aktionäre zurückgewährt werden, 2. den Aktionären Zinsen oder Gewinnanteile gezahlt werden, 3. eigene Aktien der Gesellschaft oder einer anderen Gesellschaft gezeichnet, erworben, als Pfand genommen oder eingezogen werden, 4. Aktien vor der vollen Leistung des Ausgabebetrags ausgegeben werden, 5. Gesellschaftsvermögen verteilt wird, 6. (weggefallen) 7. Vergütungen an Aufsichtsratsmitglieder gewährt werden, 8. Kredit gewährt wird, 9. bei der bedingten Kapitalerhöhung außerhalb des festgesetzten Zwecks oder vor der vollen Leistung des Gegenwerts Bezugsaktien ausgegeben werden.“ Außerhalb der namentlich in Absatz 3 genannten Fallgruppen ist die Außenhaftung amtlich an einen schärferen Verschuldensmaßstab gebunden: „Dies gilt jedoch in anderen Fällen als denen des Absatzes 3 nur dann, wenn die Vorstandsmitglieder die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters gröblich verletzt haben; Absatz 2 Satz 2 gilt sinngemäß.“ Die Beweislastumkehr aus Absatz 2 Satz 2 wird damit amtlich auf die Gläubiger-Außenhaftung erstreckt. § 93 Absatz 5 Satz 3 AktG: „Den Gläubigern gegenüber wird die Ersatzpflicht weder durch einen Verzicht oder Vergleich der Gesellschaft noch dadurch aufgehoben, daß die Handlung auf einem Beschluß der Hauptversammlung beruht.“ § 93 Absatz 5 Satz 4 AktG ordnet zudem amtlich an: „Ist über das Vermögen der Gesellschaft das Insolvenzverfahren eröffnet, so übt während dessen Dauer der Insolvenzverwalter oder der Sachwalter das Recht der Gläubiger gegen die Vorstandsmitglieder aus.“ Im Cyber-Kontext kann diese Gläubiger-Geltendmachung relevant werden, wenn die Gesellschaft selbst durch den Vorfall zahlungsunfähig wird und Gläubiger den Gesellschaftsanspruch nach § 93 Absatz 5 AktG geltend machen können; sie ist von echten Außenhaftungsansprüchen sowie von § 15a- und § 15b-InsO-Spuren zu trennen. Im Insolvenzverfahren ist die Geltendmachung auf den Insolvenzverwalter oder Sachwalter konzentriert.

§ 93 Absatz 6 AktG zitiert amtlich die Verjährungsregel: „Die Ansprüche aus diesen Vorschriften verjähren bei Gesellschaften, die zum Zeitpunkt der Pflichtverletzung börsennotiert sind, in zehn Jahren, bei anderen Gesellschaften in fünf Jahren.“ Anknüpfungspunkt der Börsennotierungszehnjahresfrist ist amtlich der „Zeitpunkt der Pflichtverletzung“, nicht der spätere Schadenseintritt.

Neben § 93 AktG flankieren zwei weitere AktG-Normen die Cyber-Innenhaftung der Vorstandsmitglieder. § 91 Absatz 2 AktG (eingeführt durch das KonTraG, in Kraft seit 1. Mai 1998) zitiert amtlich: „Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.“ Cyber-Vorfälle mit Bestandsgefährdung — etwa ein Ransomware-Vorfall mit längerem Betriebsstillstand — können risikokonservativ und gut vertretbar dem Anwendungsbereich dieser Krisenfrüherkennungs-Pflicht zugeordnet werden; das Cyber-Risikomanagement nach § 30 BSIG ist dann ein Teilbeitrag zum Frühwarnsystem im Sinne dieser Norm. § 91 Absatz 3 AktG (eingeführt durch das FISG, in Kraft seit 1. Juli 2021) zitiert amtlich: „Der Vorstand einer börsennotierten Gesellschaft hat darüber hinaus ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten.“ Diese Vorschrift verpflichtet den Vorstand einer börsennotierten AG eigenständig zur Einrichtung eines internen Kontrollsystems (IKS) und eines Risikomanagementsystems (RMS); das Cyber-Risikomanagement nach § 30 BSIG ist regelmäßig Teil dieses RMS. Eine Verletzung der § 91 Absatz 2 oder Absatz 3 AktG-Pflicht ist eine eigenständige Pflichtverletzung im Sinne des § 93 Absatz 2 Satz 1 AktG mit den dort geregelten Rechtsfolgen (Innenhaftung gegen die Gesellschaft, Beweislastumkehr nach § 93 Absatz 2 Satz 2 AktG, Sonderverjährung nach § 93 Absatz 6 AktG). Die ausführliche Behandlung steht im Innenhaftungs-Satellit A3-02.

5.4 Andere Rechtsformen — Genossenschaft, SE, Stiftung, Verein

Für die Genossenschaft gilt § 34 GenG [N-GenG-34] mit einer im Wesentlichen parallelen Haftungsarchitektur zu § 93 AktG (Sorgfalt eines ordentlichen und gewissenhaften Vorstandes, Beweislastumkehr, Verjährung). § 34 Absatz 1 Satz 1 GenG lautet amtlich: „Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters einer Genossenschaft anzuwenden.“ § 34 Absatz 2 GenG lautet amtlich: „Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Genossenschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet. Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters einer Genossenschaft angewandt haben, tragen sie die Beweislast. Wenn ein Vorstandsmitglied im Wesentlichen unentgeltlich tätig ist, muss dies bei der Beurteilung seiner Sorgfalt zu seinen Gunsten berücksichtigt werden.“ § 34 Absatz 6 GenG: „Die Ansprüche aus diesen Vorschriften verjähren in fünf Jahren.“ § 41 GenG [N-GenG-41] erstreckt amtlich die Vorstandshaftung sinngemäß auf Aufsichtsratsmitglieder.

Für die monistische SE sind zwei Ebenen zu trennen. § 39 SEAG [N-SEAG-39]: „Für die Sorgfaltspflicht und Verantwortlichkeit der Verwaltungsratsmitglieder gilt § 93 des Aktiengesetzes entsprechend.“ BSIG-spezifische Geschäftsleitung im Sinne von § 2 Nummer 13 BSIG [N-BSIG-2-13] sind dagegen grundsätzlich die geschäftsführenden Direktoren, soweit sie zur Führung der Geschäfte und Vertretung berufen sind. § 40 Absatz 9 SEAG [N-SEAG-40]: „Für Sorgfaltspflicht und Verantwortlichkeit der geschäftsführenden Direktoren gilt § 93 des Aktiengesetzes entsprechend.“

Für die Stiftung ist § 84a BGB einschlägig (Stiftungsmodernisierungsgesetz vom 16. Juli 2021, in Kraft seit 1. Juli 2023). § 84a Absatz 1 BGB [N-BGB-84a] lautet amtlich: „Auf die Tätigkeit eines Organmitglieds für die Stiftung sind die §§ 664 bis 670 entsprechend anzuwenden. Organmitglieder sind unentgeltlich tätig. Durch die Satzung kann von den Sätzen 1 und 2 abgewichen werden, insbesondere auch die Haftung für Pflichtverletzungen von Organmitgliedern beschränkt werden.“ § 84a Absatz 2 BGB lautet amtlich: „Das Mitglied eines Organs hat bei der Führung der Geschäfte der Stiftung die Sorgfalt eines ordentlichen Geschäftsführers anzuwenden. Eine Pflichtverletzung liegt nicht vor, wenn das Mitglied des Organs bei der Geschäftsführung unter Beachtung der gesetzlichen und satzungsgemäßen Vorgaben vernünftigerweise annehmen durfte, auf der Grundlage angemessener Informationen zum Wohle der Stiftung zu handeln.“ § 84a Absatz 1 Satz 2 BGB ordnet amtlich an: „Organmitglieder sind unentgeltlich tätig.“ Die Satzung kann hiervon abweichen und insbesondere auch die Haftung für Pflichtverletzungen beschränken. § 84a Absatz 2 BGB normiert die Sorgfalt eines ordentlichen Geschäftsführers für Stiftungsorgane und enthält in Satz 2 amtlich eine eigene Business-Judgment-Rule-Klausel für die Stiftung. § 84a Absatz 3 BGB zitiert amtlich: „§ 31a ist entsprechend anzuwenden. Durch die Satzung kann die Anwendbarkeit des § 31a beschränkt oder ausgeschlossen werden.“ Über diese amtliche Verweisung — nicht über das nach dem Stiftungsmodernisierungsgesetz neugefasste § 86 BGB („Voraussetzungen für die Zulegung“) — gilt das Ehrenamts-Privileg des § 31a BGB [N-BGB-31a] für Stiftungsvorstände sinngemäß. § 31a Absatz 1 BGB lautet amtlich: „Sind Organmitglieder oder besondere Vertreter unentgeltlich tätig oder erhalten sie für ihre Tätigkeit eine Vergütung, die 3 300 Euro jährlich nicht übersteigt, haften sie dem Verein für einen bei der Wahrnehmung ihrer Pflichten verursachten Schaden nur bei Vorliegen von Vorsatz oder grober Fahrlässigkeit. Satz 1 gilt auch für die Haftung gegenüber den Mitgliedern des Vereins. Ist streitig, ob ein Organmitglied oder ein besonderer Vertreter einen Schaden vorsätzlich oder grob fahrlässig verursacht hat, trägt der Verein oder das Vereinsmitglied die Beweislast.“ § 31a Absatz 1 Satz 1 BGB enthält ein Ehrenamts-Privileg für unentgeltlich tätige Organmitglieder oder besondere Vertreter sowie für solche, deren Vergütung 3 300 Euro jährlich nicht übersteigt; diese Schwelle wurde durch Artikel 7 des Steueränderungsgesetzes 2025 mit Wirkung zum 1. Januar 2026 von 840 Euro auf 3 300 Euro angehoben und orientiert sich gesetzgeberisch nun am Übungsleiterfreibetrag nach § 3 Nummer 26 Satz 1 EStG, nicht an der Ehrenamtspauschale nach § 3 Nummer 26a EStG; das Privileg greift nur bei einfacher Fahrlässigkeit, nicht bei Vorsatz oder grober Fahrlässigkeit. Für GmbH-Geschäftsführer, AG-Vorstände und SE-Verwaltungsmitglieder greift § 31a BGB amtlich nicht. Für den Verein ist nicht § 84a BGB, sondern die vereinsrechtliche Organstellung maßgeblich. § 27 Absatz 3 BGB lautet amtlich: „Auf die Geschäftsführung des Vorstands finden die für den Auftrag geltenden Vorschriften der §§ 664 bis 670 entsprechende Anwendung. Die Mitglieder des Vorstands sind unentgeltlich tätig.“ Damit: § 31a BGB begrenzt bei unentgeltlich tätigen Organmitgliedern oder besonderen Vertretern sowie bei einer Vergütung bis 3 300 Euro jährlich die Haftung gegenüber dem Verein auf Vorsatz und grobe Fahrlässigkeit. Bei Organmitgliedern oberhalb dieser Vergütungsschwelle ist die Innenhaftung nicht über § 31a BGB privilegiert, sondern nach den allgemeinen Regeln des Organ-/Auftragsverhältnisses und der Satzung zu prüfen.

Verbindung zum Satelliten A3-02. Diese Übersicht ist der Rahmen, in dem die CyberSchutzEngel-Innenhaftungs-Satellit A3-02 die Mechanik im Detail behandelt — einschließlich BJR-Anwendungsgrenzen bei rechtlich gebundenen Pflichten, Schadensschätzung nach § 287 ZPO, Substantiierungslast, hypothetische Kausalität und Verjährungsdogmatik nach § 199 Absatz 1 BGB in Verbindung mit § 200 BGB. Wer diese Tiefe braucht, geht zum Satelliten — wer die Risiko-Architektur kennen will, bleibt hier.

6. Schicht 4 — Aufsichtsrats-Haftung im Cyber-Kontext

Die vierte Schicht trifft das Aufsichts- oder Verwaltungsorgan der Einrichtung. Sie ist eine eigene gesellschaftsrechtliche Schiene, die parallel zur Innenhaftung der Geschäftsleitung läuft — und in der jüngsten höchstrichterlichen Rechtsprechungslinie konkrete Konturen für das allgemeine aktienrechtliche Berichtswesen und die Informationsbeschaffung des Aufsichtsrats bekommen hat. Der Cyber-Bezug ist eine Übertragung dieser Linie auf Cyber-Berichts- und Überwachungssituationen, nicht der Streitgegenstand der Entscheidung.

6.1 § 116 AktG i.V.m. § 93 AktG — die normative Grundlage

§ 116 Satz 1 AktG [N-AktG-116] zitiert amtlich: „Für die Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder gelten § 93 mit Ausnahme des Absatzes 2 Satz 3 über die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder und § 15b der Insolvenzordnung [N-InsO-15b] sinngemäß.“ Die amtliche Verweisung trifft damit zwei Norm-Welten gleichzeitig. Erstens: Die Sorgfaltspflicht-, Beweislast-, Verjährungs- und Verzichtssperrregeln aus § 93 AktG gelten für Aufsichtsratsmitglieder sinngemäß; ausgenommen ist amtlich nur die D&O-Selbstbehalts-Pflicht aus § 93 Absatz 2 Satz 3 AktG [N-AktG-93] (deren Übertragung auf Aufsichtsräte ausdrücklich nicht angeordnet ist). Zweitens: Auch § 15b der Insolvenzordnung gilt für Aufsichtsratsmitglieder sinngemäß — also das Zahlungsverbot nach Eintritt der Zahlungsunfähigkeit oder Überschuldung und die persönliche Erstattungspflicht nach § 15b Absatz 4 InsO. Die genaue Reichweite dieser sinngemäßen Anwendung ist eine Auslegungsfrage — § 15b InsO knüpft im Wortlaut an „Mitglieder des Vertretungsorgans“ und Abwickler an, Aufsichtsräte sind das amtlich nicht; § 116 Satz 1 AktG ordnet aber ausdrücklich die sinngemäße Anwendung an. In einer Cyber-Krise mit wirtschaftlicher Lageverschlechterung kann die sinngemäße Anwendung des § 15b InsO über § 116 Satz 1 AktG eine eigene Aufsichtsrats-Haftungsspur eröffnen — sie ist aber nicht als Haftung allein wegen Organstellung zu lesen. Erforderlich bleibt eine aufsichtsratsbezogene Pflichtverletzung (etwa im Überwachungs-, Zustimmungs- oder Hinwirkungsverhalten), Kausalität, Verschulden und die konkrete Reichweite der sinngemäßen Anwendung. Bei Erfüllung dieser Voraussetzungen kann ein Aufsichtsratsmitglied nach dieser Lesart in eine eigene Erstattungspflicht laufen, unabhängig von der Vorstands- oder Geschäftsführungs-Schiene — eine gefestigte höchstrichterliche Auslegungslinie zur konkreten Reichweite der § 15b-InsO-Erstreckung auf Aufsichtsratsmitglieder steht noch aus.

6.2 BGH II ZR 78/24 vom 14. Oktober 2025 — Bringschuld und aktive Hinwirkungs-Pflicht

Mit Urteil vom 14. Oktober 2025 — II ZR 78/24 [R-II-ZR-78-24], ECLI:DE:BGH:2025:141025UIIZR78.24.1, hat der II. Zivilsenat des Bundesgerichtshofs zwei Leitsätze zur aktienrechtlichen Vorstandsberichterstattung und zur Informationsbeschaffung des Aufsichtsrats formuliert. Die Cyber-Relevanz ist eine Übertragung auf das Cyber-Berichtswesen, nicht der Streitgegenstand der Entscheidung.

Amtlicher Leitsatz a: „Die Pflicht des Vorstands, dem Aufsichtsrat gemäß § 90 Abs. 1 Satz 1 Nr. 3, Satz 2 Nr. 3 AktG mindestens vierteljährlich über die Lage der Gesellschaft zu berichten, entfällt nicht dadurch, dass die Aktiengesellschaft keinen Geschäften nachgeht.“

Norm-Anatomie-Hinweis: Der Leitsatz wird hier im amtlichen Wortlaut wiedergegeben; die Mindestfrequenz „regelmäßig, mindestens vierteljährlich“ steht normsystematisch in § 90 Absatz 2 Nummer 3 AktG [N-AktG-90].

Amtlicher Leitsatz b: „Die Berichts- und Informationspflichten treffen den Vorstand als dessen Bringschuld. Der Aufsichtsrat muss bei einer unzureichenden Berichterstattung durch geeignete Maßnahmen darauf hinwirken, dass er die Informationen erhält, die er für eine sinnvolle Überwachung der Geschäftsführung benötigt.“

Der Bundesgerichtshof formuliert damit amtlich eine zweigliedrige Pflichtenarchitektur. Der Vorstand schuldet die Berichterstattung als Bringschuld; der Aufsichtsrat schuldet bei unzureichender Berichterstattung die aktive Hinwirkung — also nicht passives Hinnehmen, sondern Nachfragen, Berichtsanforderung, gegebenenfalls Beschlussfassung. Für die Cyber-Überwachung heißt das: Wenn der Vorstand zu Cyber-Risiken nicht ausreichend berichtet, wird die Überwachungspflicht des Aufsichtsrats nicht aufgehoben — sie verdichtet sich vielmehr in eine aktive Hinwirkungs-Pflicht.

CyberSchutzEngel-Hinweis. Die CyberSchutzEngel-Methodik kennt den Begriff „Holschuld bei ausbleibenden Berichten“ als Kurzformel. Diese Kurzformel beschreibt die zweite Stufe der vom BGH amtlich formulierten Architektur (aktive Hinwirkungs-Pflicht bei unzureichender Berichterstattung). Sie ersetzt nicht die amtliche erste Stufe, dass die Berichterstattung Bringschuld des Vorstands bleibt.

6.3 ARAG/Garmenbeck als Folgelinie

Die Verfolgungspflicht des Aufsichtsrats gegenüber dem Vorstand bei aufgedeckten Pflichtverletzungen folgt der Rechtsprechungslinie aus BGH, Urteil vom 21. April 1997 — II ZR 175/95 [R-ARAG], BGHZ 135, 244 — ARAG/Garmenbeck. Danach hat der Aufsichtsrat bei Anhaltspunkten für Ersatzansprüche gegen Vorstandsmitglieder Bestand und Durchsetzbarkeit der Ansprüche eigenverantwortlich zu prüfen und sie grundsätzlich zu verfolgen. Ein Absehen von der Verfolgung kommt nach der ARAG/Garmenbeck-Linie nur ausnahmsweise in Betracht, wenn gewichtige Gründe des Gesellschaftswohls dagegen sprechen und diese Umstände die Gründe, die für eine Rechtsverfolgung sprechen, überwiegen oder ihnen zumindest gleichwertig sind. Diese Linie ist die zweite Hälfte der Aufsichtsrats-Cyber-Mechanik: Erst wird ein Mangel aufgedeckt (BGH II ZR 78/24-Linie), dann wird der Schadensersatzanspruch durchgesetzt (ARAG/Garmenbeck-Linie).

6.4 Verjährung der Aufsichtsrats-Haftung

Über § 116 Satz 1 AktG in Verbindung mit § 93 Absatz 6 AktG verjähren Aufsichtsrats-Haftungsansprüche bei börsennotierten Gesellschaften in zehn Jahren, bei anderen in fünf Jahren. Das Börsennotierungsmerkmal der Zehnjahresfrist knüpft — wie beim Vorstand — an den Zeitpunkt der Pflichtverletzung an; der Fristbeginn setzt nach § 200 BGB [N-BGB-200] grundsätzlich die Entstehung des Ersatzanspruchs voraus. Auf Aufsichtsrat und Vorstand wirken damit dieselben Sonderverjährungsfristen; eine wesentliche praktische Konsequenz ist, dass Cyber-Vorfälle aus den ersten Jahren nach Inkrafttreten des BSIG in börsennotierten Gesellschaften über viele Jahre verjährungsrechtlich greifbar bleiben können.

Verbindung zum Satelliten A3-03. Die Mechanik des Aufsichtsrats-Cyber-Berichtswesens und die organisatorischen Transferfolgerungen im Anschluss an BGH II ZR 78/24 (Cyber-Tagesordnung im Aufsichtsrat, Quartalsbericht, geeignete Maßnahmen zur Hinwirkung) gehören in den eigenen Satelliten A3-03. BGH II ZR 78/24 trägt unmittelbar die Bringschuld-/Hinwirkungsarchitektur im AG-Berichtswesen; Cyber-Tagesordnung, Quartalsbericht und Übertragungen auf GmbH-fakultativen Aufsichtsrat, Genossenschafts-Aufsichtsrat oder monistische SE-Verwaltungsrat sind abgeleitete Implementierungsschritte, nicht unmittelbarer Leitsatzinhalt.

7. Schicht 5 — Personenbezogene OWiG- und Strafschiene

Die fünfte Schicht ist eine personenbezogene Ordnungswidrigkeiten- und Strafschiene. Sie ist im konkreten Cyber-Vorfall in der Praxis seltener als die anderen vier — aber sie kann Folgen haben, die die anderen Schichten nicht haben: persönliche OWiG-Geldbußen wegen eigener § 65-BSIG-Zuwiderhandlungen über § 9 OWiG [N-OWiG-9] oder wegen Aufsichtspflichtverletzung nach § 130 OWiG [N-OWiG-130], strafrechtliche Geld- oder Freiheitsstrafe bei Straftatbeständen wie § 266 StGB [N-StGB-266] oder § 15a Absatz 4 InsO, sowie Verteidigungskosten; ein Eintrag im Bundeszentralregister knüpft an eine strafrechtliche Verurteilung an, nicht an jede OWiG-Konstellation. Sie läuft über mehrere Hauptanker, die strikt zu trennen sind.

7.1 § 130 OWiG — die Aufsichtspflichtverletzung

§ 130 Absatz 1 Satz 1 OWiG zitiert amtlich: „Wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterläßt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre.“

§ 130 Absatz 1 Satz 2 OWiG ergänzt: „Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.“

Bei juristischen Personen läuft die persönliche Zurechnung des § 130 OWiG über § 9 OWiG. § 9 Absatz 1 OWiG lautet amtlich: „Handelt jemand 1. als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs, 2. als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft oder 3. als gesetzlicher Vertreter eines anderen, so ist ein Gesetz, nach dem besondere persönliche Eigenschaften, Verhältnisse oder Umstände (besondere persönliche Merkmale) die Möglichkeit der Ahndung begründen, auch auf den Vertreter anzuwenden, wenn diese Merkmale zwar nicht bei ihm, aber bei dem Vertretenen vorliegen.“ § 9 Absatz 2 Satz 1 OWiG lautet amtlich: „Ist jemand von dem Inhaber eines Betriebes oder einem sonst dazu Befugten 1. beauftragt, den Betrieb ganz oder zum Teil zu leiten, oder 2. ausdrücklich beauftragt, in eigener Verantwortung Aufgaben wahrzunehmen, die dem Inhaber des Betriebes obliegen, und handelt er auf Grund dieses Auftrages, so ist ein Gesetz, nach dem besondere persönliche Merkmale die Möglichkeit der Ahndung begründen, auch auf den Beauftragten anzuwenden, wenn diese Merkmale zwar nicht bei ihm, aber bei dem Inhaber des Betriebes vorliegen.“ § 9 Absatz 3 OWiG: „Die Absätze 1 und 2 sind auch dann anzuwenden, wenn die Rechtshandlung, welche die Vertretungsbefugnis oder das Auftragsverhältnis begründen sollte, unwirksam ist.“ § 9 Absatz 1 OWiG zitiert amtlich, dass besondere persönliche Merkmale des Vertretenen auf den Vertreter angewendet werden, wenn er handelt 1. als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs, 2. als vertretungsberechtigter Gesellschafter einer rechtsfähigen Personengesellschaft oder 3. als gesetzlicher Vertreter eines anderen. § 9 Absatz 2 OWiG erweitert die Zurechnung auf Beauftragte: Wer vom Inhaber eines Betriebes oder einem sonst dazu Befugten beauftragt ist, den Betrieb ganz oder zum Teil zu leiten, oder ausdrücklich beauftragt ist, in eigener Verantwortung Aufgaben wahrzunehmen, die dem Inhaber des Betriebes obliegen, und auf Grund dieses Auftrages handelt, ist ebenfalls Adressat der besonderen persönlichen Merkmale. § 9 Absatz 3 OWiG stellt amtlich klar, dass die Zurechnung auch dann gilt, wenn die zugrundeliegende Rechtshandlung (Vertretungsbestellung oder Auftrag) unwirksam ist. Für die strafrechtliche Schiene ist dagegen nicht pauschal § 14 StGB an die Stelle von § 9 OWiG zu setzen. Zu trennen sind strafrechtliche Zurechnungsfragen bei Organ- oder Beauftragtenhandeln, eine unmittelbare persönliche Tatbestandsverwirklichung durch die handelnde natürliche Person und — bei § 129 StGB [N-StGB-129] — die eigenständige Prüfung einer eigenen Unterstützungs- oder Beteiligungshandlung; § 9 OWiG ist nur für die ordnungswidrigkeitenrechtliche Schiene einschlägig.

Für die Cyber-Praxis ist die Beauftragten-Variante nach § 9 Absatz 2 OWiG eigenständig relevant. Wenn ein Informationssicherheitsbeauftragter (CISO), eine IT-Leitung oder eine vergleichbare Person im Sinne von § 9 Abs. 2 OWiG ausdrücklich beauftragt ist, den Betrieb ganz oder teilweise zu leiten oder in eigener Verantwortung Inhaberpflichten wahrzunehmen, und sie auf Grund dieses Auftrags handelt, kann sie bei eigener tatbestandsmäßiger Zuwiderhandlung über § 65 BSIG [N-BSIG-65] i.V.m. § 9 OWiG und bei eigener Aufsichtspflichtverletzung über § 130 OWiG i.V.m. § 9 OWiG betroffen sein. Nicht jede fachliche IT-Rolle ist deshalb automatisch § 9-OWiG-Beauftragter; Delegationsbeschluss, Aufgabenbeschreibung, Entscheidungsbefugnis, Budget-/Weisungsrechte und tatsächliche Ausübung sollten dokumentiert werden. Die Geschäftsleitung bleibt trotz Delegation überwachungs- und eskalationspflichtig.

Von dieser unmittelbaren § 65-BSIG-/§ 9-OWiG-Schiene ist § 130 OWiG zu trennen: § 130 OWiG sanktioniert nicht die Primärzuwiderhandlung selbst, sondern die vorsätzliche oder fahrlässige Unterlassung erforderlicher Aufsichtsmaßnahmen, wenn eine verhinderbare oder wesentlich erschwerbare Zuwiderhandlung begangen wurde.

§ 130 Absatz 3 OWiG zitiert amtlich die Bußgeldrahmen — und sie sind anders konstruiert als die institutionellen Stufen aus § 65 BSIG:

„Die Ordnungswidrigkeit kann, wenn die Pflichtverletzung mit Strafe bedroht ist, mit einer Geldbuße bis zu einer Million Euro geahndet werden. § 30 Absatz 2 Satz 3 ist anzuwenden. Ist die Pflichtverletzung mit Geldbuße bedroht, so bestimmt sich das Höchstmaß der Geldbuße wegen der Aufsichtspflichtverletzung nach dem für die Pflichtverletzung angedrohten Höchstmaß der Geldbuße. Satz 3 gilt auch im Falle einer Pflichtverletzung, die gleichzeitig mit Strafe und Geldbuße bedroht ist, wenn das für die Pflichtverletzung angedrohte Höchstmaß der Geldbuße das Höchstmaß nach Satz 1 übersteigt.“

Drei amtliche Eigenschaften der Norm sind für die Cyber-Praxis zentral. Erstens: Satz 1 (1 Million Euro) greift, wenn die zugrunde liegende Pflichtverletzung mit Strafe bedroht ist; ob ein konkreter Straftatbestand zugleich tauglicher § 130-OWiG-Anknüpfungspunkt ist, hängt zusätzlich von den Tatbestandsvoraussetzungen des § 130 Absatz 1 OWiG ab. Zweitens: Satz 3 (Höchstmaß der zugrunde liegenden Ordnungswidrigkeit) greift, wenn die zugrunde liegende Pflichtverletzung mit Geldbuße bedroht ist. Da die BSIG-Pflichten über § 65 BSIG bußgeldbewehrt sind (nicht strafbewehrt), ist § 130 Abs. 3 Satz 3 OWiG die Ausgangsnorm für die personenbezogene Höchstmaßbestimmung der Aufsichtspflichtverletzung der Geschäftsleitung. Nach textlich naheliegender Lesart spricht der Wortlaut dafür, an das Höchstmaß der zugrunde liegenden § 65-BSIG-Zuwiderhandlung anzuknüpfen — etwa an die zehn Millionen Euro bei Verstößen gegen § 30 BSIG [N-BSIG-30] in besonders wichtigen Einrichtungen. Ob und in welcher Weise die einrichtungs- und tatbestandsbezogenen Stufen aus § 65 Absatz 5 bis 7 BSIG im personenbezogenen § 130-OWiG-Verfahren im Einzelnen durchgreifen, ist mangels gefestigter BSIG-spezifischer Linie im konkreten Verfahren zu begründen. Für eine nur fahrlässige Aufsichtspflichtverletzung ist zusätzlich § 17 Absatz 2 OWiG [N-OWiG-17] zu prüfen; § 65 Absatz 9 BSIG schaltet § 17 Absatz 2 OWiG für bestimmte institutionelle § 65-BSIG-Fälle aus, nicht ausdrücklich für das persönliche § 130-OWiG-Verfahren. Drittens: Satz 4 erweitert diese Höchstmaß-Brücke auch auf Konstellationen, in denen die Pflichtverletzung „gleichzeitig mit Strafe und Geldbuße bedroht“ ist, wenn das für die Pflichtverletzung angedrohte Höchstmaß der Geldbuße das Höchstmaß nach Satz 1 übersteigt.

Lerngeschichte 13 als Methodik-Eckpunkt. § 130 OWiG sanktioniert amtlich den Inhaber-Begriff. Der direkte Sprung von „§ 130 OWiG“ zur „Geschäftsleitungs-Haftung“ ist nicht zulässig — die persönliche Zurechnung läuft über § 9 OWiG, das Höchstmaß läuft tatbestandsabhängig über Absatz 3.

7.2 § 266 StGB — die Untreue

§ 266 Absatz 1 StGB zitiert amtlich:

„Wer die ihm durch Gesetz, behördlichen Auftrag oder Rechtsgeschäft eingeräumte Befugnis, über fremdes Vermögen zu verfügen oder einen anderen zu verpflichten, mißbraucht oder die ihm kraft Gesetzes, behördlichen Auftrags, Rechtsgeschäfts oder eines Treueverhältnisses obliegende Pflicht, fremde Vermögensinteressen wahrzunehmen, verletzt und dadurch dem, dessen Vermögensinteressen er zu betreuen hat, Nachteil zufügt, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.“

Die Norm hat amtlich zwei Tatbestandsalternativen — Missbrauchstatbestand und Treubruchstatbestand —, beide mit dem Erfordernis eines Vermögensnachteils der zu betreuenden Vermögenssphäre. Die Rechtsfolge ist amtlich alternativ formuliert: „Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe“. Beide Alternativen stehen amtlich nebeneinander; die Geldstrafe ist amtlich keine Auffanglösung gegenüber der Freiheitsstrafe, sondern eine eigenständige Rechtsfolge. § 266 Absatz 2 StGB zitiert amtlich: „§ 243 Abs. 2 und die §§ 247, 248a und 263 Abs. 3 gelten entsprechend.“ Für die strafrechtliche Bewertung der Vermögensbetreuungspflichtverletzung ist von diesen vier Verweisungen die auf § 263 Absatz 3 StGB die strafzumessungsrechtlich gewichtigste — sie eröffnet in besonders schweren Fällen einen erweiterten Strafrahmen von Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. § 78 Absatz 4 StGB [N-StGB-78] ordnet aber amtlich an, dass diese Schärfung für die Verfolgungsverjährung nicht maßgeblich ist — die Verjährungsfrist bemisst sich nach dem Grundstrafrahmen.

Der Cyber-Bezug entsteht, wenn die Geschäftsleitung im Rahmen ihrer Vermögensbetreuungspflicht gegenüber der eigenen Einrichtung eine Cyber-Pflichtverletzung begeht, die zu einem Vermögensnachteil der Einrichtung führt. Das ist amtlich nicht jeder Cyber-Vorfall; es verlangt einen objektiven Pflichtwidrigkeits-Tatbestand, einen Vermögensnachteil und Vorsatz hinsichtlich beider. Der Tatbestand setzt amtlich nicht voraus, dass die Pflichtverletzung speziell BSIG-pflichten betrifft — eine Cyber-Pflichtverletzung, die zu einem unmittelbaren Vermögensnachteil führt, kann den Untreue-Tatbestand nur erfüllen, wenn auch der subjektive Tatbestand getragen ist; bloße Fahrlässigkeit, auch grobe Fahrlässigkeit, reicht für § 266 StGB nicht.

7.3 § 15a InsO — die Insolvenzantragspflicht

§ 15a Absatz 1 Satz 1 InsO zitiert amtlich: „Wird eine juristische Person zahlungsunfähig oder überschuldet, haben die Mitglieder des Vertretungsorgans oder die Abwickler ohne schuldhaftes Zögern einen Eröffnungsantrag zu stellen.“ § 15a Absatz 1 Satz 2 InsO ergänzt amtlich: „Der Antrag ist spätestens drei Wochen nach Eintritt der Zahlungsunfähigkeit und sechs Wochen nach Eintritt der Überschuldung zu stellen.“

§ 15a Absatz 4 InsO zitiert amtlich die Strafbarkeit: „Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer entgegen Absatz 1 Satz 1 und 2, auch in Verbindung mit Satz 3 oder Absatz 2 oder Absatz 3, einen Eröffnungsantrag 1. nicht oder nicht rechtzeitig stellt oder 2. nicht richtig stellt.“ § 15a Absatz 5 InsO setzt für die fahrlässige Begehung eine Höchststrafe von Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Der Cyber-Bezug entsteht in der Konstellation, in der ein erheblicher Sicherheitsvorfall (etwa ein Ransomware-Vorfall mit Betriebsstillstand) zur Zahlungsunfähigkeit (§ 17 InsO [N-InsO-17]) oder Überschuldung (§ 19 InsO [N-InsO-19]) führt; nach Eröffnung des Insolvenzverfahrens geht das Verwaltungs- und Verfügungsrecht über das zur Insolvenzmasse gehörende Vermögen nach § 80 Absatz 1 InsO auf den Insolvenzverwalter über. Für die von § 15a InsO [N-InsO-15a] erfassten Rechtsträger greift die Antragspflicht dann amtlich unabhängig davon, ob der Vorfall der Geschäftsleitung „zugerechnet“ werden kann — sie ist eine objektive Folge der wirtschaftlichen Lage. Für Vereine und Stiftungen ist die § 15a-InsO-Schiene nicht pauschal zu übernehmen; bei ihnen ist die insolvenzrechtliche Antragspflicht gesondert über die rechtsformspezifische Sonderregel (§ 42 Absatz 2 BGB, bei Stiftungen über § 84 Absatz 5 BGB) zu prüfen. Für die von § 15a InsO erfassten Rechtsträger greift die Strafbarkeit nach § 15a InsO bei Versäumung der Antragsfrist (§ 15a Absatz 4 Nummer 1 InsO) oder bei „nicht richtig“ gestelltem Antrag (§ 15a Absatz 4 Nummer 2 InsO, wobei nach § 15a Absatz 6 InsO die Tat im letzteren Fall nur strafbar ist, wenn der Eröffnungsantrag rechtskräftig als unzulässig zurückgewiesen wurde).

Daneben steht bei den von § 15a InsO erfassten Rechtsträgern § 15b InsO [N-InsO-15b] mit dem Zahlungsverbot nach Eintritt der Zahlungsunfähigkeit oder Überschuldung. § 15b Absatz 4 Satz 1 InsO zitiert amtlich: „Werden entgegen Absatz 1 Zahlungen geleistet, sind die Antragspflichtigen der juristischen Person zur Erstattung verpflichtet.“ Die persönliche Erstattungspflicht trifft also die erfassten Antragspflichtigen persönlich; sie ist eine zivilrechtliche, keine strafrechtliche Folge. Für Vereine und Stiftungen ist auch hier die rechtsformspezifische Sonderregel gesondert zu prüfen. § 15b InsO im amtlichen Wortlaut: Absatz 1 ordnet das Zahlungsverbot nach Eintritt der Zahlungsunfähigkeit oder Überschuldung an, mit Ausnahme der Zahlungen, die mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar sind. Absatz 2 privilegiert Zahlungen im ordnungsgemäßen Geschäftsgang und während der Antragsvorbereitungs-Phase. Absatz 3 verschärft die Bewertung nach Ablauf der Antragsfrist. Absatz 4 regelt Erstattungspflicht (Satz 1), Schadensdeckel (Satz 2), den Ausschluss der Entlastung durch Organbeschluss, soweit die Erstattung oder der Ersatz zur Befriedigung der Gläubiger der juristischen Person erforderlich ist (Satz 3), Verzicht- und Vergleichssperre (Satz 4) und drei kumulative/alternative Ausnahmen (Satz 5: Zahlungsunfähigkeit+Gläubigervergleich, Insolvenzplan oder Insolvenzverwalter). Absatz 5 erstreckt Absatz 1 Satz 1 und Absatz 4 auf bestimmte Beteiligten-Zahlungen; Absatz 6 erstreckt die Absätze 1 bis 5 auf organschaftliche Vertreter der zur Vertretung der Gesellschaft ermächtigten Gesellschafter. § 15b Absatz 7 InsO zitiert amtlich die Verjährung: „Die Ansprüche aufgrund der vorstehenden Bestimmungen verjähren in fünf Jahren. Besteht zum Zeitpunkt der Pflichtverletzung eine Börsennotierung, verjähren die Ansprüche in zehn Jahren.“ § 15b Absatz 8 InsO zitiert amtlich: „Eine Verletzung steuerrechtlicher Zahlungspflichten liegt nicht vor, wenn zwischen dem Eintritt der Zahlungsunfähigkeit nach § 17 oder der Überschuldung nach § 19 und der Entscheidung des Insolvenzgerichts über den Insolvenzantrag Ansprüche aus dem Steuerschuldverhältnis nicht oder nicht rechtzeitig erfüllt werden, sofern die Antragspflichtigen ihren Verpflichtungen nach § 15a nachkommen. Wird entgegen der Verpflichtung nach § 15a ein Insolvenzantrag verspätet gestellt, gilt dies nur für die nach Bestellung eines vorläufigen Insolvenzverwalters oder Anordnung der vorläufigen Eigenverwaltung fällig werdenden Ansprüche aus dem Steuerschuldverhältnis. Wird das Insolvenzverfahren nicht eröffnet und ist dies auf eine Pflichtverletzung der Antragspflichtigen zurückzuführen, gelten die Sätze 1 und 2 nicht.“

7.4 § 129 StGB — die offene Frage bei Lösegeldzahlung an organisierte Tätergruppen

Eine in der Praxis nicht entschiedene Konstellation ist die Lösegeldzahlung an eine organisierte Tätergruppe, die als kriminelle Vereinigung im Sinne von § 129 StGB qualifiziert wird. Vor einer Zahlungsentscheidung ist die § 129-StGB-Frage aber nur eine Spur: Zusätzlich sind Sanktions-/Embargolisten, Außenwirtschaftsrecht, Geldwäsche-/Terrorismusfinanzierungsrisiken, Versicherungsfreigabe, Krisenkommunikation, Beweissicherung und behördliche Einbindung zu prüfen. § 129 Absatz 1 StGB trennt im Strafrahmen: Gründung oder mitgliedschaftliche Beteiligung nach Satz 1 sind mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe bedroht; Unterstützung oder Werbung nach Satz 2 sind mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bedroht. Ob eine Lösegeldzahlung eine strafbare Unterstützung einer kriminellen Vereinigung darstellen kann, ist nach amtlicher Rechtsprechungslage nicht abschließend entschieden; die deutsche höchstrichterliche Linie zur Strafbarkeit bei erpresserischen Lösegeldzahlungen ist überwiegend zurückhaltend, eine gefestigte Entscheidung speziell zur Ransomware-Konstellation fehlt.

Methodischer Vorbehalt. Die § 129 StGB-Risiko-Lesart bei Cyber-Erpressung ist eine in der Literatur diskutierte, aber strafrechtlich nicht durch höchstrichterliche Rechtsprechung gefestigte Linie. Sie wird im Satelliten A3-06 als eigenständige Risiko-Schicht behandelt, hier aber ausdrücklich als offene Frage gekennzeichnet — kein „regelmäßig“, kein „typischerweise“, sondern eine Konstellation, deren strafrechtliche Bewertung im Einzelfall geklärt werden muss. Wer in einem konkreten Vorfall vor der Lösegeld-Entscheidung steht, holt spezialisierte anwaltliche Strafrechtsberatung und — soweit einschlägig — sanktions-, versicherungs- und krisenkommunikationsrechtliche Beratung ein.

8. Übergangsregelungen und zeitlicher Geltungsstand

Die fünf Schichten haben unterschiedliche zeitliche Anker. Wer wissen will, ab wann welche Schicht wie weit greift, muss vier Daten kennen.

8.1 Inkrafttreten des BSIG in der NIS2UmsuCG-Grundfassung

Das BSIG in der NIS2UmsuCG-Grundfassung ist am 6. Dezember 2025 in Kraft getreten. Die Ausfertigung erfolgte am 2. Dezember 2025; die Verkündung im BGBl. 2025 I Nr. 301 erfolgte am 5. Dezember 2025. Seit dem 6. Dezember 2025 gelten amtlich die Pflichten aus § 30 (Risikomanagement-Maßnahmen), § 31 (KRITIS-Anforderungen), § 38 (Geschäftsleitungs-Pflichten) und die Bußgeld-Tatbestände aus § 65. Die Meldepflichten nach § 32 BSIG sind zeitlich gesondert zu behandeln: Für die Verpflichtung nach § 32 Absatz 1 Satz 1 BSIG [N-BSIG-32] ordnet § 32 Absatz 1 Satz 2 BSIG an: „Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs.“ Soweit der vom Bundesamt zentral betriebene Meldeweg (MUK-Portal) für die jeweilige Einrichtung zum jeweiligen Stand eingerichtet und nutzbar ist, gelten die Meldepflichten aus § 32 BSIG praktisch vollumfänglich. Bei Einrichtungs- oder Verfügbarkeits-Engpässen sind die § 32-Tatbestände im Einzelfall unter dem Vorbehalt der Meldewegs-Einrichtung zu prüfen. Die Einrichtung sollte die konkrete Lage zum Vorfallszeitpunkt beweissicher dokumentieren: interne Kenntniserlangung, Portalstatus, Fehlermeldungen/Screenshots, Ticket- oder Telefonnotizen, alternative Kontaktversuche, Uhrzeiten, handelnde Personen und Entscheidung, ob eine spätere Nachmeldung oder Fortschreibung erfolgt. Das ist keine Warteempfehlung, sondern Verteidigungsmaterial für Vorwerfbarkeit und Fristlauf. Auch die Brücke ins Gesellschaftsrecht aus § 38 Absatz 2 BSIG [N-BSIG-38] gilt seit dem 6. Dezember 2025. Der heute im Artikel mitbehandelte Änderungsstand durch Artikel 4 des Gesetzes vom 11. März 2026 (BGBl. 2026 I Nr. 66) ist davon zu trennen.

8.2 Übergang bei den Nachweisanforderungen (§ 61 Absatz 3 BSIG)

§ 61 Absatz 3 Satz 1 BSIG [N-BSIG-61] eröffnet die Nachweis-Anordnung „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes“. Bei Inkrafttreten am 6. Dezember 2025 ist das frühestens der 6. Dezember 2028. Für zugelassene Krankenhäuser nach § 108 SGB V [N-SGBV-108] gilt nach § 61 Absatz 3 Satz 5 BSIG amtlich eine Sonderschonfrist von „frühestens fünf Jahre nach Inkrafttreten“ — also frühestens der 6. Dezember 2030, „soweit nicht durch Rechtsverordnung nach § 56 Absatz 6 ein früherer Zeitpunkt bestimmt wird“ (zum amtlichen Verweisungsbruch — § 56 Abs. 6 regelt kritische Komponenten, die Krankenhaus-Ermächtigung steht materiell in § 56 Abs. 5 BSIG [N-BSIG-56] — siehe Hinweis in Sektion 4.1).

Wichtige Klarstellung. Die Schonfrist betrifft amtlich nur die Nachweis-Anordnungsbefugnis nach § 61 Absatz 3 BSIG. Sie suspendiert nicht die materiellen Pflichten aus § 30 BSIG; für § 32 Absatz 1 Satz 1 BSIG ist daneben der Meldeweg-Vorbehalt aus § 32 Absatz 1 Satz 2 BSIG mitzulesen. Aufsichtsmaßnahmen nach § 61 Absatz 1 BSIG (Audit-Anordnung), Absatz 5 (Überprüfung der Einhaltung der Anforderungen nach diesem Gesetz), Absatz 6 (Mängelbeseitigungsanordnung) und Absatz 7 (Umsetzungsanordnung) sind nicht an die Drei-Jahres-Frist gebunden. Die Schonfrist ist also ein Übergang bei den routinemäßigen Nachweis-Anforderungen, kein Übergang der Pflichten selbst.

8.3 Verjährung der Innenhaftung — die zeitliche Reichweite zurück

Die Innenhaftungs-Schicht (Schicht 3) reicht zeitlich amtlich unterschiedlich weit zurück. Für die GmbH-Geschäftsführer-Haftung gilt nach § 43 Absatz 4 GmbHG [N-GmbHG-43] eine fünfjährige Verjährungsfrist. Für AG-Vorstandsmitglieder und SE-geschäftsführende Direktoren gilt nach § 93 Absatz 6 AktG [N-AktG-93] eine fünfjährige Verjährungsfrist; bei zum Zeitpunkt der Pflichtverletzung börsennotierten Gesellschaften eine zehnjährige. Anknüpfungspunkt des Fristbeginns ist nach § 200 BGB [N-BGB-200] die Entstehung des Anspruchs — nicht die Kenntnis der Gesellschaft. § 200 Satz 1 BGB lautet amtlich: „Die Verjährungsfrist von Ansprüchen, die nicht der regelmäßigen Verjährungsfrist unterliegen, beginnt mit der Entstehung des Anspruchs, soweit nicht ein anderer Verjährungsbeginn bestimmt ist.“ Hemmungstatbestände: § 203 Satz 1 BGB: „Schweben zwischen dem Schuldner und dem Gläubiger Verhandlungen über den Anspruch oder die den Anspruch begründenden Umstände, so ist die Verjährung gehemmt, bis der eine oder der andere Teil die Fortsetzung der Verhandlungen verweigert.“ § 204 Absatz 1 Nummer 1 BGB: „Die Verjährung wird gehemmt durch die Erhebung der Klage auf Leistung oder auf Feststellung des Anspruchs, auf Erteilung der Vollstreckungsklausel oder auf Erlass des Vollstreckungsurteils.“ § 206 BGB: „Die Verjährung ist gehemmt, solange der Gläubiger innerhalb der letzten sechs Monate der Verjährungsfrist durch höhere Gewalt an der Rechtsverfolgung gehindert ist.“ Im Detail: die Börsennotierung für die Zehnjahresfrist knüpft bei § 93 Absatz 6 AktG an den Zeitpunkt der Pflichtverletzung an. Für eine Pflichtverletzung im Jahr 2026 ist deshalb nicht das Kalenderjahr als solches entscheidend, sondern der Zeitpunkt, zu dem der Ersatzanspruch entstanden ist; ab diesem Zeitpunkt läuft die fünf- beziehungsweise zehnjährige Sonderverjährung.

8.4 Verjährung der ordnungswidrigkeitenrechtlichen Schicht

Für die Verfolgung von BSIG-Ordnungswidrigkeiten gelten die allgemeinen Verfolgungsverjährungsfristen nach § 31 OWiG. § 31 Absatz 2 OWiG [N-OWiG-31] ist amtlich vierstufig nach Höchstmaß der Geldbuße gestaffelt: drei Jahre bei Geldbuße im Höchstmaß von mehr als fünfzehntausend Euro (Nr. 1); zwei Jahre bei mehr als zweitausendfünfhundert bis zu fünfzehntausend Euro (Nr. 2); ein Jahr bei mehr als eintausend bis zu zweitausendfünfhundert Euro (Nr. 3); sechs Monate bei den übrigen Ordnungswidrigkeiten (Nr. 4). Da die NIS-2-Höchstmaße deutlich über 15.000 Euro liegen, ist die Drei-Jahres-Frist nach Nummer 1 einschlägig. § 31 Absatz 3 OWiG bestimmt amtlich zum Beginn: „Die Verjährung beginnt, sobald die Handlung beendet ist. Tritt ein zum Tatbestand gehörender Erfolg erst später ein, so beginnt die Verjährung mit diesem Zeitpunkt.“ Bei Dauer-Pflichten (Risikomanagement-Maßnahmen, Dokumentation) ist die Frage des Beginns im Einzelfall zu prüfen — eine gefestigte höchstrichterliche Linie speziell zur BSIG-Bußgeldverjährung steht noch aus. Unterbrechungsfragen sind zusätzlich nach § 33 OWiG zu prüfen; sie können die rein aus § 31 OWiG abgeleitete Dreijahres-Skizze im konkreten Verfahren verschieben.

8.5 Verjährung der strafrechtlichen Schicht

Die Verfolgungsverjährung im Strafrecht richtet sich nach § 78 StGB und ist gestaffelt nach dem Strafrahmen. § 266 StGB [N-StGB-266] hat eine Höchststrafe von fünf Jahren Freiheitsstrafe — nach § 78 Absatz 3 Nummer 4 StGB [N-StGB-78] ist die Verfolgungsverjährung fünf Jahre. § 15a Absatz 4 InsO (Höchststrafe drei Jahre) verjährt in fünf Jahren nach § 78 Absatz 3 Nummer 4 StGB; § 15a Absatz 5 InsO (Höchststrafe ein Jahr) in drei Jahren nach § 78 Absatz 3 Nummer 5 StGB. Bei § 129 Absatz 1 StGB ist für die Norm-Anatomie zu trennen: Satz 1 (Gründung oder mitgliedschaftliche Beteiligung) hat eine Höchststrafe von fünf Jahren, Satz 2 (Unterstützung oder Werbung) eine Höchststrafe von drei Jahren; beide Varianten liegen damit für die Verfolgungsverjährung in der Fünfjahresgruppe des § 78 Absatz 3 Nummer 4 StGB. Ruhen und Unterbrechung der strafrechtlichen Verfolgungsverjährung sind hiervon zu trennen; sie richten sich insbesondere nach § 78b StGB und § 78c StGB und können die reine Grundfrist-Berechnung im Einzelfall verändern.

9. Wie die fünf Schichten zusammenwirken

Die Schichten sind amtlich eigenständig — sie wirken nicht in einer Reihenfolge, sondern nebeneinander. Ein Cyber-Vorfall mit nicht erfüllter Risikomanagement-Pflicht kann amtlich gleichzeitig vier oder fünf Schichten aktivieren.

9.1 Parallel-Mechanik in einer typischen Konstellation

Eine besonders wichtige Einrichtung hat eine zentrale § 30 Absatz 2 Nummer 1 BSIG [N-BSIG-30]-Maßnahme (Risikoanalyse-Konzept) nicht umgesetzt. Es kommt zu einem erheblichen Sicherheitsvorfall, der zu Schaden bei der Einrichtung führt. Der Verlauf in den Schichten:

In Schicht 1 wird das Bundesamt nach § 65 Absatz 2 Nummer 2 BSIG einen Bußgeldrahmen bis zu zehn Millionen Euro auf die Einrichtung anwenden können; bei einem Gesamtumsatz des Unternehmens, dem die Einrichtung angehört, von mehr als 500 Millionen Euro kann es nach § 65 Absatz 6 BSIG abweichend bis zu zwei Prozent dieses Gesamtumsatzes anwenden. § 65 Absatz 2 Nummer 2 BSIG verweist auf § 30 Absatz 1 Satz 1 BSIG — die nicht erfüllte Maßnahme ist im Sinne von § 30 Absatz 2 BSIG zu konkretisieren (etwa Nummer 1: „Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik“). In Schicht 2 kann das Bundesamt nach § 61 Absatz 6 BSIG [N-BSIG-61] eine Mängelbeseitigungsanordnung erlassen; bei Nichterfüllung trotz Fristsetzung kann § 61 Absatz 9 BSIG mit Genehmigungsaussetzung und Tätigkeitsuntersagung als letzte Mittel greifen. In Schicht 3 kann die Einrichtung ihre Geschäftsleitung über § 38 Absatz 2 BSIG [N-BSIG-38] in Verbindung mit § 43 GmbHG [N-GmbHG-43] oder § 93 AktG [N-AktG-93] auf Ersatz des konkreten Schadens in Anspruch nehmen; dabei ist die Bußgeld-Hauptforderung selbst von Begleitpositionen zu trennen. Ob ein von der Einrichtung gezahltes Bußgeld als Hauptforderung gegen Organmitglieder regressfähig ist, ist jedenfalls im unionsrechtlich beeinflussten Bußgeldkontext rechtlich nicht abschließend geklärt; eigenständige Begleitschäden wie Rechtsverteidigungs-, Untersuchungs-, Wiederherstellungs-, Sanierungs- und Reputationsschäden sind gesondert nach § 43 GmbHG beziehungsweise § 93 AktG zu prüfen. In Schicht 4 kann das Aufsichtsorgan einer AG bei unzureichender Berichterstattung über die Risikomanagement-Lage selbst in die Haftung nach § 116 Satz 1 in Verbindung mit § 93 AktG (sowie § 15b InsO [N-InsO-15b] bei Insolvenzreife) geraten. In Schicht 5 sind zwei OWiG-Routen zu trennen: Bei eigener tatbestandsmäßiger Zuwiderhandlung kann eine natürliche Person über § 65 BSIG [N-BSIG-65] in Verbindung mit § 9 OWiG [N-OWiG-9] betroffen sein; bei Aufsichtspflichtverletzung kann § 130 OWiG [N-OWiG-130] (über § 9 OWiG gegen die Geschäftsleitung, gegebenenfalls über § 9 Absatz 2 OWiG auch gegen Beauftragte mit Betriebsführungs-Verantwortung) mit einer persönlichen Geldbuße greifen, deren Grund-Höchstmaß sich nach § 130 Absatz 3 OWiG am Bußgeld-Höchstmaß der zugrunde liegenden Ordnungswidrigkeit orientiert. Bei nur fahrlässiger Aufsichtspflichtverletzung ist zusätzlich § 17 Absatz 2 OWiG [N-OWiG-17] zu prüfen. Bei Vermögensnachteil der Einrichtung kann § 266 StGB [N-StGB-266] nur bei zusätzlich tragfähigem subjektivem Tatbestand — insbesondere Vorsatz hinsichtlich Pflichtwidrigkeit und Vermögensnachteil — als eigenständiger Strafanker hinzutreten.

Worauf die Karte nicht antwortet. Welche Schicht im konkreten Vorfall tatsächlich aktiviert wird, ist eine Frage des Ermessens der jeweils zuständigen Behörde (Bundesamt, sektorale Aufsichtsbehörde, Staatsanwaltschaft) und der Entscheidung der Einrichtung (Klageerhebung gegen die eigene Geschäftsleitung, Beauftragung externer Untersuchung). Die Karte zeigt das Spektrum der möglichen Folgen, nicht eine Prognose. In den meisten Cyber-Vorfällen wird nicht jede Schicht aktiviert — aber jede Schicht kann aktiviert werden, und die Aktivierung einer Schicht hängt nicht von der Aktivierung einer anderen ab.

9.2 Das Doppelbestrafungsverbot zur DSGVO (§ 65 Absatz 11 BSIG)

Eine amtliche Schranke der Parallel-Mechanik steht in § 65 Absatz 11 BSIG: Bei demselben Verhalten, das zugleich einen BSIG-Tatbestand und einen DSGVO [EU-DSGVO]-Tatbestand erfüllt, ist eine weitere BSIG-Geldbuße ausgeschlossen, wenn die Datenschutz-Aufsichtsbehörde gemäß Art. 58 Absatz 2 Buchstabe i DSGVO bereits eine Geldbuße verhängt hat. Diese amtliche Sperre wirkt ausdrücklich zwischen Schicht 1 (BSIG-Bußgeld) und der entsprechenden DSGVO-Bußgeldschicht; sie sperrt nicht automatisch die Innenhaftung oder die personenbezogene OWiG- und Strafschiene. Ob in einer personenbezogenen OWiG-Konstellation zusätzlich ne-bis-in-idem-Grenzen greifen, ist gesondert zu prüfen.

9.3 D&O-Versicherung als wirtschaftliche Brücke zwischen den Schichten

Die D&O-Versicherung [M-AVB-OFFEN] der Geschäftsleitung ist nicht Teil des amtlichen Schichten-Geflechts — sie ist ein privates Versicherungsverhältnis zwischen der Einrichtung (als Versicherungsnehmerin) und dem Versicherer. Für die Praxis ist zusätzlich zu trennen: Anspruchserhebungsprinzip, Anzeige- und Mitwirkungsobliegenheiten, Zustimmungserfordernisse für Verteidigungs-, Forensik- oder Krisenberaterkosten, Nachmeldefristen sowie die Koordination mit Cyber- und Straf-/OWiG-Rechtsschutz. Vor Vertragsschluss und bei Renewal kommen Risiko- und IT-Sicherheitsfragebögen hinzu; falsche oder unvollständige Angaben können deckungsrechtlich über vorvertragliche Anzeigepflichten, Rücktritt/Anpassung oder AVB-Ausschlüsse relevant werden. Deshalb sollte die Einrichtung die Beantwortung von Cyber-/D&O-Fragebögen versionieren, fachlich freigeben und mit dem NIS-2-/BSIG-Nachweisbestand abgleichen. Diese Punkte sind nicht gesetzliche NIS-2-Folgen, können aber die wirtschaftliche Verteidigungsfähigkeit im Vorfall unmittelbar steuern; konkrete AVB und Makler-/Versichererbestätigung sind einzuholen. Vertraglich wirkt sie als wirtschaftliche Auffanglinie für Schicht 3 (Innenhaftung) und teilweise für Schicht 4 (Aufsichtsrats-Haftung); sie trägt nicht die unmittelbare Schicht-1-Geldbuße gegen die Einrichtung — die Einrichtung selbst ist Adressatin dieser Geldbuße — und reicht für Schicht 5 im Regelfall nicht über Verteidigungskosten hinaus. Ob ein späterer Bußgeld-Regress gegen Organmitglieder als Schicht-3-Haftpflichtfall ersatzfähig und gedeckt ist, ist gesondert zu prüfen und für die Bußgeld-Hauptforderung rechtlich nicht abschließend geklärt. Die eigentliche Sanktionszahlung ist davon zu trennen; versicherungsrechtlich sind vier Ebenen strikt zu trennen. Erstens: Eigentliche Geldstrafen sind als höchstpersönliche strafrechtliche Sanktion nach ganz überwiegender Auffassung nicht als Sanktionszahlung versicherbar. Zweitens: Bei Geldbußen und einem späteren Bußgeldregress gegen Organmitglieder ist die Deckung gesondert nach Gesetz, Sittenwidrigkeitsgrenzen, AVB und Ausschlüssen zu prüfen — eine pauschale D&O-Deckung folgt daraus nicht. Drittens: Verteidigungs- und Untersuchungskosten können je nach D&O-, Cyber- oder Straf-/OWiG-Rechtsschutzbedingungen eigenständig gedeckt sein. Viertens: Der D&O-Wissentlichkeitsausschluss verlangt nach BGH IV ZR 66/25 [R-IV-ZR-66-25] einen konkreten Bezug auf die haftpflichtauslösende Pflichtverletzung; er ersetzt nicht die zivilrechtliche Verschuldensprüfung. Für den eigentlichen Straf- und OWiG-Rechtsschutz wird in der Marktpraxis eine eigenständige Police angeboten.

Zwei amtliche Limits sind für die Versicherbarkeitsfrage zentral. Erstens: § 93 Absatz 2 Satz 3 AktG verlangt amtlich einen Selbstbehalt von mindestens zehn Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung des Vorstandsmitglieds. Diese Mindestschwelle wirkt vergleichbar in der monistischen SE und ist auch in der GmbH-Praxis verbreitet. Zweitens: D&O-AVB enthalten typischerweise einen Wissentlichkeitsausschluss. Der Bundesgerichtshof hat in BGH, Urteil vom 19. November 2025 — IV ZR 66/25, ECLI:DE:BGH:2025:191125UIVZR66.25.0 — entschieden, dass der Ausschluss des Versicherungsschutzes nach Ziffer 6 ULLA voraussetzt, dass gerade die haftpflichtauslösende Pflichtverletzung, wegen der die versicherte Person für einen Vermögensschaden in Anspruch genommen wird, wissentlich erfolgte. Positive Kenntnis und Pflichtwidrigkeitsbewusstsein sind auf diese konkrete Pflichtverletzung zu beziehen; der Fall betrifft eine D&O-Deckungsstreitigkeit zu ULLA Ziffer 6 im Kontext von Ansprüchen wegen Zahlungen nach Insolvenzreife nach § 64 Satz 1 GmbHG a.F. Das ist eine deckungsrechtliche Ausschlussprüfung der Haftpflichtversicherung und nicht mit dem zivilrechtlichen Verschuldensmaßstab aus § 276 BGB gleichzusetzen: Eine Innenhaftung kann nach § 43 GmbHG oder § 93 AktG bereits bei Fahrlässigkeit bestehen, während der D&O-Wissentlichkeitsausschluss zusätzlich den konkreten Pflichtbezug und Wissentlichkeit verlangt. Eine systematische Behandlung der D&O-Architektur erfolgt im Cluster A5 (Cyber-Versicherungs-Architektur, A5-01 als Pillar).

10. Schnittstellen zu anderen Rechtsakten

Das BSIG ist amtlich nicht allein auf der Bühne. Die nachfolgenden Schnittstellen sind für diese Karte zentral: DORA [EU-DORA], KRITIS-DachG, DSGVO [EU-DSGVO], TKG/EnWG und § 37 BSIG [N-BSIG-37]. Weitere in den Quellen genannte Rechtsakte — insbesondere CRA [EU-CRA], KI-VO [EU-KIVO] und CER-Richtlinie [EU-CER] — werden hier nur als Scope-Hinweis geführt; sie haben eigene Melde-, Aufsichts- oder Sanktionslogiken.

10.1 DORA-/BSIG-Ausnahme im Finanzsektor — keine pauschale Lex-specialis-Aussage

§ 28 Absatz 6 BSIG [N-BSIG-28] zitiert amtlich zwei Ausnahme-Kategorien: „Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für 1. Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes [N-KWG-1a] oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes [N-VAG-293] gelten, 2. die Gesellschaft für Telematik nach § 306 Absatz 1 Satz 3 des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 311 Absatz 6 und § 325 des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 327 Absatz 2 bis 5 des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen.“ Nummer 1 erfasst die DORA-Finanzwelt, Nummer 2 erfasst die Telematik-Infrastruktur des deutschen Gesundheitswesens — beide Ausnahme-Kategorien sind in der Sanktions- und Haftungs-Architektur eigenständig zu prüfen.

Drei amtliche Eigenschaften der DORA-Ausnahme nach Nummer 1 sind für die Praxis entscheidend. Erstens: Die Ausnahme bezieht sich amtlich auf Art. 2 Absatz 2 DORA (Legal-Definition Sammelbegriff „Finanzunternehmen“ = Art. 2 Absatz 1 Buchstaben a bis t), nicht auf Art. 2 Absatz 1 mit allen 21 Unternehmenstypen — IKT-Drittdienstleister nach Art. 2 Absatz 1 Buchstabe u DORA sind nicht von der BSIG-Ausnahme nach § 28 Absatz 6 BSIG erfasst — das bedeutet aber nicht automatisch BSIG-Pflichtigkeit im Einzelfall. Zusätzlich ist innerhalb der DORA-Welt zu trennen: Finanzunternehmen bleiben Adressaten der DORA-Pflichten für IKT-Drittparteienrisiko, Register und Vertragssteuerung; als kritisch designierte IKT-Drittdienstleister können einer ESA-Aufsicht nach DORA unterfallen. Diese DORA-Aufsicht ersetzt weder die positive BSIG-Einordnung des Dienstleisters noch macht sie den Dienstleister zum Auftragsverarbeiter im DSGVO-Sinn. Positiv zu prüfen bleibt, ob der konkrete Dienstleister nach § 28 BSIG, den einschlägigen Anlagen, Schwellenwerten, Sektor- und Niederlassungskriterien als besonders wichtige oder wichtige Einrichtung einzuordnen ist und keine andere Ausnahme greift. Für Betreiber kritischer Anlagen ist jedoch zusätzlich § 28 Absatz 7 BSIG zu trennen: § 32 BSIG [N-BSIG-32] gilt nicht, soweit sie eine Anlage für Unternehmen nach § 28 Absatz 6 Nummer 1 BSIG betreiben. Zweitens: Die Ausnahme erfasst neben den DORA-direkt-pflichtigen Finanzunternehmen amtlich auch Unternehmen, für die DORA aufgrund nationaler Verweisnormen gilt — namentlich § 1a Absatz 2 und 2a Kreditwesengesetz und § 293 Absatz 5 Versicherungsaufsichtsgesetz. Drittens: Die Ausnahme suspendiert amtlich nicht das Gesellschaftsrecht. § 43 GmbHG [N-GmbHG-43] und § 93 AktG [N-AktG-93] bleiben für die Geschäftsleitung von Finanzunternehmen rechtsformabhängig einschlägig; für Aufsichts- und Verwaltungsorgane gilt nicht pauschal § 116 AktG [N-AktG-116], sondern die jeweils nach der Rechtsform einschlägige Haftungs- und Verweisungsnorm. Die DORA-Welt verlagert die materielle IKT-Risikomanagement-Pflichtenwelt in das DORA-Regime; §§ 61 und 62 BSIG sind in § 28 Absatz 6 BSIG nicht ausdrücklich ausgenommen, greifen für die ausgenommenen Pflichten aber nicht ohne eigenen Anknüpfungspunkt. Die Innenhaftungs-Brücke aus § 38 Absatz 2 BSIG [N-BSIG-38] ist für DORA-pflichtige Finanzunternehmen nicht einschlägig, weil § 38 BSIG insgesamt ausgenommen ist; die zivilrechtliche Pflichten- und Haftungsbasis läuft dann über § 43 GmbHG bzw. § 93 AktG in Verbindung mit den DORA-Pflichten als Konkretisierung der Sorgfaltspflicht. Materielle Schwester-Normen zu § 38 BSIG sind dabei § 25a Absatz 1 KWG (Institute nach dem KWG: ordnungsgemäße Geschäftsorganisation, Verantwortung der Geschäftsleiter, „ein angemessenes und wirksames Risikomanagement“) und § 23 VAG in Verbindung mit § 26 VAG (Versicherungsunternehmen: wirksame und ordnungsgemäße Geschäftsorganisation, interne Leitlinien mit Vorgaben zum Risikomanagement und Risikomanagementsystem). Diese sektoralen Sorgfaltskonkretisierungen wirken im Cyber-Innenhaftungs-Streitfall nicht als eigenständige zivilrechtliche Anspruchsgrundlagen, sondern als Konkretisierung des Sorgfaltsmaßstabs innerhalb von § 43 GmbHG bzw. § 93 AktG.

10.2 KRITIS-Dachgesetz als Resilienz-Schicht

Das KRITIS-Dachgesetz [N-KRITISDachG] (KRITIS-DachG) ist am 17. März 2026 in Kraft getreten (BGBl. 2026 I Nr. 66 vom 16. März 2026). Es regelt die physische und betriebliche Resilienz kritischer Anlagen — also einen anderen Schutzzweck als das BSIG (informationstechnische Sicherheit). § 2 Nummer 22 BSIG [N-BSIG-2-22] verweist im aktuellen Wortlaut auf die Anlagen-Definition aus dem KRITIS-Dachgesetz; zugleich ordnet § 66 BSIG [N-BSIG-66] für die Übergangsphase an, dass § 2 Nummer 22 und 24 BSIG sowie § 33 Absatz 2 BSIG [N-BSIG-33] erst anzuwenden sind, wenn eine Rechtsverordnung auf Grundlage von § 4 Absatz 3 und § 5 Absatz 1 KRITIS-DachG [N-KRITISDachG-4] [N-KRITISDachG-5] gilt, und dass bis dahin § 2 Nummer 22 und 24 BSIG in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden sind. Für Betreiber kritischer Anlagen können daher zwei parallele Pflichtenregimes nebeneinanderstehen — ohne Substitutionsverhältnis; die konkrete Einordnung als kritische Anlage muss aber die Übergangsregel des § 66 BSIG mitprüfen. Haftungsrechtlich bedeutet das: Die Innenhaftungs-Brücke aus § 38 Absatz 2 BSIG bleibt für die BSIG-Pflichten einschlägig; die KRITIS-DachG-Pflichten haben eine eigene Sorgfalts- und Sanktionsarchitektur, die im Cluster A6 (Sonderkonstellationen) behandelt wird.

10.3 DSGVO mit eigenständigem Bußgeldrahmen

Die DSGVO regelt amtlich den Schutz personenbezogener Daten. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen — eine Pflicht, die sich inhaltlich mit § 30 BSIG [N-BSIG-30] überschneiden kann. Neben der Bußgeldschiene nach Art. 83 DSGVO ist in Cyber-Vorfällen auch Art. 82 DSGVO mitzulesen: Materielle oder immaterielle Schäden betroffener Personen können zu Schadensersatzansprüchen gegen Verantwortliche oder Auftragsverarbeiter führen; diese Drittansprüche sind von § 65 Absatz 11 BSIG nicht gesperrt und können als wirtschaftlicher Schaden oder Regress-/Verteidigungsposition in die Organhaftungsanalyse zurückwirken. Art. 83 DSGVO öffnet einen zweistufigen Bußgeldrahmen: Art. 83 Abs. 4 DSGVO lautet im Bußgeldrahmen-Auszug amtlich: „Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:“. Art. 83 Abs. 5 DSGVO lautet im Bußgeldrahmen-Auszug amtlich: „Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:“; dazu gehören insbesondere Verstöße gegen die Grundsätze der Verarbeitung und gegen die Rechte der betroffenen Personen. § 65 Absatz 11 BSIG sperrt amtlich eine weitere BSIG-Geldbuße, wenn die DSGVO-Aufsichtsbehörde gemäß Art. 58 Absatz 2 Buchstabe i DSGVO für „denselben Verstoß … aus demselben Verhalten“ zuerst eine Geldbuße verhängt hat. Für die Cyber-Haftungs-Architektur heißt das: Bei Datenpannen mit Cyber-Bezug greifen DSGVO- und BSIG-Pflichten parallel; eine weitere BSIG-Geldbuße ist amtlich nach DSGVO-Geldbuße gesperrt, soweit beide Verfahren denselben Verstoß aus demselben Verhalten erfassen. Umgekehrte oder weitergehende Doppelverfolgungsfragen (DSGVO-Geldbuße nach BSIG-Geldbuße) sind nicht in § 65 Absatz 11 BSIG geregelt, sondern gesondert nach den allgemeinen ne-bis-in-idem-Grundsätzen zu prüfen. Innenhaftung sowie die personenbezogene OWiG- und Strafschiene laufen nicht aufgrund von § 65 Absatz 11 BSIG automatisch weg; ihre Grenzen sind jeweils eigenständig zu prüfen.

10.4 TKG und EnWG als sektorale Ausnahmen

§ 28 Absatz 5 Satz 1 BSIG zitiert amtlich, dass die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 nicht gelten für besonders wichtige Einrichtungen und wichtige Einrichtungen, die ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen (Nummer 1) oder die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen (Nummer 2). § 28 Absatz 5 Satz 2 BSIG hebt diese Ausnahme amtlich wieder auf, soweit die Einrichtungen „über die in Satz 1 Nummer 1 und 2 genannten Anlagen hinaus weitere kritische Anlagen nach § 2 Nummer 22 betreiben oder aufgrund weiterer Tätigkeiten einer der in Anlage 1 [N-BSIG-Anl1] oder 2 bestimmten Einrichtungsarten zuzuordnen sind“. § 28 Absatz 5 Satz 3 BSIG begrenzt diese Rückausnahme amtlich: „Satz 2 gilt für alle informationstechnischen Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind.“ § 28 Absatz 5 Satz 4 BSIG ergänzt amtlich eine Nebentätigkeits-Sonderregel: „Im Fall, dass der Betrieb einer Energieanlage nach Satz 1 Nummer 2 einer in Satz 1 aufgeführten besonders wichtigen und wichtigen Einrichtung im Hinblick auf die gesamte Geschäftstätigkeit dieser Einrichtung eine Nebentätigkeit darstellt, findet dieser Absatz keine Anwendung.“ Die Telekommunikations- und Energieeinrichtungen haben damit amtlich eine eigene Cyber-Sicherheits-Architektur — TKG (§ 165 Telekommunikationsgesetz) und EnWG (§§ 5c bis 5e Energiewirtschaftsgesetz) — und die zugehörige Sanktionsschicht läuft in den sektoralen Vorschriften. Die Innenhaftungs-Brücke aus § 38 Absatz 2 BSIG ist für diese Einrichtungen amtlich nicht einschlägig, soweit die Ausnahme nach § 28 Absatz 5 BSIG greift.

10.5 § 37 BSIG-Ausnahmebescheid als zusätzliche Befreiungs-Spur

Neben den Bereichs-Ausnahmen des § 28 BSIG (Absatz 5: Telekommunikation und Energie; Absatz 6: DORA-Finanzunternehmen und Telematik-Infrastruktur; Absatz 8: bestimmte gebietskörperschaftsgebundene Strukturen) kennt das BSIG mit § 37 BSIG eine zusätzliche, vorschlags- oder amtsinitiativ geprägte Befreiungs-Spur. § 37 Absatz 1 Satz 1 BSIG ermöglicht dem Bundesministerium des Innern, auf Vorschlag bestimmter Ressorts der Länder und des Bundes oder auf eigenes Betreiben eine besonders wichtige oder eine wichtige Einrichtung von Verpflichtungen nach dem BSIG teilweise zu befreien (einfacher Ausnahmebescheid) nach Maßgabe des Absatzes 2 oder insgesamt zu befreien (erweiterter Ausnahmebescheid) nach Maßgabe des Absatzes 3 — vorausgesetzt, die Einrichtung hält Vorgaben ein, die den BSIG-Verpflichtungen gleichwertig sind. Nach § 37 Absatz 2 BSIG kommen Einrichtungen in Betracht, die in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind oder ausschließlich für Behörden mit diesen Aufgaben Dienste erbringen — sie können von den Risikomanagementmaßnahmen nach § 30 BSIG und den Meldepflichten nach § 32 BSIG befreit werden; ihre Informationstechnik-Sicherheit muss anderweitig gewährleistet und beaufsichtigt werden. § 37 Absatz 3 BSIG erweitert die Befreiungs-Spur für ausschließlich in relevanten Bereichen tätige Einrichtungen auf die Registrierungspflichten nach §§ 33 und 34 BSIG. § 37 Absatz 4 BSIG schließt amtlich Vertrauensdiensteanbieter von dieser Befreiungs-Spur aus. Für die Sanktions- und Haftungs-Architektur folgt daraus: Greift ein wirksamer Ausnahmebescheid nach § 37 BSIG, sind die durch ihn ausgesetzten BSIG-Pflichten — und damit auch die daran anknüpfenden Bußgeld- und Innenhaftungs-Spuren nach § 65 BSIG [N-BSIG-65] bzw. § 38 Absatz 2 BSIG — im Befreiungs-Umfang ausgeschlossen. Die Anbindung an § 43 GmbHG bzw. § 93 AktG bleibt unberührt, und die jeweils gleichwertigen Sorgfalts-Vorgaben treten an die Stelle der suspendierten BSIG-Pflichten als Konkretisierung des Sorgfaltsmaßstabs. Praktisch ist die § 37-Spur für nicht-staatliche Einrichtungen sehr selten — sie zielt auf staatsnahe oder ausschließlich für Staatsfunktionen tätige Akteure und greift nicht für gewöhnliche Wirtschaftsteilnehmer.

11. Wie ein Sanktions- und Haftungs-Verfahren typischerweise abläuft

Der Verfahrensablauf ist nicht im BSIG geschlossen geregelt; er ergibt sich aus dem Zusammenwirken von BSIG, OWiG, Verwaltungsverfahrensgesetz und den allgemeinen straf- und zivilprozessrechtlichen Vorschriften. Sechs typische Verfahrensphasen sind voneinander zu unterscheiden.

In der ersten Phase wird das Bundesamt aus eigener Beobachtung, aus einer Überprüfung der Einhaltung der Anforderungen nach § 61 Absatz 5 BSIG [N-BSIG-61], aus einer Meldung der Einrichtung (§ 32 BSIG [N-BSIG-32]), aus einer Mitteilung Dritter (etwa durch eine Datenschutz-Aufsichtsbehörde) oder — bei den von § 61 Absatz 3 BSIG erfassten besonders wichtigen Einrichtungen einschließlich der dort gesondert geregelten Krankenhauskonstellation — aus einer Nachweis-Anforderung (frühestens drei beziehungsweise fünf Jahre nach Inkrafttreten) auf eine mögliche Pflichtverletzung aufmerksam.

In der zweiten Phase folgt eine Anhörung der Einrichtung. Das Bundesamt fordert Aufzeichnungen, Schriftstücke, Auskünfte an (§ 61 Absatz 5 BSIG). Die Einrichtung ist amtlich zur Mitwirkung nach § 61 Abs. 5 BSIG verpflichtet; diese Organisationspflicht ist aber von personenbezogenen Beschuldigten- und Verteidigungsrechten natürlicher Personen strikt zu trennen. Sobald Geschäftsleitungsmitglieder, CISO/IT-Leitung oder andere Beauftragte selbst als Betroffene/Beschuldigte in OWiG- oder Strafspuren in Betracht kommen, sind Aussagefreiheit, Selbstbelastungsschutz, Akteneinsicht, Verteidigerkommunikation, interne Interviewführung, Datenherausgabe und Mandatstrennung gesondert zu steuern. Die Mitwirkung der Einrichtung darf nicht als pauschale Pflicht einzelner Organmitglieder gelesen werden, sich persönlich selbst zu belasten. Ein Verstoß gegen die in § 65 Absatz 2 Nummer 17 BSIG ausdrücklich genannten Mitwirkungsakte — Betretenlassen, Vorlage einer dort genannten Aufzeichnung, eines dort genannten Schriftstücks oder einer dort genannten Unterlage sowie Auskunftserteilung — kann selbst einen eigenständigen Bußgeldtatbestand begründen.

In der dritten Phase ergeht eine Anordnung — typischerweise eine Mängelbeseitigungsanordnung nach § 61 Absatz 6 BSIG mit Fristsetzung. Die Anordnung ist im Verwaltungsrechtsweg überprüfbar; im Vorfallplan sollte gesondert dokumentiert sein, welcher Rechtsbehelf in Betracht kommt, welche Monatsfrist nach VwGO typischerweise läuft, ob Widerspruch oder Anfechtungsklage aufschiebende Wirkung haben und ob Sofortvollzug, Verwaltungszwang oder einstweiliger Rechtsschutz zu prüfen sind. Bußgeld-Einspruch und verwaltungsgerichtlicher Eilrechtsschutz sind verfahrensrechtlich strikt zu trennen. Wird die Anordnung nicht befolgt, kann das Bundesamt sie zusätzlich im Verwaltungszwang durchsetzen; § 63 BSIG [N-BSIG-63] hebt die mögliche Zwangsgeldhöhe gegenüber § 11 Absatz 3 VwVG auf bis zu 100 000 Euro an.

In der vierten Phase kann das Bußgeldverfahren laufen. Es setzt nicht stets die Nichterfüllung einer vorherigen Anordnung voraus: Tatbestände wie § 65 Absatz 2 Nummer 2 BSIG (Risikomanagement-Verstoß), Nummer 4 und 5 (Melde- und Abschlussmeldungsverstöße) oder Nummer 9 (Mitteilungsverstoß) können eigenständig ein Bußgeldverfahren tragen; die Verletzung einer Anordnung ist nur eine zusätzliche Tatbestandsgruppe. Verwaltungsbehörde ist nach § 65 Absatz 10 BSIG das Bundesamt (für die meisten Tatbestände) bzw. das Bundesministerium des Innern (für § 65 Absatz 2 Nummer 11 BSIG). Gegen den Bußgeldbescheid kann der Betroffene nach § 67 Absatz 1 OWiG innerhalb von zwei Wochen nach Zustellung, schriftlich oder zur Niederschrift, bei der Verwaltungsbehörde Einspruch einlegen, die den Bußgeldbescheid erlassen hat; über den Einspruch entscheidet nach § 68 Absatz 1 OWiG grundsätzlich das Amtsgericht, in dessen Bezirk diese Verwaltungsbehörde ihren Sitz hat.

In der fünften Phase folgt, bei Verletzung der Anordnung trotz Fristsetzung, die Eskalation nach § 61 Absatz 9 BSIG — Mitteilung an die sektorale Aufsichtsbehörde, Genehmigungsaussetzung als letztes Mittel, Tätigkeitsuntersagung gegen unzuverlässige Geschäftsleitungen als letztes Mittel.

In der sechsten Phase — die nicht aus dem Bundesamt heraus läuft — folgen zivilrechtliche Innenhaftungsansprüche der Einrichtung gegen die eigene Geschäftsleitung. Der Anstoß kommt typischerweise aus dem Aufsichtsorgan (ARAG/Garmenbeck [R-ARAG]-Linie). Personenbezogene OWiG-Verfahren nach § 65 BSIG [N-BSIG-65] in Verbindung mit § 9 OWiG [N-OWiG-9] oder nach § 130 OWiG [N-OWiG-130] in Verbindung mit § 9 OWiG sowie strafrechtliche Ermittlungen bei Straftatbeständen laufen verfahrensrechtlich eigenständig.

Wichtige Klarstellung zum Verfahrensablauf. Die sechs Phasen müssen nicht in dieser Reihenfolge ablaufen. Eine Innenhaftungsklage kann zeitlich vor einem Bundesamtsbußgeld stehen — etwa wenn der Aufsichtsrat aus eigener Beobachtung tätig wird. Ein persönliches OWiG-Verfahren oder ein Strafverfahren kann zeitlich vor anderen Schichten stehen. Die Schichten sind verfahrensrechtlich entkoppelt — das ist amtlich kein Bug, sondern die strukturelle Folge daraus, dass das BSIG nur die regulatorische Schicht regelt und die anderen Schichten ihre eigene Verfahrensordnung haben.

12. Persönliche Folgendimensionen für die Geschäftsleitung

Wer die Schichten als Tabelle liest, bekommt eine Karte der rechtlichen Folgen — aber nicht das volle Bild. Wirtschaftliche Folge ist amtlich nur eine von mehreren Dimensionen. Acht Dimensionen sind im CyberSchutzEngel-Methodik-Cluster „Folgen-Dimensionen“ festgehalten; sie greifen für die Geschäftsleitung bei einer aktivierten Haftungs- oder Sanktions-Schicht jeweils unterschiedlich stark.

Wirtschaftlich direkt: Bei aktivierter Innenhaftungs-Schicht (Schicht 3) kann die Geschäftsleitung wirtschaftlich mit einer Ersatzpflicht aus ihrem Privatvermögen konfrontiert werden — gesamtschuldnerisch nach § 43 Absatz 2 GmbHG [N-GmbHG-43], § 93 Absatz 2 Satz 1 AktG [N-AktG-93]. Eine tatsächliche Zahlungspflicht setzt Pflichtverletzung, Schaden, Kausalität, Verschulden, Anspruchsdurchsetzung oder Vergleich sowie mögliche Deckungs-, Freistellungs- und Versicherungsfragen voraus. Für GmbH-Geschäftsführer, AG-Vorstände und geschäftsführende Direktoren der SE ist die Innenhaftung der Höhe nach gesetzlich grundsätzlich nicht auf einen festen Euro-Betrag gedeckelt; sie richtet sich nach dem konkret zurechenbaren Schaden. Rechtsformspezifische Privilegierungen, Satzungsregelungen, Ressort-/Delegationsfragen, Entlastung, Verzichts-/Vergleichssperren und Versicherungsgrenzen ändern nicht zwingend die Schadenshöhe, können aber Anspruchsentstehung, Durchsetzbarkeit oder wirtschaftliche Tragung beeinflussen und sind vor einer pauschalen Aussage für Stiftung, Verein, Genossenschaft oder Sonderformen gesondert zu prüfen. Bei aktivierter personenbezogener OWiG- oder Strafschicht (Schicht 5) können persönliche Geldbußen wegen eigener § 65-BSIG-Zuwiderhandlungen über § 9 OWiG [N-OWiG-9] oder wegen Aufsichtspflichtverletzung nach § 130 OWiG [N-OWiG-130] sowie strafrechtliche Geldstrafenzahlungen entstehen; Geldstrafen sind als höchstpersönliche strafrechtliche Sanktionen nach ganz überwiegender Auffassung nicht als Sanktionszahlung versicherbar. Davon strikt zu trennen sind Verteidigungskosten, Straf-/OWiG-Rechtsschutz, Geldbußen, Bußgeldregress und AVB-Ausschlüsse, die jeweils gesondert nach Gesetz, Sittenwidrigkeitsgrenzen, Versicherungsbedingungen und Einzelfall zu prüfen sind. Hinzu kommen Verteidigungskosten — deren Deckung hängt von der konkreten Police ab; ein eigenständiger Straf- und OWiG-Rechtsschutz wird in der Marktpraxis als ergänzende Police angeboten.

Wirtschaftlich indirekt: Verlust von Anschlussmandaten in anderen Gesellschaften, Verlust von Aufsichtsratsmandaten, schlechtere Konditionen bei privatem Kreditzugang nach Bonitätsauswirkung, Verlust von Auftragsverhältnissen mit Anschlusswirkung auf eigene Beratungs- oder Beteiligungseinkünfte. Für die Einrichtung selbst sollte als Marktrealitäts-Vorbehalt ergänzt werden: Cyber-Vorfälle und ungeklärte NIS-2-Compliance können in Finanzierungs-, M&A-, Kunden- und Versicherungsprozessen zu zusätzlichen Due-Diligence-Fragen, Covenants, Informationspflichten, Pricing-Nachteilen oder Closing-/Renewal-Bedingungen führen. Diese Folgen sind keine gesetzliche Standardfolge und keine allgemeine Marktbehauptung; sie hängen an konkreten Vertragsklauseln, Fragebögen, Rating-/Bonitätsdaten, Renewal-Prozessen oder Transaktionsunterlagen und sind deshalb nur mit Anwalts-, Markt- oder Vertragsbeleg als harte Aussage zu verwenden.

Rechtlich: Eintrag im Bundeszentralregister bei strafrechtlicher Verurteilung (Schicht 5), vorübergehende Aussetzung der der Einrichtung erteilten Genehmigung oder vorübergehende Tätigkeitsuntersagung gegen unzuverlässige Geschäftsleitungen nach § 61 Absatz 9 BSIG [N-BSIG-61] (Schicht 2), zivilprozessrechtliche Prozessführung mit erheblicher Substantiierungslast (Schicht 3), Beweislastumkehr nach § 93 Absatz 2 Satz 2 AktG sowie eine funktional entsprechende Darlegungs- und Beweislastmechanik in der GmbH-Praxis.

Reputativ: Öffentliche Bekanntmachung nach § 61 Absatz 8 Nummer 2 BSIG ist eine eigenständige Aufsichtsmaßnahme mit reputativer Wirkung. Auch ohne öffentliche Bekanntmachung können Medienberichte über Cyber-Vorfälle und nachfolgende Verfahren die persönliche Reputation der Geschäftsleitung dauerhaft prägen.

Operativ: Verteidigungs- und Untersuchungsaufwand bindet über Monate, oft Jahre, persönliche Arbeitszeit — auch für nicht direkt beschuldigte Geschäftsleitungsmitglieder, weil die zivilprozessrechtliche Gesamtschuldkonstellation häufig alle Vorstands- oder Geschäftsführungsmitglieder einbezieht.

Mental und persönlich: Anhaltende Aufsichts-, OWiG- oder Strafverfahren können über Jahre laufen — bei börsennotierten AGs gilt für die Innenhaftung eine zehnjährige Sonderverjährung, deren Börsennotierungsmerkmal an den Zeitpunkt der Pflichtverletzung anknüpft, während der Fristbeginn nach § 200 BGB [N-BGB-200] die Entstehung des Anspruchs voraussetzt. Familienbelastung, Verlust der Gewissheit über die eigene Berufsausübung, Belastung durch öffentliche Auseinandersetzung — diese Dimensionen werden in der typischen juristischen Risikoeinschätzung selten benannt, sind aber praktisch oft die schwerste Konsequenz.

Gesellschaftlich und sozial: Verlust politischer Mandate, Verlust von Ehrenämtern, Auswirkungen im persönlichen Umfeld. Bei Tätigkeitsuntersagung nach § 61 Absatz 9 Nummer 2 BSIG ist die Wirkung amtlich mandatsbezogen; eine darüber hinausgehende soziale Wirkung ergibt sich aus dem Verfahrenskontext, nicht aus dem amtlichen Wortlaut.

Zeitlich: Ein Cyber-Vorfall im Jahr 2026 kann eine GmbH-Geschäftsführung oder einen AG-Vorstand zivilrechtlich über Jahre belasten. Für GmbH-Geschäftsführer und Vorstände nicht börsennotierter AGs gilt eine fünfjährige, für Vorstände börsennotierter AGs eine zehnjährige Sonderverjährung, jeweils ab Entstehung des Ersatzanspruchs; Genossenschaft, SE, Stiftung und Verein sind nach der jeweils einschlägigen Rechtsformnorm gesondert zu prüfen. Im Strafrecht knüpft § 78 Absatz 3 StGB [N-StGB-78] an den Höchststrafrahmen des Grundtatbestands an. § 78 Absatz 4 StGB stellt amtlich klar, dass sich die Frist „nach der Strafdrohung des Gesetzes, dessen Tatbestand die Tat verwirklicht, ohne Rücksicht auf Schärfungen oder Milderungen“ richtet, „die nach den Vorschriften des Allgemeinen Teils oder für besonders schwere oder minder schwere Fälle vorgesehen sind“. Für § 266 StGB [N-StGB-266] bleibt die Verfolgungsverjährung daher amtlich bei fünf Jahren nach § 78 Absatz 3 Nummer 4 StGB — auch wenn im Einzelfall ein besonders schwerer Fall im Sinne von § 266 Absatz 2 in Verbindung mit § 263 Absatz 3 StGB vorliegt.

13. Was die Geschäftsleitung praktisch tun kann

Vier Klassen von Handlungen verdichten sich aus der Schichten-Karte zu praktischen Konsequenzen für die Geschäftsleitung. Erstens — Umsetzung und Überwachung dokumentieren. Zweitens — Schulungspflicht nach § 38 Abs. 3 BSIG [N-BSIG-38] ernst nehmen. Drittens — Versicherung, Straf-/OWiG-Rechtsschutz und Freigabeprozesse prüfen. Viertens — Lieferkette und Kunden-/Dienstleisterverträge BSIG-tauglich machen: Lieferantenklassifizierung, sicherheitsbezogene Mindestanforderungen, Melde- und Mitwirkungspflichten, Audit-/Nachweisrechte, Unterauftragnehmerkontrolle, Exit-/BCM-Vorgaben und Dokumentation der Verhältnismäßigkeit. Das ist nicht nur operative IT, sondern Verteidigungsmaterial für § 30 Absatz 2 Nummer 4 BSIG [N-BSIG-30], § 38 BSIG und spätere Kunden-/Regressstreitigkeiten. Diese vier Klassen sind ausdrücklich keine erschöpfende Compliance-Anleitung — die operativen Details stehen im Pillar A2-01 zur Geschäftsleitungs-Pflichtenseite und in den Satelliten zur Schulung (A2-04), zum Risikomanagement (A2-02) und zur Überwachungspflicht (A2-03).

Erstens — die Umsetzungs- und Überwachungspflicht des § 38 Absatz 1 BSIG so dokumentieren, dass sie im Streitfall die Beweislastumkehr nach § 93 Absatz 2 Satz 2 AktG [N-AktG-93] und die funktional entsprechende Darlegungs- und Beweislastmechanik in der GmbH-Praxis auffangen kann. Konkret heißt das: nachvollziehbare Risikoanalyse, dokumentierte Umsetzung der Mindestmaßnahmen aus § 30 Absatz 2 BSIG nach Maßgabe der Verhältnismäßigkeitskriterien aus § 30 Absatz 1 Satz 2 BSIG, regelmäßige Überwachungsschritte mit Berichtslinie und Dokumentation aller Beschlussfassungen mit Protokoll. Zusätzlich braucht der Vorfallprozess einen beweissicheren Eskalations- und Zeitstempelpfad: Definition der internen Kenntniserlangung, 24-/72-Stunden-Meldeuhr, Zuständigkeit für MUK-/BSI-Meldungen, Legal Hold, Forensik-Freigabe, Aufsichtsrat-/Gesellschafterinformation, Datenschutz-Parallelprüfung und Dokumentation, warum eine Meldung abgegeben, aktualisiert, fortgeschrieben oder unterlassen wurde.

Zweitens — die Schulungspflicht des § 38 Absatz 3 BSIG ernst nehmen. Sie ist amtlich eine eigenständige persönliche Pflicht der Geschäftsleitung, nicht der Einrichtung. Eine fehlende Schulung kann aufsichtsrechtlich bei besonders wichtigen Einrichtungen unmittelbar nach § 61 BSIG und bei wichtigen Einrichtungen nach § 62 BSIG [N-BSIG-62] in Verbindung mit den jeweils einschlägigen Maßnahmen des § 61 BSIG adressiert werden; bußgeldrechtlich ist sie nicht als unmittelbarer § 38-Absatz-3-Primärverstoß erfasst. § 65 Absatz 2 Nummer 1 Buchstabe c BSIG knüpft allgemein an die Nichtbefolgung vollziehbarer Anordnungen nach § 61 Absatz 3 Satz 1, Absatz 6 Satz 1 oder 3, Absatz 7 Satz 1 oder 3 oder Absatz 8 BSIG [N-BSIG-61] an, jeweils auch in Verbindung mit § 62 BSIG. Für die eigentliche Umsetzungsanordnung zur Schulungspflicht ist § 61 Absatz 7 BSIG besonders naheliegend; Nachweis-, Verfahrens- und sonstige Anordnungen dürfen aber nicht ausgeschlossen werden. Die operative Tiefe der Schulungspflicht steht im Satelliten A2-04.

Drittens — die wirtschaftliche Auffanglinie über D&O-Versicherung prüfen, ohne sich darauf zu verlassen. Die Versicherung wirkt vertraglich auf Schicht 3 (Innenhaftung) und teilweise auf Schicht 4 (Aufsichtsrats-Haftung); sie trägt nicht Schicht 1 (Bußgeld gegen die Einrichtung — die Einrichtung selbst trägt das Bußgeld) und reicht für Schicht 5 in der Regel nicht über Verteidigungskosten hinaus. Die eigentliche Sanktionszahlung ist davon zu trennen; jedenfalls Geldstrafen sind als höchstpersönliche Sanktion amtlich nicht versicherbar. Im Streitfall mit dem Versicherer ist zusätzlich der Wissentlichkeitsausschluss zu beachten; nach BGH, Urteil vom 19. November 2025 — IV ZR 66/25 [R-IV-ZR-66-25], ECLI:DE:BGH:2025:191125UIVZR66.25.0, setzt der Ausschluss nach Ziffer 6 ULLA voraus, dass gerade diejenige Pflichtverletzung wissentlich erfolgte, wegen der die versicherte Person haftpflichtrechtlich in Anspruch genommen wird. Diese deckungsrechtliche Wissentlichkeit ist nicht mit zivilrechtlichem Vorsatz oder Fahrlässigkeit nach § 276 BGB gleichzusetzen; Innenhaftung und D&O-Deckungsausschluss sind getrennt zu prüfen. Eine eigenständige Straf- und OWiG-Rechtsschutz-Police für die Geschäftsleitung ist in der Marktpraxis eine ergänzende Vorkehrung; ihre Verfügbarkeit hängt vom konkreten Versicherer und vom Risikoprofil der Einrichtung ab. Die systematische Behandlung der Versicherungs-Architektur erfolgt im Cluster A5.

Viertens — Lieferkette und Kunden-/Dienstleisterverträge BSIG-tauglich machen. Dazu gehören Lieferantenklassifizierung, sicherheitsbezogene Mindestanforderungen, Melde- und Mitwirkungspflichten, Audit-/Nachweisrechte, Unterauftragnehmerkontrolle, Exit-/BCM-Vorgaben und Dokumentation der Verhältnismäßigkeit. Diese Spur ist nicht nur operative IT, sondern Verteidigungsmaterial für § 30 Absatz 2 Nummer 4 BSIG, § 38 BSIG und spätere Kunden-, Regress- oder Vertragsstreitigkeiten.

Was die Karte nicht ist. Diese Übersicht ist amtlich keine Compliance-Garantie. Wer alle vier Handlungsfelder umsetzt, hat damit nicht „alle Schichten erledigt“ — er verbessert die Verteidigungsfähigkeit vor allem in Schicht 3, bei der Aufsichtspflicht-Variante der Schicht 5 und in Teilen der Aufsichts- und Bußgeldkommunikation; Meldepflichten, Anordnungsbefolgung, Insolvenz-, Straf- und Sonderregime müssen daneben eigenständig geprüft und dokumentiert werden. Der Schutz im Innenhaftungs-Prozess (Schicht 3) liegt nicht in einer bloßen Teilnahmebestätigung, sondern in einer tatsächlich geeigneten Schulung und ihrer nachweisbaren Dokumentation; der Schutz im Bußgeld-Verfahren (Schicht 1) ist nicht die Risikomanagement-Maßnahme allein, sondern die dokumentierte Umsetzung mit Verhältnismäßigkeitsbegründung; der Schutz im persönlichen OWiG-Verfahren ist je nach Angriff zu trennen: Bei einer unmittelbaren § 65-BSIG-Zuwiderhandlung geht es um Tatbestand, Zurechnung und Vorwerfbarkeit über § 9 OWiG; bei § 130 OWiG geht es um die nachvollziehbare Aufsichtspflicht-Erfüllung. Für ein Strafverfahren nach § 266 StGB oder § 15a InsO muss zusätzlich der jeweilige strafrechtliche Tatbestand gesondert verteidigt werden.

14. Cross-Links

Wer die Risiko-Architektur kennt, will an einzelnen Stellen in die Tiefe gehen. Die CyberSchutzEngel-Cluster A folgt einer Pillar-Satellite-Architektur — A3-01 ist der Pillar dieses Sub-Clusters, und die folgenden CyberSchutzEngel-Artikel vertiefen die einzelnen Schichten.

Zur Schicht 3 (Innenhaftung der Geschäftsleitung) — Satellit A3-02 mit der Beweislast-Mechanik, BJR-Grenzen bei rechtlich gebundenen Pflichten, Schadensschätzung nach § 287 ZPO [N-ZPO-287], Substantiierungslast, Verjährungsdogmatik. Zur Schicht 4 (Aufsichtsrats-Haftung) — Satellit A3-03 mit der BGH II ZR 78/24 [R-II-ZR-78-24]-Linie, ARAG/Garmenbeck [R-ARAG] als Folgelinie, Übertragung auf GmbH-fakultativen Aufsichtsrat, Genossenschafts-Aufsichtsrat, monistische SE. Zur Schicht 1 (Bußgeld gegen die Einrichtung) — Satellit A3-04 mit der vollen Bußgeld-Mechanik, Bemessungsregeln nach § 17 OWiG, Zusammenwirken mit § 30 OWiG [N-OWiG-30]-Verbandsgeldbuße. Zur Schicht 2 (Tätigkeitsverbot) — Satellit A3-05 mit der Unzuverlässigkeits-Wertung, der mandatsbezogenen Wirkung, dem Wiederherstellungs-Mechanismus. Zur Schicht 5 (personenbezogene OWiG- und Strafschiene) — Satellit A3-06 mit der unmittelbaren § 65-BSIG-/§ 9-OWiG-Schiene, der § 130 OWiG [N-OWiG-130]-Brücke über § 9 OWiG [N-OWiG-9], der § 266 StGB [N-StGB-266]-Konstellation, der § 15a InsO [N-InsO-15a]-Antragspflicht im Cyber-Bezug, der § 129 StGB [N-StGB-129]-Diskussion bei Lösegeldzahlungen. Die Verjährungs-Mechanik mit den Hemmungstatbeständen, der Bußgeld-Regress-Architektur und der prozessualen Geltendmachung behandeln die Abschnitte 8.3 bis 8.5 dieses Überblicks sowie die Satelliten A3-02 (Innenhaftung) und A3-04 (Bußgeld-Regress). Beweislast und Verteidigung im Innenhaftungs-Prozess vertieft der Satellit A3-02.

Verbindung zu anderen Sub-Clustern: A2-01 ist der Pillar zur Geschäftsleitungs-Pflichtenseite (§ 38 BSIG [N-BSIG-38] mit Umsetzung, Überwachung, Schulung). A4-01 ist der Pillar zum Cyber-Vorfall in den ersten 72 Stunden — die operative Verbindung zur Schicht 1 (Bußgeld bei Meldepflichtverletzung) und Schicht 5 (Insolvenzantragspflicht bei wirtschaftlicher Lageverschlechterung). A5-01 ist der Pillar zur Cyber-Versicherungs-Architektur — die wirtschaftliche Auffanglinie für Schicht 3 und 4. A6-01 ist der Pillar zu Sonderkonstellationen — Konzern, DORA [EU-DORA], KRITIS, Krankenhaus, IT-Tochter.

15. Kurzantworten auf die 24 Lese-Fragen

1. Welche fünf Verantwortungsschichten kennt das BSIG? Erstens das Bußgeld gegen die Einrichtung nach § 65 BSIG, zweitens Aufsichtsmaßnahmen, Verwaltungszwang und Tätigkeitsverbot nach §§ 61 bis 63 BSIG, drittens die zivilrechtliche Innenhaftung der Geschäftsleitung über § 38 Absatz 2 BSIG i.V.m. dem Gesellschaftsrecht, viertens die Aufsichtsrats-Haftung über § 116 i.V.m. § 93 AktG und fünftens die personenbezogene OWiG- und Strafschiene. Die Schichten sind nicht hierarchisch und können nebeneinander wirken.
2. Trifft das Bußgeld nach § 65 BSIG die Einrichtung oder die Geschäftsleitung persönlich? Im Ausgangspunkt die Einrichtung; bei juristischen Personen und Personenvereinigungen über die Verbandsgeldbuße des § 30 OWiG, die persönliche Zurechnung über § 9 OWiG. Eine BSIG-Sonderbuße allein wegen der Organstellung gibt es nicht; ein persönliches OWiG-Verfahren setzt eine eigene tatbestandsmäßige Zuwiderhandlung oder eine Aufsichtspflichtverletzung voraus.
3. Wie viele Bußgeldstufen hat § 65 Absatz 5 BSIG? Sechs Pauschalstufen. Die oft genannten zehn Millionen Euro (besonders wichtige) beziehungsweise sieben Millionen Euro (wichtige Einrichtung) gelten nur für die Tatbestandsmenge der Nummer 1; daneben gibt es Stufen bis fünf Millionen, zwei Millionen, eine Million, fünfhunderttausend und hunderttausend Euro, jeweils tatbestandsabhängig.
4. Wann greift die umsatzbezogene Stufe von 2 % beziehungsweise 1,4 %? Nach § 65 Absatz 6 und 7 BSIG nur bei einem Gesamtumsatz von mehr als 500 Millionen Euro, nur für die Tatbestände des Absatzes 2 Nummer 1 Buchstabe d, Nummer 2 bis 5 und 9, und „abweichend von“ (nicht zusätzlich zu) der jeweiligen Pauschalstufe. Maßgeblich ist im Anwendungsbereich der jeweils höhere Betrag.
5. Was ist der „Gesamtumsatz“? Nach § 65 Absatz 8 BSIG die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im der Behördenentscheidung vorausgegangenen Geschäftsjahr; er kann geschätzt werden. In Konzernkonstellationen weitet sich der Bezugspunkt über die einzelne Einrichtung hinaus aus; wie weit, ist eine Auslegungsfrage ohne gefestigte höchstrichterliche Linie.
6. Welche zwei Anwendungssperren enthält § 65 BSIG? Absatz 9 schaltet die Fahrlässigkeits-Halbierung des § 17 Absatz 2 OWiG für die hohen Stufen (Nummer 1 sowie Absätze 6 und 7) aus — die Vorteilsabschöpfung nach § 17 Absatz 4 OWiG bleibt unberührt. Absatz 11 enthält ein Doppelbestrafungsverbot: nach einer DSGVO-Geldbuße der Datenschutzaufsicht (Art. 58 Absatz 2 Buchstabe i DSGVO) ist eine weitere BSIG-Geldbuße aus demselben Verhalten gesperrt.
7. Welche Behörde setzt das BSIG-Bußgeld fest? Nach § 65 Absatz 10 BSIG das Bundesamt (BSI) für den ganz überwiegenden Teil der Tatbestände; nur in den Fällen des Absatzes 2 Nummer 11 das Bundesministerium des Innern.
8. Wozu dienen § 30 und § 9 OWiG? § 30 OWiG ist die Brücke zur Geldbuße gegen die juristische Person (Verbandsgeldbuße); sie braucht eine taugliche Anknüpfungstat einer natürlichen Person. § 9 OWiG rechnet die an die Einrichtung adressierten Inhaberpflichten dem handelnden Organ oder Beauftragten zu.
9. Welche Aufsichtsmaßnahmen hat das Bundesamt nach § 61 BSIG? Audit-/Nachweisanordnungen (Absatz 1 und 3), Überprüfung mit Mitwirkungspflicht (Absatz 5), Mängelbeseitigungsanordnung (Absatz 6), Umsetzungsanordnung (Absatz 7), Drittinformations- und öffentliche Bekanntmachungs-Anordnung (Absatz 8) und — als letztes Mittel — die Tätigkeitsuntersagung über die sektorale Aufsichtsbehörde (Absatz 9).
10. Wie ist die Aufsicht über wichtige Einrichtungen nach § 62 BSIG geschaltet? Anlassbezogen: sie verlangt Tatsachen, die die Annahme einer nicht oder nicht richtigen Umsetzung rechtfertigen, und ist amtlich auf § 30 Absatz 1 Satz 1, § 32 Absatz 1 bis 3 und § 38 Absatz 3 begrenzt; bei Bejahung des Anlasses greift das Maßnahmenarsenal des § 61 — nicht als Automatismus.
11. Ist die Tätigkeitsuntersagung ein Berufsverbot? Nein. § 61 Absatz 9 BSIG ist letztes Mittel, vorübergehend und mandatsbezogen; sie trifft „unzuverlässige Geschäftsleitungen“ und endet, sobald die Einrichtung den Anordnungen nachkommt. Die gesellschaftsrechtlichen Folgen für Bestellung und Organstellung sind gesondert zu prüfen.
12. Worauf stützt sich die Innenhaftung der Geschäftsleitung? Auf § 38 Absatz 2 BSIG als Brücke ins Gesellschaftsrecht — allerdings nur für die Pflichten aus Absatz 1 (Umsetzen und Überwachen der Risikomanagementmaßnahmen). Die Haftung folgt dann der Rechtsform: § 43 GmbHG, § 93 AktG, § 34 GenG, § 84a BGB, § 40 Absatz 9 SEAG.
13. Fällt die Schulungspflicht unter die Innenhaftungs-Brücke des § 38 Absatz 2 BSIG? Nein. Absatz 2 verweist amtlich nur auf die Pflichten „nach Absatz 1“; die Schulungspflicht steht in Absatz 3 und ist vom Wortlaut der Brücke nicht erfasst. Eine Haftungsfolge aus einer Schulungspflicht-Verletzung läuft über die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten (§ 43 GmbHG, § 93 AktG).
14. Was bedeutet die Beweislastumkehr? Nach § 93 Absatz 2 Satz 2 AktG trägt das Vorstandsmitglied die Beweislast dafür, dass es die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt hat. In der GmbH-Praxis gilt eine funktional entsprechende Darlegungs- und Beweislastmechanik, höchstrichterlich abgestützt durch BGH II ZR 140/20.
15. Wie haftet der Aufsichtsrat im Cyber-Kontext? Über § 116 Satz 1 i.V.m. § 93 AktG. BGH II ZR 78/24 (Urteil vom 14. Oktober 2025) formuliert die Vorstands-Berichterstattung als Bringschuld und eine aktive Hinwirkungspflicht des Aufsichtsrats bei unzureichender Berichterstattung; die ARAG/Garmenbeck-Linie verpflichtet zur Prüfung und grundsätzlichen Verfolgung von Ersatzansprüchen.
16. Welche personenbezogene OWiG- und Strafschiene gibt es? Eine eigene § 65-BSIG-Zuwiderhandlung über § 9 OWiG, die Aufsichtspflichtverletzung nach § 130 OWiG über § 9 OWiG, die Untreue nach § 266 StGB, die Insolvenzantragspflicht nach § 15a InsO sowie — als offene, nicht höchstrichterlich geklärte Frage — § 129 StGB bei Lösegeldzahlungen an organisierte Tätergruppen.
17. Was sanktioniert § 130 OWiG? Die vorsätzliche oder fahrlässige Verletzung der Aufsichtspflicht des Betriebs-/Unternehmensinhabers, wenn dadurch eine Zuwiderhandlung ermöglicht wurde. Die persönliche Zurechnung läuft über § 9 OWiG; das Höchstmaß bestimmt sich tatbestandsabhängig nach Absatz 3 (eine Million Euro bei strafbewehrter Pflichtverletzung, sonst nach dem für die Pflichtverletzung angedrohten Bußgeld-Höchstmaß).
18. Ab wann gilt das BSIG, und ab wann sind Nachweise möglich? Das BSIG ist am 6. Dezember 2025 in Kraft getreten. Allgemeine Nachweisanordnungen nach § 61 Absatz 3 BSIG sind frühestens ab dem 6. Dezember 2028 möglich; für zugelassene Krankenhäuser nach § 108 SGB V greift eine Sonderschonfrist von fünf Jahren, also frühestens ab dem 6. Dezember 2030.
19. Wie lange dauert die Verjährung der Innenhaftung? Für GmbH-Geschäftsführer fünf Jahre (§ 43 Absatz 4 GmbHG), für AG-Vorstände fünf Jahre, bei zum Zeitpunkt der Pflichtverletzung börsennotierten Gesellschaften zehn Jahre (§ 93 Absatz 6 AktG); der Fristbeginn richtet sich nach § 200 BGB. Die ordnungswidrigkeitenrechtliche Verfolgung verjährt nach § 31 OWiG, die strafrechtliche nach § 78 StGB.
20. Können die Schichten gleichzeitig laufen? Ja, sie sind verfahrensrechtlich entkoppelt und können parallel wirken. Eine ausdrückliche Schranke ist nur § 65 Absatz 11 BSIG: nach einer DSGVO-Geldbuße aus demselben Verhalten ist eine weitere BSIG-Geldbuße gesperrt; weitergehende ne-bis-in-idem-Fragen sind gesondert zu prüfen.
21. Was leistet die D&O-Versicherung — und was nicht? Sie wirkt vertraglich auf die Innenhaftung (Schicht 3) und teilweise auf die Aufsichtsrats-Haftung (Schicht 4); sie trägt nicht das Bußgeld gegen die Einrichtung (Schicht 1), und Geldstrafen sind als höchstpersönliche Sanktion nach ganz überwiegender Auffassung nicht versicherbar. Der Wissentlichkeitsausschluss (BGH IV ZR 66/25) ist nicht mit zivilrechtlichem Vorsatz nach § 276 BGB gleichzusetzen.
22. Wie verhält sich das BSIG zu DORA, KRITIS-DachG, DSGVO, TKG/EnWG und § 37 BSIG? § 28 Absatz 6 BSIG nimmt DORA-Finanzunternehmen von bestimmten BSIG-Pflichten aus — ohne das Gesellschaftsrecht zu suspendieren; das KRITIS-Dachgesetz regelt die physische Resilienz (mit § 66-Suspendierung neuer Verweise); die DSGVO hat einen eigenen Bußgeldrahmen; TKG und EnWG sind sektorale Ausnahmen nach § 28 Absatz 5 BSIG; § 37 BSIG kennt eine vorschlags- oder amtsinitiativ geprägte Befreiungs-Spur.
23. Wie läuft ein Sanktions- und Haftungsverfahren typischerweise ab? In sechs nicht zwingend chronologischen Phasen: Tätigwerden des Bundesamtes, Anhörung, Anordnung (etwa Mängelbeseitigung), Bußgeldverfahren, Eskalation nach § 61 Absatz 9 BSIG und — außerhalb des Bundesamtes — die zivilrechtliche Innenhaftungsklage. Die Schichten sind verfahrensrechtlich entkoppelt.
24. Was sollte die Geschäftsleitung praktisch tun? Die Umsetzungs- und Überwachungspflicht nach § 38 Absatz 1 BSIG so dokumentieren, dass sie die Beweislast trägt; die Schulungspflicht nach § 38 Absatz 3 BSIG ernst nehmen; die wirtschaftliche Auffanglinie über D&O- und Straf-/OWiG-Rechtsschutz prüfen, ohne sich darauf zu verlassen; und Lieferketten- sowie Kundenverträge BSIG-tauglich machen. Das ist keine Compliance-Garantie, sondern verbessert die Verteidigungsfähigkeit.

16. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

16.1 Nationale Normen

• [N-BSIG-2-13] § 2 Nummer 13 BSIG — Geschäftsleitung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-2-22] § 2 Nummer 22/23/24 BSIG — kritische Anlage / kritische Komponenten / kritische Dienstleistung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-Anl1] Anlage 1 BSIG — Sektoren besonders wichtiger und wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/anlage_1.html
• [N-KRITISDachG-4] § 4 KRITIS-DachG — Geltungsbereich und Sektoren; Absatz 2 Nichtanwendungen; Absatz 3 Rechtsverordnung. Fundstelle: https://www.gesetze-im-internet.de/kritisdachg/__4.html
• [N-KRITISDachG-5] § 5 KRITIS-DachG — Erheblichkeit einer Anlage (Regelwert, Rechtsverordnung, Einzelfall- und Länderfeststellung). Fundstelle: https://www.gesetze-im-internet.de/kritisdachg/__5.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-33] § 33 BSIG — Registrierungspflicht. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__33.html
• [N-BSIG-37] § 37 BSIG — Ausnahmebescheid. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__37.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-56] § 56 BSIG — Verordnungsermächtigungen (Erheblichkeit, Krankenhaus, kritische Komponenten). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__56.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen; Krankenhaus-Schonfrist (Abs. 3 S. 5), Leitungsuntersagung (Abs. 9). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-BSIG-66] § 66 BSIG — Anwendungsbestimmungen und Übergangsregelungen (KRITIS-DachG-Übergang). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__66.html
• [N-OWiG-9] § 9 OWiG — Handeln für einen anderen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__9.html
• [N-OWiG-17] § 17 OWiG — Höhe der Geldbuße. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__17.html
• [N-OWiG-30] § 30 OWiG — Geldbuße gegen juristische Personen und Personenvereinigungen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__30.html
• [N-OWiG-130] § 130 OWiG — Verletzung der Aufsichtspflicht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__130.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-90] § 90 AktG — Berichte an den Aufsichtsrat. Fundstelle: https://www.gesetze-im-internet.de/aktg/__90.html
• [N-AktG-91] § 91 AktG — Organisation, Risikofrüherkennung, internes Kontrollsystem. Fundstelle: https://www.gesetze-im-internet.de/aktg/__91.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-SEAG-40] § 40 SEAG — geschäftsführende Direktoren. Fundstelle: https://www.gesetze-im-internet.de/seag/__40.html
• [N-BGB-31a] § 31a BGB — Haftung von Organmitgliedern und besonderen Vertretern. Fundstelle: https://www.gesetze-im-internet.de/bgb/__31a.html
• [N-BGB-84a] § 84a BGB — Rechte und Pflichten der Stiftungsvorstandsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/bgb/__84a.html
• [N-InsO-15a] § 15a InsO — Antragspflicht bei Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15a.html
• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html
• [N-KWG-1a] § 1a KWG — Geltung von EU-Rechtsakten (inkl. DORA) für Institute. Fundstelle: https://www.gesetze-im-internet.de/kredwg/__1a.html
• [N-VAG-293] § 293 VAG — Verordnungsermächtigung / DORA-Geltung im Versicherungsaufsichtsrecht. Fundstelle: https://www.gesetze-im-internet.de/vag_2016/__293.html
• [N-SGBV-108] § 108 SGB V — zugelassene Krankenhäuser. Fundstelle: https://www.gesetze-im-internet.de/sgb_5/__108.html
• [N-KRITISDachG] KRITIS-Dachgesetz — BGBl. 2026 I Nr. 66 vom 16.3.2026. Fundstelle: https://www.recht.bund.de/bgbl/1/2026/66/VO
• [N-StGB-266] § 266 StGB — Untreue. Fundstelle: https://www.gesetze-im-internet.de/stgb/__266.html
• [N-StaRUG-1] § 1 StaRUG — Krisenfrüherkennung und Krisenmanagement (Pflicht des Geschäftsleiters). Fundstelle: https://www.gesetze-im-internet.de/starug/__1.html
• [N-ZPO-287] § 287 ZPO — Schadensermittlung, Höhe der Forderung. Fundstelle: https://www.gesetze-im-internet.de/zpo/__287.html
• [N-OWiG-31] § 31 OWiG — Verfolgungsverjährung im Ordnungswidrigkeitenrecht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__31.html
• [N-StGB-78] § 78 StGB — Verjährungsfrist im Strafrecht. Fundstelle: https://www.gesetze-im-internet.de/stgb/__78.html
• [N-StGB-129] § 129 StGB — Bildung krimineller Vereinigungen. Fundstelle: https://www.gesetze-im-internet.de/stgb/__129.html
• [N-BSIG-63] § 63 BSIG — Verwaltungszwang und Zwangsgeld. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__63.html
• [N-GmbHG-46] § 46 GmbHG — Aufgabenkreis der Gesellschafter (u. a. Nr. 8: Geltendmachung von Ersatzansprüchen gegen Geschäftsführer; Nr. 5: Entlastung). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__46.html
• [N-AktG-120] § 120 AktG — Entlastung von Vorstand und Aufsichtsrat. Fundstelle: https://www.gesetze-im-internet.de/aktg/__120.html
• [N-BGB-200] § 200 BGB — Beginn anderer Verjährungsfristen. Fundstelle: https://www.gesetze-im-internet.de/bgb/__200.html
• [N-InsO-17] § 17 InsO — Zahlungsunfähigkeit. Fundstelle: https://www.gesetze-im-internet.de/inso/__17.html
• [N-InsO-19] § 19 InsO — Überschuldung. Fundstelle: https://www.gesetze-im-internet.de/inso/__19.html
• [N-GenG-34] § 34 GenG — Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder (über § 41 GenG sinngemäß für Aufsichtsratsmitglieder). Fundstelle: https://www.gesetze-im-internet.de/geng/__34.html
• [N-GenG-41] § 41 GenG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/geng/__41.html
• [N-SEAG-39] § 39 SEAG — Sorgfaltspflicht und Verantwortlichkeit der Verwaltungsratsmitglieder (monistische SE). Fundstelle: https://www.gesetze-im-internet.de/seag/__39.html

16.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-KIVO] Verordnung (EU) 2024/1689 (KI-Verordnung). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• [EU-CRA] Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, CRA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
• [EU-CER] Richtlinie (EU) 2022/2557 (CER-Richtlinie). Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2557/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); deutsche Berichtigungen ABl. L 314 vom 22.11.2016, ABl. L 127 vom 23.5.2018 und ABl. L 74 vom 4.3.2021 (konsolidierte Fassung CELEX 02016R0679). Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-DVO-2690] Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17.10.2024. Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-KMU] Empfehlung 2003/361/EG der Kommission (KMU-Definition). Fundstelle: https://eur-lex.europa.eu/eli/reco/2003/361/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-eIDAS] Verordnung (EU) Nr. 910/2014 (eIDAS) i.d.F. der Verordnung (EU) 2024/1183. Fundstelle: https://eur-lex.europa.eu/eli/reg/2014/910/oj (ergänzende Quelle, im Body nicht eigens verankert)

16.3 Rechtsprechung

• [R-ARAG] BGH, Urteil vom 21.04.1997 — II ZR 175/95 — BGHZ 135, 244 — ARAG/Garmenbeck. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-78-24] BGH, Urteil vom 14.10.2025 — II ZR 78/24 — ECLI:DE:BGH:2025:141025UIIZR78.24.1. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-140-20] BGH, Beschluss vom 22.06.2021 — II ZR 140/20 — ECLI:DE:BGH:2021:220621BIIZR140.20.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-141-19] BGH, Urteil vom 22.09.2020 — II ZR 141/19 — ECLI:DE:BGH:2020:220920UIIZR141.19.0 (GmbH & Co. KG; vorbehaltlose Entlastung der Komplementärin mit Wirkung zugunsten des Komplementär-GmbH-Geschäftsführers). Fundstelle: https://www.bundesgerichtshof.de/
• [R-EuGH-C-347-25] EuGH — anhängiges Vorabentscheidungsersuchen C-347/25 (noch kein Urteils-ECLI — anhängig) (Zapp; Vorlage des BGH aus KZR 74/23, eingereicht am 22.05.2025), ABl. C/2025/4437 vom 18.8.2025. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62025CN0347 (ergänzende Quelle, im Body nicht eigens verankert)
• [R-IV-ZR-151-23] BGH, Urteil vom 18.12.2024 — IV ZR 151/23 — ECLI:DE:BGH:2024:181224UIVZR151.23.0 — OLG Frankfurt am Main (D&O-Versicherung, AVB-Auslegung). Fundstelle: https://www.bundesgerichtshof.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [R-KZR-74-23] BGH, Beschluss vom 11.02.2025 — KZR 74/23 — ECLI:DE:BGH:2025:110225BKZR74.23.0 (Vorlage an den EuGH zur Regressfähigkeit kartellrechtlicher Bußgelder; berichtigt durch Beschluss vom 02.07.2025). Fundstelle: https://www.bundesgerichtshof.de/ (ergänzende Quelle, im Body nicht eigens verankert)

16.4 Behörden und amtliche Praxis

• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/
• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)

16.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

16.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

17. CyberSchutzEngel-Hinweis

Plattes Group bietet im Rahmen des CyberSchutzEngel-Pakets eine begleitende NIS-2-Compliance- und Haftungs-Architektur für die Geschäftsleitung an — von der Pflichten- und Nachweisdokumentation über die Schulungs- und Meldeprozesse bis zur Vorbereitung auf Aufsichts- und Haftungsfragen.