Die Überwachungspflicht der Geschäftsleitung

1. Worum es geht: die zweite Hälfte einer Pflicht

§ 38 Abs. 1 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) [N-BSIG-38] verbindet zwei Aufgaben: Die Geschäftsleitung muss die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Das Pflichtenprogramm im Überblick steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Die Umsetzung der zehn Maßnahmen steht in Umsetzung — § 30 BSIG, zehn Mindestmaßnahmen. Hier geht es um die zweite Hälfte: die laufende Überwachung.

Das praktische Leitungsergebnis lautet: Die Geschäftsleitung braucht keine technische Detailprüfung jedes Einzelevents. Sie braucht aber eine belastbare Entscheidungs- und Eskalationsarchitektur. Diese soll nachvollziehbar machen, welche Maßnahmen gelten, wer sie ausführt, wie Wirksamkeit geprüft wird, welche Befunde offen sind, wann gemeldet wird und wer die Schließung verantwortet.

2. Anwendungs-Gate: Wer muss überwachen, für welche Tätigkeiten und seit wann?

Die Prüfung beginnt nicht mit einer Checkliste, sondern mit dem Anwendungsbereich. § 38 BSIG greift nur, wenn die Einrichtung und die Person überhaupt in diese Norm fallen.

2.1 Geschäftsleitung und Einrichtung

„Geschäftsleitung“ ist im BSIG eine Legaldefinition. Gemeint ist eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen oder wichtigen Einrichtung berufen ist. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung gelten nach dieser Definition nicht als Geschäftsleitung.

Die Einrichtung muss außerdem besonders wichtige Einrichtung oder wichtige Einrichtung nach § 28 Abs. 1 oder 2 BSIG [N-BSIG-28] sein. Die Statusprüfung hängt von Einrichtungsart, Größe, Konzern- und Partnerunternehmensrechnung sowie gesetzlichen Sonderregeln ab. Wer verpflichtet ist, steht in Schwellenwerte (250 MA / 50 Mio. €). Die Konzern-Größenrechnung steht in Konzern: Größenklassen & IT-Tochter.

§ 28 Abs. 3 und 4 dürfen nicht übersprungen werden. Absatz 3 betrifft die Zuordnung zu einer Einrichtungsart nach Anlage 1 oder 2: Geschäftstätigkeiten, die im Hinblick auf die gesamte Geschäftstätigkeit vernachlässigbar sind, können bei dieser Zuordnung unberücksichtigt bleiben. Daraus folgt keine pauschale Herausnahme aus jeder Status-, Schwellen- oder Konzernprüfung. Absatz 4 verlangt, Daten von verbundenen Unternehmen und Partnerunternehmen nach Maßgabe der Empfehlung 2003/361/EG der Kommission zu berücksichtigen, enthält aber auch eine gesetzliche Unabhängigkeitsausnahme.

2.2 Telekommunikation und Energie: Ausnahme mit Rückausnahmen

§ 28 Abs. 5 BSIG ist kein einfacher Satz „Telekommunikation und Energie fallen heraus“. Die Vorschrift bildet eine Verzweigung.

Für die dort genannten Telekommunikations- und Energieadressaten sind die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nicht anzuwenden. Erfasst sind Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste und Energieunternehmen im Sinne der §§ 5c bis 5e des Energiewirtschaftsgesetzes (EnWG). Das betrifft damit auch die Überwachungspflicht nach § 38.

Diese Ausnahme kann aber zurückspringen. Betreibt die Einrichtung weitere kritische Anlagen oder übt sie weitere Tätigkeiten aus, die einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen sind, gelten die ausgenommenen Vorschriften insoweit wieder. Bei weiteren kritischen Anlagen ist die Rückausnahme zusätzlich auf die dafür erforderlichen informationstechnischen Systeme, Komponenten und Prozesse begrenzt.

Außerdem ist § 28 Abs. 5 insgesamt nicht anwendbar, wenn der Betrieb einer Energieanlage im Verhältnis zur gesamten Geschäftstätigkeit nur eine Nebentätigkeit ist. Dann wird der Fall nicht über diese Bereichsausnahme gelöst.

2.3 DORA, Telematik, Landesnähe, Bundesverwaltung und Ausnahmebescheid

§ 28 Abs. 6 BSIG nimmt nur die dort aufgezählten Vorschriften aus, nämlich §§ 30, 31, 32, 35, 36, 38 und 39. Das BSIG wird dadurch nicht insgesamt verdrängt. Erfasst sind die bezeichneten Finanzunternehmen im Anwendungsbereich der Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) sowie bestimmte Telematik-Konstellationen. Zur DORA-Gruppe gehören auch Unternehmen, bei denen DORA über die in § 28 Abs. 6 genannten Vorschriften des Kreditwesengesetzes oder des Versicherungsaufsichtsgesetzes gilt.

§ 28 Abs. 7 BSIG nimmt für Betreiber kritischer Anlagen, die Anlagen für Finanzunternehmen nach Absatz 6 Nummer 1 betreiben, nur § 32 BSIG aus. Daraus folgt keine zusätzliche Ausnahme von § 38.

§ 28 Abs. 8 BSIG schließt das gesamte Gesetz nur für bestimmte landesnahe Organisationseinheiten aus. Erfasst sind rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und juristische Personen, an denen ausschließlich Gebietskörperschaften mit Ausnahme des Bundes beteiligt sind. Zusätzlich müssen beide gesetzlichen Voraussetzungen erfüllt sein: Die Einheit wurde zur Leistungserbringung für Verwaltungen errichtet und wird durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf § 28 Abs. 8 BSIG reguliert.

Einrichtungen der Bundesverwaltung werden zunächst nach § 29 Abs. 1 BSIG eingeordnet. Institutionen der Sozialen Sicherung und die Deutsche Bundesbank sind aus dieser Definition ausgenommen. Andere Körperschaften, Anstalten und Stiftungen auf Bundesebene werden nur erfasst, wenn das Bundesamt für Sicherheit in der Informationstechnik (BSI) dies im Einvernehmen mit dem jeweils zuständigen Ressort anordnet. Für Einrichtungen der Bundesverwaltung nimmt § 29 Abs. 2 unter anderem §§ 38, 61 und 65 BSIG aus. Das Informationssicherheitsmanagement der Bundesverwaltung folgt eigenen Regeln.

§ 37 BSIG ist keine ausdrückliche Befreiung von § 38. Der einfache Ausnahmebescheid kann für bestimmte Tätigkeiten oder Dienste in Bereichen wie nationaler Sicherheit, öffentlicher Sicherheit, Verteidigung oder Strafverfolgung von § 30 und § 32 befreien. Der erweiterte Ausnahmebescheid kann zusätzlich §§ 33 und 34 erfassen, wenn die Einrichtung ausschließlich in den relevanten Bereichen tätig ist oder Dienste erbringt. Dadurch kann sich der Gegenstand der §-38-Überwachung mittelbar verringern, weil die zugrunde liegende §-30-Pflicht insoweit entfällt. Ein aufsichtsfreier Raum entsteht nicht: Die Sicherheit der Informationstechnik muss anderweitig gewährleistet werden; die zuständige Aufsicht ist nach dem verbleibenden Regime gesondert zu bestimmen. Für Vertrauensdiensteanbieter gilt diese Ausnahme nicht.

2.4 Spezialrecht konkretisiert den Überwachungsgegenstand

Der Gegenstand der Überwachung ist nicht abstrakt „Cybersecurity“, sondern die konkrete Umsetzung der nach § 30 BSIG zu ergreifenden Maßnahmen.

§ 30 Abs. 3 BSIG gibt dem von der Europäischen Kommission erlassenen Durchführungsrechtsakt nur für die dort genannten Einrichtungsarten Vorrang. Die Durchführungsverordnung (EU) 2024/2690 erfasst DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste sowie Anbieter von Online-Marktplätzen, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter. Domain-Name-Registry-Dienstleister sind im BSIG zwar legaldefiniert und an anderer Stelle geregelt, stehen aber nicht in der Adressatenliste dieser Durchführungsverordnung. Für diese Adressatenkreise enthält die Verordnung besondere Anforderungen an Risikomanagementmaßnahmen und Kriterien für erhebliche Sicherheitsvorfälle.

Für andere Einrichtungen bleiben § 30 Abs. 1 und 2 BSIG der Ausgangspunkt, solange kein einschlägiger Durchführungsrechtsakt nach § 30 Abs. 4 BSIG besondere technische, methodische oder sektorale Anforderungen für die betreffende Einrichtungsart festlegt. § 30 Abs. 4 ist deshalb als weitere Spezialrechts-Schleuse zu prüfen, aber nicht als allgemeiner Freibrief für beliebige Spezialanforderungen zu lesen.

Bei Vertrauensdiensteanbietern ist die Prüfung als Parallel- und Spezialrechtskette zu lesen, nicht als Verdrängungskette. Zunächst bleibt zu klären, ob die Einrichtung zu den von der Durchführungsverordnung (EU) 2024/2690 erfassten Einrichtungsarten gehört. Zusätzlich ist der eIDAS-Spezialzweig zu prüfen. Dieser Spezialzweig ist nur relevant, wenn die Einrichtung tatsächlich Vertrauensdiensteanbieter ist. Für nichtqualifizierte Vertrauensdiensteanbieter sind insbesondere Artikel 19a Abs. 1 und 2 erheblich. Für qualifizierte Vertrauensdiensteanbieter sind insbesondere Artikel 24 Abs. 2 Buchstabe fa und Artikel 24 Abs. 5 sowie die daran anknüpfenden Sicherheits- und Risikomanagementbezüge zu prüfen.

Für die eIDAS-Konkretisierung greifen anschließend die Durchführungsverordnungen (EU) 2025/2160 und 2025/2530. Die Durchführungsverordnung (EU) 2025/2160 verlangt für nichtqualifizierte Vertrauensdiensteanbieter unter anderem Prozesse zur ständigen Überwachung der Umsetzung geeigneter Risikobehandlungsmaßnahmen und der Risikomanagementkonzepte. Artikel 4 verlangt außerdem die fortlaufende Überwachung der Risikobehandlung, die Genehmigung verbleibender Restrisiken durch das Leitungsorgan sowie die Bewertung, Dokumentation und gegebenenfalls Aktualisierung der Ergebnisse der Risikobewertung und des Risikobehandlungsplans in geplanten Zeitabständen, zumindest jährlich sowie bei wesentlichen Änderungen oder erheblichen Sicherheitsvorfällen.

Für qualifizierte Vertrauensdiensteanbieter verweist Artikel 2 der Durchführungsverordnung (EU) 2025/2530 auf die Anforderungen der Artikel 2, 3 und 4 der Durchführungsverordnung (EU) 2025/2160. Diese Anforderungen gelten sinngemäß für den Risikomanagementrahmen nach Artikel 24 Abs. 2 Buchstabe fa der eIDAS-Verordnung. Der Zweijahresrhythmus aus Artikel 3 Abs. 4 der Durchführungsverordnung (EU) 2025/2530 betrifft den Beendigungsplan. Er wird nicht zu einer allgemeinen Zweijahrespflicht für alle §-38-Einrichtungen.

Diese eIDAS-Passage ist eine Spezialrechts-Schleuse, keine vollständige Vertrauensdiensteanbieter-Prüfung. Sie soll nur verhindern, dass der allgemeine §-38-Überwachungszyklus bei Vertrauensdiensten ohne Stammverordnung und Durchführungsrecht beschrieben wird.

§ 30 Abs. 6 BSIG erzeugt eine Zertifizierungsvorgabe nur, wenn eine wirksame Rechtsverordnung nach § 56 Abs. 3 die betreffenden Produkte, Dienste oder Prozesse erfasst. § 30 Abs. 8 betrifft besonders wichtige Einrichtungen und ihre Branchenverbände. § 30 Abs. 9 betrifft Betreiber kritischer Anlagen. Eine BSI-Feststellung zur Eignung eines Standards belegt nicht automatisch die tatsächliche Umsetzung oder Wirksamkeit in einer konkreten Einrichtung.

2.5 Seit wann?

Das neue BSIG gilt seit dem 6. Dezember 2025. § 66 BSIG enthält keinen allgemeinen Aufschub für § 30 oder § 38. Die Übergangsregel verschiebt aber die Anwendung der Definitionen zu kritischer Anlage und kritischer Dienstleistung sowie § 33 Abs. 2 bis zum Geltungsbeginn der dort bezeichneten KRITIS-Dach-Rechtsverordnung. Das kann für Betreiber kritischer Anlagen, § 31 BSIG, § 39 BSIG und Rückausnahmen in § 28 Abs. 5 relevant sein.

2.6 Die Normwelten sauber trennen

3. Was „überwachen“ rechtlich bedeutet

3.1 Der gesetzliche Ausgangspunkt

§ 38 Abs. 1 BSIG bezieht sich auf die von der Einrichtung nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen. Der Satz wird deshalb nicht auf alle denkbaren BSIG-Pflichten erweitert. Umsetzung, Überwachung und Schulung bleiben getrennte Aufgaben. Die Schulungspflicht steht in Schulungspflicht der Geschäftsleitung.

Überwachung heißt auch nicht, dass jedes Organmitglied selbst ständig technische Logdaten prüft. Die Geschäftsleitung muss aber eine belastbare Governance schaffen, mit der sie erkennen kann, ob die konkret geschuldeten Maßnahmen tatsächlich umgesetzt, wirksam bewertet, nachgehalten und bei Mängeln verbessert werden.

Der Überwachungsgegenstand umfasst deshalb nicht nur die Existenz einzelner Maßnahmenbereiche. Die Geschäftsleitung braucht eine Informationsgrundlage dazu, ob Risikoexposition, Verhältnismäßigkeit, Wirksamkeit, einschlägige Normen, gefahrenübergreifender Ansatz und Stand-der-Technik-Bezug aus § 30 Abs. 1 und 2 plausibel adressiert werden. Das ist keine Pflicht, jedes technische Detail selbst zu prüfen.

3.2 Gesetzesbegründung: kontinuierlich und letztverantwortlich

Die Gesetzesbegründung zu § 38 BSIG erläutert, dass die Geschäftsleitungen die konkret zu ergreifenden Maßnahmen zunächst als geeignet billigen und deren Umsetzung kontinuierlich überwachen sollen. Sie stellt außerdem klar, dass das Leitungsorgan auch bei Einschaltung von Hilfspersonen letztverantwortlich bleibt.

Diese Begründung ersetzt den Gesetzeswortlaut nicht. Der Gesetzeswortlaut verlangt „umzusetzen“ und „ihre Umsetzung zu überwachen“. Die Begründung hilft aber, den Überwachungscharakter zu verstehen: Es geht um eine fortdauernde Leitungsaufgabe, nicht um eine einmalige Einführung.

3.3 Wirksamkeitsbewertung und Dokumentation

§ 30 Abs. 2 Nr. 6 BSIG [N-BSIG-30] verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik. Das ist ein wichtiger Mindestanker der Überwachung.

§ 30 Abs. 1 Satz 3 BSIG verlangt außerdem, dass die Einhaltung der Pflicht nach § 30 Abs. 1 Satz 1 dokumentiert wird. Das Gesetz schreibt dafür kein Dateiformat, keinen Dokumenttitel und keine „Nachweisakte“ vor. Diese gesetzliche Dokumentationspflicht ist nicht dasselbe wie ein ausdrücklich vorgeschriebenes §-38-Überwachungsprotokoll.

Für die Geschäftsleitung ist eine zweite Ebene trotzdem naheliegend: Sie sollte ihre Überwachungsentscheidungen, Informationsgrundlagen, Befunde, Abhilfen und Retests nachvollziehbar dokumentieren. Diese zweite Ebene ist Governance- und Haftungsvorsorge, aber kein eigenständiger Wortlautbefehl des § 30 Abs. 1 Satz 3.

§ 30 Abs. 2 Nr. 6 und § 30 Abs. 1 Satz 3 konkretisieren wichtige Bestandteile des Überwachens. Sie definieren den Begriff aber nicht vollständig. Frequenz, Prüftiefe und Berichtswege hängen von Größe, Risikoexposition, Dienst, Organisation, gesetzlichen Spezialvorgaben und tatsächlichen Befunden ab.

3.4 Der Abhilfe- und Nachprüfkreislauf

Überwachung endet nicht beim Befund. Ein geschlossener Kreislauf sieht so aus:

Wirksamkeitsprüfung → Befund oder Abweichung → risikobezogene Bewertung und Eskalation → Entscheidung über Abhilfe → verantwortliche Umsetzung → Nachprüfung oder Retest → dokumentierte Schließungsentscheidung oder weitere Eskalation.

Für die Praxis sind drei Ebenen getrennt zu halten: Pflicht, Belegmittel und Eskalation. Pflicht ist die Umsetzung und Überwachung der geschuldeten Maßnahmen. Belegmittel sind Berichte, Audits, Tests, Zertifikate oder Dashboards. Eskalation ist die Entscheidung, was bei Befund, Fristüberschreitung, Restrisiko oder möglichem Sicherheitsvorfall geschieht.

Artikel 21 Abs. 4 der Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) enthält für Nichtkonformitäten einen unionsrechtlichen Korrekturgedanken. Wird festgestellt, dass die Risikomanagementmaßnahmen nicht eingehalten werden, sind erforderliche, geeignete und verhältnismäßige Korrekturmaßnahmen zu ergreifen. Das ist ein Auslegungskontext, kein eigenständiger deutscher Bußgeldtatbestand.

3.5 Befund, Schwachstelle und Meldung nicht vermischen

Ein Überwachungsbefund ist nicht automatisch eine gesetzliche Meldung. Ergibt ein Befund aber Anhaltspunkte für einen möglichen Sicherheitsvorfall, ist er gesondert auf §-32-Relevanz zu klassifizieren und bei Erreichen der gesetzlichen Schwellen in den Meldeprozess nach § 32 BSIG zu überführen. Die Meldepflicht steht in BSI-Meldepflicht (§ 32 BSIG).

Betrifft der Befund zugleich personenbezogene Daten, muss der Datenschutzmeldepfad gesondert geprüft werden. Eine BSIG-Meldung ersetzt diese Prüfung nicht. Umgekehrt ist nicht jeder Datenschutzvorfall ein erheblicher Sicherheitsvorfall nach BSIG.

Abhilfe, interne Eskalation und externe Meldung sind getrennte Prozesse. Sie können parallel laufen, ersetzen einander aber nicht.

Auch eine abgegebene Meldung nach § 32 BSIG beendet den §-38-Überwachungskreislauf nicht. Ursachenanalyse, Abhilfe, Wirksamkeitsprüfung, Retest und Schließungsentscheidung bleiben gesondert zu steuern.

3.6 Verhältnis zu § 91 AktG und zum internen Kontrollsystem

§ 91 Abs. 2 AktG [N-AktG-91] verpflichtet den Vorstand einer Aktiengesellschaft, geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit bestandsgefährdende Entwicklungen früh erkannt werden. Das ist eine gesellschaftsrechtliche Organisationsnorm der Aktiengesellschaft. Sie definiert § 38 BSIG nicht, kann aber zeigen, wie die Überwachungspflicht in einer Aktiengesellschaft organisatorisch eingebettet wird.

§ 91 Abs. 3 AktG geht weiter, gilt aber nur für börsennotierte Gesellschaften. Danach muss der Vorstand einer börsennotierten Gesellschaft ein angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einrichten. Daraus folgt kein allgemeines gesetzliches IKS-Muss für alle Einrichtungen. Ein internes Kontrollsystem kann trotzdem ein sinnvolles Mittel sein, um § 38 praktisch zu erfüllen.

4. Delegierbare Ausführung, nicht übertragbare Letztverantwortung

Die Geschäftsleitung darf operative Aufgaben verteilen. Sie kann einen Chief Information Security Officer, eine IT-Leitung, die interne Revision, externe Prüfer oder Dienstleister einbinden. Auch ein Security Operations Center kann Daten auswerten und Vorfälle erkennen.

Dadurch verschiebt sich die gesetzliche Letztverantwortung nicht. Nach der Gesetzesbegründung zu § 38 bleibt das Leitungsorgan auch bei Hilfspersonen letztverantwortlich. Bei der Aktiengesellschaft stützt § 76 Abs. 1 AktG [N-AktG-76] zusätzlich, dass der Vorstand die Gesellschaft unter eigener Verantwortung leitet.

Bei einem mehrgliedrigen AG-Vorstand ist § 77 AktG [N-AktG-77] der Organisationsausgangspunkt. Besteht der Vorstand aus mehreren Personen, sind grundsätzlich alle Vorstandsmitglieder gemeinschaftlich zur Geschäftsführung befugt. Satzung oder Geschäftsordnung können Abweichendes bestimmen. Eine Ressort- oder Geschäftsverteilung kann Zuständigkeiten, Informationswege und Eskalationspflichten konkretisieren. Sie beseitigt aber nicht ohne weitere Prüfung jede individuelle Verantwortung.

Für GmbH-Geschäftsführer folgt die organschaftliche Verantwortung nicht aus § 76 AktG, sondern aus GmbHG, Gesellschaftsvertrag, Geschäftsordnung und der konkreten Bestellung. Deshalb darf § 76 Abs. 1 AktG nicht als allgemeine Norm für alle Rechtsformen formuliert werden.

Eine Konzerneinheit oder ein zentraler Dienstleister kann Kontrollen durchführen. Das ersetzt aber nicht die Prüfung, ob das zuständige Organ der konkreten Einrichtung eine belastbare Informationsgrundlage, klare Eskalationswege und nachvollziehbare Entscheidungen hat.

5. Governance-Ebenen: Wer überwacht wen?

5.1 Erste Ebene: Geschäftsleitung über die Umsetzung

Die erste Ebene ist § 38 Abs. 1 BSIG selbst. Die Geschäftsleitung überwacht die Umsetzung der nach § 30 BSIG zu ergreifenden Maßnahmen. Diese Ebene betrifft Vorstände, Geschäftsführerinnen und Geschäftsführer sowie andere Geschäftsleitungsorgane, soweit sie unter § 2 Nr. 13 BSIG fallen.

5.2 Zweite Ebene in der Aktiengesellschaft: Aufsichtsrat über Geschäftsführung

Bei der Aktiengesellschaft überwacht der Aufsichtsrat die Geschäftsführung. Das ist eine eigene gesellschaftsrechtliche Überwachungsebene. Sie ist nicht identisch mit der §-38-Pflicht der Geschäftsleitung.

Die Aufsichtsratsüberwachung braucht Information. § 90 AktG [N-AktG-90] regelt Berichte des Vorstands an den Aufsichtsrat, darunter Fragen der beabsichtigten Geschäftspolitik, Rentabilität, Gang der Geschäfte, Lage der Gesellschaft und Geschäfte von erheblicher Bedeutung. Jedes Aufsichtsratsmitglied kann nach § 90 Abs. 3 AktG verlangen, dass der Vorstand dem Aufsichtsrat berichtet. Berichte sind nach § 90 Abs. 4 AktG grundsätzlich in Textform zu erstatten, soweit nicht die dort genannte Ausnahme greift.

Für Aufsichtsratssitzungen der Aktiengesellschaft ist ein Protokoll nicht nur ein empfohlenes Arbeitsprodukt. § 107 Abs. 2 AktG [N-AktG-107] verlangt eine Niederschrift mit Ort, Tag, Teilnehmern, Tagesordnung, wesentlichem Inhalt der Verhandlungen und Beschlüssen.

§ 107 Abs. 3 AktG erlaubt Ausschüsse und beschreibt insbesondere den Prüfungsausschuss. Wird ein Prüfungsausschuss gebildet, befasst er sich nach der gesetzlichen Aufgabenbeschreibung unter anderem mit dem Rechnungslegungsprozess sowie mit der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems, des internen Revisionssystems und der Abschlussprüfung. Bei Unternehmen von öffentlichem Interesse muss der Aufsichtsrat nach § 107 Abs. 4 AktG einen Prüfungsausschuss im Sinne des Absatzes 3 Satz 2 einrichten.

Das macht den Prüfungsausschuss nicht automatisch zum Cyberausschuss. Cyberrisiken werden für ihn vor allem relevant, soweit sie Rechnungslegung, internes Kontrollsystem, Risikomanagementsystem, internes Revisionssystem, Abschlussprüfung oder die konkrete Aufgabenverteilung des Aufsichtsrats berühren.

§ 110 AktG [N-AktG-110] gibt jedem Aufsichtsratsmitglied und dem Vorstand ein Einberufungsverlangen. Der Vorsitzende hat dem ordnungsgemäßen Verlangen unverzüglich zu entsprechen; die Sitzung muss innerhalb von zwei Wochen nach der Einberufung stattfinden. Absatz 3 setzt zusätzlich den allgemeinen Sitzungsrahmen: Der Aufsichtsrat muss zwei Sitzungen im Kalenderhalbjahr abhalten; bei nichtbörsennotierten Gesellschaften kann der Aufsichtsrat eine Sitzung im Kalenderhalbjahr beschließen. Daraus folgt kein besonderer Cyber-Sitzungsrhythmus, aber ein gesetzlicher Rahmen für Regelbefassung und Anlasseskalation.

§ 111 Abs. 2 AktG erlaubt dem Aufsichtsrat, Bücher, Schriften und Vermögensgegenstände einzusehen und zu prüfen. § 111 Abs. 4 AktG trennt Überwachung und Geschäftsführung: Maßnahmen der Geschäftsführung können dem Aufsichtsrat nicht übertragen werden. Satzung oder Aufsichtsrat haben jedoch zu bestimmen, dass bestimmte Arten von Geschäften nur mit Zustimmung des Aufsichtsrats vorgenommen werden dürfen. Daraus folgt kein allgemeiner Zustimmungsvorbehalt für jede Cybermaßnahme; maßgeblich ist die konkrete Festlegung.

5.3 GmbH: Geschäftsführer, Gesellschafter, Aufsichtsrat und Beirat

Bei der GmbH ist zuerst zu klären, ob überhaupt ein Aufsichtsrat besteht. Ein bloß so genannter Beirat ist nicht automatisch eine gesetzliche zweite Überwachungsebene. Seine Rechte folgen aus Gesellschaftsvertrag, Geschäftsordnung, Beschlüssen oder Spezialrecht.

Die Gesellschafter haben nach § 46 Nr. 6 GmbHG [N-GmbHG-46] über Maßnahmen zur Prüfung und Überwachung der Geschäftsführung zu bestimmen. Nach § 51a GmbHG [N-GmbHG-51a] haben Gesellschafter ein Auskunfts- und Einsichtsrecht. Diese Rechte ersetzen nicht die Geschäftsleitungspflicht nach § 38 BSIG, können aber eine gesellschaftsrechtliche Überwachungsspur bilden.

Die praktische Kette lautet, sofern die jeweilige Informations- oder Zuständigkeitsgrundlage besteht: Überwachungs- oder Organisationsbefund → Information der Gesellschafter nach gesellschaftsrechtlicher Grundlage → Maßnahme zur Prüfung und Überwachung nach § 46 Nr. 6 GmbHG → gegebenenfalls Abberufungs- oder Entlastungsentscheidung nach § 46 Nr. 5 GmbHG → Dienstvertrag getrennt prüfen.

Besteht nach dem Gesellschaftsvertrag ein GmbH-Aufsichtsrat, verweist § 52 Abs. 1 GmbHG [N-GmbHG-52] auf zahlreiche aktienrechtliche Aufsichtsratsvorschriften, darunter §§ 110 bis 114 und § 116 AktG in Verbindung mit § 93 Abs. 1 und 2 Satz 1 und 2 AktG. Diese Verweisung gilt, soweit der Gesellschaftsvertrag nichts anderes bestimmt. Sie gilt nicht automatisch für jeden Beirat und nicht ohne Prüfung für jeden mitbestimmungsrechtlich vorgeschriebenen Aufsichtsrat.

Ist nach dem Drittelbeteiligungsgesetz oder nach dem Mitbestimmungsgesetz ein Aufsichtsrat zu bilden, wird die Rechtsgrundlage nicht allein aus § 52 GmbHG bestimmt. Das Drittelbeteiligungsgesetz erfasst unter seinen Voraussetzungen auch Gesellschaften mit beschränkter Haftung mit in der Regel mehr als 500 Arbeitnehmern. Das Mitbestimmungsgesetz knüpft unter anderem an Unternehmen mit in der Regel mehr als 2.000 Arbeitnehmern an und enthält eigene Regeln zur inneren Ordnung, zu Rechten und Pflichten sowie zu Organentscheidungen.

5.4 Andere Rechtsformen und öffentliche Unternehmen

§ 2 Nr. 13 BSIG ist rechtsformoffen. Bei Genossenschaften, Stiftungen, Vereinen, Anstalten oder anderen Organisationsformen muss jeweils das eigene Organisations- und Haftungsrecht geprüft werden. AG- und GmbH-Normen dürfen nicht unbesehen übertragen werden.

Für den ordnungswidrigkeitenrechtlichen Pfad ist außerdem wichtig, dass § 130 Abs. 2 OWiG auch öffentliche Unternehmen erfasst. Ob eine konkrete Person als Inhaber, Vertreterin, Vertreter oder beauftragte Person einzuordnen ist, folgt aus den OWiG-Tatbeständen und der Organisationsstruktur.

5.5 Zwei-Ebenen-Matrix

6. Nachweisbare Überwachungsarchitektur: operative Arbeitsprodukte

Dieser Abschnitt ist kein Erfüllungstestat. Er übersetzt die Rechtslogik in Führungsfragen, damit Geschäftsleitung, Compliance, Rechtsabteilung, Informationssicherheit und Aufsichtsgremium dieselbe Kausalkette sehen.

6.1 Führungsfragen, die der Text beantworten muss

Die Architektur soll für mehrere Rollen funktionieren. Jede Rolle sieht einen anderen Ausschnitt, aber alle arbeiten an derselben Kausalkette.

6.2 Arbeitsprodukte ohne Checklisten-Fiktion

Die folgenden Arbeitsprodukte sind keine gesetzliche Checkliste. Sie helfen, die gesetzliche Überwachung nachvollziehbar zu organisieren.

Ein Scope-Vermerk hält fest, warum § 38 gilt oder warum eine Bereichsausnahme eingreift. Er trennt Einrichtung, Tätigkeit, kritische Anlage, Spezialregime und Übergangsrecht.

Ein Maßnahmenregister verbindet jede einschlägige §-30-Maßnahme mit Verantwortlichen, Systemen, Prozessen, Dienstleistern, Risiken und Nachweisen. Es ersetzt nicht die Umsetzung, macht aber den Überwachungsgegenstand sichtbar.

Ein Entscheidungsvermerk der Geschäftsleitung dokumentiert, welche Informationen vorlagen, welche Maßnahmen als geeignet angesehen wurden, welche Restrisiken verblieben und wie diese weiter überwacht werden.

Ein Berichts- und Eskalationsmodell legt fest, wann IT-Sicherheit, Datenschutz, Risiko, Recht, interne Revision, Geschäftsleitung und Aufsichtsrat eingebunden werden. Es sollte auch Dienstleistermeldungen und Konzernberichte einbeziehen.

Ein Wirksamkeitsbewertungskonzept beschreibt Tests, Stichproben, Kontrollhandlungen, technische Prüfungen, Lessons Learned, Revisionsberichte, Dienstleisterkontrollen und Management-Reviews. Die konkrete Methode hängt von Risiko und Organisation ab.

Ein Abweichungs- und Mängelregister verbindet Befund, Risiko, Verantwortlichkeit, Frist, Maßnahme, Retest und Schließungsentscheidung. Es verhindert, dass Überwachung bei der bloßen Feststellung endet.

Eine Vorfallsübergabe legt fest, wann ein Überwachungsbefund in den §-32-Meldeprozess überführt wird. Die Einzelheiten der Meldeschwellen und Fristen gehören zu BSI-Meldepflicht (§ 32 BSIG).

Ein rechtsformspezifischer Organinformationsvermerk bereitet für Geschäftsleitung, Aufsichtsrat, Beirat oder Gesellschafter nur diejenigen Informationen auf, die nach der jeweiligen Rechtsgrundlage für deren eigene Verantwortung benötigt werden. Für Aufsichtsratssitzungen der Aktiengesellschaft kommt die gesetzliche Niederschrift nach § 107 Abs. 2 AktG hinzu.

Zertifikate, Standards, Audits und Dashboards sind Beweismittel oder Steuerungsinstrumente. Sie sind kein automatischer Safe Harbour. Entscheidend bleibt, ob die konkret geschuldeten Maßnahmen wirksam umgesetzt, überwacht, nachgehalten und bei Mängeln verbessert werden.

7. Mögliche Folgen: getrennte Tatbestände, keine Automatismen

Ein Überwachungsversäumnis kann verschiedene Folgen haben. Diese Folgen sind getrennt zu prüfen. Keine ist automatisch die Vorstufe der anderen.

§ 38 BSIG ist keine Strafvorschrift. Eine strafrechtliche Verantwortung setzt einen eigenständigen Straftatbestand voraus und wird hier nicht vertieft. Die Außenhaftung steht in Aufsichtsrats-Haftung.

7.1 Innenhaftung der Geschäftsleitung

§ 38 Abs. 2 BSIG verweist für die Haftung der Geschäftsleitung auf die für die Rechtsform der Einrichtung geltenden gesellschaftsrechtlichen Regeln. Nach dem BSIG selbst haftet die Geschäftsleitung nur, wenn diese gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung enthalten.

Die Kette lautet:

anwendbare Pflicht aus § 38 Abs. 1 → objektive Pflichtverletzung → Verschulden → konkreter Schaden der Einrichtung → haftungsrechtliche Kausalität und Zurechnung → rechtsformspezifische Haftungsnorm → subsidiär § 38 Abs. 2 Satz 2 BSIG.

Bei der Aktiengesellschaft sind insbesondere § 93 Abs. 1 und 2 AktG [N-AktG-93] relevant. Vorstandsmitglieder müssen die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anwenden. § 93 Abs. 2 Satz 2 enthält eine Beweislastregel: Ist streitig, ob sie diese Sorgfalt angewandt haben, trifft sie die Beweislast.

Bei der GmbH sind § 43 Abs. 1 und 2 GmbHG [N-GmbHG-43] der Kern. Geschäftsführer haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden und haften der Gesellschaft solidarisch für entstandenen Schaden, wenn sie ihre Obliegenheiten verletzen. § 43 GmbHG enthält selbst keine dem § 93 Abs. 2 Satz 2 AktG entsprechende Beweislastformulierung. Eine weitergehende Beweislastdogmatik wird hier nicht behauptet. Die Innenhaftung der Geschäftsleitung steht in Innenhaftung der Geschäftsleitung.

Für den AG-Vorstand gilt zusätzlich § 93 Abs. 4 Satz 2 AktG: Die Ersatzpflicht wird nicht dadurch ausgeschlossen, dass der Aufsichtsrat die Handlung gebilligt hat. Für GmbH, Beirat oder andere Rechtsformen ist die Wirkung einer Billigung gesondert nach der einschlägigen Rechtsgrundlage zu prüfen.

7.2 Eigenständige Haftung des Aufsichtsrats

Aufsichtsratsmitglieder haften nicht aus § 38 Abs. 2 BSIG, nur weil sie Aufsichtsratsmitglieder sind. Ihre Verantwortung folgt aus den rechtsformspezifischen Aufsichtsratsnormen.

Bei der Aktiengesellschaft verweist § 116 AktG [N-AktG-116] auf die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder. Für Aufsichtsratsmitglieder gilt damit die Haftungssystematik aus § 93 AktG entsprechend, soweit § 116 dies anordnet.

Die Kette lautet:

anwendbare Aufsichtspflicht → Informations- und Handlungsmöglichkeit → objektive Pflichtverletzung → Verschulden → Schaden der Gesellschaft → Kausalität und Zurechnung → § 116 in Verbindung mit § 93 AktG oder die einschlägige GmbH- beziehungsweise Mitbestimmungsgrundlage.

Bei der GmbH hängt dieser Pfad davon ab, ob ein gesellschaftsvertraglicher oder mitbestimmungsrechtlich vorgeschriebener Aufsichtsrat besteht. Bei einem Beirat ist die konkrete Rechtsgrundlage entscheidend.

7.3 Organstatus: Widerruf und Abberufung

Eine behördliche Tätigkeitsuntersagung ist keine gesellschaftsrechtliche Abberufung. Daneben gibt es aber eine eigene Organstatusspur.

Bei der Aktiengesellschaft kann der Aufsichtsrat nach § 84 Abs. 4 AktG die Bestellung zum Vorstandsmitglied und die Ernennung zum Vorstandsvorsitz widerrufen, wenn ein wichtiger Grund vorliegt. Als Beispiele nennt die Norm grobe Pflichtverletzung, Unfähigkeit zur ordnungsmäßigen Geschäftsführung und Vertrauensentzug durch die Hauptversammlung, sofern das Vertrauen nicht aus offenbar unsachlichen Gründen entzogen wurde.

Bei der GmbH ist die Geschäftsführerbestellung nach § 38 Abs. 1 GmbHG grundsätzlich jederzeit widerruflich. Der Gesellschaftsvertrag kann die Zulässigkeit des Widerrufs nach § 38 Abs. 2 GmbHG auf wichtige Gründe beschränken. § 46 Nr. 5 GmbHG ordnet die Bestellung, Abberufung und Entlastung der Geschäftsführer grundsätzlich den Gesellschaftern zu.

Die Kette lautet:

möglicher schwerwiegender Überwachungs- oder Organisationsverstoß → zuständiges Gesellschaftsorgan → rechtsformspezifische Voraussetzungen → mögliche Abberufung oder Widerruf der Bestellung → Dienstvertrags-, Vergütungs- und Entschädigungsfolgen gesondert prüfen.

Ein Cybervorfall oder eine BSI-Beanstandung führt nicht automatisch zur Abberufung.

7.4 Unmittelbarer §-65-BSIG-Täterpfad

§ 65 BSIG [N-BSIG-65] enthält Bußgeldtatbestände. § 38 Abs. 1 BSIG wird dort nicht als eigener Bußgeldtatbestand genannt. Daraus folgt nur: Ein Bußgeld kann nicht unmittelbar allein mit der Verletzung von § 38 Abs. 1 begründet werden.

Anders ist der Blick auf § 30 BSIG. § 65 Abs. 2 Nr. 2 und 3 BSIG erfassen bestimmte Verstöße gegen § 30 Abs. 1 Satz 1 und gegen die Dokumentationspflicht. Eine natürliche Person kann in einem solchen Pfad nur verantwortlich sein, wenn die allgemeinen Voraussetzungen des OWiG erfüllt sind.

Die Kette lautet:

Pflicht der Einrichtung nach § 30 → konkreter Tatbestand des § 65 BSIG → tatbestandsmäßiges Handeln oder Unterlassen einer natürlichen Person → gegebenenfalls § 9 OWiG → gegebenenfalls § 8 OWiG → bei Beteiligung gegebenenfalls § 14 OWiG → Vorsatz oder Fahrlässigkeit nach dem Tatbestand → mögliche persönliche Geldbuße → Zuständigkeit nach § 65 Abs. 10 BSIG und den allgemeinen OWiG-Regeln.

§ 9 OWiG rechnet nicht pauschal jede Unternehmenspflicht jedem Organmitglied zu. Die Vorschrift erweitert besondere persönliche Merkmale unter ihren eigenen Voraussetzungen.

§ 17 Abs. 2 OWiG halbiert bei fahrlässigem Handeln grundsätzlich das Höchstmaß, wenn das Gesetz für vorsätzliches und fahrlässiges Handeln Geldbuße androht, ohne im Höchstmaß zu unterscheiden. § 65 Abs. 9 BSIG ordnet aber an, dass § 17 Abs. 2 OWiG in den Fällen des § 65 Abs. 5 Satz 1 Nr. 1 sowie der Absätze 6 und 7 nicht anzuwenden ist. Diese Ausschlusswirkung betrifft gerade die dort erfassten besonders schweren BSIG-Bußgeldkonstellationen und darf weder auf die falschen Nummern 3 und 4 noch auf alle §-65-Fälle übertragen werden.

§ 65 Abs. 11 enthält außerdem eine Datenschutzschnittstelle. Wird wegen desselben Verhaltens bereits eine Geldbuße nach Artikel 58 Abs. 2 Buchstabe i der Datenschutz-Grundverordnung verhängt, darf für denselben Verstoß nach dem BSIG keine weitere Geldbuße verhängt werden. Die Einzelheiten gehören zu Verbandsgeldbuße (§ 65 BSIG).

Neben den §-30-Verstößen aus § 65 Abs. 2 Nr. 2 und 3 ist die Anordnungsspur gesondert zu halten. Wer einer vollziehbaren Anordnung nach § 61 Abs. 6 Satz 1 oder Satz 3, § 61 Abs. 7 Satz 1 oder Satz 3 oder § 61 Abs. 8 BSIG nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig nachkommt, kann einen eigenständigen §-65-Tatbestand verwirklichen. § 65 Abs. 2 Nr. 1 verweist diese Anordnungsspur außerdem auf entsprechende Maßnahmen nach § 62 BSIG. Dieser Pfad beginnt nicht bei § 38 als Bußgeldtatbestand, sondern bei der konkreten vollziehbaren Anordnung.

7.5 § 130 OWiG: Aufsichtspflichtverletzung im Betrieb

Der zentrale Trugschluss lautet: „§ 38 steht nicht in § 65, also gibt es kein persönliches Bußgeldrisiko.“ Das ist zu kurz.

§ 130 OWiG [N-OWiG-130] sanktioniert nicht § 38 direkt. Die Vorschrift setzt voraus, dass jemand als Inhaber eines Betriebs oder Unternehmens erforderliche Aufsichtsmaßnahmen unterlässt und dadurch eine betriebsbezogene Zuwiderhandlung gegen eine straf- oder bußgeldbewehrte Pflicht ermöglicht wird, die den Inhaber trifft. Die Zuwiderhandlung muss tatsächlich begangen worden sein und durch gehörige Aufsicht verhindert oder wesentlich erschwert worden sein können.

Die Kette lautet:

Betrieb oder Unternehmen, einschließlich öffentlichem Unternehmen → Pflicht, die den Inhaber trifft → personelle Erstreckung auf Organ, Vertreter oder beauftragte Person nur nach den OWiG-Voraussetzungen → erforderliche Aufsicht → vorsätzliches oder fahrlässiges Unterlassen → tatsächlich begangene betriebsbezogene Anknüpfungszuwiderhandlung → gehörige Aufsicht hätte diese verhindert oder wesentlich erschwert → mögliche Geldbuße nach § 130 Abs. 3 OWiG → Verfahrens- und Zuständigkeitsprüfung nach §§ 36 und 131 Abs. 3 OWiG.

Bei einem §-30-/§-65-Verstoß liegt die Anknüpfung also nicht in § 38 als solchem. Denkbar ist vielmehr: Die Einrichtung verletzt eine bußgeldbewehrte Pflicht aus § 30, und eine verantwortliche Person hat Aufsichtsmaßnahmen unterlassen, durch die diese Zuwiderhandlung verhindert oder wesentlich erschwert worden wäre.

§ 130 Abs. 3 OWiG wird oft falsch verkürzt. Die eine Million Euro in Satz 1 gilt nur, wenn die Pflichtverletzung mit Strafe bedroht ist. Ist die Pflichtverletzung mit Geldbuße bedroht, bestimmt sich das Höchstmaß der Geldbuße wegen der Aufsichtspflichtverletzung nach dem für die Pflichtverletzung angedrohten Höchstmaß. Die konkrete Höhe gehört zu Verbandsgeldbuße (§ 65 BSIG).

Für die Verfolgungs- und Zuständigkeitsfrage reicht nicht der Satz „Das BSI ist zuständig“. § 131 Abs. 3 OWiG verweist bei § 130 auf die Verfahrensvorschriften, die bei der zugrunde liegenden Pflichtverletzung anzuwenden sind oder im dort beschriebenen Fall anzuwenden wären. Die Zuständigkeit ist deshalb anknüpfungstatbezogen zu bestimmen.

Für Compliance und Verteidigung ist deshalb nicht nur die technische Maßnahme wichtig. Entscheidend ist auch, wer welche Aufsichtspflicht hatte, welche Informationen verfügbar waren, welche Eskalation unterblieb und ob gerade diese Aufsicht den Anknüpfungsverstoß verhindert oder wesentlich erschwert hätte.

7.6 Verbandsgeldbuße nach § 30 OWiG

§ 30 OWiG ist ein eigener Pfad. Eine Verbandsgeldbuße setzt voraus, dass eine Leitungsperson im Sinne des § 30 Abs. 1 OWiG eine Straftat oder Ordnungswidrigkeit begangen hat, durch die Pflichten des Verbandes verletzt wurden oder der Verband bereichert wurde oder werden sollte.

Die Kette lautet:

Leitungsperson im Sinne von § 30 Abs. 1 OWiG → von ihr begangene Straftat oder Ordnungswidrigkeit → Verletzung einer Verbandspflicht oder Bereicherung des Verbandes → Kann-Entscheidung → mögliche Verbandsgeldbuße → gegebenenfalls selbständige Festsetzung nach § 30 Abs. 4 OWiG.

Wichtig ist die Höchstmaßmechanik des BSIG. Die §-30-Verstöße nach § 65 Abs. 2 Nr. 2 und 3 BSIG fallen in § 65 Abs. 5 Satz 1 Nr. 1 BSIG. § 65 Abs. 5 Satz 2 BSIG verweist dagegen nur für die Fälle des Satzes 1 Nr. 3 und 4 auf § 30 Abs. 2 Satz 3 OWiG. Für die §-30-Verstöße sind außerdem § 65 Abs. 6 und 7 BSIG adressatengenau zu prüfen. Die Verbandsgeldbuße und die Bußgeldhöhen stehen in Verbandsgeldbuße (§ 65 BSIG).

7.7 Behördliche Aufsicht und persönliche Eingriffe

Die behördliche Ebene ist nicht ein einziger Pfeil „Überwachungsversäumnis → Tätigkeitsverbot“. Prüfung, Auskunft, Nachweis, Anordnung, Verwaltungszwang, öffentliche Bekanntmachung und persönliche Tätigkeitsuntersagung haben jeweils eigene Voraussetzungen.

Die allgemeine Zuständigkeitsarchitektur beginnt bei §§ 59 und 60 BSIG. Aufsicht und Audits stehen in BSI-Aufsicht nach der Meldung.

Bei besonders wichtigen Einrichtungen kann das BSI nach § 61 BSIG verschiedene Aufsichts- und Durchsetzungsmaßnahmen nutzen. § 61 Abs. 1 betrifft die Überprüfung der Erfüllung bestimmter Verpflichtungen, insbesondere aus § 30 Abs. 1 Satz 1, § 31, § 32 und § 38 Abs. 3. § 38 Abs. 1 wird dort nicht als eigener Prüfgegenstand genannt. § 61 Abs. 5 ist breiter formuliert und erlaubt die Überprüfung der Anforderungen nach dem BSIG bei besonders wichtigen Einrichtungen.

§ 61 Abs. 3 erlaubt Anforderungen an die Vorlage von Informationen, Unterlagen und Nachweisen. § 61 Abs. 6 ist enger als ein freies Cyber-Anordnungsrecht: Das BSI kann im Benehmen mit der zuständigen Aufsichtsbehörde erforderliche Maßnahmen nach § 30 Abs. 1 Satz 1 sowie einen Mängelbeseitigungsplan und einen Nachweis über die erfolgte Mängelbeseitigung anordnen. Die Maßnahme muss der Verhütung oder Behebung eines Sicherheitsvorfalls oder der Beseitigung eines Mangels dienen. Bei Gefahr im Verzug kann das Benehmen entfallen; außerdem kann das BSI eine Berichterstattung innerhalb angemessener Frist verlangen.

§ 61 Abs. 7 ist ein eigener Umsetzungs- und Empfehlungspfad. Das BSI kann Anordnungen zur Umsetzung der in § 61 Abs. 1 genannten Verpflichtungen erlassen und im Einzelfall die Umsetzung konkreter Empfehlungen aus einer Sicherheitsprüfung anordnen.

§ 61 Abs. 8 BSIG enthält zwei verschiedene Informationsspuren. Erstens kann das BSI bei einer erheblichen Cyberbedrohung anweisen, natürliche oder juristische Personen zu unterrichten, für die die Einrichtung Dienste erbringt oder Tätigkeiten ausübt und die potenziell betroffen sind. Die Unterrichtung betrifft die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen. Zweitens kann das BSI bei bestimmten Verstößen gegen in § 61 Abs. 1 genannte Verpflichtungen anordnen, Informationen über die Verstöße nach seinen Vorgaben öffentlich bekannt zu machen. Diese Veröffentlichung ist nicht automatisch die Folge jeder §-38-Abs.-1-Verletzung.

§ 61 Abs. 11 BSIG ist eine Datenschutzaufsichts-Schnittstelle. Stellt das BSI im Zuge der Beaufsichtigung oder Durchsetzung fest, dass ein Verstoß gegen das BSIG eine meldepflichtige Verletzung des Schutzes personenbezogener Daten zur Folge haben kann, unterrichtet es die zuständigen Datenschutzaufsichtsbehörden. Das ersetzt nicht die eigene Datenschutzprüfung der Einrichtung.

§ 61 Abs. 12 betrifft die Amtshilfe für Aufsichtsbehörden anderer Mitgliedstaaten der Europäischen Union. Für die interne §-38-Überwachung ist das regelmäßig kein eigener Pflichtenanker, kann aber bei grenzüberschreitenden Diensten den behördlichen Kontext verändern.

Die persönliche Tätigkeitsuntersagung nach § 61 Abs. 9 Satz 2 Nr. 2 BSIG ist noch enger. Sie setzt voraus, dass eine besonders wichtige Einrichtung Anordnungen des BSI nach dem Gesetz trotz Fristsetzung nicht befolgt. Dann kann das BSI dies der zuständigen Aufsichtsbehörde mitteilen. Die zuständige Aufsichtsbehörde kann als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit vorübergehend untersagen. Die Untersagung ist nur zulässig, solange die Einrichtung den maßgeblichen Anordnungen nicht nachkommt.

Für wichtige Einrichtungen ist § 62 BSIG der Ausgangspunkt. Die Norm erlaubt bei tatsachenbegründeter Annahme bestimmter Verstöße Maßnahmen nach § 61. Als Auslöser nennt § 62 ausdrücklich § 30 Abs. 1 Satz 1, § 32 Abs. 1 bis 3 und § 38 Abs. 3, aber nicht § 38 Abs. 1. Ob einzelne §-61-Instrumente über § 62 in welchem Umfang erreichbar sind, ist deshalb an Wortlaut, Systematik und unionsrechtlichem Kontext zu prüfen. Artikel 33 Abs. 5 der NIS-2-Richtlinie erklärt Artikel 32 Abs. 6 bis 8 für wichtige Einrichtungen entsprechend anwendbar. Artikel 5 der NIS-2-Richtlinie erlaubt strengere nationale Maßnahmen. Daraus folgt kein einfacher Satz in die eine oder andere Richtung.

Bei Institutionen der Sozialen Sicherung gilt zusätzlich § 64 BSIG. Die Vorschrift betrifft Zuwiderhandlungen gegen § 65 Abs. 1 bis 4 und ordnet besondere Abstimmungs- und Informationswege mit der zuständigen Aufsichtsbehörde an. Bei Bundesträgerschaft stellt das BSI das Einvernehmen mit der zuständigen Aufsichtsbehörde her; bei Landesträgerschaft informiert es die zuständige Aufsichtsbehörde und schlägt Maßnahmen vor. § 64 beseitigt nicht den zugrunde liegenden Tatbestand.

7.8 Folgenmatrix

8. Kritische Infrastrukturen (KRITIS): § 30, § 31, § 38 und § 39 sauber verzahnen

Betreiber kritischer Anlagen können besonders wichtige oder wichtige Einrichtungen sein. Für sie treten aber zusätzliche Regeln für Kritische Infrastrukturen (KRITIS) hinzu.

§ 31 BSIG enthält besondere Anforderungen an Risikomanagementmaßnahmen von Betreibern kritischer Anlagen. KRITIS-Zusatzpflichten und -Nachweise stehen in Sondertatbestände + KRITIS.

§ 39 BSIG ist die periodische Nachweispflicht gegenüber dem BSI. Betreiber kritischer Anlagen müssen die Umsetzung bestimmter Maßnahmen in Bezug auf kritische Anlagen durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen. Das ist nicht dasselbe wie die interne Überwachungspflicht der Geschäftsleitung nach § 38 Abs. 1 BSIG. § 39 kann aber Material liefern, das die Geschäftsleitung für ihre Überwachung nutzt.

§ 39 Abs. 4 BSIG ist wortlautgenau eng zu halten. Nicht der gesamte § 39 wird pauschal ausgeschlossen. Nicht anwendbar ist die Verpflichtung nach § 39 Abs. 1 Satz 1 für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Abs. 7 des KRITIS-Dachgesetzes als solche bestimmt wurden.

§ 66 BSIG kann über die Definition kritischer Anlagen und kritischer Dienstleistungen beeinflussen, wann KRITIS-Zusatzpflichten und §-39-Nachweise greifen. Daraus folgt aber kein allgemeiner Aufschub von § 38.

9. EU-Wurzel, Mindestharmonisierung, DORA- und eIDAS-Abgrenzung

Artikel 20 der Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) [EU-NIS2] ist die unionsrechtliche Governance-Wurzel. Die Mitgliedstaaten müssen sicherstellen, dass Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Das deutsche Recht setzt dies vor allem über § 38 BSIG und die rechtsformspezifische Haftung um.

Artikel 5 der NIS-2-Richtlinie ist wichtig für die Reichweite nationaler Maßnahmen. Die Richtlinie hindert Mitgliedstaaten nicht daran, ein höheres Cybersicherheitsniveau vorzusehen, sofern dies mit dem Unionsrecht vereinbar ist. Deshalb darf aus einer fehlenden NIS-2-Verweisung nicht vorschnell auf ein unionsrechtliches Verbot nationaler strengerer Maßnahmen geschlossen werden.

Artikel 21 Abs. 4 der NIS-2-Richtlinie stützt den Korrekturkreislauf bei Nichtkonformitäten. Artikel 32 Abs. 6 verlangt im Aufsichtskontext, dass verantwortliche natürliche Personen über Befugnisse zur Sicherstellung der Einhaltung verfügen und für Pflichtverletzungen verantwortlich gemacht werden können. Artikel 33 Abs. 5 überträgt bestimmte Instrumente auf wichtige Einrichtungen. Diese Richtliniennormen sind Auslegungs- und Umsetzungskontext. Sie sind im deutschen Artikel nicht als unmittelbar anwendbare Bußgeldnormen darzustellen.

DORA ist für Finanzunternehmen eine eigene Spezialwelt. Artikel 5 DORA regelt die Verantwortung des Leitungsorgans für das Management von Risiken der Informations- und Kommunikationstechnologie (IKT-Risiken). DORA gilt seit dem 17. Januar 2025. Für Unternehmen im DORA-Anwendungsbereich nimmt § 28 Abs. 6 BSIG die dort genannten BSIG-Pflichten aus, darunter § 38. Die Vertiefung liegt nicht in A2-03.

Bei Vertrauensdiensteanbietern ist zusätzlich zur allgemeinen BSIG-/NIS-2-Einordnung die konsolidierte eIDAS-Stammverordnung entscheidend. Die Durchführungsverordnungen (EU) 2025/2160 und 2025/2530 konkretisieren nur für ihren jeweiligen Vertrauensdiensteanbieter-Zweig den Überwachungsgegenstand oder besondere Prüfzyklen. Diese Aussage verdrängt weder § 30 Abs. 3 BSIG noch die Durchführungsverordnung (EU) 2024/2690; sie beschreibt nur den zusätzlichen eIDAS-Spezialzweig. Die Durchführungsverordnungen begründen keinen allgemeinen Safe Harbour und werden nicht auf andere Einrichtungen übertragen.

10. Zeitlicher Geltungsstand

Rechtsstand dieses Artikels ist der 26. Juni 2026. Das BSIG wurde am 2. Dezember 2025 ausgefertigt und ist am 6. Dezember 2025 in Kraft getreten. Es wurde durch Artikel 4 des Gesetzes vom 11. März 2026 geändert; diese Änderung ist am 17. März 2026 in Kraft getreten.

Für § 30 und § 38 besteht kein allgemeiner Aufschub nach § 66 BSIG. Die Übergangsregel betrifft aber bestimmte Definitionen und die Registrierungspflicht nach § 33 Abs. 2, solange die dort bezeichnete KRITIS-Dach-Rechtsverordnung noch nicht gilt.

Bekannte Verweisungsspannungen im BSIG werden nicht im Wege der Auslegung „repariert“. Soweit eine Aussage davon abhängt, ist dies im jeweiligen Spezialartikel oder in der konkreten Anwendung gesondert zu prüfen.

11. Schnittstellen

• Das Pflichtenprogramm im Überblick steht in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG).
• Die Umsetzung der zehn Maßnahmen steht in Umsetzung — § 30 BSIG, zehn Mindestmaßnahmen.
• Die Schulungspflicht steht in Schulungspflicht der Geschäftsleitung.
• Wer verpflichtet ist, steht in Schwellenwerte (250 MA / 50 Mio. €).
• KRITIS-Zusatzpflichten und -Nachweise stehen in Sondertatbestände + KRITIS.
• Die Innenhaftung der Geschäftsleitung steht in Innenhaftung der Geschäftsleitung.
• Die Außenhaftung steht in Aufsichtsrats-Haftung.
• Die Verbandsgeldbuße und die Bußgeldhöhen stehen in Verbandsgeldbuße (§ 65 BSIG).
• Die Meldepflicht steht in BSI-Meldepflicht (§ 32 BSIG).
• Aufsicht und Audits stehen in BSI-Aufsicht nach der Meldung.
• Die Konzern-Größenrechnung steht in Konzern: Größenklassen & IT-Tochter.

12. Amtliche Wortlautanker

Der Hauptartikel enthält kompakte Wortlautanker, damit er für Geschäftsleitungen, Compliance und Aufsichtsgremien lesbar bleibt. Der ausklappbare Wortlaut- und Nachweisanhang ist als eigene CMS-Anlage zu diesem Artikel vorgesehen. Kürzungen sind dort gekennzeichnet; für eine rechtliche Eigenprüfung bleibt der vollständige amtliche Normtext in den Quellen maßgeblich.

CMS-Ausspielregel: Der Nachweisanhang soll nicht zusätzlich als zweiter identischer Quellenblock direkt unter denselben Abschnitten ausgespielt werden. Entweder wird der Hauptartikel mit seinen kompakten Ankern verwendet oder die CMS-Anlage wird als gesonderter Nachweisbereich eingebunden.

13. „Geschäftsleitung“ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung;

— § 2 Nr. 13 BSIG

Auszug aus § 28 Abs. 5 und 6 BSIG:

(5) Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 gelten nicht für besonders wichtige Einrichtungen und wichtige Einrichtungen, die [...] ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen [...] oder [...] Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen. [...]

(6) Die §§ 30, 31, 32, 35, 36, 38 und 39 gelten nicht für [...] Finanzunternehmen [...] und bestimmte Telematik-Konstellationen.

— § 28 Abs. 5 und 6 BSIG

Auszug aus § 30 Abs. 3 und 4 BSIG:

(3) Der von der Europäischen Kommission gemäß Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie erlassene Durchführungsrechtsakt [...] hat für die vorgenannten Einrichtungsarten Vorrang.

(4) Sofern die Europäische Kommission einen Durchführungsrechtsakt gemäß Artikel 21 Absatz 5 Unterabsatz 2 der NIS-2-Richtlinie erlässt [...], so gehen diese Anforderungen den in Absatz 2 genannten Maßnahmen vor, soweit sie diesen entgegenstehen.

— § 30 Abs. 3 und 4 BSIG

(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

(2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.

— § 38 Abs. 1 und 2 BSIG

(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.

— § 30 Abs. 1 BSIG

Die Maßnahmen müssen zumindest Folgendes umfassen: [...] 6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,

— § 30 Abs. 2 Nr. 6 BSIG

Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.

— § 91 Abs. 2 AktG

Der Aufsichtsrat hat die Geschäftsführung zu überwachen.

— § 111 Abs. 1 Satz 1 AktG

(1) Wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterläßt, die erforderlich sind, um in dem Betrieb oder Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist, handelt ordnungswidrig, wenn eine solche Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.

(2) Betrieb oder Unternehmen im Sinne des Absatzes 1 ist auch das öffentliche Unternehmen.

(3) Die Ordnungswidrigkeit kann, wenn die Pflichtverletzung mit Strafe bedroht ist, mit einer Geldbuße bis zu einer Million Euro geahndet werden. § 30 Absatz 2 Satz 3 ist anzuwenden. Ist die Pflichtverletzung mit Geldbuße bedroht, so bestimmt sich das Höchstmaß der Geldbuße wegen der Aufsichtspflichtverletzung nach dem für die Pflichtverletzung angedrohten Höchstmaß der Geldbuße. Satz 3 gilt auch im Falle einer Pflichtverletzung, die gleichzeitig mit Strafe und Geldbuße bedroht ist, wenn das für die Pflichtverletzung angedrohte Höchstmaß der Geldbuße das Höchstmaß nach Satz 1 übersteigt.

— § 130 OWiG

Das Bundesamt kann auch gegenüber anderen besonders wichtigen Einrichtungen frühestens drei Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen. [...] Abweichend von Satz 1 kann das Bundesamt gegenüber zugelassenen Krankenhäusern nach § 108 des Fünften Buches Sozialgesetzbuch frühestens fünf Jahre nach Inkrafttreten dieses Gesetzes die Vorlage von Nachweisen über die Erfüllung einzelner oder aller der in Absatz 1 genannten Verpflichtungen anordnen, soweit nicht durch Rechtsverordnung nach § 56 Absatz 6 ein früherer Zeitpunkt bestimmt wird.

— § 61 Abs. 3 Satz 1 und 5 BSIG

Das Bundesamt kann bei besonders wichtigen Einrichtungen die Einhaltung der Anforderungen nach diesem Gesetz überprüfen. [...] Für die Überprüfung erhebt das Bundesamt Gebühren und Auslagen bei der jeweiligen besonders wichtigen Einrichtung nur, sofern das Bundesamt auf Grund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen nach § 30 Absatz 1 begründeten.

— § 61 Abs. 5 Satz 1 und 4 BSIG

Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen im Benehmen mit der zuständigen Aufsichtsbehörde zur Verhütung oder Behebung eines Sicherheitsvorfalls oder eines Mangels erforderliche Maßnahmen nach § 30 Absatz 1 Satz 1 sowie die Vorlage eines geeigneten Mängelbeseitigungsplanes und eines geeigneten Nachweises über die erfolgte Mängelbeseitigung anordnen. [...] Ferner kann das Bundesamt die Berichterstattung zu den nach Satz 1 angeordneten Maßnahmen innerhalb einer angemessenen Frist verlangen.

— § 61 Abs. 6 Satz 1 und 3 BSIG

Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen im Benehmen mit der zuständigen Aufsichtsbehörde Anordnungen zur Umsetzung der in Absatz 1 genannten Verpflichtungen erlassen. [...] Es kann die Umsetzung von im Rahmen einer Sicherheitsprüfung formulierten konkreten Empfehlungen im Einzelfall innerhalb einer angemessenen Frist anordnen.

— § 61 Abs. 7 Satz 1 und 3 BSIG

Das Bundesamt kann gegenüber besonders wichtigen Einrichtungen anordnen,

1. die natürlichen oder juristischen Personen, für die sie Dienste erbringen oder Tätigkeiten ausüben und die potenziell von einer erheblichen Cyberbedrohung betroffen sind, über die Art der Bedrohung und mögliche Abwehr- oder Abhilfemaßnahmen zu unterrichten [...], und

2. Informationen zu Verstößen gegen die in Absatz 1 genannten Verpflichtungen nach durch das Bundesamt bestimmten Vorgaben öffentlich bekannt zu machen.

— § 61 Abs. 8 BSIG

(9) Sofern besonders wichtige Einrichtungen den Anordnungen des Bundesamtes nach diesem Gesetz trotz Fristsetzung nicht nachkommen, kann das Bundesamt dies der jeweils zuständigen Aufsichtsbehörde mitteilen. Die zuständige Aufsichtsbehörde kann, wenn ein Zusammenhang zwischen Durchsetzungsmaßnahme und Anordnung besteht, als letztes Mittel

1. die dieser Einrichtung erteilte Genehmigung nach dem jeweiligen Fachrecht vorübergehend ganz oder teilweise aussetzen und

2. unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit, zu der sie berufen sind (§ 2 Nummer 13), vorübergehend untersagen.

Die Aussetzung nach Satz 2 Nummer 1 und die Untersagung nach Satz 2 Nummer 2 sind nur solange zulässig, bis die besonders wichtige Einrichtung den Anordnungen des Bundesamtes nachkommt, wegen deren Nichtbefolgung sie ausgesprochen wurden.

— § 61 Abs. 9 BSIG

Soweit das Bundesamt Maßnahmen gegenüber besonders wichtigen Einrichtungen durchführt, informiert es die zuständige Aufsichtsbehörde des Bundes darüber. Die Information hat unverzüglich zu erfolgen, wenn es sich um Maßnahmen nach Absatz 6 oder 7 handelt, die wegen Gefahr im Verzug ohne Benehmen der zuständigen Aufsichtsbehörde ergangen sind.

— § 61 Abs. 10 BSIG

Stellt das Bundesamt im Zuge der Beaufsichtigung einer Einrichtung oder Durchsetzung einer Maßnahme fest, dass ein Verstoß gegen die Verpflichtungen dieses Gesetzes eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 zur Folge haben kann, die gemäß Artikel 33 dieser Verordnung zu melden ist, unterrichtet es unverzüglich die zuständigen Aufsichtsbehörden.

— § 61 Abs. 11 BSIG

Sofern das Bundesamt Zwangsgelder verhängt, beträgt deren Höhe abweichend von § 11 Absatz 3 des Verwaltungsvollstreckungsgesetzes bis zu 100 000 Euro.

— § 63 BSIG

Auszug aus § 64 BSIG:

Bei Zuwiderhandlungen gegen eine in § 65 Absatz 1 bis 4 genannte Vorschrift, die von Institutionen der Sozialen Sicherung begangen werden, finden die Sätze 2 bis 4 Anwendung. Bei einer in Satz 1 genannten Zuwiderhandlung von Institutionen der Sozialen Sicherung in Trägerschaft des Bundes stellt das Bundesamt das Einvernehmen über die zu ergreifenden Maßnahmen mit der für die Institution der Sozialen Sicherung zuständigen Aufsichtsbehörde her. Bei einer in Satz 1 genannten Zuwiderhandlung von Institutionen der Sozialen Sicherung in Trägerschaft der Länder informiert das Bundesamt die zuständige Aufsichtsbehörde und schlägt geeignete Maßnahmen vor. Die jeweils zuständige Aufsichtsbehörde informiert das Bundesamt über die Einleitung und Umsetzung von Aufsichtsmitteln und sorgt für deren Durchsetzung.

— § 64 BSIG

(9) § 17 Absatz 2 des Gesetzes über Ordnungswidrigkeiten ist in den Fällen des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7 nicht anzuwenden.

— § 65 Abs. 9 BSIG

(10) Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist

1. in den Fällen des Absatzes 2 Nummer 11 das Bundesministerium des Innern und

2. in den Fällen der Absätze 1, 3 und 4 sowie in den Fällen des Absatzes 2, die nicht in Nummer 1 genannt sind, das Bundesamt.

— § 65 Abs. 10 BSIG

(11) Verhängen die in Artikel 55 oder 56 der Verordnung (EU) 2016/679 genannten Aufsichtsbehörden gemäß Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 eine Geldbuße, so darf eine weitere Geldbuße für einen Verstoß nach diesem Gesetz, der sich aus demselben Verhalten ergibt wie jener Verstoß, der Gegenstand der Geldbuße nach Artikel 58 Absatz 2 Buchstabe i der Verordnung (EU) 2016/679 war, nicht verhängt werden.

— § 65 Abs. 11 BSIG

(3) Für die Verfolgung von Ordnungswidrigkeiten nach den §§ 116, 122 und 130 gelten auch die Verfahrensvorschriften entsprechend, die bei der Verfolgung der Handlung, zu der aufgefordert worden ist, der im Rausch begangenen Handlung oder der Pflichtverletzung anzuwenden sind oder im Falle des § 130 dann anzuwenden wären, wenn die mit Strafe bedrohte Pflichtverletzung nur mit Geldbuße bedroht wäre.

— § 131 Abs. 3 OWiG

Über die Sitzungen des Aufsichtsrats ist eine Niederschrift anzufertigen, die der Vorsitzende zu unterzeichnen hat. In der Niederschrift sind der Ort und der Tag der Sitzung, die Teilnehmer, die Gegenstände der Tagesordnung, der wesentliche Inhalt der Verhandlungen und die Beschlüsse des Aufsichtsrats anzugeben.

— § 107 Abs. 2 AktG

Er kann insbesondere einen Prüfungsausschuss bestellen, der sich mit der Überwachung des Rechnungslegungsprozesses, der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems sowie der Abschlussprüfung, hier insbesondere der Auswahl und der Unabhängigkeit des Abschlussprüfers, der Qualität der Abschlussprüfung und der vom Abschlussprüfer zusätzlich erbrachten Leistungen, befasst.

— § 107 Abs. 3 Satz 2 AktG

Der Aufsichtsrat einer Gesellschaft, die Unternehmen von öffentlichem Interesse nach § 316a Satz 2 des Handelsgesetzbuchs ist, hat einen Prüfungsausschuss im Sinne des Absatzes 3 Satz 2 einzurichten.

— § 107 Abs. 4 Satz 1 AktG

Der Aufsichtsrat muss zwei Sitzungen im Kalenderhalbjahr abhalten. In nichtbörsennotierten Gesellschaften kann der Aufsichtsrat beschließen, dass eine Sitzung im Kalenderhalbjahr abzuhalten ist.

— § 110 Abs. 3 AktG

Auszug aus § 46 Nr. 5 und 6 GmbHG:

5.

die Bestellung und die Abberufung von Geschäftsführern sowie die Entlastung derselben;

6.

die Maßregeln zur Prüfung und Überwachung der Geschäftsführung;

— § 46 Nr. 5 und 6 GmbHG

Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet. Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.

— § 93 Abs. 2 Satz 1 und 2 AktG

(1) Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.

(2) Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.

— § 43 Abs. 1 und 2 GmbHG

Die Mitgliedstaaten stellen sicher, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die von diesen Einrichtungen zur Einhaltung von Artikel 21 ergriffenen Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße gegen diesen Artikel durch die betreffenden Einrichtungen verantwortlich gemacht werden können.

— Artikel 20 Abs. 1 Richtlinie (EU) 2022/2555

Für nichtqualifizierte Vertrauensdiensteanbieter, die nichtqualifizierte Vertrauensdienste erbringen, gilt Folgendes: Sie haben angemessene Konzepte und treffen entsprechende Maßnahmen zur Beherrschung rechtlicher, geschäftlicher, betrieblicher und sonstiger direkter oder indirekter Risiken bei der Erbringung des nichtqualifizierten Vertrauensdienstes [...].

— Artikel 19a Abs. 1 Buchstabe a Verordnung (EU) Nr. 910/2014

Unbeschadet des Artikels 21 der Richtlinie (EU) 2022/2555 haben sie angemessene Strategien und treffen entsprechende Maßnahmen zur Beherrschung rechtlicher, geschäftlicher, betrieblicher und sonstiger direkter oder indirekter Risiken bei der Erbringung des qualifizierten Vertrauensdienstes [...].

— Artikel 24 Abs. 2 Buchstabe fa Verordnung (EU) Nr. 910/2014

Nichtqualifizierte Vertrauensdiensteanbieter bewerten, dokumentieren und gegebenenfalls aktualisieren die Ergebnisse der Risikobewertung und den Risikobehandlungsplan in geplanten Zeitabständen, zumindest aber jährlich, sowie bei wesentlichen Änderungen der Infrastruktur, der Betriebsabläufe oder der Risiken oder bei erheblichen Sicherheitsvorfällen.

— Artikel 4 Abs. 6 Durchführungsverordnung (EU) 2025/2160

Die in Artikel 2, Artikel 3 und Artikel 4 der Durchführungsverordnung (EU) 2025/2160 festgelegten Anforderungen gelten sinngemäß für qualifizierte Vertrauensdiensteanbieter bezüglich der Anforderung, dass sie über einen Risikomanagementrahmen gemäß Artikel 24 Absatz 2 Buchstabe fa der Verordnung (EU) Nr. 910/2014 verfügen müssen.

— Artikel 2 Durchführungsverordnung (EU) 2025/2530

13. Kurzantworten auf die 24 Lese-Fragen

1. Was verlangt § 38 Abs. 1 BSIG im Kern? Die Geschäftsleitung muss die nach § 30 BSIG zu ergreifenden Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Dieser Artikel betrifft die zweite Hälfte: die laufende Überwachung.
2. Heißt Überwachung, dass jedes Organmitglied technische Logs prüft? Nein. Verlangt ist eine belastbare Entscheidungs- und Eskalationsarchitektur mit Informationsgrundlage, Wirksamkeitsbewertung sowie Befund-, Abhilfe- und Nachprüfsteuerung, nicht die technische Detailprüfung jedes Einzelevents.
3. Wer ist „Geschäftsleitung“ und welche Einrichtungen sind erfasst? Nach § 2 Nr. 13 BSIG eine natürliche Person, die zur Führung der Geschäfte und zur Vertretung berufen ist; Leiterinnen und Leiter der Bundesverwaltung zählen nicht dazu. Die Einrichtung muss besonders wichtige oder wichtige Einrichtung nach § 28 Abs. 1 oder 2 BSIG sein.
4. Welche Bereichsausnahmen verändern das Anwendungs-Gate? § 28 Abs. 5 (Telekommunikation/Energie, mit Rückausnahmen), Abs. 6 (DORA-Finanzunternehmen und Telematik), Abs. 7 (nur § 32) und Abs. 8 (landesnahe Einheiten) sowie § 29 für die Bundesverwaltung, dessen Abs. 2 unter anderem § 38 ausnimmt.
5. Hebt ein Ausnahmebescheid nach § 37 die Überwachungspflicht auf? Nicht unmittelbar. § 37 befreit von § 30 und § 32 (erweitert von §§ 33 und 34). Der Überwachungsgegenstand verringert sich nur mittelbar, soweit die zugrunde liegende § 30-Pflicht entfällt; für Vertrauensdiensteanbieter gilt die Ausnahme nicht.
6. Was ist Überwachungsgegenstand? Nicht abstrakt „Cybersecurity“, sondern die konkrete Umsetzung der nach § 30 BSIG zu ergreifenden Maßnahmen. Spezialrecht nach § 30 Abs. 3 und 4 konkretisiert ihn für bestimmte Einrichtungsarten.
7. Welche Rolle spielt die Durchführungsverordnung (EU) 2024/2690? Sie gibt nach § 30 Abs. 3 für bestimmte digitale Einrichtungsarten (unter anderem Cloud, DNS, Vertrauensdiensteanbieter) besondere Anforderungen und Vorfallkriterien vor; sie verdrängt den eIDAS-Spezialzweig nicht.
8. Wie ist der eIDAS-Zweig einzuordnen? Als Parallel- und Spezialrechtskette, nicht als Verdrängung: Art. 19a für nichtqualifizierte und Art. 24 Abs. 2 Buchstabe fa sowie Abs. 5 für qualifizierte Vertrauensdiensteanbieter, konkretisiert durch die Durchführungsverordnungen (EU) 2025/2160 und 2025/2530. Der Zweijahresrhythmus aus 2025/2530 betrifft nur den Beendigungsplan.
9. Seit wann gilt die Pflicht? Seit dem 6. Dezember 2025. § 66 BSIG enthält keinen allgemeinen Aufschub für § 30 oder § 38, verschiebt aber bestimmte Definitionen und § 33 Abs. 2 bis zum Geltungsbeginn der KRITIS-Dach-Rechtsverordnung.
10. Was konkretisiert „überwachen“ gesetzlich? § 30 Abs. 2 Nr. 6 BSIG (Bewertung der Wirksamkeit) und § 30 Abs. 1 Satz 3 BSIG (Dokumentation der Einhaltung). Beides definiert den Begriff nicht abschließend; Frequenz, Prüftiefe und Berichtswege sind risikoabhängig.
11. Schreibt das Gesetz ein „§-38-Überwachungsprotokoll“ vor? Nein. § 30 Abs. 1 Satz 3 verlangt nur die Dokumentation der Einhaltung ohne Format oder Titel. Eine zweite Dokumentationsebene für Befunde, Abhilfen und Retests ist Governance- und Haftungsvorsorge, kein Wortlautbefehl.
12. Wie sieht der Abhilfe- und Nachprüfkreislauf aus? Wirksamkeitsprüfung, Befund, risikobezogene Bewertung und Eskalation, Abhilfeentscheidung, verantwortliche Umsetzung, Nachprüfung und dokumentierte Schließung. Art. 21 Abs. 4 der NIS-2-Richtlinie stützt den Korrekturgedanken als Auslegungskontext.
13. Ist ein Überwachungsbefund automatisch eine Meldung? Nein. Er ist gesondert auf § 32-Relevanz zu klassifizieren und erst bei Erreichen der gesetzlichen Schwellen zu melden. Der Datenschutzmeldepfad ist getrennt zu prüfen; eine BSIG-Meldung ersetzt ihn nicht.
14. Welches Verhältnis besteht zu § 91 AktG? § 91 Abs. 2 AktG (Überwachungssystem) ist eine gesellschaftsrechtliche Organisationsnorm der Aktiengesellschaft; sie definiert § 38 BSIG nicht. § 91 Abs. 3 AktG (internes Kontroll- und Risikomanagementsystem) gilt nur für börsennotierte Gesellschaften; ein allgemeines IKS-Muss folgt daraus nicht.
15. Verliert die Geschäftsleitung durch Delegation ihre Verantwortung? Nein. Operative Aufgaben sind an CISO, IT-Leitung, Revision, Prüfer, Dienstleister oder ein Security Operations Center verteilbar; die gesetzliche Letztverantwortung bleibt beim Leitungsorgan (Begründung zu § 38, bei der Aktiengesellschaft zusätzlich § 76 Abs. 1 und § 77 AktG).
16. Wer überwacht in der Aktiengesellschaft die Geschäftsführung? Der Aufsichtsrat nach § 111 Abs. 1 AktG als eigene Ebene, gestützt auf Information (§ 90), Niederschrift (§ 107 Abs. 2), Prüfungsausschuss (§ 107 Abs. 3 und 4) und Sitzungsrahmen (§ 110). Der Prüfungsausschuss ist nicht automatisch ein Cyberausschuss.
17. Wie ist die Überwachung in der GmbH organisiert? Die Gesellschafter bestimmen über Maßnahmen zur Prüfung und Überwachung (§ 46 Nr. 6 GmbHG) und haben ein Auskunfts- und Einsichtsrecht (§ 51a GmbHG). Ein Aufsichtsrat besteht nur nach Gesellschaftsvertrag (§ 52 GmbHG) oder Mitbestimmungsrecht; ein bloßer Beirat ist keine automatische zweite Ebene.
18. Steht § 38 Abs. 1 BSIG im Bußgeldkatalog des § 65 BSIG? Nein. Ein Bußgeld lässt sich nicht unmittelbar allein auf eine Verletzung von § 38 Abs. 1 stützen. Bußgeldanknüpfung sind die § 30-Verstöße nach § 65 Abs. 2 Nr. 2 und 3 oder vollziehbare Anordnungen.
19. Wie entsteht dann ein persönliches Bußgeldrisiko? Über § 130 OWiG: unterlassene erforderliche Aufsicht, durch die eine betriebsbezogene Anknüpfungszuwiderhandlung (etwa nach § 30/§ 65) ermöglicht wird. Die Höhe richtet sich nach § 130 Abs. 3 OWiG, Verfahren und Zuständigkeit anknüpfungstatbezogen nach §§ 36 und 131 Abs. 3 OWiG.
20. Was ist der Innenhaftungspfad? § 38 Abs. 2 BSIG verweist auf die rechtsformspezifischen Regeln: § 93 AktG mit Beweislastregel in Abs. 2 Satz 2, § 43 GmbHG ohne entsprechende Beweislastformel. Nach dem BSIG selbst haftet die Geschäftsleitung nur subsidiär (§ 38 Abs. 2 Satz 2).
21. Haftet der Aufsichtsrat aus § 38 Abs. 2 BSIG? Nein. Seine Verantwortung folgt aus rechtsformspezifischen Normen, bei der Aktiengesellschaft aus § 116 in Verbindung mit § 93 AktG, bei GmbH oder Beirat aus der einschlägigen Grundlage, nicht allein aus der Aufsichtsratsstellung.
22. Führt ein Cybervorfall automatisch zu Abberufung oder Tätigkeitsverbot? Nein. Organstatusfolgen (Widerruf nach § 84 Abs. 4 AktG, § 38 GmbHG, § 46 Nr. 5 GmbHG) und die behördliche Tätigkeitsuntersagung (§ 61 Abs. 9 BSIG als letztes Mittel) haben je eigene Voraussetzungen; eine BSI-Beanstandung genügt nicht.
23. Welche behördlichen Instrumente bestehen und woran knüpfen sie? § 61 BSIG (Prüfung, Nachweis, Anordnung, Mängelbeseitigung, Veröffentlichung, Tätigkeitsuntersagung) gegenüber besonders wichtigen, § 62 BSIG gegenüber wichtigen Einrichtungen; § 61 Abs. 1 nennt unter anderem § 38 Abs. 3, nicht § 38 Abs. 1. Hinzu kommen Verwaltungszwang (§ 63) und der Sonderweg für Institutionen der Sozialen Sicherung (§ 64).
24. Welche EU-Wurzel und welcher Rechtsstand gelten? Art. 20 der NIS-2-Richtlinie (Governance) ist die Wurzel, umgesetzt über § 38 BSIG und die rechtsformspezifische Haftung; Art. 5 erlaubt strengere nationale Maßnahmen. Rechtsstand ist der 26. Juni 2026: BSIG vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026 (Wirkung seit 17. März 2026); der dynamische Rechtsstand ist bei Verwendung erneut zu prüfen.

14. Quellen

Die Quellen sind in sechs Gruppen geordnet. Gesetzesverweise führen auf die jeweilige amtliche Einzelnorm bzw. EUR-Lex (ELI/CELEX). Maßgebliche Verkündungsquelle bleibt das Bundesgesetzblatt bzw. das Amtsblatt der Europäischen Union. Quellenstand: 26. Juni 2026; die vollständige amtliche Fassung bleibt jeweils maßgeblich.

14.1 Nationale Normen

BSI-Gesetz (BSIG) — konsolidierter Stand

• Gesamttext: https://www.gesetze-im-internet.de/bsig_2025/BSIG.pdf
• § 2: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-28] § 28 BSIG: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• § 29: https://www.gesetze-im-internet.de/bsig_2025/__29.html
• [N-BSIG-30] § 30 BSIG: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• § 31: https://www.gesetze-im-internet.de/bsig_2025/__31.html
• § 32: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• § 37: https://www.gesetze-im-internet.de/bsig_2025/__37.html
• [N-BSIG-38] § 38 BSIG: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• § 39: https://www.gesetze-im-internet.de/bsig_2025/__39.html
• § 56: https://www.gesetze-im-internet.de/bsig_2025/__56.html
• § 59: https://www.gesetze-im-internet.de/bsig_2025/__59.html
• § 60: https://www.gesetze-im-internet.de/bsig_2025/__60.html
• § 61: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• § 62: https://www.gesetze-im-internet.de/bsig_2025/__62.html
• § 63: https://www.gesetze-im-internet.de/bsig_2025/__63.html
• § 64: https://www.gesetze-im-internet.de/bsig_2025/__64.html
• [N-BSIG-65] § 65 BSIG: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• § 66: https://www.gesetze-im-internet.de/bsig_2025/__66.html

Gesellschaftsrecht und Mitbestimmung

• AktG, Gesamttext: https://www.gesetze-im-internet.de/aktg/AktG.pdf
• [N-AktG-76] § 76 AktG: https://www.gesetze-im-internet.de/aktg/__76.html
• [N-AktG-77] § 77 AktG: https://www.gesetze-im-internet.de/aktg/__77.html
• § 84 AktG: https://www.gesetze-im-internet.de/aktg/__84.html
• [N-AktG-90] § 90 AktG: https://www.gesetze-im-internet.de/aktg/__90.html
• [N-AktG-91] § 91 AktG: https://www.gesetze-im-internet.de/aktg/__91.html
• [N-AktG-93] § 93 AktG: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-107] § 107 AktG: https://www.gesetze-im-internet.de/aktg/__107.html
• [N-AktG-110] § 110 AktG: https://www.gesetze-im-internet.de/aktg/__110.html
• § 111 AktG: https://www.gesetze-im-internet.de/aktg/__111.html
• [N-AktG-116] § 116 AktG: https://www.gesetze-im-internet.de/aktg/__116.html
• GmbHG, Gesamttext: https://www.gesetze-im-internet.de/gmbhg/GmbHG.pdf
• § 38 GmbHG: https://www.gesetze-im-internet.de/gmbhg/__38.html
• [N-GmbHG-43] § 43 GmbHG: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-GmbHG-46] § 46 GmbHG: https://www.gesetze-im-internet.de/gmbhg/__46.html
• [N-GmbHG-51a] § 51a GmbHG: https://www.gesetze-im-internet.de/gmbhg/__51a.html
• [N-GmbHG-52] § 52 GmbHG: https://www.gesetze-im-internet.de/gmbhg/__52.html
• DrittelbG, Gesamttext: https://www.gesetze-im-internet.de/drittelbg/DrittelbG.pdf
• § 1 DrittelbG: https://www.gesetze-im-internet.de/drittelbg/__1.html
• MitbestG, Gesamttext: https://www.gesetze-im-internet.de/mitbestg/BJNR011530976.html
• § 1 MitbestG: https://www.gesetze-im-internet.de/mitbestg/__1.html
• § 25 MitbestG: https://www.gesetze-im-internet.de/mitbestg/__25.html
• § 31 MitbestG: https://www.gesetze-im-internet.de/mitbestg/__31.html

Ordnungswidrigkeitengesetz (OWiG)

• OWiG, Gesamttext: https://www.gesetze-im-internet.de/owig_1968/OWiG.pdf
• § 8 OWiG: https://www.gesetze-im-internet.de/owig_1968/__8.html
• § 9 OWiG: https://www.gesetze-im-internet.de/owig_1968/__9.html
• § 14 OWiG: https://www.gesetze-im-internet.de/owig_1968/__14.html
• § 17 OWiG: https://www.gesetze-im-internet.de/owig_1968/__17.html
• § 30 OWiG: https://www.gesetze-im-internet.de/owig_1968/__30.html
• § 36 OWiG: https://www.gesetze-im-internet.de/owig_1968/__36.html
• [N-OWiG-130] § 130 OWiG: https://www.gesetze-im-internet.de/owig_1968/__130.html
• § 131 OWiG: https://www.gesetze-im-internet.de/owig_1968/__131.html

14.2 EU-Recht

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2), insbesondere Art. 5, 20, 21, 32 und 33: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555
• Verordnung (EU) 2022/2554 (DORA), insbesondere Art. 5: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554
• Verordnung (EU) Nr. 910/2014 (eIDAS), konsolidiert, insbesondere Art. 19a, Art. 24 Abs. 2 Buchstabe fa und Abs. 5: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02014R0910-20241018
• Durchführungsverordnung (EU) 2024/2690 (§-30-Abs.-3-Spezialrechtsakt): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2690
• Durchführungsverordnung (EU) 2025/2160: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025R2160
• Durchführungsverordnung (EU) 2025/2530: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32025R2530
• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679

14.3 Rechtsprechung

Keine tragenden Rechtsprechungsquellen in dieser Fassung. Der Artikel stützt keine Aussage auf ein Gericht, ein Aktenzeichen, eine ECLI oder einen Leitsatz; die rechtlichen Aussagen folgen unmittelbar aus dem Norm-, Verordnungs- und Materialtext.

14.4 Behörden, Gesetzesmaterialien und Kommissionsvorschläge

• Bundestagsdrucksache 21/1501, Gesetzentwurf zum NIS-2-Umsetzungsgesetz, insbesondere die Begründung zu § 38 BSIG: https://dserver.bundestag.de/btd/21/015/2101501.pdf

14.5 Markt, Standards und sonstige Praxis

Keine eigenständige Marktquelle herangezogen. Zertifikate, Standards, Audits und Dashboards werden im Body nur als Beweismittel oder Steuerungsinstrumente genannt; sie begründen keinen Marktstandard und ersetzen die einrichtungsbezogene Überwachung nach § 38 in Verbindung mit § 30 BSIG nicht.

14.6 Prüfstatus und Schlusssatz

• Rechts- und Redaktionsstand: 26. Juni 2026, Version 1.7. Die tragenden Quellen wurden mit Stand 26. Juni 2026 zugrunde gelegt; bei späterer Verwendung ist der dynamische Rechtsstand erneut zu prüfen.
• BSIG-Stand: BSI-Gesetz vom 2. Dezember 2025, in Kraft seit 6. Dezember 2025, geändert durch Artikel 4 des Gesetzes vom 11. März 2026 (Wirkung seit 17. März 2026).
• Statushinweis: § 38 Abs. 1 BSIG ist kein eigener Bußgeldtatbestand des § 65 BSIG; persönliche und Verbandsfolgen ergeben sich nur über die eigenständigen Pfade (§ 30/§ 65 BSIG, §§ 30, 130 OWiG, rechtsformspezifische Haftung).

15. CyberSchutzEngel-Hinweis

CyberSchutzEngel ordnet NIS-2-Pflichten, Organverantwortung und Nachweisarchitektur so, dass Geschäftsleitung, Aufsichtsgremium und Fachfunktionen dieselbe Kausalkette sehen.