Kurzdefinition: § 38 BSIG verankert die Verantwortung der Geschäftsleitung für die Cybersicherheit und ihre Haftung bei Pflichtverletzung. Verletzt sie ihre Umsetzungs- und Überwachungspflicht, haftet sie der Einrichtung für den schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts. [N-BSIG-38]
Der Normwortlaut
§ 38 Abs. 2 BSIG bestimmt: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, „haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts“. Nach dem BSIG selbst haften sie nur subsidiär, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. [N-BSIG-38]
Haftet die Geschäftsleitung nach NIS-2?
Ja, bei Verletzung ihrer Pflichten. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der eigenen Einrichtung für den entstandenen Schaden. Die Verantwortung ist damit ausdrücklich Chefsache. § 30 Absatz 7 und § 30 Absatz 8 BSIG enthalten daneben Sonderregelungen für bestimmte Einrichtungen; maßgeblich für die Haftung bleibt die Umsetzungs- und Überwachungspflicht. [N-BSIG-38] [N-BSIG-30]
Wonach richtet sich die Haftung?
Nach dem Gesellschaftsrecht der Rechtsform. § 38 Abs. 2 BSIG verweist auf die auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts — bei der Aktiengesellschaft also auf § 93 AktG, bei der GmbH auf § 43 GmbHG. Das BSIG schafft keine eigene, strengere Haftung, sondern knüpft an die bestehende Organhaftung an. [N-BSIG-38] [N-AktG-93] [N-GmbHG-43]
Kann die Haftung abbedungen werden?
Nur im Rahmen des Gesellschaftsrechts. Weil § 38 Abs. 2 BSIG auf das Gesellschaftsrecht verweist, gelten dessen Grenzen für Verzicht und Vergleich — bei der Aktiengesellschaft etwa die Sperrfrist und der Zustimmungsvorbehalt des § 93 Absatz 4 AktG. Die gesellschaftsrechtliche Innenhaftung ist nach den jeweiligen Organhaftungsregeln und deren Grenzen zu prüfen; damit lässt sich die Verantwortung der Geschäftsleitung nicht einfach pauschal vertraglich ausschließen. [N-BSIG-38] [N-AktG-93] [N-GmbHG-43]
Ist die BSIG-Haftung eigenständig?
Nur subsidiär. Nach dem BSIG selbst haftet die Geschäftsleitung nur, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Die gesellschaftsrechtliche Haftung hat also Vorrang. [N-BSIG-38]
Setzt die Haftung ein Verschulden voraus?
Ja. § 38 Abs. 2 BSIG spricht von einem schuldhaft verursachten Schaden. Ohne Verschulden der Geschäftsleitung besteht keine Haftung nach dieser Vorschrift. [N-BSIG-38]
Häufige Fehlannahmen
- „NIS-2 schafft eine neue, eigene Geschäftsleiterhaftung.“ Nein. § 38 BSIG verweist auf das Gesellschaftsrecht. [N-BSIG-38]
- „Die Geschäftsleitung kann die Cybersicherheit vollständig delegieren.“ Nein. Umsetzung und Überwachung bleiben ihre Pflicht. [N-BSIG-38]
- „Die Haftung lässt sich vertraglich ausschließen.“ Nur im Rahmen des Gesellschaftsrechts, das enge Grenzen setzt. [N-BSIG-38]
- „Es genügt, die Cybersicherheit einzukaufen.“ Nein. Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. [N-BSIG-38] [N-BSIG-30]
- „Schulungen der Geschäftsleitung sind freiwillig.“ Nein. Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können. [N-BSIG-38]
Was die Geschäftsleitung tun sollte
- Verantwortung annehmen. Umsetzung und Überwachung der Maßnahmen zur Chefsache machen.
- Entscheidungen dokumentieren. Informierte Entscheidungen nachweisbar festhalten.
- Überwachung organisieren. Berichtswege und Kontrollen einrichten.
- Versicherung prüfen. D&O-Deckung für Cyber-Pflichtverletzungen klären.
Für die Geschäftsleitung
§ 38 BSIG macht Cybersicherheit zur persönlichen Führungsverantwortung: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und überwachen — und haftet bei schuldhafter Verletzung nach dem Gesellschaftsrecht ihrer Rechtsform. NIS-2 erfindet die Haftung nicht neu, aber es macht unmissverständlich klar, dass sie greift.
Quellen
- [N-BSIG-38] § 38 BSIG (Umsetzung der Risikomanagementmaßnahmen, Überwachung und Haftung der Geschäftsleitung), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__38.html
- [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen). Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
- [N-AktG-93] § 93 AktG (Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/aktg/__93.html
- [N-GmbHG-43] § 43 GmbHG (Haftung der Geschäftsführer), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/gmbhg/__43.html
