Kurzdefinition: Geschäftsleitung ist im Cybersicherheitsrecht ein Rechtsbegriff mit eigener Legaldefinition. Nach § 2 Nummer 13 BSIG ist sie die natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist. Sie ist Adressat der Umsetzungs- und Überwachungspflicht des § 38 BSIG. [N-BSIG-2]
Der Normwortlaut
§ 2 Nummer 13 BSIG definiert „Geschäftsleitung“ als „eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung“. [N-BSIG-2]
Wer gehört zur Geschäftsleitung?
Die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Geschäftsführung und Vertretung berufenen natürlichen Personen. In der GmbH sind das die Geschäftsführer, in der Aktiengesellschaft die Vorstandsmitglieder. Maßgeblich ist die formale Berufung — nicht der Titel und nicht die faktische Rolle. [N-BSIG-2]
Ist der IT-Leiter Geschäftsleitung?
Nein. Die Definition knüpft an die Berufung zur Führung der Geschäfte und zur Vertretung der Einrichtung an. Ein IT-Leiter, ein CISO oder ein Bereichsleiter erfüllt das regelmäßig nicht, auch wenn er die Sicherheit operativ verantwortet. Die Pflicht bleibt damit bei der Geschäftsleitung. [N-BSIG-2]
Warum ist die Definition so wichtig?
Weil sie den Adressaten der schärfsten NIS-2-Pflicht bestimmt. § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Wer unter die Definition fällt, trägt diese Pflicht persönlich. [N-BSIG-2] [N-BSIG-38]
Gilt derselbe Begriff im KRITIS-Dachgesetz?
Parallel, aber mit eigenem Bezugspunkt. § 2 Nummer 11 KRITIS-Dachgesetz definiert Geschäftsleitung als natürliche Person, die „nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung eines Betreibers kritischer Anlagen berufen ist“; dort gelten zusätzlich Leiterinnen und Leiter von Behörden nicht als Geschäftsleitung. [N-KRITISDachG-2]
Sind Behördenleitungen erfasst?
Nein. § 2 Nummer 13 BSIG nimmt Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 ausdrücklich aus. Das KRITIS-Dachgesetz nimmt zusätzlich Behördenleitungen aus. [N-BSIG-2] [N-KRITISDachG-2]
Häufige Fehlannahmen
- „Geschäftsleitung ist ein Sammelbegriff für das Management.“ Nein. § 2 Nummer 13 BSIG enthält eine Legaldefinition, die an die Berufung zur Geschäftsführung und Vertretung anknüpft. [N-BSIG-2]
- „Auch der CISO ist Geschäftsleitung.“ Nein. Ohne Berufung zur Vertretung der Einrichtung fällt er nicht unter die Definition. [N-BSIG-2]
- „Eine juristische Person kann Geschäftsleitung sein.“ Nein. Die Definition spricht ausdrücklich von einer natürlichen Person. [N-BSIG-2]
- „Behördenleiter sind wie Geschäftsleiter verpflichtet.“ Nein. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 gelten nicht als Geschäftsleitung. [N-BSIG-2]
Was die Geschäftsleitung tun sollte
- Adressatenkreis klären. Schriftlich festhalten, wer im Unternehmen unter die Legaldefinition fällt.
- Pflichten zuordnen. Die Umsetzungs- und Überwachungspflicht des § 38 BSIG diesen Personen zuweisen.
- Delegation sauber trennen. Operative Aufgaben können delegiert werden, die Überwachungspflicht bleibt.
Für die Geschäftsleitung
Der Begriff ist kein Etikett, sondern die Eintrittskarte in die persönliche Verantwortung. Wer nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung und Vertretung berufen ist, trägt die NIS-2-Pflichten selbst — unabhängig davon, wie gut die IT-Abteilung aufgestellt ist.
Quellen
- [N-BSIG-2] § 2 Nummer 13 BSIG (Begriffsbestimmungen — Geschäftsleitung). Geltende Fassung, Stand 13. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__2.html
- [N-BSIG-38] § 38 BSIG (Umsetzungs- und Überwachungspflicht der Geschäftsleitung). Geltende Fassung, Stand 13. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__38.html
- [N-KRITISDachG-2] § 2 Nummer 11 KRITIS-Dachgesetz (Begriffsbestimmungen — Geschäftsleitung). BGBl. 2026 I Nr. 66 vom 16.3.2026. Amtlich: https://www.gesetze-im-internet.de/kritisdachg/__2.html
