Kurzdefinition: § 38 BSIG nimmt die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen persönlich in die Pflicht: Sie muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Die Verantwortung ist damit nicht vollständig an die IT delegierbar. [N-BSIG-38]
Der Normwortlaut
§ 38 Abs. 1 BSIG lautet amtlich: „Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.“ [N-BSIG-38]
Welche Pflichten hat die Geschäftsleitung nach NIS-2?
Zwei, die zusammengehören: die Umsetzung der Maßnahmen nach § 30 BSIG und die Überwachung dieser Umsetzung. Das ist mehr als ein Auftrag an die IT-Abteilung. Die Geschäftsleitung muss sicherstellen, dass die Maßnahmen ergriffen werden, und sich fortlaufend vergewissern, dass sie wirken. Hinzu tritt nach § 38 Abs. 3 BSIG die Pflicht, regelmäßig an Schulungen teilzunehmen. [N-BSIG-38]
Kann die Geschäftsleitung diese Pflicht delegieren?
Die operative Durchführung ja, die Verantwortung nicht vollständig. Die Umsetzung kann an Fachabteilungen und Dienstleister übertragen werden. Die Überwachungspflicht bleibt jedoch bei der Geschäftsleitung: Sie muss die Delegation ausgestalten, kontrollieren und dokumentieren. Wer nur delegiert, ohne die Umsetzung zu überwachen, kann § 38 Abs. 1 BSIG verfehlen. [N-BSIG-38]
Haftet die Geschäftsleitung persönlich?
Ja, aber nach den Regeln des Gesellschaftsrechts. § 38 Abs. 2 BSIG bestimmt: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden „nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts“. Nach dem BSIG selbst haften sie nur, wenn die gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung enthalten. Die BSIG-Haftung ist damit subsidiär — sie ist die Brücke ins Gesellschaftsrecht, nicht ein eigener, zusätzlicher Haftungsgrund. [N-BSIG-38]
Was umfasst die Überwachungspflicht?
Fortlaufende Kontrolle. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung nicht nur zur Umsetzung, sondern auch dazu, deren Umsetzung zu überwachen. Das bedeutet die laufende Kontrolle, ob die Risikomanagementmaßnahmen nach § 30 BSIG tatsächlich umgesetzt und wirksam sind — nicht eine einmalige Freigabe. [N-BSIG-38]
Worauf verweist § 38 Abs. 2 BSIG bei der Haftung?
Auf das Gesellschaftsrecht. Die Haftung der Geschäftsleitung richtet sich primär nach den gesellschaftsrechtlichen Regeln; § 38 Abs. 2 BSIG greift subsidiär nur, wenn dort keine Haftungsregel besteht. Die Vorschrift schafft also keine völlig eigenständige, neue Haftung. [N-BSIG-38]
Häufige Fehlannahmen
- „Cyber-Sicherheit ist Sache der IT, nicht der Geschäftsleitung.“ Nein. § 38 Abs. 1 BSIG adressiert ausdrücklich die Geschäftsleitung. [N-BSIG-38]
- „Mit der Delegation an die IT ist die Pflicht erfüllt.“ Nein. Die Überwachungspflicht bleibt bei der Geschäftsleitung. [N-BSIG-38]
- „§ 38 BSIG schafft eine neue, eigenständige Haftung.“ Nur subsidiär. § 38 Abs. 2 BSIG verweist primär auf das Gesellschaftsrecht und greift selbst nur, wenn dieses keine Haftungsregel enthält. [N-BSIG-38]
- „Die Geschäftsleitung muss die Maßnahmen nicht selbst umsetzen.“ Nicht ganz. Sie muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen; die operative Ausführung kann delegiert werden, die Letztverantwortung bleibt. [N-BSIG-38]
- „Mit einer einmaligen Freigabe ist die Überwachung erledigt.“ Nein. Die Überwachung umfasst die fortlaufende Kontrolle der Umsetzung und Wirksamkeit der Maßnahmen. [N-BSIG-38]
Was die Geschäftsleitung tun sollte
- Umsetzung anstoßen. Die Maßnahmen nach § 30 BSIG aktiv veranlassen.
- Überwachung einrichten. Regelmäßige Berichte, Kennzahlen und Kontrollpunkte festlegen.
- Delegation dokumentieren. Wer was verantwortet, sollte nachvollziehbar geregelt sein.
- Schulungen wahrnehmen. § 38 Abs. 3 BSIG verlangt die regelmäßige Teilnahme.
Für die Geschäftsleitung
§ 38 BSIG ist der Paragraf, der Cyber-Sicherheit zur Chefsache macht. Er verlangt Umsetzung und Überwachung — und lässt die operative Arbeit delegieren, die Verantwortung aber nicht. Die Haftung läuft über das Gesellschaftsrecht und ist im BSIG nur subsidiär geregelt. Der praktische Schutz liegt in der dokumentierten Überwachung: Sie stützt die Pflichterfüllung und ist zugleich der Nachweis, auf den es in der Innenhaftung ankommen kann.
Quellen
- [N-BSIG-38] § 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen), Abs. 1 bis 3. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__38.html
