Was § 38 BSIG von der Geschäftsleitung verlangt

Die Schulungspflicht nach § 38 Abs. 3 behandelt die Seite NIS2-Schulung der Geschäftsleitung; welche Maßnahmen § 30 im Einzelnen fordert, steht auf der Seite zu § 30 BSIG, alle Pflichten im Überblick in der Übersicht der NIS2-Pflichten. Die Darstellung ist allgemeine Information zum BSIG in der Fassung vom 22.10.2026, keine Rechtsberatung; die Einordnung im Einzelfall ist rechtlich zu prüfen.

Was steht in § 38 BSIG?

§ 38 regelt in drei Absätzen Umsetzung, Haftung und Schulung. Er gilt seit dem 06.12.2025 ohne allgemeine Übergangsfrist, unabhängig davon, ob die Einrichtung schon beim BSI registriert ist.

Geschäftsleitung im Sinne des BSIG ist jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist (§ 2 Nr. 13). Bei einer GmbH sind das die Geschäftsführerinnen und Geschäftsführer, bei einer AG die Mitglieder des Vorstands.

Die NIS2-Richtlinie formuliert in Art. 20 Abs. 1 etwas anders: Dort „billigen“ die Leitungsorgane die Maßnahmen und überwachen ihre Umsetzung. Das deutsche Gesetz verlangt mit „umsetzen“ mehr als eine Freigabe. Für Einrichtungen in Deutschland gilt der Wortlaut des BSIG.

Was heißt „umsetzen und überwachen“ im Alltag?

Umsetzen heißt, dass die Geschäftsleitung dafür sorgt, dass die Maßnahmen nach § 30 tatsächlich ergriffen werden: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, deren Einhaltung die Einrichtung dokumentiert (§ 30 Abs. 1). Überwachen heißt, sich regelmäßig über den Stand unterrichten zu lassen und einzugreifen, wenn etwas nicht läuft.

Aus unserer Sicht gehören dazu fünf Tätigkeiten, die sich in keinem Unternehmen vollständig abgeben lassen:

• Ziele und Rahmen festlegen: Sicherheitsleitlinie und Risikobereitschaft beschließen, also festlegen, welche Risiken das Unternehmen nicht eingehen will.
• Zuständigkeiten vergeben: eine Person benennen, die für die Informationssicherheit verantwortlich ist und direkt an die Geschäftsleitung berichtet.
• Mittel bereitstellen: Budget, Arbeitszeit und Dienstleister freigeben, die der Maßnahmenplan braucht.
• Stand abfragen: in festen Abständen einen Bericht entgegennehmen und lesen.
• Entscheiden: Verzögerungen, Zielkonflikte und verbleibende Risiken entscheiden, statt sie offen zu lassen.

Für die elf digitalen Einrichtungsarten, für die die Durchführungsverordnung (EU) 2024/2690 gilt (etwa Cloud-Anbieter, Rechenzentren und Managed Service Provider, vollständig im Sektorenverzeichnis), ist das genauer geregelt. Für alle anderen Einrichtungen sind diese Regeln keine Pflicht, aber ein brauchbarer Maßstab:

Was darf die Geschäftsleitung delegieren, was nicht?

Die Arbeit an den Maßnahmen darf die Geschäftsleitung verteilen, die Überwachung nicht. § 38 Abs. 1 richtet beide Pflichten an die Geschäftsleitung selbst. Das BSI drückt es so aus: Die Wahl des Umsetzungsweges ist frei, die Verantwortung für das gesetzlich geforderte Sicherheitsniveau liegt vollständig bei der Unternehmensleitung.

Hat die Geschäftsleitung mehrere Mitglieder und eine Geschäftsverteilung, kann das Thema in einem Ressort liegen. Das BSIG nennt trotzdem jede einzelne Person der Geschäftsleitung als Adressat (siehe FAQ unten).

Einen externen Informationssicherheitsbeauftragten zu bestellen, ist ein möglicher Weg, die Arbeit zu verteilen. Wie das als Leistung aussieht, beschreibt Blackfort Technology auf der Seite externer Informationssicherheitsbeauftragter.

Wie belegt die Geschäftsleitung ihre Überwachung?

Am besten mit Unterlagen, die zeigen, dass sie informiert war und entschieden hat. Eine gesetzliche Form oder ein Turnus ist dafür nicht vorgegeben. Die Einhaltung der Maßnahmen nach § 30 Abs. 1 ist aber zu dokumentieren, und auf Anordnung des BSI muss eine Einrichtung nachweisen, dass sie die Vorgaben umgesetzt hat.

Geeignete Nachweisbeispiele, getrennt nach Herkunft:

Ein Bericht allein belegt wenig, wenn nie etwas daraus folgt. Aussagekräftig wird er, wenn spätere Berichte zeigen, dass beschlossene Maßnahmen umgesetzt wurden oder warum nicht.

Wie haften Geschäftsführer nach NIS2 (§ 38 Abs. 2 BSIG)?

§ 38 Abs. 2 regelt eine Innenhaftung: Die Geschäftsleitung haftet ihrer eigenen Einrichtung für einen schuldhaft verursachten Schaden, und zwar nach den Regeln des Gesellschaftsrechts, die für die Rechtsform gelten. Das BSIG selbst greift nur ein, wenn das Gesellschaftsrecht keine solche Regel enthält.

Für die GmbH steht diese Regel in § 43 GmbHG: Geschäftsführer haben die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden und haften der Gesellschaft für Schäden aus der Verletzung ihrer Obliegenheiten. Für die AG gilt § 93 AktG; dort trägt das Vorstandsmitglied im Streitfall die Beweislast dafür, dass es sorgfältig gehandelt hat. § 38 Abs. 2 BSIG knüpft die Haftung für Verstöße gegen § 38 Abs. 1 an diese bekannten Regeln. Eine Haftung gegenüber Kunden oder Dritten regelt er nicht. Ob sich eine Haftung gegenüber Dritten aus anderen Vorschriften ergibt, etwa aus Vertrag oder Deliktsrecht, ist im Einzelfall zu prüfen.

Drei Abgrenzungen helfen bei der Einordnung:

• Bußgelder: § 65 BSIG enthält keinen eigenen Bußgeldtatbestand für § 38. Die Tatbestände knüpfen an Pflichten der Einrichtung an, etwa an nicht ergriffene oder nicht dokumentierte Maßnahmen nach § 30 oder eine versäumte Meldung nach § 32. Nach dem allgemeinen Ordnungswidrigkeitenrecht kann sich ein Bußgeld aber auch gegen die Mitglieder der Geschäftsleitung richten, die für die Einrichtung handeln (§ 9 OWiG), und daneben gegen die Einrichtung selbst (§ 30 OWiG). Die Höhe hängt vom Tatbestand ab; Einzelheiten stehen in der Pflichtenübersicht.
• Aufsicht: Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen, wenn die Einrichtung Anordnungen des BSI trotz Fristsetzung nicht befolgt hat (§ 61 Abs. 9). Bei wichtigen Einrichtungen prüft das BSI nur, wenn Tatsachen einen Verstoß nahelegen (§ 62).
• Einzelfall: Ob im konkreten Fall ein Schaden, ein Verschulden und eine Pflichtverletzung vorliegen, ist eine Rechtsfrage, die eine Anwältin oder ein Anwalt für Gesellschaftsrecht beantworten sollte.

Für wen gilt § 38 nicht?

§ 38 gilt für die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen. Ausgenommen sind nach § 28 Abs. 5 und 6 unter anderem Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste, bestimmte Betreiber im Energiebereich, Finanzunternehmen unter DORA sowie die gematik und Betreiber von Diensten der Telematikinfrastruktur. Die Ausnahmen haben Rückausnahmen, etwa wenn weitere Tätigkeiten unter Anlage 1 oder 2 hinzukommen; die Einzelheiten erklärt die Seite NIS2-Betroffenheit prüfen. Für TK-Anbieter beschreibt Blackfort Technology die Rechtslage auf der Seite TK-Anbieter unter NIS2 und TKG. In der Bundesverwaltung gilt § 38 nicht (§ 29 Abs. 2); die Schulungspflicht der Leitung steht dort in § 43 Abs. 2.

Beispiel: ein Hersteller mit zwei Geschäftsführern

Fiktives Beispiel, kein Kunde. Ein Hersteller von Messtechnik mit 160 Beschäftigten fällt unter Anlage 2 (Herstellung von elektronischen und optischen Erzeugnissen) und ist damit wichtige Einrichtung. Die GmbH hat zwei Geschäftsführer: Der kaufmännische Geschäftsführer ist für IT zuständig, der technische für Produktion und Entwicklung. Die IT besteht aus drei Personen, Netzwerk und Firewall betreut ein Dienstleister. Eine Mitarbeiterin der IT ist als Informationssicherheitsbeauftragte benannt, mit direktem Berichtsweg an beide Geschäftsführer.

Die Geschäftsführung beschließt einen Maßnahmenplan für zwölf Monate (siehe Maßnahmenplan) und vereinbart einen Bericht je Quartal. Der Bericht geht an beide Geschäftsführer, wird in der Geschäftsführerrunde besprochen, und die Entscheidungen werden im Protokoll festgehalten. Der folgende Bericht für das dritte Quartal 2026 zeigt, wie das aussieht.

Vorlage: Bericht an die Geschäftsleitung (Quartal)

Die Vorlage ist unsere Empfehlung; Aufbau und Rhythmus schreibt das Gesetz nicht vor. Die Werte stammen aus dem fiktiven Beispiel oben.

1. Kopf

2. Stand der Maßnahmen nach § 30 Abs. 2 BSIG

3. Kennzahlen

4. Sicherheitsvorfälle und Meldungen

Zwei Sicherheitsvorfälle im Quartal: ein Phishing-Konto (gesperrt nach 40 Minuten, kein Datenabfluss festgestellt) und ein Ausfall der Firewall für 2 Stunden (Hardwaredefekt). Beide wurden nach dem Meldeprozess bewertet; keiner war ein erheblicher Sicherheitsvorfall, keine Meldung an das BSI. Bewertung und Begründung liegen im Vorfallregister.

5. Entscheidungen erforderlich

6. Protokollvermerk

Zu Entscheidung E2: Das BSI weist darauf hin, dass das BSIG angemessene, wirksame und verhältnismäßige Maßnahmen fordert, während ISO 27001 Risikoakzeptanz erlaubt. Ein Risiko einfach hinzunehmen, ist deshalb kein sicherer Weg; im Beispiel beschließt die Geschäftsführung Übergangsmaßnahmen und einen festen Termin. Wie die Risiken bewertet werden, zeigt die Seite Risikoanalyse.

Drei typische Lücken

Wie Blackfort Technology unterstützt

Wir richten mit Ihnen den Berichtsweg ein, liefern den ersten Bericht auf Grundlage Ihres tatsächlichen Stands und begleiten die Besprechung mit der Geschäftsleitung. Ein guter Ausgangspunkt ist die NIS2-Gap-Analyse, deren Ergebnis sich direkt als erster Bericht verwenden lässt.