§ 38 BSIG
Geschäftsleitungspflichten und persönliche Innenhaftung im NIS2UmsuCG
TL;DR
§ 38 BSIG (in Kraft seit 06.12.2025) verpflichtet die Geschäftsleitung wesentlicher und wichtiger Einrichtungen, die Risikomanagement-Maßnahmen nach § 30 zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. Bei schuldhaften Pflichtverletzungen sieht § 38 Abs. 2 eine persönliche Innenhaftung gegenüber der Einrichtung nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts vor.
Was ist § 38 BSIG?
§ 38 BSIG ist die schärfste Norm für NIS2-Compliance: Sie zieht die Geschäftsleitung persönlich in die Pflicht. Die Pflichten:
- Abs. 1: Umsetzung der Risikomanagement-Maßnahmen nach § 30 und Überwachung ihrer Umsetzung — nicht delegierbar an IT oder Compliance-Abteilung
- Abs. 2: Persönliche Innenhaftung gegenüber der Einrichtung bei schuldhafter Pflichtverletzung — nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (subsidiär, wenn dort keine Haftungsregelung besteht)
- Abs. 3: Pflicht zur Teilnahme an Schulungen — zur Erkennung und Bewertung von Cybersicherheitsrisiken
Deutschland und Österreich im Vergleich
Die Verantwortung der Leitungsorgane beruht auf Art. 20 der NIS-2-Richtlinie (RL (EU) 2022/2555) und ist in Deutschland und Österreich in getrennten nationalen Gesetzen umgesetzt.
Deutschland — § 38 BSIG
Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagement-Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (Abs. 1). Verletzen sie diese Pflichten, haften sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts (Abs. 2). Zudem müssen sie regelmäßig an Schulungen teilnehmen (Abs. 3). Aufsicht: Bundesamt für Sicherheit in der Informationstechnik (BSI).
Österreich — § 31 NISG 2026
In Österreich setzt das NISG 2026 (BGBl. I Nr. 94/2025) die Richtlinie um. Die Leitungsorgane wesentlicher und wichtiger Einrichtungen haben die Einhaltung der Risikomanagement-Maßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1). Sie müssen an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 2). Aufsicht: Cybersicherheitsbehörde.
Praxisbeispiel
Ein Geschäftsführer eines Versicherungsunternehmens (wichtige Einrichtung) verzichtet darauf, eine MFA-Lösung trotz expliziter Empfehlung des CISO zu billigen — Kostengrund. Sechs Monate später wird das Unternehmen Opfer eines Ransomware-Angriffs, der über kompromittierte Admin-Accounts erfolgt. Schaden: 2,5 Mio. EUR.
Mögliche Folgen: BSI-Bußgeld bis 7 Mio. EUR / 1,4 % Umsatz; persönliche Haftung des GF nach § 38 Abs. 2 für die 2,5 Mio. EUR Schaden gegenüber der Einrichtung; Vorstand-Innenhaftung bei AG zusätzlich nach §93 AktG. D&O-Versicherung deckt nicht zwingend, wenn grobe Fahrlässigkeit nachweisbar.