§ 38 BSIG GF-Haftung: D&O-Versicherung + Schutz-Plan

Hauptartikel: NIS2-Umsetzung in Deutschland — der vollständige Artikel zum Thema.

1. § 38 BSIG-Tatbestand

Verletzen Geschäftsführer die Pflicht, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und zu überwachen, haften sie ihrer Einrichtung gegenüber persönlich für den schuldhaft verursachten Schaden (§ 38 Abs. 2 BSIG). § 38 Abs. 2 BSIG enthält keine betragsmäßige Haftungsobergrenze — die Innenhaftung richtet sich unbegrenzt nach dem für die Rechtsform geltenden Gesellschaftsrecht (z. B. § 43 GmbHG, § 93 AktG). Ein oft genannter Betrag von „2 Mio. EUR" ist keine gesetzliche Grenze, sondern allenfalls eine vertraglich vereinbarte D&O-Deckungssumme; im BSIG begegnet die Zahl zudem als Bußgeldstufe (Abschnitt 6). Zusätzlich drohen Bußgelder nach § 65 BSIG (Bußgeldvorschriften) — diese Rahmen knüpfen an die Einrichtung an (Abschnitt 6).

Die Norm gliedert sich in drei Absätze, die zusammen den Pflichtenkreis der Geschäftsleitung bilden:

Praktisch heißt das für die GmbH: Anspruchsgrundlage der Innenhaftung ist § 43 GmbHG; für andere Rechtsformen die jeweils einschlägige gesellschaftsrechtliche Haftungsnorm (z. B. § 93 AktG). § 38 Abs. 2 Satz 2 BSIG greift nur dort eigenständig ein, wo das jeweilige Gesellschaftsrecht keine Haftungsregelung bereithält. Die Pflicht, deren Verletzung geprüft wird, folgt jedoch in jedem Fall aus § 38 Abs. 1 BSIG.

Entscheidend für die Praxis ist der Verschuldensmaßstab: Eine „grobe" Pflichtverletzung verlangt das Gesetz gerade nicht — gehaftet wird für jeden schuldhaft verursachten Schaden, also bereits bei einfacher Fahrlässigkeit. Unionsrechtlicher Hintergrund ist Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555: Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können für Verstöße verantwortlich gemacht werden.

2. D&O-Versicherung-Standard

Deckungssumme und Prämie einer D&O-Versicherung für Geschäftsführung und Vorstand hängen von Größe und Branche der Einrichtung, vom gewählten Deckungsumfang und vom Versichertenkreis ab; belastbare Werte liefern nur Angebote für die eigene Einrichtung. Bei der Wahl der Deckungssumme ist zu berücksichtigen, dass § 38 Abs. 2 BSIG keine betragsmäßige Haftungsobergrenze kennt (Abschnitt 1).

Eine Versicherung gehört nicht zum Pflichtenkatalog des § 38 BSIG (Abschnitt 1) — sie ersetzt weder eine der dortigen Pflichten noch die Dokumentation nach § 30 Abs. 1 BSIG.

Praxisempfehlung: Wer eine Police prüft oder verlängert, sollte den Deckungsumfang gegen den Haftungsmaßstab des § 38 Abs. 2 BSIG halten (Maßstab siehe Abschnitt 1) — marktübliche Policen grenzen bei grober Fahrlässigkeit ab (siehe Abschnitt 3). Die folgenden fünf Fragen sind aus diesem Haftungsmaßstab abgeleitet:

1. Innenhaftung gedeckt? Deckt die Police Ansprüche der eigenen Gesellschaft — und nicht nur Ansprüche Dritter? Genau dort setzt § 38 Abs. 2 BSIG an (Abschnitt 1).
2. Ab welchem Verschuldensgrad wird abgegrenzt? Gesetzlicher Maßstab siehe Abschnitt 1. Wo genau setzt die Police die Grenze?
3. Verteidigungskosten vorläufig gedeckt? Werden Anwalts- und Gerichtskosten auch dann zunächst übernommen, wenn später Vorsatz festgestellt wird — und was gilt dann für die Rückabwicklung?
4. Wer ist versichert? Gilt die Police für alle Mitglieder der Geschäftsleitung, auch für ausgeschiedene und für Organe von Tochtergesellschaften?
5. Wer trägt die Prämie, und ist die Entscheidung dokumentiert? Praxisempfehlung: Beleg und zugrunde liegender Beschluss gehören in dieselbe Akte wie die Beschlüsse nach § 38 Abs. 1 BSIG.

Als Prüfzeitpunkte bieten sich der Verlängerungstermin der Police, jeder Wechsel in der Geschäftsleitung und jeder Statuswechsel der Einrichtung an — etwa wenn sie durch Wachstum erstmals als wichtige oder besonders wichtige Einrichtung nach § 28 BSIG gilt.

3. Deckungsumfang: was marktübliche Policen tragen — und wo die Lücke zu § 38 Abs. 2 BSIG liegt

Marktübliche D&O-Policen tragen Verteidigungskosten und Schadensersatz an die eigene Gesellschaft, begrenzt auch Schadensersatz an Dritte; nicht getragen werden Vorsatz, grobe Fahrlässigkeit, Bußgelder und die Kosten strafrechtlicher Verfolgung (Marktangabe, Stand der Erstfassung 02.05.2026). Die Übersicht stellt jeden Posten dem Haftungsmaßstab des § 38 Abs. 2 BSIG gegenüber:

Daraus folgt die zentrale Lücke: Die gesetzliche Haftung reicht weiter, als marktübliche Policen decken. Die Police trägt den unteren Bereich (Maßstab: Abschnitt 1). Die Haftung selbst reicht darüber hinaus bis zu grober Fahrlässigkeit und Vorsatz; genau dieser obere Bereich bleibt persönliches Risiko der Geschäftsleitung. Umso wichtiger ist der dokumentierte Compliance-Aufbau — er ist der Nachweis, dass die Geschäftsleitung nach § 38 Abs. 1 BSIG umgesetzt und überwacht hat.

4. Pflicht-Schutz-Maßnahmen GF

Gesetzlich verpflichtend sind zwei der fünf Bausteine — die Dokumentation nach § 30 Abs. 1 BSIG und die persönliche Schulungsteilnahme nach § 38 Abs. 3 BSIG; für Betreiber kritischer Anlagen kommt der Nachweis nach § 39 Abs. 1 BSIG hinzu. Compliance-Officer, fester Audit-Rhythmus und Compliance-Bericht an den Aufsichtsrat sind Praxisempfehlung.

Was in die Dokumentation gehört: § 30 Abs. 1 BSIG verlangt, die Einhaltung der Risikomanagementmaßnahmen zu dokumentieren; einen Inhaltskatalog nennt die Vorschrift nach ihrem Wortlaut nicht. Als Praxisempfehlung — und nicht als gesetzliche Vorgabe — gibt der Katalog des § 30 Abs. 2 BSIG der Dokumentation die Gliederung: je Maßnahmenbereich ein Abschnitt (die zehn Bereiche stehen unten unter „Compliance-Bericht: Inhalt und Turnus"), darin die getroffene Maßnahme, die dafür verantwortliche Rolle, das Datum der letzten Fortschreibung und das Dokument, das die Einhaltung belegt. Drei dieser Belege sind es, die in Prüfungen erfahrungsgemäß fehlen — die Lieferantenliste mit Risikoklassifizierung samt Vertragsklauseln (Nr. 4; typischer Prüfbefund: keine Cybersecurity-Klauseln in den Verträgen), das datierte Prüfergebnis je Bereich (Nr. 6; Befund: keine dokumentierten KPIs) sowie Teilnahmedokumente und Auswertung der Phishing-Simulation (Nr. 7; Befund: keine Phishing-Simulation durchgeführt); sie gehören in genau diese Ablage. Turnus und Zuständigkeit des Nachweises nach § 39 Abs. 1 BSIG stehen in der Nachweiskette (Abschnitt 8).

Audit-Rhythmus: Bewährt hat sich, die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG über das Jahr zu staffeln, sodass jeder Bereich einmal jährlich an der Reihe ist: Der Compliance-Officer bereitet die Prüfung vor, die Geschäftsleitung nimmt das Ergebnis ab — abgeben kann sie die Überwachung nach § 38 Abs. 1 BSIG nicht. Nachweis ist je Bereich dasselbe datierte Prüfergebnis, das auch die Dokumentation nach § 30 Abs. 1 BSIG trägt. Betreiber kritischer Anlagen richten den Rhythmus am Dreijahres-Nachweis des § 39 Abs. 1 BSIG aus (Abschnitt 8); Einrichtungen außerhalb des § 39 BSIG setzen ihn selbst. Ebenfalls Praxisempfehlung ohne gesetzliche Frist ist das quartalsweise Reporting an die Geschäftsleitung.

Compliance-Officer: Sinnvoll zugeschnitten übernimmt die Rolle drei Aufgaben: die Dokumentation nach § 30 Abs. 1 BSIG pflegen, den Meldeprozess nach § 32 BSIG betreiben und den Bericht an die Geschäftsleitung vorbereiten. Berichtslinie ist die Geschäftsleitung selbst: Die Benennung entlastet sie nicht (Verantwortung nach § 38 Abs. 1 BSIG nicht delegierbar, siehe Abschnitt 1), sondern verschafft ihr die Grundlage für die Überwachung.

Schulungsnachweis nach § 38 Abs. 3 BSIG

§ 38 Abs. 3 BSIG verlangt von der Geschäftsleitung die regelmäßige Teilnahme an Schulungen; einen festen Turnus oder Inhaltskatalog gibt die Vorschrift nach ihrem Wortlaut nicht vor. Auch Art. 20 Abs. 2 der Richtlinie (EU) 2022/2555 bleibt bei der Teilnahmepflicht der Mitglieder der Leitungsorgane und der Pflicht, den Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. Wer also nach der einen richtigen Frequenz sucht, sucht nach etwas, das das Gesetz offenlässt; auszufüllen ist die Lücke risikobasiert und dokumentiert.

Als Praxisempfehlung — nicht als gesetzliche Frist — hat sich bewährt: einmal jährlich turnusmäßig, zusätzlich anlassbezogen bei jedem Wechsel in der Geschäftsleitung und nach einem erheblichen Sicherheitsvorfall. Der Teilnahmenachweis sollte Datum, Dauer, Inhalt, Teilnehmerliste und Unterschrift ausweisen und bei den Unterlagen zur Dokumentationspflicht abgelegt werden — so liegt er im selben Dokumentationsstrang wie die Nachweise nach § 30 Abs. 1 BSIG (Praxisempfehlung). Von den Schulungen aller Beschäftigten nach § 30 Abs. 2 Nr. 7 BSIG ist die Leitungsschulung dabei zu trennen: Letztere ist eine persönliche Pflicht der Geschäftsleitung.

Österreich: Ab 01.10.2026 formuliert § 31 Abs. 2 NISG 2026 enger als das BSIG — verlangt werden dort spezifisch gestaltete Cybersicherheitsschulungen für die Leitungsorgane; den Mitarbeitern sind regelmäßig entsprechende Schulungen anzubieten. Wer beide Ebenen in einer allgemeinen Awareness-Einheit zusammenfasst, sollte den Wortlaut „spezifisch gestaltet" also im Blick behalten und die Leitungsschulung gesondert nachweisen.

Compliance-Bericht: Inhalt und Turnus

In den Compliance-Bericht gehören vier Punkte: Stand der Dokumentation nach § 30 Abs. 1 BSIG, offene Punkte aus den zehn Maßnahmenbereichen des § 30 Abs. 2 BSIG, Teilnahmenachweise der Schulungen nach § 38 Abs. 3 BSIG und erfolgte Meldungen nach § 32 BSIG. Als Turnus bietet sich die ohnehin stattfindende Sitzungsfolge des Aufsichtsorgans an, mindestens jedoch einmal jährlich sowie nach jedem erheblichen Sicherheitsvorfall. Bericht und Turnus sind Praxisempfehlung; gesetzlich verankert sind die Überwachungspflicht nach § 38 Abs. 1 BSIG und die Dokumentationspflicht nach § 30 Abs. 1 BSIG.

Die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG geben dem Bericht die Gliederung: 1. Konzepte für Risikoanalyse und Sicherheit der Informationssysteme, 2. Bewältigung von Sicherheitsvorfällen, 3. Aufrechterhaltung des Betriebs (Backup, Wiederherstellung, Krisenmanagement), 4. Sicherheit der Lieferkette, 5. Sicherheit bei Erwerb, Entwicklung und Wartung, 6. Wirksamkeitsbewertung, 7. Cyberhygiene und Schulungen, 8. Kryptografie und Verschlüsselung, 9. Personalsicherheit und Zugriffskontrolle, 10. Multi-Faktor-Authentifizierung, kontinuierliche Authentifizierung und sichere Kommunikation. Eine Reifegrad-Bewertung je Bereich liefert das NIS2 Pflichtmaßnahmen-Audit.

5. Sonderfall: Aufsichtsrat

Konkret zu tun hat der Aufsichtsrat für NIS2 dreierlei — sämtlich Praxisempfehlung, da § 38 BSIG die Geschäftsleitung adressiert: den Compliance-Bericht der Geschäftsleitung entgegennehmen (Inhalt und Turnus siehe Abschnitt 4), zu offenen Punkten aus den zehn Maßnahmenbereichen des § 30 Abs. 2 BSIG nachfragen und die Befassung protokollieren. Das Protokoll ist der Nachweis, dass die Überwachung stattgefunden hat — für die Geschäftsleitung wie für das Aufsichtsorgan.

Zur Haftung: Der Aufsichtsrat haftet bei einer Verletzung seiner Überwachungspflichten persönlich — die tragende Norm dafür ist aber nicht § 38 BSIG, denn die Vorschrift verpflichtet nach ihrem Wortlaut die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen. Welche Norm die Haftung des Aufsichtsorgans im Einzelfall trägt, gehört in die Hand der rechtlichen Beratung.

Zur Versicherung: Die Absicherung des Aufsichtsrats ist als eigenständige Deckung zu behandeln. Ob und in welchem Umfang eine für die Geschäftsleitung abgeschlossene Police auch Aufsichtsorgane erfasst, ergibt sich maßgeblich aus dem in ihren Bedingungen benannten Versichertenkreis — das ist Frage 4 der Prüfliste in Abschnitt 2, und sie ist für den Aufsichtsrat gesondert zu stellen.

6. Bußgeldrahmen nach § 65 BSIG

Für schwere Pflichtverletzungen — u. a. gegen die Risikomanagementpflichten (§ 30 BSIG) und die Meldepflichten (§ 32 BSIG) — reicht der Bußgeldrahmen nach § 65 Abs. 5 Satz 1 Nr. 1 BSIG bis 10 Mio. EUR für besonders wichtige und bis 7 Mio. EUR für wichtige Einrichtungen; ab einem Gesamtumsatz über 500 Mio. EUR greift abweichend — und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße — die Prozentvariante. Die Rahmen des § 65 Abs. 5 bis 7 BSIG richten sich gegen die Einrichtung; die persönliche Haftung der Geschäftsleitung regelt § 38 Abs. 2 BSIG (Innenhaftung). Jede Zeile der Übersicht nennt die Fundstelle und — soweit das Gesetz ihn benennt — den Verstoßbezug, an den der jeweilige Rahmen anknüpft:

Anders als die Richtlinie kennt das BSIG kein pauschales „höherer Wert gilt": Die Umsatzvariante greift erst ab einem Gesamtumsatz von mehr als 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße. Gesamtumsatz ist dabei die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG).

Eine unmittelbar entlastende Regel steht am Ende der Vorschrift: Verhängt eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein Bußgeld nach der DSGVO, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG).

7. Österreich: § 31 NISG 2026 statt § 38 BSIG

In Österreich übernimmt ab 01.10.2026 § 31 NISG 2026 (BGBl. I Nr. 94/2025) die Rolle des § 38 BSIG: Die Leitungsorgane wesentlicher und wichtiger Einrichtungen haben die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen (Abs. 1) und müssen an spezifisch gestalteten Cybersicherheitsschulungen teilnehmen (Abs. 2). Eine ausdrückliche Innenhaftungsnorm nach dem Muster des § 38 Abs. 2 BSIG enthält das NISG 2026 nicht — die Haftung folgt dort aus dem allgemeinen Gesellschaftsrecht, für Geschäftsführer einer österreichischen GmbH aus § 25 GmbHG (AT) mit derselben Sorgfaltsformel des ordentlichen Geschäftsmannes.

Das NISG 2026 kennt dafür eine personenbezogene Aufsichtsmaßnahme: Die Cybersicherheitsbehörde kann den Leitungsorganen einer wesentlichen Einrichtung die Leitungsaufgaben vorübergehend mit Bescheid untersagen; die Untersagung wird im Firmenbuch eingetragen (§ 39 Abs. 4 Z 2 NISG 2026). Eine Bestrafung des Verantwortlichen nach § 9 VStG entfällt nur, wenn für denselben Verstoß bereits die juristische Person bestraft wird (§ 44 Abs. 5 NISG 2026). Für Verwaltungsübertretungen nach § 45 Abs. 1 NISG 2026 reichen die Strafrahmen bis 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes bei wesentlichen und bis 7 Mio. EUR oder 1,4 % bei wichtigen Einrichtungen — je nachdem, welcher Betrag höher ist (§ 45 Abs. 2 und 3 NISG 2026).

8. Schutz-Plan: die Nachweiskette

Wer bei null anfängt, baut die Nachweiskette in sechs Schritten auf: 1. Betroffenheit und Kategorie nach § 28 BSIG feststellen, 2. Registrierung nach § 33 BSIG nachholen, 3. Beschluss der Geschäftsleitung fassen, 4. Dokumentation nach § 30 Abs. 1 BSIG aufsetzen, 5. Schulung durchführen und nachweisen, 6. Meldeprozess nach § 32 BSIG einrichten. Praxisempfehlung zum Mindestinhalt des Beschlusses aus Schritt 3: Beschlussdatum, Bezeichnung der beschlossenen Maßnahmen je Bereich des § 30 Abs. 2 BSIG (oder Verweis auf die Dokumentation nach § 30 Abs. 1 BSIG in ihrer jeweiligen Fassung), die beschließenden Mitglieder der Geschäftsleitung namentlich, die Festlegung, wie und in welchem Abstand die Umsetzung überwacht wird, sowie der nächste Überprüfungstermin. Die folgende Übersicht führt die Nachweise in dieser Schritt-Reihenfolge und nennt je Nachweis die Norm, an die er anknüpft; die Spalten „Zuständig" und „Turnus / Auslöser" sind Praxisempfehlung, soweit dort nicht ausdrücklich „gesetzlich" steht. Die siebte Zeile steht außerhalb der Schrittfolge: Sie betrifft die dreijährige Nachweispflicht nach § 39 Abs. 1 BSIG und richtet sich allein an Betreiber kritischer Anlagen.

Der Ausgangspunkt liegt dabei bereits in der Vergangenheit: Das NIS2UmsuCG ist am 06.12.2025 in Kraft getreten; die Registrierung ist nach § 33 Abs. 1 BSIG spätestens drei Monate nach Eintritt der Einrichtungseigenschaft vorzunehmen, und das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. Eine fehlende Registrierung lässt sich nachholen — und zwar über dieselbe gemeinsam vom BSI und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit, praktisch über das Portal „Mein Unternehmenskonto" (§ 33 Abs. 1 BSIG). Auch eine verspätete Registrierung ist bußgeldbewehrt: Ordnungswidrig handelt, wer die Angaben nach § 33 Abs. 1 BSIG nicht oder nicht rechtzeitig übermittelt (§ 65 Abs. 2 Nr. 6 BSIG) — deshalb ohne weiteren Aufschub nachholen. Erfüllt eine Einrichtung ihre Registrierungspflicht nicht, kann das BSI die Registrierung selbst vornehmen (§ 33 Abs. 3 BSIG). Praxisempfehlung: Das Nachholen selbst dokumentieren — Datum, Veranlassung und Registrierungsbestätigung gehören in dieselbe Akte wie die Schulungs- und Beschlussdokumente. Für österreichische Einrichtungen kommt ab dem Anwendungsbeginn des NISG 2026 am 01.10.2026 die Selbstdeklaration der umgesetzten Maßnahmen an die Cybersicherheitsbehörde binnen zwölf Monaten nach Eintritt der Registrierungspflicht hinzu (§ 33 Abs. 1 NISG 2026).