Welche Pflichten treffen die Geschäftsleitung bei NIS2 persönlich?

Nach § 38 BSIG drei: die Risikomanagementmaßnahmen nach § 30 umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Die Pflichten richten sich unmittelbar an die Leitungsebene und gelten für besonders wichtige wie für wichtige Einrichtungen gleichermaßen.

Haftet die Geschäftsleitung wirklich persönlich?

Ja, aber gegenüber der eigenen Einrichtung. § 38 Abs. 2 BSIG regelt eine Innenhaftung für schuldhaft verursachte Schäden nach den Regeln des jeweils anwendbaren Gesellschaftsrechts. Eine eigenständige Haftung nach dem BSIG greift nur, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Eine Außenhaftung gegenüber Dritten begründet § 38 BSIG nicht.

Drohen der Geschäftsleitung Bußgelder bis 10 Mio. Euro?

Nein. § 38 BSIG ist im Bußgeldkatalog des § 65 BSIG nicht aufgeführt; ein Verstoß gegen die Geschäftsleitungspflichten ist für sich genommen keine Ordnungswidrigkeit. Die Höchstbeträge von 10 bzw. 7 Mio. Euro betreffen Verstöße der Einrichtung gegen Risikomanagement und Meldepflichten.

Kann die Aufsicht Geschäftsleitern die Tätigkeit untersagen?

Ja, als letztes Mittel. § 61 Abs. 9 Satz 2 Nr. 2 BSIG erlaubt der zuständigen Aufsichtsbehörde, unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit vorübergehend zu untersagen. Zudem ist die Schulungspflicht nach § 38 Abs. 3 BSIG ausdrücklicher Prüfgegenstand angeordneter Audits nach § 61 Abs. 1 BSIG.

Kann ich die Verantwortung an die IT oder einen CISO delegieren?

Die operative Umsetzung ja, die Pflicht aus § 38 Abs. 1 BSIG nein. Die Norm adressiert die Geschäftsleitung im Sinne des § 2 Nr. 13 BSIG, also die zur Führung der Geschäfte und zur Vertretung berufenen Personen. Ein CISO ohne Vertretungsbefugnis ist nicht Adressat – und kann die Leitung daher auch nicht entlasten.

Ist die Schulung der Geschäftsleitung verpflichtend?

Ja. § 38 Abs. 3 BSIG verlangt eine regelmäßige Teilnahme. Ein Intervall nennt das Gesetz nicht, wohl aber das inhaltliche Ziel: Risiken und Risikomanagementpraktiken erkennen und bewerten sowie deren Auswirkungen auf die erbrachten Dienste beurteilen zu können.

Wie weist die Geschäftsleitung ordnungsgemäßes Handeln nach?

Über eine lückenlose Dokumentation: Entscheidungen über die Maßnahmen nach § 30 BSIG, eine regelmäßige Berichtslinie zu Status und Wirksamkeit sowie dokumentierte Schulungsteilnahmen. MGMSYS führt diese Nachweise revisionssicher und exportierbar.

§ 38 BSIG · Art. 20 Richtlinie (EU) 2022/2555

NIS2 & Geschäftsleitung – Pflichten und Haftung

Seit dem 06.12.2025 verpflichtet § 38 BSIG Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen persönlich: Sie müssen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und selbst regelmäßig an Schulungen teilnehmen. Die operative Arbeit lässt sich delegieren, die Verantwortung für Umsetzung und Überwachung nicht.

Testzugang starten

Unverbindlich testen – keine Verpflichtung, keine automatische Vertragsbindung.

Fachlich geprüft von Dr. Stefan Spörrer, LL.M. – Wirtschaftsjurist, geprüfter Datenschutzbeauftragter und Gründer von MGMSYS · Aktualisiert: Juli 2026

Auf einen Blick

§ 38 BSIG verlangt von Geschäftsleitungen dreierlei: die Risikomanagementmaßnahmen nach § 30 umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Verstöße lösen eine Innenhaftung gegenüber der eigenen Einrichtung aus – vorrangig nach Gesellschaftsrecht.

Rechtsgrundlage ist § 38 BSIG in der seit dem 06.12.2025 geltenden Fassung: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen.
Die Haftung nach § 38 Abs. 2 BSIG ist eine Innenhaftung gegenüber der eigenen Einrichtung – keine Außenhaftung gegenüber Dritten.
Sie ist ausdrücklich subsidiär: Nach dem BSIG wird nur gehaftet, wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine eigene Haftungsregelung enthalten.
Geschäftsleitung ist nach § 2 Nr. 13 BSIG, wer nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist.
Ein Verstoß gegen § 38 BSIG ist nicht bußgeldbewehrt – § 38 kommt im Katalog des § 65 BSIG nicht vor.
Durchsetzbar ist die Pflicht dennoch: § 61 Abs. 1 BSIG nennt § 38 Abs. 3 ausdrücklich als Prüfgegenstand, und § 61 Abs. 9 erlaubt als letztes Mittel eine vorübergehende Tätigkeitsuntersagung für unzuverlässige Geschäftsleitungen.
Die Schulung der Mitarbeitenden ist nicht in § 38 geregelt, sondern als Risikomanagementmaßnahme in § 30 Abs. 2 Nr. 7 BSIG.

Primärquellen: § 38 BSIG (gesetze-im-internet.de) · Richtlinie (EU) 2022/2555 (EUR-Lex) · BSI – NIS-2-Pflichten

Stand: Juli 2026 · Überblick ohne Gewähr, ersetzt keine Rechtsberatung im Einzelfall.

Drei Kernpflichten

Was § 38 BSIG von Leitungsorganen verlangt

Die amtliche Überschrift des § 38 BSIG lautet: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen. Darin stecken drei getrennte Pflichten.

Umsetzung

Maßnahmen umsetzen

Nach § 38 Abs. 1 BSIG sind die Geschäftsleitungen verpflichtet, die von der Einrichtung nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen. Die Pflicht richtet sich damit unmittelbar an die Leitungsebene, nicht an die IT.

Überwachung

Umsetzung kontrollieren

Ebenfalls § 38 Abs. 1 BSIG: Die Geschäftsleitung muss die Umsetzung überwachen. Das setzt eine regelmäßige, belastbare Berichtslinie über Status, Wirksamkeit und offene Risiken voraus – Überwachung ohne Bericht ist nicht nachweisbar.

Schulung

Selbst Wissen aufbauen

Nach § 38 Abs. 3 BSIG müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen, bewerten und ihre Auswirkungen auf die erbrachten Dienste beurteilen zu können.

Wer ist Geschäftsleitung im Sinne des Gesetzes? § 2 Nr. 13 BSIG definiert sie als natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen oder wichtigen Einrichtung berufen ist. Erfasst sind damit Geschäftsführer und Vorstände, nicht dagegen ein CISO oder IT-Leiter ohne Vertretungsbefugnis. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 BSIG gelten ausdrücklich nicht als Geschäftsleitung.

Wortlautvergleich

Warum in vielen Ratgebern von Billigung die Rede ist

Zwischen Richtlinie und deutschem Umsetzungsrecht gibt es feine, aber praktisch bedeutsame Unterschiede im Wortlaut.

Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 verlangt, dass Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Das deutsche Recht spricht in § 38 Abs. 1 BSIG hingegen davon, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen. Der Begriff Billigung stammt also aus der Richtlinie – im BSIG steht er nicht.

Für die Praxis ändert das wenig, für die Argumentation gegenüber einer Aufsichtsbehörde durchaus: Maßgeblich ist der deutsche Wortlaut. Eine dokumentierte Billigungsentscheidung bleibt gleichwohl sinnvoll, weil sie belegt, dass die Leitung Inhalt und Tragweite der Maßnahmen kannte – und damit sowohl die Umsetzungs- als auch die Überwachungspflicht bedient.

Gegenstand	Richtlinie (EU) 2022/2555	BSIG 2025
Pflicht der Leitung	billigen, Umsetzung überwachen, verantwortlich gemacht werden können (Art. 20 Abs. 1)	umsetzen und Umsetzung überwachen (§ 38 Abs. 1)
Schulung der Leitung	Mitglieder müssen an Schulungen teilnehmen (Art. 20 Abs. 2 Satz 1)	regelmäßige Teilnahme an Schulungen (§ 38 Abs. 3)
Schulung der Mitarbeitenden	Einrichtungen werden aufgefordert, Schulungen anzubieten (Art. 20 Abs. 2 Satz 2)	als Risikomanagementmaßnahme geregelt (§ 30 Abs. 2 Nr. 7)
Katalog der Maßnahmen	Art. 21	§ 30

Quelle: § 38 BSIG (gesetze-im-internet.de)

§ 38 Abs. 2 BSIG

Wie die Haftung tatsächlich ausgestaltet ist

Zur Haftung nach NIS2 kursieren zugespitzte Darstellungen. Der Gesetzeswortlaut ist zurückhaltender – und präziser.

Innenhaftung, nicht Außenhaftung

Nach § 38 Abs. 2 Satz 1 BSIG haften Geschäftsleitungen, die ihre Pflichten aus Absatz 1 verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden. Adressat des Anspruchs ist also das eigene Unternehmen. Eine eigenständige Haftung gegenüber Kunden, Geschäftspartnern oder sonstigen Dritten begründet § 38 BSIG nicht.

Vorrang des Gesellschaftsrechts

Die Haftung richtet sich nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts – etwa § 43 GmbHG oder § 93 AktG. Nach § 38 Abs. 2 Satz 2 BSIG wird nach dem BSIG selbst nur gehaftet, wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung enthalten. Die BSIG-Haftung ist damit ausdrücklich subsidiär.

Häufig zu lesen ist außerdem, ein Verzicht der Einrichtung auf Ersatzansprüche gegen die Geschäftsleitung sei unwirksam. Eine solche Regelung war in früheren Entwurfsfassungen vorgesehen, findet sich im geltenden § 38 BSIG jedoch nicht. Maßgeblich sind insoweit die allgemeinen gesellschaftsrechtlichen Grenzen für Verzicht und Vergleich.

Was sich daraus praktisch ergibt, bleibt unverändert ernst: Die Beweislast im gesellschaftsrechtlichen Haftungsprozess liegt typischerweise bei der Geschäftsleitung, wenn es um die Einhaltung der Sorgfaltspflichten geht. Wer Umsetzung und Überwachung nicht dokumentiert hat, kann sie im Streitfall auch nicht belegen.

Durchsetzung

Kein Bußgeld – aber keineswegs folgenlos

Ein verbreiteter Irrtum lautet, die Verletzung der Geschäftsleitungspflichten sei mit bis zu 10 Mio. Euro bewehrt. Das trifft nicht zu.

§ 38 BSIG ist im Bußgeldkatalog des § 65 BSIG nicht aufgeführt. Ein Verstoß gegen die Umsetzungs-, Überwachungs- oder Schulungspflicht ist daher für sich genommen keine Ordnungswidrigkeit. Die oft genannten Höchstbeträge von 10 beziehungsweise 7 Mio. Euro betreffen Verstöße der Einrichtung gegen das Risikomanagement nach § 30 und die Meldepflichten nach § 32.

Durchsetzbar ist § 38 BSIG dennoch – auf zwei Wegen. Erstens nennt § 61 Abs. 1 BSIG die Schulungspflicht nach § 38 Abs. 3 ausdrücklich als Gegenstand angeordneter Prüfungen; wer eine daraufhin ergangene Anordnung nicht befolgt, riskiert ein Bußgeld von bis zu 500.000 Euro. Zweitens erlaubt § 61 Abs. 9 Satz 2 Nr. 2 BSIG der zuständigen Aufsichtsbehörde als letztes Mittel, unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend zu untersagen. Dieses Instrument wiegt in der Praxis schwerer als ein Bußgeld.

Zu beachten ist dabei das unterschiedliche Aufsichtsregime: Bei besonders wichtigen Einrichtungen prüft das BSI nach § 61 BSIG proaktiv, also auch ohne konkreten Anlass. Bei wichtigen Einrichtungen greift § 62 BSIG nur, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten aus § 30 Abs. 1, § 32 Abs. 1 bis 3 oder § 38 Abs. 3 nicht oder nicht richtig umgesetzt werden. Welche Kategorie für Sie gilt, klärt die Seite NIS2-Betroffenheit prüfen.

Pflichtschulung

Schulung der Geschäftsleitung – regelmäßig und nachweisbar

§ 38 Abs. 3 BSIG verlangt eine regelmäßige Teilnahme. Ein festes Intervall nennt das Gesetz nicht – wohl aber ein inhaltliches Ziel, an dem sich die Schulung messen lassen muss.

Das Gesetz beschreibt den Zweck der Schulung ungewöhnlich konkret: Die Geschäftsleitung soll ausreichende Kenntnisse und Fähigkeiten erlangen, um Risiken und Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erkennen und zu bewerten – und um deren Auswirkungen auf die von der Einrichtung erbrachten Dienste beurteilen zu können. Eine allgemeine Awareness-Unterweisung erfüllt diesen Maßstab nicht; die Schulung muss den Bezug zu den eigenen Diensten herstellen.

1
Risikoverständnis mit Bezug zum eigenen Geschäft aufbauen
Die Schulung vermittelt Leitungsorganen, Cyberrisiken einzuordnen und die Auswirkungen auf die konkret erbrachten Dienste zu bewerten – Grundlage jeder belastbaren Entscheidung über Maßnahmen nach § 30 BSIG.
2
Regelmäßig wiederholen
Das Gesetz verlangt Regelmäßigkeit, ohne ein Intervall vorzugeben. Sinnvoll ist ein dokumentierter Turnus, der sich an der Veränderung der Bedrohungslage orientiert. MGMSYS hinterlegt Wiederholungsintervalle und erinnert automatisch, bevor ein Nachweis ausläuft.
3
Teilnahme dokumentieren
Jede Teilnahme wird mit Datum und Inhalt revisionssicher festgehalten. Da § 38 Abs. 3 BSIG ausdrücklicher Prüfgegenstand nach § 61 Abs. 1 BSIG ist, gehört der Nachweis zur Governance-Dokumentation und sollte jederzeit exportierbar sein.

Nicht zu verwechseln ist die Leitungsschulung mit der Schulung der Belegschaft: Diese ist nicht in § 38 BSIG geregelt, sondern als Risikomanagementmaßnahme in § 30 Abs. 2 Nr. 7 BSIG – grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Cybersicherheit.

Governance

Belastbare Berichtslinie für die Leitung

Damit die Geschäftsleitung umsetzen und überwachen kann, braucht sie eine Berichtslinie, die nicht auf Zuruf funktioniert. MGMSYS liefert den Leitungsorganen den Überblick, der ihre Verantwortung trägt.

Management-Cockpit

Status der Maßnahmen nach § 30 BSIG, offene Risiken und überfällige Aufgaben auf einen Blick – die Grundlage für eine dokumentierte Leitungsentscheidung und für die regelmäßige Managementbewertung.

Audit-Trail der Entscheidungen

Wer hat wann was entschieden und überwacht? Entscheidungen, Berichte und Schulungsnachweise sind nachvollziehbar dokumentiert – die zentrale Entlastungsgrundlage im Haftungsfall.

Wie die übrigen NIS2-Pflichten zusammenspielen, zeigt die NIS2-Hauptseite.

Häufige Fragen

Welche Pflichten treffen die Geschäftsleitung bei NIS2 persönlich?: Nach § 38 BSIG drei: die Risikomanagementmaßnahmen nach § 30 umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Die Pflichten richten sich unmittelbar an die Leitungsebene und gelten für besonders wichtige wie für wichtige Einrichtungen gleichermaßen.
Haftet die Geschäftsleitung wirklich persönlich?: Ja, aber gegenüber der eigenen Einrichtung. § 38 Abs. 2 BSIG regelt eine Innenhaftung für schuldhaft verursachte Schäden nach den Regeln des jeweils anwendbaren Gesellschaftsrechts. Eine eigenständige Haftung nach dem BSIG greift nur, wenn das Gesellschaftsrecht keine Haftungsregelung enthält. Eine Außenhaftung gegenüber Dritten begründet § 38 BSIG nicht.
Drohen der Geschäftsleitung Bußgelder bis 10 Mio. Euro?: Nein. § 38 BSIG ist im Bußgeldkatalog des § 65 BSIG nicht aufgeführt; ein Verstoß gegen die Geschäftsleitungspflichten ist für sich genommen keine Ordnungswidrigkeit. Die Höchstbeträge von 10 bzw. 7 Mio. Euro betreffen Verstöße der Einrichtung gegen Risikomanagement und Meldepflichten.
Kann die Aufsicht Geschäftsleitern die Tätigkeit untersagen?: Ja, als letztes Mittel. § 61 Abs. 9 Satz 2 Nr. 2 BSIG erlaubt der zuständigen Aufsichtsbehörde, unzuverlässigen Geschäftsleitungen die Ausübung der Tätigkeit vorübergehend zu untersagen. Zudem ist die Schulungspflicht nach § 38 Abs. 3 BSIG ausdrücklicher Prüfgegenstand angeordneter Audits nach § 61 Abs. 1 BSIG.
Kann ich die Verantwortung an die IT oder einen CISO delegieren?: Die operative Umsetzung ja, die Pflicht aus § 38 Abs. 1 BSIG nein. Die Norm adressiert die Geschäftsleitung im Sinne des § 2 Nr. 13 BSIG, also die zur Führung der Geschäfte und zur Vertretung berufenen Personen. Ein CISO ohne Vertretungsbefugnis ist nicht Adressat – und kann die Leitung daher auch nicht entlasten.
Ist die Schulung der Geschäftsleitung verpflichtend?: Ja. § 38 Abs. 3 BSIG verlangt eine regelmäßige Teilnahme. Ein Intervall nennt das Gesetz nicht, wohl aber das inhaltliche Ziel: Risiken und Risikomanagementpraktiken erkennen und bewerten sowie deren Auswirkungen auf die erbrachten Dienste beurteilen zu können.
Müssen auch die Mitarbeitenden geschult werden?: Ja, allerdings auf anderer Rechtsgrundlage. Die Schulung der Belegschaft ist nicht in § 38 BSIG geregelt, sondern als Risikomanagementmaßnahme in § 30 Abs. 2 Nr. 7 BSIG: grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Cybersicherheit.
Wie weist die Geschäftsleitung ordnungsgemäßes Handeln nach?: Über eine lückenlose Dokumentation: Entscheidungen über die Maßnahmen nach § 30 BSIG, eine regelmäßige Berichtslinie zu Status und Wirksamkeit sowie dokumentierte Schulungsteilnahmen. MGMSYS führt diese Nachweise revisionssicher und exportierbar.

Geben Sie Ihrer Geschäftsleitung eine belastbare Grundlage

MGMSYS dokumentiert Leitungsentscheidungen, Berichtslinien und Schulungsnachweise revisionssicher – die Entlastungsgrundlage, die § 38 BSIG praktisch verlangt. Der Testzugang ist unverbindlich – keine automatische Vertragsbindung.

Jetzt kostenlosen Zugang anfordern