NIS2 ist kein reines IT-Thema mehr. §38 BSIG macht Leitungsorgane – also Vorstände, Geschäftsführer und Aufsichtsräte – persönlich haftbar für die Umsetzung von Cybersicherheitsmaßnahmen. Das Delegieren an die IT-Abteilung schützt nicht mehr vor Bußgeldern.
Was §38 BSIG konkret bedeutet
§38 Abs. 1 BSIG verpflichtet Leitungsorgane, die nach §30 BSIG vorgeschriebenen Risikomanagementmaßnahmen zu billigen, zu überwachen und deren Umsetzung zu gewährleisten. Im Klartext:
- Die Geschäftsleitung muss das Sicherheitskonzept persönlich genehmigen
- Regelmäßige Schulungen zur Cybersicherheit sind für Leitungsorgane Pflicht
- Bei NIS2-Verstößen können Leitungsorgane persönlich in Regress genommen werden
- Die persönliche Haftung lässt sich nicht durch D&O-Versicherung vollständig ausschließen
Laut einer Analyse von Linklaters und Noerr ist die Managerhaftung nach §38 BSIG strenger als im DSGVO-Regime – sie lässt keine Enthaftung durch interne Delegation zu.
Bußgelder: Was droht wirklich?
§65 BSIG sieht für besonders wichtige Einrichtungen Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor (der höhere Betrag gilt). Für wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des Jahresumsatzes. Hinzu kommt die persönliche Haftung des Leitungsorgans für Schäden, die aus Pflichtverletzungen entstehen.
Welche Dokumentation die Geschäftsleitung schützt
Der Schlüssel zur Haftungsminimierung ist nachweisbare Sorgfaltspflicht. Die Geschäftsleitung muss dokumentieren:
- Genehmigung des Risikomanagementkonzepts mit Datum und Unterschrift
- Teilnahme an Cybersicherheits-Schulungen (Zertifikate, Protokolle)
- Regelmäßige Kenntnisnahme von Sicherheitsberichten (Sitzungsprotokolle)
- Beauftragung qualifizierter Dienstleister für Sicherheitsmaßnahmen
- Freigabe von Budget für Cybersicherheitsmaßnahmen (Beschlüsse)
Unser Geschäftsleitungs-Paket
Das NIS2Have Geschäftsleitungs-Paket ist speziell für GmbH-Geschäftsführer und Vorstände konzipiert – ohne Vorkenntnisse in IT-Sicherheit nutzbar:
- Genehmigungsvorlage für das Sicherheitskonzept (§38 BSIG-konform, mit Unterschriftsfeld)
- Sitzungsprotokoll-Vorlage für Cybersicherheits-Tagesordnungspunkte
- Schulungsnachweisvorlage für Geschäftsführer und Aufsichtsräte
- Jährliche Sicherheitslage-Checkliste für Management-Reviews
- Budgetbeschluss-Vorlage für Cybersicherheitsinvestitionen
- Kurzübersicht: Persönliche Haftungsrisiken nach §38 BSIG (1 Seite)