§ 38 BSIG: die Pflichten der Geschäftsleitung, Absatz für Absatz
§ 38 BSIG hat drei Absätze. Absatz 1: Die Geschäftsleitung setzt die Maßnahmen nach § 30 BSIG um und überwacht ihre Umsetzung. Absatz 2: Verletzt sie das schuldhaft, haftet sie dem Unternehmen nach Gesellschaftsrecht. Absatz 3: Sie nimmt regelmäßig an Schulungen teil. Eine Dauer oder einen bestimmten Anbieter schreibt das Gesetz nicht vor.
Der Wortlaut, und was er heißt
Jeder Absatz im Wortlaut des Gesetzes, darunter in einfachen Worten.
Absatz 1
Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.In einfachen Worten: Die Geschäftsleitung sorgt dafür, dass die Sicherheitsmaßnahmen umgesetzt werden, und prüft, ob das geschieht.
Absatz 2
Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.In einfachen Worten: Entsteht dem Unternehmen ein Schaden, weil die Geschäftsleitung Absatz 1 schuldhaft verletzt hat, haftet sie ihm. Wie, regelt das Gesellschaftsrecht, bei einer GmbH § 43 GmbHG.
Absatz 3
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.In einfachen Worten: Jedes Mitglied der Geschäftsleitung lernt regelmäßig, Risiken für die IT zu erkennen und zu bewerten und einzuschätzen, was sie für das eigene Geschäft bedeuten.
Absatz 3: die Schulung der Geschäftsleitung
Jedes Mitglied der Geschäftsleitung nimmt selbst teil. Vertreten lassen kann es sich dabei nicht.
Wie oft: Das Gesetz sagt „regelmäßig“. Seine Begründung liest das als Schulungen, die mindestens alle drei Jahre angeboten werden.
Wie lange und bei wem: Das Gesetz legt weder eine Dauer noch eine Zulassung für Anbieter fest. Eine Präsenzschulung, ein Onlinekurs, ein Webinar oder eine interne Schulung kommen in Frage.
Halten Sie fest, wer wann teilgenommen hat und was behandelt wurde. Das BSI kann die Einhaltung prüfen, bei wichtigen Einrichtungen, wenn Tatsachen auf einen Verstoß hindeuten.
§ 38 Abs. 3 BSIG · § 62 BSIG · BT-Drs. 21/1501, S. 154
Absatz 1: umsetzen und überwachen
Umsetzen heißt: Die Maßnahmen aus § 30 BSIG kommen im Betrieb an. Die Arbeit können andere erledigen, etwa die IT oder ein Dienstleister.
Überwachen heißt: Die Geschäftsleitung prüft, ob die Maßnahmen umgesetzt sind und wirken. Wie oft und in welcher Form, legt das Gesetz nicht fest.
Die EU-Richtlinie verlangt außerdem, dass die Leitung die Maßnahmen billigt, also freigibt (Art. 20 Abs. 1 NIS 2). Das deutsche Gesetz verwendet dieses Wort nicht. Es verlangt die Umsetzung.
§ 38 Abs. 1 BSIG · Art. 20 Abs. 1 NIS 2
Wer zur Geschäftsleitung zählt
Geschäftsleitung ist jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag die Geschäfte führt und das Unternehmen vertritt. In einer GmbH sind das die Geschäftsführer, in einer AG der Vorstand.
§ 30 BSIG sagt, welche Maßnahmen das Unternehmen ergreift. § 38 BSIG sagt, wer dafür sorgt.
§ 2 Nr. 13 BSIG
Wie die Haftung im Einzelnen geregelt istEin Beispiel
Eine erfundene Firma: ein Hersteller von Elektromotoren mit 140 Beschäftigten und drei Geschäftsführern.
Die Geschäftsführerin für Technik besucht eine Präsenzschulung bei einem Bildungsträger und bekommt eine Teilnahmebescheinigung.
Der Geschäftsführer für Finanzen macht einen Onlinekurs und speichert das Zertifikat als PDF.
Der Geschäftsführer für Vertrieb nimmt an einem Webinar seines Branchenverbands teil. Einen Nachweis gibt es nicht; er hält Datum und Thema fest.
Für jeden steht eine Zeile in den Unterlagen: wer, wann, welche Schulung, welche Themen. Die nächste Runde plant die Firma spätestens drei Jahre später.
So geht das im Durchgang
Der Durchgang auf nisd2.eu hält fest, was § 38 BSIG von der Geschäftsleitung verlangt.
Ein Schritt hält für jedes Mitglied der Geschäftsleitung die letzte Schulung fest: eine Zeile pro Person, mit Datum und Art der Schulung.
Einen Nachweis können Sie anhängen. Nach einem Webinar gibt es manchmal keinen.
Einen Kurs für die Geschäftsleitung bietet nisd2.eu an. Sie können auch jeden anderen Anbieter wählen.
Die Managementbewertung hält fest, wann die Geschäftsleitung den Stand geprüft hat, was sie entschieden hat und wer was bis wann erledigt.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang.
Häufige Fragen
Wie oft muss die Geschäftsleitung geschult werden?
Das Gesetz sagt „regelmäßig“. Die Gesetzesbegründung liest das als Schulungen, die mindestens alle drei Jahre angeboten werden (BT-Drs. 21/1501, S. 154).
Wie lange muss eine Schulung nach § 38 Abs. 3 BSIG dauern?
Eine Mindestdauer nennt das Gesetz nicht. Entscheidend ist das Ziel: Risiken erkennen und bewerten und ihre Folgen für die Dienste des Unternehmens beurteilen können.
Braucht der Anbieter der Schulung eine Zulassung?
Nein. Das Gesetz schreibt weder eine Zulassung noch ein Zertifikat vor.
Gilt § 38 BSIG für jede GmbH?
Für die Geschäftsführung jeder GmbH, die eine besonders wichtige oder wichtige Einrichtung ist. Ob das zutrifft, hängt von Sektor und Größe ab (§ 28 BSIG).
Wofür haftet die Geschäftsleitung nach § 38 Abs. 2 BSIG?
Für einen Schaden des eigenen Unternehmens, den sie durch eine schuldhafte Verletzung ihrer Pflichten aus Absatz 1 verursacht hat. Die Haftung richtet sich nach dem Gesellschaftsrecht der Rechtsform.
Quellen
- BSI-Gesetz (BSIG) § 2 Nr. 13, §§ 30, 38, 62, gesetze-im-internet.de/bsig_2025
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 20, EUR-Lex
- Gesetzesbegründung zum NIS2UmsuCG, BT-Drs. 21/1501, S. 154 (zu § 38 Abs. 3)
- § 43 GmbHG, gesetze-im-internet.de
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Governance & Haftung
Die Geschäftsführung schulen lassen
Jedes Mitglied der Geschäftsführung, regelmäßig.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
