„Das macht bei uns die IT.“ Bei NIS-2 reicht dieser Satz nicht mehr. Das Gesetz nimmt die Geschäftsleitung selbst in die Pflicht: Sie muss die Maßnahmen zum Risikomanagement umsetzen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen – und sie haftet, wenn sie diese Pflichten verletzt.
Was § 38 BSIG von der Geschäftsleitung verlangt
Die Vorschrift richtet sich an die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen. Sie enthält drei Pflichten:
1. Umsetzen
Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen. Sie kann Aufgaben übertragen – an die IT-Leitung, an einen Informationssicherheitsbeauftragten (ISB), an Dienstleister. Die Verantwortung bleibt bei ihr. Praktisch heißt das: Ziele vorgeben, Mittel bereitstellen, Zuständigkeiten festlegen und über Risiken entscheiden.
2. Überwachen
Die Geschäftsleitung muss wissen, wie es um die Umsetzung steht. Das setzt regelmäßige, verständliche Berichte voraus – und die Bereitschaft, sie zu hinterfragen: Welche Risiken sind offen? Welche Maßnahmen sind im Verzug? Wo fehlen Mittel oder Entscheidungen?
3. Sich schulen lassen
Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen. Ziel ist, dass sie Risiken erkennen und bewerten sowie Risikomanagementpraktiken und deren Auswirkungen auf die Dienste der Einrichtung beurteilen können. Eine feste Frist nennt das Gesetz nicht; es verlangt „regelmäßig“. Die Teilnahme sollte nachweisbar dokumentiert sein.
Haftung der Geschäftsleitung
Verletzt die Geschäftsleitung ihre Pflichten, haftet sie ihrer Einrichtung für den schuldhaft verursachten Schaden – nach den Regeln des Gesellschaftsrechts, die für die jeweilige Rechtsform gelten. Wo diese Regeln keine Haftung vorsehen, greift das BSIG selbst. Hinzu kommen die Bußgelder, die das Gesetz gegen die Einrichtung vorsieht. Wie weit die Haftung im Einzelfall reicht, ist eine Rechtsfrage, die mit juristischer Beratung geklärt werden sollte.
Woran sich im Audit zeigt, ob es gelebt wird
- Entscheidungen: Gibt es Protokolle, in denen die Geschäftsleitung über Risiken, Maßnahmen und Mittel entschieden hat?
- Berichte: Wann hat sie zuletzt einen Bericht zur Informationssicherheit erhalten – und was folgte daraus?
- Managementbewertung: Wird das Managementsystem mindestens jährlich durch die Leitung bewertet?
- Schulung: Ist die Teilnahme der Geschäftsleitung nachweisbar?
- Leitlinie: Ist die Informationssicherheitsleitlinie von der Geschäftsleitung in Kraft gesetzt?
So wird Informationssicherheit zum festen Thema der Leitung
- Fester Tagesordnungspunkt: Informationssicherheit mindestens einmal im Quartal in der Sitzung der Geschäftsleitung – mit Risiken, Maßnahmenstand und offenen Entscheidungen.
- Berichtsformat festlegen: kurz, entscheidungsorientiert, mit wenigen aussagekräftigen Kennzahlen.
- Entscheidungen protokollieren: insbesondere Risikoakzeptanzen und Priorisierungen.
- Schulung planen: Termin, Inhalte und Nachweis für alle Mitglieder der Geschäftsleitung.
Aus der Prüferpraxis
Ein ISB kann vorbereiten, berichten und beraten. Entscheiden muss die Geschäftsleitung. Wo das Zusammenspiel funktioniert, ist es an den Protokollen sofort zu erkennen – und meist auch am Zustand des gesamten Managementsystems.
Häufige Fragen
Kann die Geschäftsleitung ihre Pflichten delegieren?
Aufgaben ja, die Verantwortung nicht. Die Umsetzung kann an Fachleute übertragen werden; die Geschäftsleitung bleibt verpflichtet, die Umsetzung zu überwachen und die wesentlichen Entscheidungen zu treffen.
Wie oft muss die Geschäftsleitung geschult werden?
Das Gesetz verlangt regelmäßige Schulungen, nennt aber keinen festen Turnus. Sinnvoll ist ein fester Rhythmus, der dokumentiert ist und bei wesentlichen Änderungen – etwa neuen Mitgliedern der Geschäftsleitung – angepasst wird.
Wer gehört zur Geschäftsleitung im Sinne des Gesetzes?
Gemeint sind die Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind – etwa Geschäftsführung oder Vorstand. Im Zweifel sollte die Einordnung rechtlich geprüft werden.
Welche Rolle hat der ISB gegenüber der Geschäftsleitung?
Der ISB steuert und überwacht das Managementsystem, berichtet an die Geschäftsleitung und bereitet Entscheidungen vor. Er ersetzt die Verantwortung der Geschäftsleitung nicht, macht sie aber handhabbar.
Quellen
- § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen (Gesetze im Internet)
- § 30 BSIG – Risikomanagementmaßnahmen (Gesetze im Internet)
- BSI: NIS-2-Pflichten
Unterstützung für die Geschäftsleitung: SSC Kompass schafft mit Standortbestimmung und Roadmap die Entscheidungsgrundlage; SSC Lotse sorgt als externer ISB für regelmäßiges Reporting und vorbereitete Entscheidungen. Kontakt aufnehmen
Stand: Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.