§ 38 BSIG: Welche Pflichten die Geschäftsleitung persönlich treffen

Cybersicherheit war lange delegierbar – an die IT-Abteilung, an Dienstleister, an den Informationssicherheitsbeauftragten. Mit § 38 BSIG hat der Gesetzgeber diese Arbeitsteilung begrenzt. Die Vorschrift verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen ausdrücklich, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Die operative Arbeit darf weiterhin delegiert werden. Die Verantwortung dafür, dass sie geschieht und wirkt, bleibt oben.

Verletzt die Geschäftsleitung diese Pflicht schuldhaft, haftet sie der eigenen Einrichtung für den entstandenen Schaden – nach den Regeln des jeweils anwendbaren Gesellschaftsrechts, bei der GmbH also insbesondere über § 43 GmbHG. Neu ist damit weniger die Haftungsnorm als ihr Bezugspunkt: Das Gesetz stellt klar, dass angemessenes Cyber-Risikomanagement zum Pflichtenkanon der Organleitung gehört. Ein Geschäftsführer, der das Thema erkennbar ignoriert, kann sich im Schadensfall schwer auf unternehmerisches Ermessen berufen.

Die Schulungspflicht wird unterschätzt

Absatz 3 der Vorschrift verlangt, dass Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen. Ziel ist, dass sie Risiken und Managementpraktiken der IT-Sicherheit einschätzen und deren Auswirkungen auf die eigenen Dienste beurteilen können. Das Gesetz schreibt weder Format noch Stundenumfang vor – aber es verlangt Regelmäßigkeit, und im Prüfungsfall zählt der Nachweis. Ein einmaliges Seminar ohne Beleg erfüllt den Zweck nicht.

Für die Praxis heißt das: Die Geschäftsleitung braucht drei Dinge in belegbarer Form. Erstens einen dokumentierten Überblick, welche Maßnahmen beschlossen und wie sie umgesetzt sind – etwa in Form eines regelmäßigen Statusberichts. Zweitens erkennbare Überwachung, also Wiedervorlagen, Kontrolltermine und dokumentierte Befassung. Drittens Schulungsnachweise mit Datum, Inhalt und Teilnehmern, revisionssicher abgelegt.

Wie sich Governance-Nachweise und Schulungszertifikate der Leitungsebene systematisch führen lassen, zeigt das Modul NIS2; den organisatorischen Rahmen dafür liefert ein Compliance-Management nach DIN SPEC 91524, wie es das Modul Compliance abbildet.