IT-Sicherheit ist Chefsache per Gesetz: § 38 BSIG für Geschäftsführer

Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz. Das NIS-2-Umsetzungsgesetz passierte am 13. November 2025 den Bundestag, am 21. November den Bundesrat und wurde am 5. Dezember 2025 im Bundesgesetzblatt (BGBl. 2025 I Nr. 301) verkündet – ohne Übergangsfristen für die inhaltlichen Pflichten. Ein Paragraf dieses Gesetzes richtet sich nicht an das Unternehmen, sondern an eine Person: § 38 BSIG adressiert die Geschäftsleitung selbst.

Über die Registrierung der Einrichtungen beim BSI haben wir an anderer Stelle geschrieben. Hier geht es um die Frage, die Geschäftsführer persönlich betrifft: Was verlangt das Gesetz von mir – und was passiert, wenn ich es ignoriere?

Was § 38 BSIG konkret verlangt

Die Norm enthält zwei Pflichten, die sich nicht wegdelegieren lassen:

Umsetzen und überwachen (Abs. 1): Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Die operative Arbeit kann selbstverständlich die IT-Abteilung oder ein Dienstleister leisten – die Verantwortung für Umsetzung und Kontrolle bleibt beim Organ.
Regelmäßige Schulung (Abs. 3): Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse zur Bewertung von Risiken und Risikomanagementpraktiken zu erwerben. „Das macht meine IT“ ist damit als Haltung gesetzlich erledigt: Der Gesetzgeber erwartet, dass die Leitungsebene die Risikoentscheidungen selbst beurteilen kann.

Wer in den Anwendungsbereich fällt

Betroffen sind Einrichtungen in den Sektoren des Gesetzesanhangs ab den Schwellenwerten des § 28 BSIG: wichtige Einrichtungen ab 50 Mitarbeitern oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme, besonders wichtige ab 250 Mitarbeitern oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme. Rund 29.500 Einrichtungen sind nach BSI-Angaben reguliert – zuvor waren es etwa 4.500. Viele Geschäftsführer im Mittelstand tragen diese Pflichten also zum ersten Mal, oft ohne es zu wissen.

Die Haftung: nüchtern betrachtet nichts Neues – aber jetzt ausdrücklich

§ 38 Abs. 2 BSIG ordnet an, dass Geschäftsleiter, die ihre Pflichten aus Abs. 1 verletzen, ihrer eigenen Einrichtung für „schuldhaft“ verursachte Schäden haften – nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Das Verschuldenserfordernis steht dabei ausdrücklich im Gesetz. Für die GmbH ist das § 43 GmbHG, für die AG § 93 AktG. Die BSIG-Regelung ist ausdrücklich subsidiär: Sie schafft keinen neuen Haftungstatbestand, sondern verweist auf die Sorgfaltspflichten, die Geschäftsführer ohnehin treffen.

Eine verbreitete Fehlinformation sollte man dabei korrigieren: Der Gesetzentwurf enthielt ursprünglich ein ausdrückliches Verbot, auf Ersatzansprüche zu verzichten oder sich vergleichsweise zu einigen. Dieses Verzichtsverbot wurde im Gesetzgebungsverfahren gestrichen. Viele Beratungsseiten behaupten es bis heute – maßgeblich sind stattdessen die allgemeinen gesellschaftsrechtlichen Grenzen für Verzicht und Vergleich.

Dass Organhaftung für Organisationsversäumnisse keine Theorie ist, zeigt die Rechtsprechung schon lange vor NIS-2: Das LG München I verurteilte 2013 im sogenannten „Neubürger“-Urteil (10.12.2013 – 5 HK O 1387/10) ein ehemaliges Siemens-Vorstandsmitglied, weil es das Unternehmen nicht so organisiert hatte, dass Rechtsverstöße verhindert werden. Dieser Maßstab lässt sich unmittelbar auf die IT-Compliance übertragen. Neu an § 38 BSIG ist also nicht die Haftung – neu ist, dass der Pflichtenkreis für IT-Sicherheit jetzt schwarz auf weiß im Gesetz steht.

Zur Einordnung der Größenordnungen: Die Bußgelder des § 65 BSIG – bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes bei besonders wichtigen, bis zu 7 Mio. Euro oder 1,4 % bei wichtigen Einrichtungen – treffen die Einrichtung. Das persönliche Risiko des Geschäftsführers ist die Innenhaftung: der Regress der eigenen Gesellschaft für Schäden, die durch pflichtwidrig unterlassene Maßnahmen entstanden sind.

Die Versicherungsdimension: Fragebogen ehrlich beantworten

Parallel zum Gesetz hat sich die Cyber-Versicherung als zweiter Kontrollmechanismus etabliert. Die Musterbedingungen des Gesamtverbands der Deutschen Versicherungswirtschaft (AVB Cyber) und der zugehörige Risikofragebogen für kleine und mittlere Unternehmen machen Maßnahmen wie Multi-Faktor-Authentifizierung, vom Netz getrennte bzw. Offline-Backups und geordnetes Patch-Management faktisch zur Voraussetzung für Versicherungsschutz. Wer diese Fragen im Antrag falsch oder zu optimistisch beantwortet, gefährdet die Deckung im Schadenfall.

Dass es dabei um reale Summen geht, zeigen die GDV-Zahlen für 2023: Die Versicherer leisteten rund 180 Mio. Euro für Cyber-Schäden – etwa 50 % mehr als 2022 – bei einem Durchschnittsschaden von 45.370 Euro pro Fall.

Auch die D&O-Versicherung verdient einen nüchternen Blick: Sie deckt grundsätzlich Innenhaftungsansprüche gegen die Geschäftsleitung ab – nicht aber den Cyber-Schaden des Unternehmens selbst. Juristische Fachbeiträge weisen zudem darauf hin, dass Versicherer bei wissentlichen Pflichtverletzungen die Deckung verweigern können. Wer Sicherheitsmaßnahmen in Kenntnis der eigenen Pflichten bewusst unterlässt, kann sich also nicht darauf verlassen, dass die Police das auffängt.

Das Nachweispaket: sechs Punkte, die Sie belegen können sollten

Die gute Nachricht: § 38 BSIG verlangt keine Zauberei, sondern nachweisbare Organisation. Wer die folgenden sechs Punkte dokumentiert vorhalten kann, hat den Pflichtenkreis im Kern abgedeckt:

Dokumentierte Risikoentscheidung: Eine von der Geschäftsleitung getroffene und protokollierte Entscheidung, welche IT-Risiken das Unternehmen trägt und welche es behandelt.
Maßnahmenkatalog gegen § 30 BSIG gespiegelt: Eine Übersicht, welche der gesetzlichen Risikomanagementmaßnahmen wie umgesetzt sind – inklusive der bewusst offenen Punkte.
Überwachungsrhythmus: Ein fester Termin (z. B. quartalsweise), an dem die Geschäftsleitung den Umsetzungsstand prüft – mit Protokoll.
Schulungsnachweis: Teilnahmebescheinigungen der Geschäftsleitung über regelmäßige Schulungen nach § 38 Abs. 3 BSIG.
Incident-Playbook: Ein geübter Ablaufplan für Sicherheitsvorfälle, inklusive der Meldewege.
Ehrlich beantworteter Versicherungsfragebogen: Die Angaben gegenüber dem Cyber-Versicherer decken sich mit dem tatsächlichen Stand der Maßnahmen.

Nichts davon ist für ein mittelständisches Unternehmen unerreichbar. Entscheidend ist, dass die Punkte existieren, aktuell sind und im Zweifel vorgelegt werden können – gegenüber dem BSI, dem Versicherer oder im Streitfall dem eigenen Beirat. Eine strukturierte Bestandsaufnahme, wie wir sie im Rahmen der Regulatorik- und Compliance-Beratung durchführen, ist dafür der übliche Startpunkt; die Ableitung in eine mehrjährige Maßnahmenplanung gehört in die IT-Strategie.

Wie sector7 unterstützt

Als inhabergeführtes Haus beraten wir Geschäftsleitungen auf Augenhöhe – von der Betroffenheitsanalyse über den Abgleich mit dem Maßnahmenkatalog des § 30 BSIG bis zum belastbaren Nachweispaket, begleitet durch unsere Compliance-Beratung zu ISO 27001, NIS-2, DORA und TISAX. Die technische Umsetzung trägt herstellerzertifizierte Engineering-Praxis (Cisco, Juniper, Fortinet, Palo Alto Networks, F5, HPE), den Betrieb überwacht unser NOC rund um die Uhr. Das Ganze zu planbaren monatlichen Festpreisen – damit die dokumentierte Risikoentscheidung auch budgetseitig hält.

Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.