/kritis-governance-haftung

name: kritis-governance-haftung
description: "Geschäftsleiterpflichten und Haftung nach dem KRITIS-Dachgesetz – Umsetzungs- und Überwachungspflicht der Geschäftsleitung § 20 Abs. 1 für die Resilienzmaßnahmen nach § 13 Abs. 1 einschließlich Sicherstellung durch geeignete Organisationsmaßnahmen, Innenhaftung gegenüber der eigenen Einrichtung § 20 Abs. 2 nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform mit subsidiärer Haftung nach dem Dachgesetz, Berichtspflichten § 21, Bußgeldkatalog § 24 mit Rahmen von 100.000 bis 1.000.000 EUR und der Zuständigkeitsverteilung zwischen BBK und Sektorbehörde, Ausnahmebescheid § 22 sowie das Zusammenspiel mit §§ 43 GmbHG, 93 AktG, § 130 OWiG und der Verbandsgeldbuße § 30 OWiG. Use when die Geschäftsleitung ihre KRITIS-Pflichten organisieren, dokumentieren oder ein Haftungs- und Bußgeldrisiko bewerten muss."
language: de
agents:
  researcher: ../../agents/researcher.md
  drafter: ../../agents/drafter.md
  reviewer: ../../agents/reviewer.md
provider_variants: [claude, gemini, openai]
test: ./test.md

/kritis-resilienz:kritis-governance-haftung

Zweck

Der Skill übersetzt die KRITIS-Pflichten in Governance: Wer in der Geschäftsleitung schuldet was, wie wird es dokumentiert, und welches Haftungs- und Bußgeldrisiko entsteht bei Versäumnissen. Er hält dabei die drei Ebenen auseinander, die in der Praxis vermengt werden: **Innenhaftung** der Geschäftsleitung, **Bußgeld** gegen Person und Verband, und **Delegation**, die Überwachungspflichten nicht beseitigt.

Eingaben

• Rechtsform der Einrichtung und Zusammensetzung der Geschäftsleitung; Ressortverteilung
• Vorhandene Geschäftsordnung, Ressortzuweisung, Delegationsdokumente
• Stand von Registrierung (§ 8), Risikoanalyse (§ 12) und Resilienzplan (§ 13)
• Berichtswege: wer berichtet der Geschäftsleitung wann, mit welcher Tiefe
• Behördliche Anordnungen, Auditverlangen, laufende Bußgeldverfahren
• D&O-Deckung und deren Ausschlüsse
• Ob eine Bereichsausnahme nach § 4 Abs. 2 greift — § 20 gehört zu den ausgenommenen Vorschriften

Sub-Agent-Architektur

Der Researcher beschafft §§ 20, 21, 24 KRITISDachG, die gesellschaftsrechtlichen Haftungsnormen, §§ 30, 130 OWiG und die Verlautbarungen des BBK. Der Drafter entwirft Beschlussvorlage, Ressort- und Delegationsdokumentation sowie den Berichtsturnus. Der Reviewer prüft, ob die Überwachungspflicht trotz Delegation abgebildet ist, ob die Bereichsausnahme geprüft wurde und ob Bußgeldrahmen tatbestandsgenau zugeordnet sind.

Ablauf

1. Anwendbarkeit prüfen

**§ 20 gehört zu den Vorschriften, die nach [§ 4 Abs. 2 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__4.html) für bestimmte Betreiber nicht gelten** — insbesondere für DORA-Finanzunternehmen und den Sektor Informationstechnik und Telekommunikation. Für diese Einrichtungen folgt die Geschäftsleiterverantwortung aus DORA bzw. dem BSIG und dem allgemeinen Gesellschaftsrecht. Die Prüfung steht am Anfang (`/kritis-resilienz:kritis-anwendungsbereich-registrierung`).

2. Umsetzungs- und Überwachungspflicht ([§ 20 Abs. 1 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__20.html))

Geschäftsleitungen von Betreibern kritischer Anlagen sind verpflichtet,

• die nach **§ 13 Abs. 1** zu ergreifenden **Resilienzmaßnahmen umzusetzen** **und**
• **ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen**.

Die Norm enthält damit **zwei** Pflichten: eine Handlungs- und eine Überwachungspflicht. Delegation an eine Fachabteilung, einen Resilienzbeauftragten oder einen Dienstleister erfüllt die erste, **nicht** die zweite. Die Überwachungspflicht bleibt bei der Geschäftsleitung und verlangt:

| Element | Ausgestaltung | |---|---| | **Zuständigkeit** | ausdrückliche Ressortzuweisung in Geschäftsordnung oder Geschäftsverteilungsplan | | **Ressourcen** | Budget und Personal, dokumentiert im Beschluss | | **Berichtswesen** | fester Turnus, definierte Inhalte, Eskalationsschwellen | | **Kontrolle** | Nachhalten von Maßnahmen, Audits, Fristen aus § 16 | | **Dokumentation** | Beschlüsse, Vorlagen, Protokolle — die Beweislast im Haftungs- und Bußgeldverfahren liegt praktisch bei der Geschäftsleitung |

Bei mehrgliedriger Geschäftsleitung gilt der gesellschaftsrechtliche Grundsatz der **Gesamtverantwortung**: Ressortverteilung reduziert die Pflicht des nicht zuständigen Mitglieds auf Überwachung, beseitigt sie aber nicht.

3. Haftung ([§ 20 Abs. 2 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__20.html))

Geschäftsleitungen, die ihre Pflicht nach Abs. 1 verletzen, **haften ihrer Einrichtung** für einen **schuldhaft verursachten Schaden** nach den **auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts**. Nach dem Dachgesetz selbst haften sie **nur**, wenn die gesellschaftsrechtlichen Bestimmungen der Einrichtung **keine** Haftungsregelung enthalten.

Die Systematik ist damit:

1. **vorrangig** die gesellschaftsrechtliche Innenhaftung — [§ 43 GmbHG](https://www.gesetze-im-internet.de/gmbhg/__43.html), [§ 93 AktG](https://www.gesetze-im-internet.de/aktg/__93.html), [§ 34 GenG](https://www.gesetze-im-internet.de/geng/__34.html), für kommunale Eigenbetriebe und Anstalten das jeweilige Landesrecht `[unverifiziert – prüfen]`; 2. **subsidiär** § 20 Abs. 2 KRITISDachG, wenn eine solche Regelung fehlt.

Es handelt sich um **Innenhaftung** gegenüber der eigenen Einrichtung — das Dachgesetz begründet **keinen** Außenhaftungsanspruch betroffener Dritter oder Kunden. Ansprüche Dritter richten sich nach allgemeinem Recht (Vertrag, § 823 BGB), und § 20 ist insoweit kein Schutzgesetz kraft ausdrücklicher Anordnung; die Einordnung ist im Einzelfall zu begründen und nicht zu unterstellen `[unverifiziert – prüfen]`.

**Verzicht und Vergleich** über Ersatzansprüche unterliegen den gesellschaftsrechtlichen Schranken (etwa § 93 Abs. 4 AktG). **D&O-Deckung** ist auf Ausschlüsse für Bußgelder und wissentliche Pflichtverletzung zu prüfen.

4. Berichtspflicht