/nis2-geschaeftsleitung-haftung

name: nis2-geschaeftsleitung-haftung
description: "Leitungsverantwortung und Haftung nach NIS2 / neuem BSIG – Billigung, Überwachung und Schulungspflicht der Geschäftsleitung Art. 20 NIS2-RL / § 38 BSIG, Verzahnung mit den Risikomaßnahmen § 30 BSIG und das Bußgeld § 65 BSIG. Use when die Geschäftsleitung ihre persönlichen Pflichten und ihr Haftungsrisiko unter dem neuen BSIG bewerten muss."
language: de
provider_variants: [claude, gemini, openai]
test: ./test.md

/nis2:nis2-geschaeftsleitung-haftung

Zweck

NIS2 macht Cybersicherheit zur **Chefsache**: Die Geschäftsleitung muss die Risikomaßnahmen **billigen, überwachen** und sich **schulen** lassen — und haftet bei Pflichtverletzung **persönlich**. Das deutsche Recht setzt dies in **§ 38 BSIG** (n.F.) um, flankiert vom Bußgeldtatbestand **§ 65 BSIG**. Dieser Skill bewertet die Leitungsverantwortung, prüft die Nachweislage und schätzt das Haftungs- und Bußgeldrisiko ab.

Eingaben

• Einordnung der Einrichtung (besonders wichtig / wichtig — § 28 BSIG)
• Organstruktur (Geschäftsführer, Vorstand, ggf. Aufsichtsrat)
• Stand der Billigung der § 30-Maßnahmen (Beschluss vorhanden?)
• Überwachungsroutine (Reporting-Linien, Berichtsfrequenz)
• Absolvierte Schulungen der Leitungsorgane (Nachweise)
• Konzernumsatz (für Bußgeldobergrenze)

Sub-Agent-Architektur

Drei gedankliche Rollen. Ein **Pflichten-Agent** zerlegt § 38 BSIG / Art. 20 NIS2-RL in die drei Kernpflichten (Billigung, Überwachung, Schulung) und prüft je Pflicht den Erfüllungsstand. Ein **Nachweis-Agent** sammelt die Dokumentation (Beschlüsse, Reportings, Schulungsnachweise), die im Streitfall die Pflichterfüllung belegt. Ein **Haftungs-Agent** bewertet das Bußgeldrisiko nach § 65 BSIG und das organschaftliche Innenhaftungsrisiko. Entscheidungen über organisatorische Konsequenzen trifft die Einrichtung selbst.

Ablauf

1. Adressat der Leitungspflichten (§ 38 BSIG)

• Pflichtadressat sind die **Geschäftsleitungen** besonders wichtiger und wichtiger Einrichtungen.
• Die Verantwortung ist **nicht vollständig delegierbar**; Delegation an CISO/IT entlastet nicht von der Letztverantwortung.

2. Die drei Kernpflichten (Art. 20 NIS2-RL / § 38 BSIG)

| Pflicht | Inhalt | |---|---| | **Billigung** | Förmliche Billigung der Risikomanagementmaßnahmen nach § 30 BSIG (Organbeschluss) | | **Überwachung** | Laufende Überwachung der Umsetzung der gebilligten Maßnahmen | | **Schulung** | Regelmäßige Schulung der Leitungsorgane, um Cyberrisiken bewerten zu können; Schulungsangebote auch für Beschäftigte |

3. Verzahnung mit § 30 BSIG

• Die Billigungs- und Überwachungspflicht bezieht sich konkret auf die **zehn Mindestmaßnahmen** des § 30 BSIG.
• Ohne dokumentierte Billigung ist die Maßnahmenumsetzung formell unvollständig.

4. Persönliche Haftung und Innenhaftung

• § 38 Abs. 2 BSIG ordnet die **persönliche Haftung** der Leitungsorgane für die Einhaltung der Pflichten an.
• Daneben greifen die allgemeinen organschaftlichen Haftungsregime (§ 43 GmbHG, § 93 AktG) im Innenverhältnis.

5. Bußgeld (§ 65 BSIG)

• **Besonders wichtige Einrichtungen**: Bußgeld bis **10 Mio. €** oder **2 %** des weltweiten Jahresumsatzes (der höhere Betrag).
• **Wichtige Einrichtungen**: bis **7 Mio. €** oder **1,4 %** des weltweiten Jahresumsatzes.
• Das Bußgeld trifft die Einrichtung; die persönliche Verantwortlichkeit der Leitung kann zusätzlich aufsichts- und gesellschaftsrechtlich relevant werden.

Risiken / typische Fehler

• **Persönliche Haftung** unterschätzt — § 38 BSIG adressiert die Leitungsorgane unmittelbar; eine reine Delegation an die IT entlastet nicht.
• **Schulung** der Leitung ausgelassen — die Schulungspflicht trifft die Geschäftsleitung selbst, nicht nur die Belegschaft; fehlende Nachweise sind ein Prüfbefund.
• **Billigung** nur mündlich — ohne dokumentierten Organbeschluss zu den § 30-Maßnahmen fehlt der Nachweis der Pflichterfüllung.
• **Bußgeld**-Dimension verkannt — die Obergrenzen des § 65 BSIG bemessen sich am weltweiten Konzernumsatz.

Quellen

Statute

• [§ 38 BSIG (n.F.)](https://www.gesetze-im-internet.de/bsig_2025/__38.html) — Pflichten der Geschäftsleitung
• [§ 30 BSIG (n.F.)](https://www.gesetze-im-internet.de/bsig_2025/__30.html) — Risikomanagementmaßnahmen
• [§ 65 BSIG (n.F.)](https://www.gesetze-im-internet.de/bsig_2025/__65.html) — Bußgeldvorschriften
• [Richtlinie (EU) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) — Art. 20 NIS2-RL
• § 43 GmbHG, § 93 AktG (organschaftliche Innenhaftung)

Sekundärliteratur

• Eckhardt, NIS2, 1. Aufl. 2024
• Greenberg Traurig, „NIS2 in Germany — Cybersecurity as a board-level issue"

Ausgabeformat

NIS2-LEITUNGSVERANTWORTUNG — <Einrichtung> — <Datum>

I.    Einordnung (§ 28 BSIG)               [besonders wichtig / wichtig]
II.   Kernpflichten (§ 38 BSIG / Art. 20 NIS2-RL)
      Billigung der § 30-Maßnahmen          [Beschluss vorhanden? Ja/Nein]
      Überwachung                            [Reporting-Linie / Frequenz]
      Schulung der Leitung                   [Nachweise vorhanden? Ja/Nein]
III.  Nachweislage                          [vollständig / Lücken]
IV.   Persönliche Haftung                   [Risikoeinschätzung]
V.    Bußgeldrahmen (§ 65 BSIG)            [bis 10 Mio. € / 2 % bzw. 7 Mio. € / 1,4 %]

Sofortmaßnahmen:
  - Organbeschluss zu § 30-Maßnahmen
  - Schulungstermin Leitung
Nächster Schritt: <…>