Dieser Leitfaden zeigt, wer gemeint ist, was jede Aufgabe im Alltag bedeutet und wie ein Jahresplan aussieht, der ohne Ordner voller E-Mails auskommt.
Wer zur Geschäftsleitung zählt
Geschäftsleitung ist nach § 2 Nr. 13 BSIG jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist.
- GmbH: die Geschäftsführerinnen und Geschäftsführer.
- Aktiengesellschaft: die Mitglieder des Vorstands.
- Alle Mitglieder: Die Pflicht trifft nicht nur die Person mit dem IT-Ressort.
Ausnahmen gelten unter anderem für Betreiber von Energieversorgungsnetzen und Energieanlagen, die den §§ 5c bis 5e EnWG unterliegen (§ 28 Abs. 5 BSIG). Für sie regelt § 5e EnWG die Pflichten der Geschäftsleitung. Ebenso gilt § 38 BSIG nicht für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste (§ 28 Abs. 5 Satz 1 Nr. 1 BSIG). Auch für Finanzunternehmen, die unter die DORA-Verordnung (EU) 2022/2554 fallen, gilt § 38 BSIG nicht (§ 28 Abs. 6 BSIG). Ob Ihr Unternehmen überhaupt erfasst ist, klärt unser Leitfaden zur NIS2-Betroffenheit.
Drei Aufgaben auf einen Blick
| Aufgabe | Was das Gesetz sagt | Was das im Alltag heißt | Fundstelle |
|---|---|---|---|
| Umsetzen | Die Maßnahmen nach § 30 BSIG umsetzen | Maßnahmen kennen, als geeignet billigen, Budget und Personal bereitstellen | § 38 Abs. 1 BSIG, Art. 20 Abs. 1 NIS2 |
| Überwachen | Die Umsetzung überwachen | Stand in festem Rhythmus prüfen, nachfragen, nachsteuern | § 38 Abs. 1 BSIG |
| Schulen | Regelmäßig an Schulungen teilnehmen | Risiken erkennen und bewerten, Folgen für die eigenen Dienste beurteilen | § 38 Abs. 3 BSIG |
Art. 20 Abs. 1 der NIS2-Richtlinie spricht von „billigen“, § 38 Abs. 1 BSIG von „umzusetzen“. Die Gesetzesbegründung verbindet beides: Die Leitung soll die Maßnahmen als geeignet billigen und ihre Umsetzung kontinuierlich überwachen (BT-Drs. 21/1501, S. 154).
Delegieren: was geht und was nicht
Die Arbeit darf bei der oder dem ISB, der IT-Leitung oder einem Dienstleister liegen. Die Gesetzesbegründung sagt aber auch: Das Leitungsorgan bleibt letztverantwortlich, wenn es Hilfspersonen einschaltet (BT-Drs. 21/1501, S. 154).
| Das können Sie übertragen | Das bleibt bei der Leitung |
|---|---|
| Maßnahmen ausarbeiten und betreiben | Maßnahmen billigen und Mittel bereitstellen |
| Berichte und Kennzahlen vorbereiten | Berichte lesen, hinterfragen und entscheiden |
| Schulungen organisieren | Selbst an der Schulung teilnehmen |
Der Jahresplan in sechs Schritten
Wie oft die Leitung den Stand prüft, schreibt das Gesetz nicht vor. Der vierteljährliche Takt ist unsere Empfehlung.
- Einstufung festhalten. Halten Sie fest, ob Ihre Einrichtung besonders wichtig oder wichtig ist, und begründen Sie das.
- Rollen benennen. Bestimmen Sie, wer das Thema operativ führt und wer der Leitung berichtet.
- Maßnahmen billigen. Die Leitung nimmt den Stand der Maßnahmen in den zehn Themenfeldern des § 30 Abs. 2 BSIG zur Kenntnis, bewertet ihn und entscheidet. Halten Sie das schriftlich fest.
- Jedes Quartal überwachen. Prüfen Sie Kennzahlen, offene Punkte und eigene Anweisungen aus dem letzten Termin.
- Schulung planen. Tragen Sie für jedes Mitglied den nächsten Termin ein, auch für neue Mitglieder.
- Nachweise ablegen. Sammeln Sie Beschlüsse, Überwachung und Teilnahmebescheinigungen an einem Ort.
Was in den Quartalsbericht gehört
Eine Seite reicht, wenn sie Entscheidungen möglich macht. Bewährt haben sich fünf Blöcke:
- Stand der Maßnahmen: Was ist je Themenfeld umgesetzt, was ist offen?
- Vorfälle: Was ist passiert, was wurde gemeldet, was folgt daraus?
- Risiken: Welche Risiken sind neu, gestiegen oder warten auf eine Entscheidung?
- Lieferkette: Welche wichtigen Lieferanten sind bewertet, wo fehlen Nachweise?
- Entscheidungen: Was braucht die Leitung heute: Budget, Personal, eine Priorität?
Die Schulung: was zählt
Ziel der Schulung sind ausreichende Kenntnisse und Fähigkeiten, um Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten und ihre Auswirkungen auf die Dienste der Einrichtung zu beurteilen (§ 38 Abs. 3 BSIG).
- Abstand: Nach der Gesetzesbegründung gelten Schulungen als regelmäßig, die mindestens alle drei Jahre angeboten werden (BT-Drs. 21/1501, S. 154). Ein kürzerer Abstand ist möglich und bei neuen Risiken sinnvoll.
- Format: Das Gesetz schreibt weder Anbieter noch Format vor.
- Persönlich: Teilnehmen muss jedes Mitglied selbst.
- Beleg: Halten Sie Datum, Dauer, Anbieter, Inhalte und die Teilnahmebescheinigung fest.
Haftung sachlich eingeordnet
Verletzt die Geschäftsleitung ihre Pflichten nach Absatz 1, haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden nach dem Gesellschaftsrecht ihrer Rechtsform (§ 38 Abs. 2 Satz 1 BSIG). Das sind zum Beispiel § 43 GmbHG und § 93 AktG. Nach dem BSIG selbst haftet sie nur, wenn dieses Recht keine Regelung enthält (§ 38 Abs. 2 Satz 2 BSIG).
Für die Praxis heißt das: Wer Beschlüsse, Überwachung und Schulung sauber belegt, kann zeigen, was die Leitung getan hat. Die Einhaltung der Maßnahmen dokumentiert die Einrichtung ohnehin (§ 30 Abs. 1 Satz 3 BSIG).
Beispiel aus der Industrie
Das Beispiel ist erfunden. Ein Hersteller von Verpackungsmaschinen mit 300 Beschäftigten hat zwei Geschäftsführer. Die kaufmännische Geschäftsführerin hält NIS2 für ein Thema des technischen Kollegen.
- Januar: Beide billigen die Maßnahmen und geben Budget für die Segmentierung der Fertigung frei.
- April: Der ISB berichtet: Fernwartung bleibt offen, ein Lieferant antwortet nicht. Die Leitung setzt einen Termin.
- Juni: Beide nehmen an einer Schulung mit Planspiel teil.
- Oktober: Nach einem Vorfall bei einem Dienstleister ändert die Leitung die Priorität und hält das fest.
Checkliste
- Einstufung der Einrichtung festgehalten und begründet.
- Alle Mitglieder der Geschäftsleitung benannt.
- Operative Verantwortung und Berichtsweg geregelt.
- Maßnahmen aus § 30 Abs. 2 BSIG gebilligt, Mittel bereitgestellt.
- Berichtsrhythmus festgelegt und die Termine stehen im Kalender.
- Schulung je Mitglied geplant, Teilnahme belegt.
- Beschlüsse, Überwachung und Schulungen liegen an einem Ort.
Die Leitungspflichten in Complass
Schluss mit der Suche nach Beschluss, Quartalsbericht und Bescheinigung in Excel und E-Mails. In Complass liegen sie auf einer Seite:
- Cockpit: Die Karte „Was für Sie gilt“ zeigt die Pflichten, die aus Ihrer Einstufung folgen, dazu Handlungsbedarf und Fristen.
- Beschluss: Complass stellt den aktuellen Stand der Maßnahmen zusammen. Jedes Mitglied prüft und bestätigt persönlich.
- Überwachung: Jedes Mitglied bestätigt Kennzahlen und Handlungsbedarf und kann eigene Beschlüsse und Anweisungen eintragen.
- Schulung: Sie erfassen Termin, Inhalte und Bescheinigung. Die nächste Schulung erscheint auf der Fristen-Seite.
- Nachweis: Ein PDF enthält Beschlüsse, Überwachungen, Schulungen und Prüfsummen für den gewählten Zeitraum.
Häufige Fragen
Reicht es, einen ISB zu benennen?
Nein. Die oder der ISB kann die Arbeit führen. Die Leitung bleibt letztverantwortlich und muss die Umsetzung selbst überwachen.
Muss jedes Mitglied der Geschäftsleitung geschult werden?
Ja. § 38 Abs. 3 BSIG richtet sich an die Geschäftsleitungen, und zur Geschäftsleitung zählt jede Person nach § 2 Nr. 13 BSIG. Eine Vertretung durch ein anderes Mitglied sieht das Gesetz nicht vor.
Wie oft muss die Leitung den Stand prüfen?
Das Gesetz nennt keinen Turnus. Die Gesetzesbegründung spricht von kontinuierlicher Überwachung. Wir empfehlen einen festen Termin je Quartal.
Muss ein Aufsichtsrat oder Beirat geschult werden?
§ 2 Nr. 13 BSIG nennt Personen, die zur Führung der Geschäfte und zur Vertretung berufen sind. Ein Aufsichtsrat überwacht die Geschäftsführung und führt sie nicht (§ 111 Abs. 4 Satz 1 AktG). Er fällt nach dem Wortlaut nicht darunter. Anders kann es bei einem Beirat sein, dem der Gesellschaftsvertrag Geschäftsführungs- und Vertretungsbefugnis überträgt. Prüfen Sie dafür Ihre Satzung oder Ihren Gesellschaftsvertrag.
Prüft das BSI die Schulungen?
Das kann es. Für besonders wichtige Einrichtungen nennt § 61 BSIG die Schulungspflicht ausdrücklich, für wichtige Einrichtungen § 62 BSIG. Ein vollständiger Nachweis erspart Ihnen dann die Suche.
In einer Demo zeigen wir Ihnen an der Demo-Firma, wie Beschluss, Überwachung und Schulung in Complass zusammenlaufen.
Weiterlesen
- Whitepaper „Geschäftsleitung haftet: Was § 38 BSIG von Geschäftsführern verlangt“
- Leitfaden „NIS2 umsetzen: der Leitfaden in Schritten“
- Leitfaden „Wer ist von NIS2 betroffen?“
- NIS2 und BSIG in Complass: Betroffenheit, Pflichten und Umsetzung
- Compliance-Management: Kataloge, Maßnahmenplan und Nachweise
Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich sind der aktuelle Wortlaut des BSIG und das Gesellschaftsrecht Ihrer Rechtsform. Stand: November 2026.