Governance

RECHTSGRUNDLAGE

§38 Abs. 1 BSIG – Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach §30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.

§38 Abs. 3 BSIG – Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

Geschäftsleitungspflichten

Die NIS2-Umsetzung in Deutschland legt erstmals persönliche Pflichten der Geschäftsleitung für Cybersicherheit fest:

Pflicht	Beschreibung	Nachweis
Umsetzung	Verantwortung für die Umsetzung der Maßnahmen nach §30 – auch wenn Aufgaben delegiert werden (§38 Abs. 1 BSIG)	Umsetzungsaufträge, Ressourcenfreigabe
Billigung	Formale Genehmigung der Maßnahmen als geeignet (Gesetzesbegründung zu §38 Abs. 1; Art. 20 Abs. 1 NIS2)	Dokumentierte Freigabe
Überwachung	Laufende Kontrolle der Umsetzung (§38 Abs. 1 BSIG)	Regelmäßige Berichte
Schulung	Persönliche Teilnahme an Cybersicherheitsschulungen (§38 Abs. 3 BSIG)	Teilnahmenachweis
Haftung	Haftung gegenüber der eigenen Einrichtung bei schuldhafter Pflichtverletzung (§38 Abs. 2 BSIG)	—

HAFTUNG

Nach §38 Abs. 2 BSIG haften Geschäftsleitungen, die ihre Pflichten nach Abs. 1 verletzen, ihrer Einrichtung für schuldhaft verursachte Schäden – nach den Regeln des Gesellschaftsrechts der jeweiligen Rechtsform (z. B. §43 GmbHG, §93 AktG). Nur wenn das Gesellschaftsrecht keine solche Haftungsregel enthält, haften sie unmittelbar nach dem BSIG.

Governance-Struktur

Rolle	Verantwortlichkeit
Geschäftsleitung	Umsetzungsverantwortung, Billigung und Überwachung der Maßnahmen, Ressourcenzuweisung, persönliche Schulung
Informationssicherheitsbeauftragter (ISB)	Operative Steuerung, Risikoanalyse, Vorfallkoordination, BSI-Kontakt
IT-Leitung	Technische Umsetzung, Systemsicherheit, Patch Management
Fachbereichsleiter	Einhaltung der Sicherheitsrichtlinien im eigenen Bereich

Berichtswesen

Bericht	Empfänger	Intervall
Sicherheitsstatus	Geschäftsleitung	Quartalsweise
Vorfallberichte	Geschäftsleitung	Anlassbezogen (bei Stufe Hoch/Kritisch sofort)
Jährlicher Sicherheitsbericht	Geschäftsleitung	Jährlich
KPI-Report	ISB / Geschäftsleitung	Monatlich

Schulungspflicht der Geschäftsleitung

Die Geschäftsleitung nimmt mindestens jährlich an einer Cybersicherheitsschulung teil, die folgende Inhalte abdeckt:

• Aktuelle Bedrohungslage und relevante Vorfälle
• NIS2/BSIG-Pflichten und Haftung
• Risikomanagement und Maßnahmenbewertung
• Incident-Response-Prozess und Eskalation

AI-Act-Synergie

Das AI-Act-Governance-Framework ergänzt die NIS2-Governance-Anforderungen bei KI-gestützten Systemen. Details in der AI-Act-Governance-Dokumentation.