Geschäftsleitungspflichten nach §38 BSIG
Gesetzliche Pflichten
§38 Abs. 1 – Umsetzung und Überwachung
Die Geschäftsleitung ist persönlich verpflichtet, die Risikomanagementmaßnahmen nach §30 „umzusetzen und ihre Umsetzung zu überwachen“. Die Gesetzesbegründung konkretisiert, dass die Geschäftsleitungen die Maßnahmen „zunächst als für geeignet zu billigen und deren Umsetzung kontinuierlich zu überwachen“ haben; auch bei Einschaltung von Hilfspersonen bleibt das Leitungsorgan letztverantwortlich (BT-Drs. 21/1501; vgl. Art. 20 Abs. 1 NIS2).
| Pflicht | Beschreibung | Nachweis |
|---|---|---|
| Umsetzung | Verantwortung für die Umsetzung aller Risikomanagementmaßnahmen nach §30, auch bei Delegation | Umsetzungsaufträge, Ressourcenfreigabe |
| Billigung | Formale Genehmigung der Maßnahmen als geeignet | Unterschriebenes Freigabedokument |
| Überwachung | Laufende Kontrolle der ordnungsgemäßen Umsetzung | Regelmäßige Sicherheitsberichte, KPI-Reviews |
§38 Abs. 2 – Haftung
- Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für schuldhaft verursachte Schäden
- Die Haftung richtet sich nach dem Gesellschaftsrecht der jeweiligen Rechtsform (z. B. §43 GmbHG, §93 AktG)
- Nach dem BSIG selbst haften sie nur, wenn das Gesellschaftsrecht keine entsprechende Haftungsregel enthält
§38 Abs. 3 – Schulungspflicht
- Geschäftsleitungen müssen regelmäßig an Schulungen teilnehmen – nach der Gesetzesbegründung mindestens alle drei Jahre
- Zweck: Ausreichende Kenntnisse zur Erkennung und Bewertung von Risiken
- Inhalt: Risikomanagementpraktiken und deren Auswirkung auf die Dienste der Einrichtung
Umsetzung bei BAUER GROUP
Billigungsprozess
| Schritt | Beschreibung | Dokumentation |
|---|---|---|
| 1. ISB erstellt Maßnahmenvorschlag | Basierend auf Risikoanalyse und §30-Anforderungen | Maßnahmenplan |
| 2. Präsentation an Geschäftsleitung | Erläuterung der Risiken und vorgeschlagenen Maßnahmen | Präsentationsunterlagen |
| 3. Diskussion und Anpassung | Geschäftsleitung kann Änderungen einfordern | Protokoll |
| 4. Formale Billigung | Unterschrift der Geschäftsleitung | Freigabedokument mit Datum und Unterschrift |
| 5. Umsetzungsauftrag | Ressourcenfreigabe und Verantwortungszuweisung | Dokumentierter Auftrag |
Überwachungsmechanismen
| Mechanismus | Intervall | Format |
|---|---|---|
| KPI-Dashboard | Monatlich | Digitaler Report |
| Quartals-Managementbericht | Quartalsweise | Präsentation + Diskussion |
| Jährlicher Sicherheitsbericht | Jährlich | Schriftlicher Bericht mit Maßnahmenplan |
| Anlassbezogene Eskalation | Bei Stufe Hoch/Kritisch | Sofortige Information |
Schulungsnachweis
| Aspekt | Umsetzung |
|---|---|
| Häufigkeit | Mindestens jährlich |
| Format | Präsenzschulung oder qualifiziertes Webinar |
| Trainer | ISB oder externer Cybersicherheitsexperte |
| Nachweis | Teilnahmebestätigung mit Datum, Inhalt, Dauer |
| Archivierung | Mindestens 3 Jahre |
Haftungsminimierung
Zur Minimierung des persönlichen Haftungsrisikos der Geschäftsleitung empfiehlt sich:
| Maßnahme | Beschreibung |
|---|---|
| Dokumentierte Billigung | Jede Maßnahme schriftlich genehmigen und archivieren |
| Regelmäßige Berichte | Nachweisbare Überwachung durch Kenntnisnahme und Diskussion der Berichte |
| Nachweisbare Schulung | Teilnahmenachweise aufbewahren |
| Angemessene Ressourcen | Budget und Personal für Informationssicherheit bereitstellen |
| Zeitnahe Reaktion | Bei bekannt gewordenen Risiken zeitnah Maßnahmen ergreifen |