NIS2 und die Haftung des Geschäftsführers

Wenn Ihr Betrieb nicht unter NIS2 fällt, gilt § 38 BSIG für Sie nicht. Keine Schulungspflicht, keine Überwachungspflicht, keine Innenhaftung aus diesem Gesetz, kein Bußgeld.

Der Paragraf richtet sich ausdrücklich an Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen. Ob Sie dazugehören, hängt an § 28 BSIG.

Der Rest dieses Textes ist für die, bei denen die Prüfung Ja ergeben hat.

Der Paragraf hat drei Absätze, und jeder trägt eine eigene Pflicht.

Absatz 1: umsetzen und überwachen. Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Das ist mehr als beauftragen. Man kann die Arbeit vergeben, die Pflicht nicht.

Nebenbei: Die EU-Richtlinie verlangt in Art. 20 Abs. 1 nur, die Maßnahmen zu „billigen" und ihre Umsetzung zu überwachen. Das deutsche Gesetz sagt „umsetzen" und geht damit weiter als die Vorgabe.

Absatz 2: Haftung, und zwar gegenüber der eigenen Firma. Wörtlich: Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, „haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts". Nach dem BSIG haften sie nur, wenn das Gesellschaftsrecht keine Haftungsregel enthält.

Das ist eine Innenhaftung. Die GmbH kann sich das Geld bei ihrem Geschäftsführer holen, wenn er schuldhaft etwas versäumt hat und daraus ein Schaden entsteht. Es ist keine Haftung gegenüber Kunden, gegenüber Dritten oder gegenüber der Behörde.

Absatz 3: Schulung. Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können.

Wer zur Geschäftsleitung zählt, steht in § 2 Nr. 13 BSIG: jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist.

Das ist der Teil, den die Werbung gern auslässt.

Kein Verbot, auf Ersatzansprüche zu verzichten. Diese Behauptung geistert durch viele Beiträge. Im geltenden § 38 BSIG steht sie nicht. Der Paragraf hat drei Absätze, und keiner regelt so etwas. Wer es behauptet, muss es aus dem Gesellschaftsrecht herleiten, nicht aus NIS2.

Keine Haftung gegenüber Dritten. Siehe oben, Absatz 2 ist Innenhaftung.

Kein Bußgeld gegen den Geschäftsführer persönlich. § 65 BSIG knüpft die Bußgeldtatbestände an Pflichtverstöße der Einrichtung. § 38 BSIG taucht dort nicht als eigener Bußgeldtatbestand auf.

Das BSI formuliert es ähnlich zurückhaltend: „Eine mögliche persönliche Haftung von Geschäftsführungen für schuldhaft verursachte Schäden richtet sich nach den einschlägigen zivilrechtlichen Regelungen. Wenn solche fehlen sollten, kann sich eine Rechtsgrundlage für eine Haftung auch unmittelbar aus dem NIS-2-Umsetzungsgesetz ergeben."

Das Gesetz sagt nur „regelmäßig". Die Gesetzesbegründung wird konkreter, und das BSI gibt sie wörtlich wieder.

Wie oft: „Als ‚regelmäßig' im Sinne dieser Vorschrift gelten Schulungen, die mindestens alle drei Jahre angeboten werden."

Wie lang: „Schulungen im Sinne des NIS-2-Umsetzungsgesetzes sollten innerhalb von drei Jahren über eine Dauer von mindestens 4 Stunden durchgeführt werden."

Und dann der Satz, der gern übersehen wird. Das BSI selbst: „Der Zeitrahmen von 4 Stunden ist keine Empfehlung, sondern eine Annahme aus der Gesetzesbegründung zur durchschnittlichen Dauer von Schulungen. In den allermeisten Fällen wird eine 4-stündige Schulung nicht ausreichend sein."

Wer: jedes Mitglied der Geschäftsleitung. Bei zwei Geschäftsführern also beide, nicht einer stellvertretend.

Wann zusätzlich: Die Handreichung des BSI nennt vier Anlässe, bei denen eine weitere Schulung ansteht. Wechsel in der Geschäftsleitung, deutliche Änderungen in den Geschäftsprozessen, deutliche Änderungen der Risikolage, deutliche Änderungen bei den Maßnahmen.

Und dokumentieren. Die Handreichung verlangt „eine lückenlose Dokumentation über Datum, Zeitraum und Inhalte der durchgeführten Schulungen". Ein Kalendereintrag und eine Teilnehmerliste reichen dafür aus.

Ein Anbieter, der Ihnen eine „vorgeschriebene NIS2-Geschäftsführerschulung" verkauft, überzieht. Das BSI schreibt kein Format vor und spricht ausdrücklich keine Empfehlung für einzelne Anbieter aus. Es empfiehlt nur, die Inhalte mit seiner Handreichung abzugleichen.

Bußgelder treffen die Einrichtung, nicht die Person. Für einen mittelständischen Betrieb sind das die Zahlen, auf die es ankommt:

§ 61 Abs. 9 BSIG erlaubt es der zuständigen Aufsichtsbehörde, unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend zu untersagen. Als letztes Mittel, und nur wenn die Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nachkommt. Sobald sie nachkommt, ist die Untersagung wieder aufzuheben.

Der Wortlaut nennt dafür besonders wichtige Einrichtungen. Ob dasselbe über § 62 BSIG auch für wichtige Einrichtungen gilt, ist eine offene Auslegungsfrage. § 62 verweist pauschal auf „Maßnahmen nach § 61", die Richtlinie sieht die Maßnahme in Art. 32 Abs. 5 lit. b aber nur für wesentliche Einrichtungen vor. Eine Antwort dazu findet sich in den amtlichen Quellen nicht. Wir benennen das lieber, als so zu tun, als sei es geklärt.

Die Schulung terminieren und dokumentieren. Datum, Dauer, Inhalte. Beide Geschäftsführer.

Zwei Personen für die Koordination benennen. Das ist kein Gesetz, sondern Schritt 2 der NIS-2-Checkliste des BSI. Es steht aber schwarz auf weiß bei der Aufsichtsbehörde.

Die Überwachung sichtbar machen. Ein fester Tagesordnungspunkt in der Geschäftsführungsrunde, protokolliert. Das ist der billigste Nachweis, dass Absatz 1 gelebt wird.

Mit dem Versicherer sprechen. Weil § 38 Abs. 2 BSIG an das Gesellschaftsrecht anknüpft, ist die D-und-O-Versicherung die passende Adresse. Das ist eine Frage an den Versicherer, nicht an Ihren IT-Dienstleister.

Von uns kommt die technische Hälfte: dass die Maßnahmen wirklich laufen und dass Sie belegen können, dass sie laufen.