Seit dem 6. Dezember 2025 weist das BSI-Gesetz die IT-Sicherheit betroffener Unternehmen ausdrücklich der Geschäftsleitung zu. Fast ein Jahr später fehlen dem BSI noch gut 9.300 der erwarteten Registrierungen. Die Geschäftsleitung haftet auch ohne Registrierung.
Das Gesetz trat an einem Wochenende in Kraft. Am 5. Dezember 2025 wurde es verkündet, am Samstag, dem 6. Dezember, galt es, und zwar ohne allgemeine Übergangsfrist 8. Wer am Montag darauf ins Büro kam und ein Unternehmen führte, das unter das Gesetz fällt, hatte über das Wochenende eine neue Pflicht bekommen. Sie steht in § 38 des BSI-Gesetzes und ist drei Absätze lang 1.
Der erste Absatz verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die Maßnahmen zum Risikomanagement „umzusetzen und ihre Umsetzung zu überwachen“. Nach dem zweiten „haften“ sie „ihrer Einrichtung für einen schuldhaft verursachten Schaden“. Der dritte verpflichtet sie regelmäßig zum Besuch einer Schulung 1.
Neu ist daran weniger, als viele Beratungsfolien es behaupten. Ein Geschäftsführer schuldet seiner GmbH seit jeher „die Sorgfalt eines ordentlichen Geschäftsmannes“ und haftet ihr für den Schaden, wenn er seine Pflichten verletzt 4. Neu ist, dass ein Gesetz die IT-Sicherheit ausdrücklich der Verantwortung der Geschäftsleitung zuweist. Wer nach einem Angriff erklärt, das habe die IT-Abteilung geregelt, gesteht damit seine eigene Pflichtverletzung.
Wer Geschäftsleitung ist
Geschäftsleitung ist nach dem Gesetz jede natürliche Person, die „zur Führung der Geschäfte und zur Vertretung“ der Gesellschaft berufen ist 3. Das ist der Geschäftsführer, das ist jedes Mitglied des Vorstands. Der IT-Leiter ist es nicht – der Dienstleister auch nicht.
Was diese Personen umsetzen und überwachen müssen, steht in § 30: „geeignete, verhältnismäßige und wirksame“ technische und organisatorische Maßnahmen, mit denen Störungen vermieden und die Folgen von Vorfällen gering gehalten werden 2. Die Arbeit daran lässt sich delegieren, an eine Abteilung, einen Sicherheitsbeauftragten oder einen Dienstleister. Überwachen muss die Geschäftsleitung selbst, und zur Schulung müssen die gehen, die führen 1.
Was das Gesetz regelt und was es offenlässt
Die Haftung besteht gegenüber dem eigenen Unternehmen. Sie richtet sich nach dem Gesellschaftsrecht der jeweiligen Rechtsform; nur wo dieses keine Regel kennt, greift das BSI-Gesetz selbst 1. § 38 ist nicht mit einem Bußgeld bewehrt. Die Geldbußen in § 65 sind auf die Einrichtung zugeschnitten: Für Verstöße gegen die Pflichten zum Risikomanagement und zur Meldung reichen sie bei besonders wichtigen Einrichtungen bis zu zehn Millionen Euro, bei wichtigen bis sieben Millionen. Liegt der Gesamtumsatz des Unternehmens über 500 Millionen Euro, sind bis zu zwei beziehungsweise 1,4 Prozent davon möglich 6. Wie oft die Geschäftsleitung geschult werden muss, sagt das Gesetz nicht. Es sagt „regelmäßig“ 1.
Für Vorstände einer Aktiengesellschaft kehrt der Verweis auf das Gesellschaftsrecht die Beweislast um. Ist streitig, ob Vorstandsmitglieder sorgfältig gehandelt haben, „trifft sie die Beweislast“ 5. Legt die Gesellschaft nach einem Angriff Schaden und Ursache dar, muss der Vorstand beweisen, dass er getan hat, was geboten war. Auf Ersatzansprüche kann die Gesellschaft erst drei Jahre nach deren Entstehung verzichten, und nur, wenn die Hauptversammlung zustimmt und keine Minderheit von zehn Prozent des Grundkapitals widerspricht 5. Wer dann gerade mal eine Rechnung des Systemhauses vorlegen kann, hat wenig in der Hand.
20.141 von 29.500
Rund 29.500 Unternehmen und Einrichtungen fallen nach Angaben des BSI unter die neuen Pflichten 8. Sie müssen sich spätestens drei Monate, nachdem sie unter das Gesetz fallen, bei der Behörde registrieren 10. Zum 30. September 2026 hatten das 20.141 getan, davon 6.837 besonders wichtige und 13.252 wichtige Einrichtungen 7.
Das BSI hatte eine Nachfrist bis zum 31. Juli 2026 eingeräumt, weil viele Unternehmen nicht sicher sagen konnten, ob sie betroffen sind, etwa in verschachtelten Konzernen. Den Stand bewertete es Anfang August als insgesamt zufriedenstellend. Durchsetzungsmaßnahmen hatte es bis dahin nicht eingeleitet, obwohl eine versäumte Registrierung mit bis zu 500.000 Euro geahndet werden kann 6 9. Zugleich ließ das Innenministerium die Schätzung von 29.500 vom Statistischen Bundesamt überprüfen 9. Ob die Lücke aus säumigen Unternehmen besteht oder aus einer zu hohen Schätzung, ist offen.
Den einzelnen Geschäftsführer entlastet das nicht. Er haftet, wenn sein Unternehmen unter das Gesetz fällt und der Gesellschaft aus seiner schuldhaften Pflichtverletzung ein Schaden entsteht, ob das BSI ihn kennt oder nicht 1. Die Registrierung ist die leichteste der neuen Aufgaben. Wer sie liegen lässt, hat die Frage nach dem Risikomanagement vermutlich auch nicht gestellt.
Der Ernstfall kommt vor der Aufsicht
Nachweise verlangt das BSI von den meisten Einrichtungen nur auf Anordnung; unaufgefordert liefern müssen allein die Betreiber kritischer Anlagen 8. Der Schaden kommt aber selten von der Aufsicht. Über das Portal der Behörde gingen bis Ende September 1.272 Erstmeldungen zu Sicherheitsvorfällen ein 7. Nach jedem dieser Vorfälle kann ein Aufsichtsrat, ein Gesellschafter oder ein Insolvenzverwalter nachfragen, was die Geschäftsleitung vorher veranlasst hat.
Sie muss dann vorlegen können, welche Maßnahmen sie auf den Weg gebracht hat, wer ihr wann über deren Wirkung berichtet hat und wann sie selbst zuletzt geschult wurde. Ein Unternehmen ohne eigenen Sicherheitsverantwortlichen kann sich dafür jemanden von außen holen. Er nimmt der Geschäftsleitung die Arbeit ab und liefert ihr die Berichte, auf die sie ihre Überwachung stützt.
Das Gesetz gilt seit dem 6. Dezember 2025. Die Frage nach den Unterlagen kommt nach dem ersten Vorfall.
Daniel Schönland ist Gründer von #derimeter und des Sicherheitsunternehmens Identiqa, das Unternehmen als externer CISO berät.
Ähnliche Artikel
