Angesichts einer Bedrohungslage, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) in seinem Lagebericht 2025 als „unverändert hoch“ einstuft, und der ständigen Gefahr durch Ransomware-Angriffe, erzwingen neue gesetzliche Regelungen einen fundamentalen Paradigmenwechsel. Das Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 ist die direkte legislative Antwort auf diese Realität. Die traditionelle Sichtweise, Cybersicherheit sei ein reines Technologiethema, ist damit endgültig passé. Die Verantwortung für die Informationssicherheit ist nun unmissverständlich in der Geschäftsleitung verankert und läutet eine neue Ära der persönlichen Rechenschaftspflicht ein. Die gesetzlichen Änderungen definieren die Spielregeln für die Managementebene fundamental neu.
Die neue Rechtslage: § 38 BSIG als rechtlicher Wendepunkt
Den rechtlichen Kern dieses Wandels bildet das neu gefasste BSI-Gesetz (BSIG), dessen § 38 die Managementverantwortung unmissverständlich neu justiert. Der Paragraph etabliert eine geschlossene Verantwortungs- und Haftungskette, die auf drei zentralen Säulen ruht und die Unternehmensführung direkt in die Pflicht nimmt.
- Gesamtverantwortung Die Geschäftsleitung ist gemäß § 38 Abs. 1 BSIG nun explizit für die Umsetzung und Überwachung der IT-Sicherheitsmaßnahmen verantwortlich. Diese Letztverantwortung kann nicht delegiert werden; sie verbleibt unteilbar bei der Unternehmensspitze.
- Persönliche Haftung Verstöße gegen diese Pflichten haben nach § 38 Abs. 2 BSIG nicht nur unternehmensseitige Konsequenzen. Die Geschäftsleitung kann nun auch gesellschaftsrechtlich persönlich haftbar gemacht werden. Die anhaltende Bedrohung durch Ransomware, die den Betrieb wochenlang lahmlegen kann, ist genau der Grund, warum der Gesetzgeber die Verantwortung für die Prävention aus dem Serverraum in die Vorstandsetage verlagert hat.
- Verpflichtende Schulung Um sicherzustellen, dass die Unternehmensführung ihrer Verantwortung gerecht werden kann, schreibt § 38 Abs. 3 BSIG die regelmäßige Teilnahme an Schulungen vor. Dies ist keine reine Rechtsformalität, sondern eine entscheidende Investition in die Fähigkeit der Führungsebene, fundierte und rechtssichere Entscheidungen über Budgets und Prioritäten im Bereich der Cybersicherheit zu treffen.
Diese neue rechtliche Realität, in der Unwissenheit kein Schutzschild mehr ist, transformiert das Risikomanagement von einer reinen Compliance-Übung in eine strategische Kerndisziplin. Die Anforderungen des BSIG verlangen daher mehr als nur die formale Pflichterfüllung.
Mehr als nur Compliance: Risikomanagement als strategisches Werkzeug
Die gesetzlichen Anforderungen erfordern ein proaktives und strategisch ausgerichtetes Risikomanagement, das die operative Resilienz als Wettbewerbsvorteil begreift. Ein zentrales Werkzeug zur Umsetzung der geforderten Risikomanagementmaßnahmen ist eine strukturierte Business Impact Analyse (BIA). Diese unterstützt Unternehmen dabei, ihre kritischen Geschäftsprozesse sowie deren Abhängigkeiten von Dienstleistern und Systemen systematisch zu identifizieren und zu bewerten.
Eine BIA zwingt ein Unternehmen, über die eigenen vier Wände hinauszublicken und die Resilienz seiner kritischen Lieferanten zu bewerten – ein Kernaspekt moderner Geschäftsfortführung. Sie schafft die Grundlage, um sogenannte Single Points of Failure aufzudecken und Betriebsunterbrechungen vorzubeugen. Ein Versäumnis bei der Durchführung einer BIA, das zu einem vermeidbaren Betriebsausfall führt, stellt einen klaren Verstoß gegen die neuen Pflichten der Geschäftsleitung nach § 38 BSIG dar. Dies würde die persönliche Haftung direkt auslösen und das Unternehmen den im Gesetz verankerten drastischen Sanktionen aussetzen.
Die Konsequenzen bei Verstößen: Drastisch erhöhte Sanktionen
Die Dringlichkeit des Themas wird durch die drastisch verschärften Sanktionen unterstrichen. Für besonders wichtige Einrichtungen können bei schwerwiegenden Verstößen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist.
Diese empfindlichen Strafen treffen nicht nur das Unternehmen als juristische Person. In Verbindung mit der in § 38 BSIG verankerten persönlichen Haftung können Pflichtverstöße auch direkte finanzielle und rechtliche Folgen für die Mitglieder der Geschäftsleitung haben. Angesichts dieser drastischen Konsequenzen ist Untätigkeit keine Option mehr. Die folgenden vier Schritte bieten der Geschäftsleitung einen klaren Fahrplan, um jetzt die Kontrolle zu übernehmen und entschlossen zu handeln.
Handlungsempfehlungen für die Geschäftsleitung: So werden Sie jetzt aktiv
Um sich in dieser neuen Regulierungslandschaft sicher zu bewegen und die persönliche Haftung zu minimieren, muss die Geschäftsleitung die folgenden vier Maßnahmen umgehend priorisieren.
- Schulungspflicht erfüllen Planen und absolvieren Sie umgehend die gesetzlich vorgeschriebene Geschäftsleitungsschulung gemäß § 38 Abs. 3 BSIG. Nur so stellen Sie sicher, dass Sie über ein fundiertes Verständnis für Risikomanagementpraktiken verfügen und Ihrer Verantwortung nachkommen können.
- Risikoanalyse initiieren Stoßen Sie eine unternehmensweite Business Impact Analyse (BIA) an. Identifizieren und bewerten Sie systematisch kritische Prozesse, IT-Systeme und externe Abhängigkeiten, um ein klares Bild Ihrer Risikolandschaft zu erhalten und gezielte Schutzmaßnahmen ableiten zu können.
- Registrierung und Meldewege sicherstellen Überprüfen Sie, ob Ihr Unternehmen zu den mehr als 30.000 betroffenen Einrichtungen in Deutschland gehört. Stellen Sie sicher, dass die erforderliche Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgt und interne Prozesse für die fristgerechte Meldung erheblicher Sicherheitsvorfälle etabliert sind.
- Governance verankern Etablieren Sie klare Verantwortlichkeiten und Governance-Strukturen für das Thema Cybersicherheit mit direkten Berichtslinien an die Geschäftsführung. Nur so erfüllen Sie Ihre Überwachungspflichten dauerhaft sowie nachweisbar und stärken die Resilienz Ihres Unternehmens nachhaltig.