Was verlangt § 38 BSIG von der Geschäftsleitung?

Die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. Sie haftet der Einrichtung für schuldhaft verursachte Schäden und muss regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken in der Informationssicherheit erkennen und bewerten zu können.

Wer muss an der NIS2-Schulung teilnehmen?

Jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist (§ 2 Nr. 13 BSIG) – in einer Krankenhaus-gGmbH also alle Geschäftsführerinnen und Geschäftsführer, in einer AG der Vorstand. Die Pflicht ist persönlich und kann nicht an IT-Leitung oder Informationssicherheitsbeauftragte delegiert werden.

Wie oft muss die Geschäftsleitung geschult werden?

Das Gesetz verlangt eine regelmäßige Teilnahme, nennt aber kein festes Intervall. Das BSI empfiehlt eine ausführliche Erstschulung und anschließende Folgeschulungen, deren Abstand und Umfang sich nach der Risikoexposition der Einrichtung und nach besonderen Anlässen richten.

Welche Inhalte muss eine Geschäftsleitungsschulung haben?

Ziel ist, Risiken und Risikomanagementpraktiken der Informationssicherheit zu erkennen und zu bewerten und ihre Auswirkungen auf die eigenen Dienste beurteilen zu können. Dazu gehören die gesetzlichen Pflichten, die aktuelle Bedrohungslage, die Maßnahmen nach § 30 BSIG, Melde- und Krisenprozesse sowie die Rolle der Geschäftsleitung bei Entscheidungen und Überwachung. Orientierung geben die Handreichung und das Beispielcurriculum des BSI.

Haften Geschäftsführer persönlich bei NIS2?

Ja, gegenüber der eigenen Einrichtung. Verletzt die Geschäftsleitung ihre Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen schuldhaft, haftet sie nach dem Gesellschaftsrecht der Rechtsform, bei einer GmbH nach § 43 GmbHG, bei einer AG nach § 93 AktG. Fehlende Schulung erschwert den Nachweis, sorgfältig gehandelt zu haben.

Gilt die Schulungspflicht auch für kleinere Krankenhäuser?

§ 38 BSIG gilt nur für wichtige und besonders wichtige Einrichtungen, in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Für kleinere Krankenhäuser gilt § 391 SGB V ohne ausdrückliche Schulungspflicht der Geschäftsleitung; eine Schulung ist trotzdem sinnvoll, weil auch sie für die IT-Sicherheit nach dem Stand der Technik verantwortlich ist.

NIS2-Schulungspflicht der Geschäftsleitung (§ 38 BSIG)

Q: Wie wird die Schulung nachgewiesen?

Das BSI empfiehlt, mindestens Teilnehmende, Zeitpunkt, Dauer und behandelte Inhalte zu dokumentieren. Eine Prüfung ist nicht vorgesehen; der Lernerfolg zeigt sich nach Auffassung des BSI in den dokumentierten Entscheidungen der Geschäftsleitung zum Risikomanagement.

Kurze Antwort

Nach § 38 BSIG muss die Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen – also in den meisten Krankenhäusern, vielen MVZ und Pflegeeinrichtungen – die Maßnahmen zur Informationssicherheit selbst umsetzen und überwachen und regelmäßig an Schulungen teilnehmen. Ziel ist, Cyberrisiken und ihre Auswirkungen auf die Versorgung beurteilen zu können. Ein festes Intervall nennt das Gesetz nicht; das BSI empfiehlt eine ausführliche Erstschulung mit risikoabhängigen Folgeschulungen. Bei schuldhaften Pflichtverletzungen haftet die Geschäftsleitung der eigenen Einrichtung.

Stand: November 2026

Das Wichtigste in Kürze

Die Pflicht trifft jede Person, die die Einrichtung führt und vertritt – Geschäftsführung oder Vorstand. Sie ist persönlich und nicht delegierbar.
Das Gesetz fordert „regelmäßige“ Schulungen; das BSI empfiehlt eine ausführliche Erstschulung und Folgeschulungen nach Risiko und Anlass.
Die Geschäftsleitung soll keine IT-Fachleute werden, sondern fundiert über Cyberrisiken entscheiden können.
Dokumentiert werden sollten Teilnehmende, Datum, Dauer und Inhalte; der Lernerfolg zeigt sich in dokumentierten Entscheidungen.
Wer Risikomanagement nicht umsetzt und überwacht, haftet der Einrichtung nach Gesellschaftsrecht.

Was regelt § 38 BSIG?

Kurze Antwort

Drei Dinge: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und überwachen (Absatz 1), sie haftet für schuldhaft verursachte Schäden (Absatz 2), und sie muss regelmäßig an Schulungen teilnehmen (Absatz 3).

Absatz	Pflicht	Bedeutung für das Krankenhaus
1	Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und überwachen	Informationssicherheit ist Aufgabe der Geschäftsführung, nicht nur der IT. Sie entscheidet über Ziele, Budget und Prioritäten und lässt sich regelmäßig berichten.
2	Haftung für schuldhaft verursachte Schäden	Haftung gegenüber der eigenen Einrichtung nach dem Gesellschaftsrecht der Rechtsform, etwa § 43 GmbHG bei einer gGmbH
3	Regelmäßige Teilnahme an Schulungen	Ausreichende Kenntnisse, um Risiken und Risikomanagementpraktiken zu erkennen, zu bewerten und ihre Auswirkungen auf die Versorgung zu beurteilen

Für welche Einrichtungen das gilt, erklärt der Leitartikel KRITIS und NIS2 im Gesundheitswesen. Ob die eigene Einrichtung betroffen ist, zeigt der NIS2-Check in wenigen Minuten.

Wer muss sich schulen lassen?

Kurze Antwort

Alle Mitglieder der Geschäftsleitung im Sinne von § 2 Nr. 13 BSIG – also jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist.

Rechtsform (Beispiele)	Geschäftsleitung im Sinne des BSIG
Krankenhaus-gGmbH, MVZ-GmbH, Pflege-gGmbH	alle Geschäftsführerinnen und Geschäftsführer
Aktiengesellschaft (zum Beispiel privater Klinikkonzern)	alle Vorstandsmitglieder
Verein, Stiftung (zum Beispiel frei-gemeinnütziger Träger)	das nach Satzung zur Leitung und Vertretung berufene Organ, etwa der Vorstand

Nicht zur Geschäftsleitung im Sinne des Gesetzes gehören in der Regel Aufsichtsrat oder Kuratorium sowie ärztliche Direktion und Pflegedirektion, wenn sie die Einrichtung nicht rechtlich vertreten. Weil sie im Krankenhaus wesentliche Entscheidungen mittragen – etwa über Notbetrieb oder Investitionen –, ist es trotzdem sinnvoll, die gesamte Betriebsleitung einzubeziehen. In Klinikverbünden gilt die Pflicht für die Geschäftsleitung jeder betroffenen Einrichtung.

Die Pflicht ist persönlich: Sie lässt sich nicht an IT-Leitung, Informationssicherheitsbeauftragte oder externe Berater übertragen. Diese können die Geschäftsleitung unterstützen und beraten, ersetzen aber nicht deren eigene Kenntnisse.

Wie oft muss geschult werden?

Kurze Antwort

„Regelmäßig“ – ein festes Intervall nennt das Gesetz nicht. Das BSI empfiehlt eine ausführliche Erstschulung und Folgeschulungen, deren Abstand und Umfang sich nach der Risikoexposition der Einrichtung und nach Anlässen richten.

Für Krankenhäuser, die als Teil der Gesundheitsversorgung einer hohen Bedrohung ausgesetzt sind, empfiehlt sich in der Praxis:

Erstschulung für alle Mitglieder der Geschäftsleitung, bei neu bestellten Geschäftsführerinnen und Geschäftsführern zeitnah nach Amtsantritt.
Folgeschulungen in festen Abständen, etwa jährlich in kompakter Form, damit die Kenntnisse mit der Bedrohungslage Schritt halten.
Anlassbezogene Schulungen, zum Beispiel nach einem schweren Sicherheitsvorfall im eigenen Haus oder in der Branche, bei wesentlichen Änderungen der Risikolage, bei neuen Gesetzen oder bei der Einführung neuer Risikomanagementmaßnahmen.

Welche Inhalte sollte die Schulung haben?

Kurze Antwort

Inhalte, mit denen die Geschäftsleitung Cyberrisiken erkennen, bewerten und ihre Auswirkungen auf die Versorgung beurteilen kann – von den gesetzlichen Pflichten über die Bedrohungslage bis zu den Maßnahmen nach § 30 BSIG und der eigenen Rolle im Ernstfall.

Das BSI hat dazu eine Handreichung und gemeinsam mit Verbänden der Allianz für Cybersicherheit ein Beispielcurriculum veröffentlicht. Für Krankenhäuser bieten sich folgende Schwerpunkte an:

Themenblock	Inhalte	Bezug zum Krankenhaus
Rechtlicher Rahmen	BSIG, Registrierung, Meldepflichten, Aufsicht, Bußgelder, Haftung; § 391 SGB V und B3S	Welche Pflichten gelten für das eigene Haus?
Bedrohungslage	Ransomware, Phishing, Angriffe über Dienstleister und Fernwartung	Erfahrungen aus Angriffen auf Kliniken
Risikomanagement	Risikoanalyse, Schutzbedarf, Risikoakzeptanz, Kennzahlen und Berichte	KIS, Medizingeräte, Labor, Bildgebung, Gebäudetechnik
Maßnahmen nach § 30 BSIG	Notfallvorsorge und Backups, Lieferkette, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Schwachstellenmanagement, Sensibilisierung	Was ist umgesetzt, was fehlt, was kostet es?
Vorfall und Krise	Meldekette, 24-Stunden-Frist, Krisenstab, Kommunikation, Notbetrieb	Abmeldung von der Notfallversorgung, Papierbetrieb, Patientensicherheit
Rolle der Geschäftsleitung	Ziele und Budget festlegen, Berichte einfordern, Entscheidungen dokumentieren, Wirksamkeit überwachen	Informationssicherheit als regelmäßiger Punkt in Geschäftsleitungssitzungen

Wie die Meldepflicht im Detail funktioniert und warum die Geschäftsleitung die Meldekette verantwortet, beschreibt der Artikel NIS2-Meldepflicht im Krankenhaus.

Welche Formate eignen sich?

Kurze Antwort

Präsenz- oder Onlineschulungen, offene Seminare oder Inhouse-Formate für das Leitungsteam. Entscheidend sind fachlich kompetente Trainerinnen und Trainer und der Bezug zur eigenen Einrichtung.

Offenes Seminar: guter Einstieg, Austausch mit anderen Einrichtungen.
Inhouse-Schulung für die Geschäftsleitung: Inhalte am eigenen Haus, an eigenen Risiken und Projekten ausgerichtet; vertrauliche Themen lassen sich offen besprechen.
Planspiel: ein simulierter Cyberangriff, in dem die Geschäftsleitung Entscheidungen unter Zeitdruck trifft – besonders wirksam als Folgeschulung.
Kurze Updates in Geschäftsleitungssitzungen ergänzen, ersetzen aber keine Schulung.

Wie wird die Schulung nachgewiesen?

Kurze Antwort

Durch eine Dokumentation von Teilnehmenden, Datum, Dauer und behandelten Inhalten. Eine Abschlussprüfung ist nicht vorgesehen; nach Auffassung des BSI zeigt sich der Lernerfolg in den dokumentierten Entscheidungen der Geschäftsleitung zum Risikomanagement.

Für das Krankenhaus bewährt sich eine einfache Schulungsakte der Geschäftsleitung:

Teilnahmebestätigungen mit Datum, Dauer, Anbieter und Trainer.
Agenda oder Inhaltsübersicht jeder Schulung.
Planung der Folgeschulungen und ihre Begründung, etwa die Risikolage.
Protokolle der Geschäftsleitungssitzungen, in denen über Informationssicherheit berichtet und entschieden wurde.

So lässt sich gegenüber BSI, Prüfern, Aufsichtsgremien und im Haftungsfall belegen, dass die Geschäftsleitung ihre Pflichten ernst nimmt.

Was droht, wenn die Pflichten verletzt werden?

Kurze Antwort

Persönliche Haftung gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden sowie Bußgelder gegen die Einrichtung, wenn Risikomanagementmaßnahmen fehlen oder Meldungen versäumt werden.

Haftung: Nach § 38 Absatz 2 BSIG haftet die Geschäftsleitung der Einrichtung nach dem Gesellschaftsrecht – bei der gGmbH nach § 43 GmbHG, bei der AG nach § 93 AktG. Nur wenn das Gesellschaftsrecht keine Regelung enthält, greift die Haftung nach dem BSIG selbst.
Bußgelder gegen die Einrichtung: Für fehlende oder nicht dokumentierte Risikomanagementmaßnahmen und versäumte Meldungen bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen (§ 65 BSIG). Die Schulungspflicht selbst ist im Bußgeldkatalog nicht eigens aufgeführt.
Aufsicht: Das BSI kann Nachweise verlangen und Anordnungen treffen.
Versicherung: D&O- und Cyberversicherer fragen zunehmend nach Schulung und Risikomanagement der Geschäftsleitung.

Eine dokumentierte Schulung schützt nicht vor jeder Haftung, ist aber ein wichtiger Baustein, um sorgfältiges Handeln nachzuweisen.

Welche Schulungen passen?

Für den Einstieg eignet sich das eintägige Seminar NIS-2 Richtlinie – Anforderungen verstehen und Auswirkungen bewerten. Es behandelt Betroffenheit, Registrierungs-, Melde- und Nachweispflichten und die Verantwortung der Geschäftsleitung. Gleichen Sie die Inhalte jeder Schulung mit der Handreichung des BSI ab. Für die Umsetzung im Haus brauchen Sie zusätzlich qualifizierte Fachleute, etwa Informationssicherheitsbeauftragte oder NIS-2-Beauftragte. Den vollständigen Lernpfad für alle Rollen finden Sie auf der Seite Cybersecurity-Schulungen.

Eine Inhouse-Schulung für Ihre Geschäftsleitung, abgestimmt auf Ihr Haus, stimmen wir gern mit Ihnen ab – über das Kontaktformular.

Fazit

Mit § 38 BSIG ist Informationssicherheit Chefsache mit persönlicher Verantwortung. Für Krankenhäuser, MVZ und Pflegeeinrichtungen heißt das: Die gesamte Geschäftsleitung braucht eine fundierte Erstschulung, regelmäßige Auffrischungen und eine Dokumentation, die Schulung und Entscheidungen belegt. Wer das ernst nimmt, entscheidet besser über Budgets und Prioritäten – und ist im Ernstfall vorbereitet, wenn binnen Stunden über Notbetrieb und Meldungen entschieden werden muss.

Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.

Quellen

§ 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen. Bundesministerium der Justiz.
§ 2 BSIG – Begriffsbestimmungen. Nr. 13 (Geschäftsleitung).
§ 30 BSIG – Risikomanagementmaßnahmen. Bundesministerium der Justiz.
§ 65 BSIG – Bußgeldvorschriften. Bundesministerium der Justiz.
Geschäftsleitungsschulungen gemäß BSIG (NIS-2). Handreichung und Beispielcurriculum, Bundesamt für Sicherheit in der Informationstechnik.
Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie). Artikel 20.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

NIS2-Schulungspflicht der Geschäftsleitung: Was Klinikvorstände wissen müssen

Was regelt § 38 BSIG?

Wer muss sich schulen lassen?

Wie oft muss geschult werden?

Welche Inhalte sollte die Schulung haben?

Welche Formate eignen sich?

Wie wird die Schulung nachgewiesen?

Was droht, wenn die Pflichten verletzt werden?

Welche Schulungen passen?

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.