EuGH-Gutachten: Wo KI-Chatbots Presserechte verletzen
Eva Mickler
Der Echtzeitabruf von Presseartikeln durch KI-Chatbots und ihre Weiterverwendung in Antworten können ...
Zum Beitrag
4 Min. Lesezeit
Geschäftsleitungen betroffener Einrichtungen müssen Cyberrisiken aktiv steuern und überwachen. Das deutsche BSI-Gesetz sieht bei schuldhaft verursachten Schäden eine mögliche Haftung gegenüber der eigenen Einrichtung vor. Für erfasste Finanzunternehmen legt DORA die Verantwortung für das IKT-Risikomanagement beim Leitungsorgan fest. CIOs sollten Zuständigkeiten, Risikoentscheidungen und Versicherungsschutz gemeinsam mit der Rechtsabteilung prüfen.
Das Wichtigste in Kürze
- § 38 BSIG betrifft die Geschäftsleitung. Bei einer schuldhaften Pflichtverletzung und einem dadurch verursachten Schaden kann eine Haftung gegenüber der Einrichtung entstehen.
- Für Finanzunternehmen gelten Besonderheiten. DORA legt die Verantwortung für das IKT-Risikomanagement beim Leitungsorgan fest und das BSIG enthält Ausnahmen für bestimmte Finanzunternehmen.
- Nachweise unterstützen die Steuerung. Zuständigkeiten, Schulungen und dokumentierte Risikoentscheidungen helfen bei der Überwachung und der späteren Prüfung.
Wann Geschäftsleitungen nach dem BSIG haften können
Das deutsche NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Für Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen verpflichtet § 38 BSIG zur Umsetzung und Überwachung der vorgeschriebenen Risikomanagementmaßnahmen. Es gibt Ausnahmen für bestimmte Branchen und Tätigkeiten. Die eigene Betroffenheit muss daher anhand des konkreten Unternehmens geprüft werden.
Verletzt die Geschäftsleitung diese Pflichten, kann sie der Einrichtung für einen schuldhaft verursachten Schaden haften. Maßgeblich sind zunächst die auf die Rechtsform anwendbaren gesellschaftsrechtlichen Regeln. Die Haftungsregel des BSIG greift nach ihrem Wortlaut nur, wenn diese gesellschaftsrechtlichen Bestimmungen keine entsprechende Regelung enthalten. Eine Pflichtverletzung allein belegt noch keinen ersatzfähigen Schaden.
Ein CIO ist nicht allein durch seinen Titel Geschäftsleitungsmitglied. Ob § 38 unmittelbar auf eine Person anwendbar ist und welche weiteren Pflichten oder Haftungsgrundlagen bestehen, hängt von ihrer rechtlichen Stellung und ihren Aufgaben ab.
Welche Verantwortung DORA im Finanzsektor festlegt
Die DORA-Verordnung gilt seit dem 17. Januar 2025 für die von ihr erfassten Finanzunternehmen. Artikel 5 weist dem Leitungsorgan die endgültige Verantwortung für das Management der Risiken aus Informations- und Kommunikationstechnologien zu. Das Organ muss den Risikorahmen festlegen, genehmigen und überwachen.
Für bestimmte Finanzunternehmen nimmt § 28 Absatz 6 BSIG unter anderem die §§ 30 und 38 aus. Die persönliche Haftung lässt sich deshalb nicht pauschal aus beiden Regelwerken zusammen ableiten. Entscheidend sind der konkrete Geltungsbereich, die Rolle der handelnden Person und die einschlägigen nationalen Regeln.
Fünf Maßnahmen für CIOs und Geschäftsleitung
1. Zuständigkeiten festlegen. Geschäftsleitung, CIO, Sicherheitsverantwortliche und Rechtsabteilung sollten schriftlich festhalten, wer Risiken bewertet, Maßnahmen umsetzt und an das Leitungsorgan berichtet. Eskalationswege gehören dazu.
2. Regelmäßig berichten und entscheiden. Die Geschäftsleitung braucht eine verständliche Übersicht über wesentliche Risiken, offene Maßnahmen und erforderliche Entscheidungen. Der Beitrag zum Vorstand beschlossen zeigt einen Ansatz für die Berichterstattung.
3. Entscheidungen und Umsetzung dokumentieren. Risikoanalysen, Beschlüsse, akzeptierte Restrisiken und der Stand vereinbarter Maßnahmen sollten nachvollziehbar festgehalten werden. § 30 BSIG verlangt von den erfassten Einrichtungen die Dokumentation der Einhaltung ihrer Risikomanagementpflicht.
4. Schulungen organisieren. § 38 BSIG verlangt eine regelmäßige Schulung der Geschäftsleitung. Ein starres Minimum von zwei Terminen jährlich nennt die Vorschrift nicht. Inhalte und Abstände sollten sich an den Aufgaben und Risiken der Einrichtung orientieren.
5. Versicherung und Prüfungen bewerten. Gemeinsam mit Rechtsabteilung und Versicherungsberatung lässt sich prüfen, welche Personen und Ansprüche eine D&O-Police erfasst und welche Ausschlüsse gelten. Interne oder externe Prüfungen können Schwachstellen sichtbar machen. Weder eine Police noch ein Zertifikat garantiert Schutz vor Haftung.
Was auf die Agenda des Leitungsorgans gehört
Eine belastbare Entscheidungsvorlage benennt die größten Cyberrisiken, den Stand der Schutzmaßnahmen und die noch offenen Punkte. Sie zeigt außerdem, wer für die Behebung verantwortlich ist und wann die Geschäftsleitung erneut über den Fortschritt informiert wird.
Für CIOs liegt der praktische Nutzen darin, technische Sachverhalte mit den geschäftlichen Folgen zu verbinden. So kann das Leitungsorgan Maßnahmen priorisieren und seine Überwachung anhand konkreter Informationen wahrnehmen.
Häufig gestellte Fragen
Haftet ein CIO persönlich nach § 38 BSIG?
§ 38 richtet sich an die Geschäftsleitungen der erfassten Einrichtungen. Ob ein CIO dazu gehört und ob andere Haftungsgrundlagen greifen, hängt von seiner rechtlichen Stellung und dem Einzelfall ab.
Reicht eine Dokumentation als Schutz vor Haftung?
Eine nachvollziehbare Dokumentation kann Entscheidungen und deren Grundlagen belegen. Sie ersetzt weder die Umsetzung geeigneter Maßnahmen noch garantiert sie den Ausschluss einer Haftung.
Wie häufig muss die Geschäftsleitung geschult werden?
§ 38 BSIG verlangt regelmäßige Schulungen. Die Vorschrift nennt keine feste Zahl von Schulungen pro Jahr.
Weiterlesen auf Digital Chiefs
Digital ChiefsNIS2, DORA, AI Act: Welche Meldepflicht gilt?Digital ChiefsKI-Projekte: So prüfen Unternehmen den NutzenDigital ChiefsDigitale Souveränität: Strategien für die Cloud-ZukunftMehr aus dem MBF Media Netzwerk
cloudmagazinPlatform Engineering für Compliance: IDPs erzwingen NIS2 und DORA securitytodayDORA und NIS2 gleichzeitig: Wie Finanzdienstleister den Compliance-Doppeldruck managenBildquelle: KI-generiert (November 2026)