Geschäftsführer-Selbstcheck §38 BSIG: die kostenlose Excel-Vorlage

Verfasst von der NIS2Compass Redaktion · Stand: Juli 2026

§38 BSIG verpflichtet die Geschäftsführung seit Dezember 2025 persönlich zur Umsetzung und Überwachung der NIS2-Maßnahmen, eine Pflicht, die sich nicht an die IT-Abteilung delegieren lässt. Der kostenlose Geschäftsführer-Selbstcheck §38 BSIG von NIS2Compass prüft in 20 Ja/Nein-Fragen entlang 5 Abschnitten, wo genau Nachweislücken bestehen, ganz ohne E-Mail-Gate.

Warum reicht eine IT-Checkliste für die Geschäftsführung nicht aus?

§38 BSIG richtet sich nicht an die IT-Abteilung, sondern persönlich an die Geschäftsführung: Sie muss die NIS2-Maßnahmen umsetzen, überwachen und sich dazu schulen lassen — nicht delegierbar. Eine technische Checkliste für die IT beantwortet diese Führungsfragen nicht. Der Geschäftsführer-Selbstcheck schließt genau diese Lücke.

NIS2Compass bildet operative Pflichten bereits in einer §30-Checkliste ab, die sich an IT-Verantwortliche richtet und technische Maßnahmen wie Risikomanagement oder Meldeprozesse abdeckt. Der neue §38-Selbstcheck ergänzt das um die persönlichen Führungspflichten: Billigung der Maßnahmen, Überwachung der Umsetzung, Nachweis der eigenen Schulung, Meldeorganisation und Haftungsabsicherung.

Rechtsgrundlage ist §38 Absatz 1 BSIG, der Umsetzung und Überwachung ausdrücklich der Geschäftsführung zuweist und diese Pflicht nicht delegierbar macht. Eine ausführliche Rechtserklärung zu §38 BSIG finden Sie im Beitrag zur Geschäftsführerhaftung nach §38 BSIG.

Der Bußgeldrahmen zeigt, warum diese Unterscheidung zählt: Nach §65 BSIG, gesetze-im-internet.de drohen besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent — es gilt jeweils der höhere Wert. Das Bußgeld trifft das Unternehmen, nicht direkt die Geschäftsführung persönlich; mehr Details liefert der Beitrag zu NIS2-Bußgeldern und drohenden Strafen. Genau diese Trennung zwischen Unternehmenshaftung und persönlicher Sorgfaltspflicht motiviert den Selbstcheck.

Der Geschäftsführer-Selbstcheck ersetzt keine Rechtsberatung. Er ist ein Arbeitsinstrument zur Selbsteinschätzung, keine juristische Prüfung der individuellen Haftungslage.

Was prüft der Geschäftsführer-Selbstcheck §38 BSIG in den 5 Abschnitten?

Der Geschäftsführer-Selbstcheck §38 BSIG gliedert die Pflichten der Geschäftsführung nach §38 BSIG und den §§32/33 BSIG in 5 Abschnitte mit insgesamt 20 Ja/Nein-Fragen: Umsetzen, Überwachen, Schulungspflicht, Melde-/Registrierungspflicht und Haftungsabsicherung. Jede Frage lässt sich per Ampel-Status als Offen, Teilweise oder Erfüllt markieren, damit der Nachweisstand auf einen Blick sichtbar wird.

Jeder Abschnitt deckt einen eigenen Pflichtenkreis ab, den die Geschäftsführung persönlich verantwortet:

• A) Umsetzen (§38 Abs. 1, 6 Fragen): Prüft die Freigabe der Risikoanalyse, das Inkraftsetzen des Richtlinienwerks, bereitgestellte Ressourcen, den freigegebenen Risikobehandlungsplan, den genehmigten Notfallplan sowie die formale Bestellung eines ISB oder CISO.
• B) Überwachen (§38 Abs. 1, 6 Fragen): Fragt mindestens vierteljährliche Sicherheitsberichte mit schriftlicher Bestätigung ab, IT-Sicherheit als festen Tagesordnungspunkt, dokumentierte Entscheidungen bei kritischen Befunden, einen Eskalationsprozess und die Protokoll-Archivierung über mindestens 5 Jahre.
• C) Schulungspflicht (§38 Abs. 3, 3 Fragen): Erfasst die individuelle Schulung je Mitglied der Geschäftsführung, den Nachweis darüber und die Aktualität von höchstens 3 Jahren.
• D) Melde-/Registrierungspflicht (§§32/33, 3 Fragen): Klärt, ob die BSI-Registrierung abgeschlossen ist, ein 24/7 erreichbarer Meldeverantwortlicher inklusive Vertretung feststeht und die dreistufige Meldekaskade bekannt ist.
• E) Haftungsabsicherung (2 Fragen): Prüft, ob die D&O-Police explizit auf NIS2- und Bußgeld-Deckung geprüft wurde und ein formaler Geschäftsführungsbeschluss mit individueller Unterschrift vorliegt.

Der Ampel-Status-Dropdown hält zu jeder der 20 Fragen den Bearbeitungsstand fest und lässt sich bei der nächsten Überprüfung direkt aktualisieren. So entsteht ein fortlaufender Nachweis statt einer einmaligen Momentaufnahme.

Der Gesetzgeber veranschlagt für die persönliche Schulungspflicht der Geschäftsleitung nach §38 Abs. 3 BSIG einen Aufwand von rund einem halben Tag, mit Wiederholung mindestens alle 3 Jahre, wie die Gesetzesfolgenabschätzung zum NIS2UmsuCG des Deutschen Bundestags zeigt.

Der Selbstcheck ist eine von 45+ Vorlagen aus der Übersicht aller NIS2-Vorlagen und deckt gezielt die Geschäftsführungs-Ebene ab. Für die operative IT-Umsetzung nach §30 BSIG bietet die NIS2-Checkliste als Excel-Vorlage die passende Ergänzung.

Wie liest die Geschäftsführung das Ergebnis — und wo liegt das größte Haftungsrisiko?

Fünf oder mehr Markierungen „Offen" im Abschnitt Überwachen kennzeichnen das höchste Haftungsrisiko im Selbstcheck. Hier orientiert sich der gesellschaftsrechtliche Sorgfaltsmaßstab daran, was die Geschäftsführung wusste oder hätte wissen müssen — ein abgeleiteter Prüfungsmaßstab, kein wörtliches Gesetzeszitat. Wer an dieser Stelle Lücken erkennt, sollte zuerst die Berichts- und Dokumentationsprozesse schließen.

Der Selbstcheck ist eine Selbsteinschätzung ohne automatisierte Score-Berechnung. Trotzdem zeigt die Verteilung der Ampel-Status pro Abschnitt klare Prioritäten für die Geschäftsführung. Wer den Bericht Abschnitt für Abschnitt durchgeht, erkennt schnell, welche Handlungsfelder am dringendsten Aufmerksamkeit brauchen.

Im Abschnitt Überwachen liegen Dokumentations- und Berichtspflichten am dichtesten beieinander, und Nachweislücken lassen sich hier nachträglich am schwersten heilen. Das erklärt, warum gerade dieser Abschnitt so schwer wiegt.

Der Grund liegt im Gesetzestext selbst: §38 BSIG verpflichtet die Geschäftsleitung wörtlich, die Maßnahmen nach §30 BSIG „umzusetzen und ihre Umsetzung zu überwachen" — zwei getrennte, nicht delegierbare Pflichten.

Bei einem Verstoß trifft das Bußgeld nach §65 BSIG zunächst das Unternehmen. Der gesellschaftsrechtliche Regress nach §43 GmbHG beziehungsweise §93 AktG kann davon losgelöst die verantwortliche Person persönlich treffen. Diese Trennung macht deutlich, warum Nachweise auf Geschäftsführungsebene nicht nur eine Formalität sind.

Ein mittelständisches Unternehmen füllt den Selbstcheck aus und erkennt vier bis fünf „Offen"-Markierungen im Abschnitt Überwachen: Es gibt keine dokumentierten Quartalsberichte, und die Informationssicherheit ist kein fester Tagesordnungspunkt in der Geschäftsführung. Als ersten Schritt leitet das Unternehmen daraus ein festes ISB-Reporting mit klarem Turnus ab. Das Szenario ist anonymisiert und dient der Veranschaulichung.

Der Selbstcheck ersetzt keine Rechtsberatung und keine förmliche Prüfung durch das BSI — er strukturiert lediglich die interne Selbsteinschätzung auf Geschäftsführungsebene. Für eine unternehmensweite Gap-Analyse, die über diese Ebene hinausgeht, bietet sich der Vor-Check als nächster Schritt an.

Was folgt nach dem Selbstcheck — welche nächsten Schritte gibt es?

Offene Punkte im Selbstcheck lassen sich direkt in konkrete Schritte übersetzen: fehlende Registrierung nachholen, Berichtsprozesse einführen, D&O-Police prüfen, damit aus jeder „Offen"-Markierung eine terminierte Aufgabe statt eines vagen Vorsatzes wird. Der NIS2 Guide von NIS2Compass führt Schritt für Schritt durch die Umsetzung, die Template Library liefert die passenden Vorlagen dazu.

Wie präsent Melde- und Registrierungspflichten in der Praxis sind, zeigt der aktuelle Registrierungsstand beim BSI. Zum Stand 2. April 2026 hatten sich laut BSI, „NIS-2 in Zahlen" 15.691 Einrichtungen im BSI-Portal registriert (15.477 im Kernportal zzgl. 214 Nebenniederlassungen), bei schätzungsweise rund 29.500 betroffenen Unternehmen in Deutschland. Ein offener Punkt bei der Registrierung betrifft damit einen erheblichen Teil der betroffenen Unternehmen, keine Ausnahme.

Besonders zeitkritisch ist Abschnitt D, da die dreistufige Meldekaskade (24 Stunden, 72 Stunden, ein Monat) an eine strenge Fristenlogik gekoppelt ist. Die Frist beginnt laut §32 BSIG bereits mit der Kenntnis eines beliebigen Mitarbeiters vom Vorfall, nicht erst, wenn die Geschäftsführung informiert ist. Ein fehlender interner Meldeprozess wird dadurch schnell zum echten Risiko.

Ähnlich verhält es sich mit Abschnitt E und der D&O-Versicherung. Viele bestehende Policen schließen Vorsatz, grobe Fahrlässigkeit und regulatorische Bußgelder ausdrücklich aus. Eine offene Markierung in diesem Bereich sollte deshalb Anlass sein, die eigene Police konkret prüfen zu lassen.

Für die Umsetzung dieser offenen Punkte bietet der NIS2 Guide von NIS2Compass eine strukturierte Schritt-für-Schritt-Anleitung, beginnend mit Kapitel 1 zur Governance-Dokumentation. Passende Vorlagen dazu liefert die Template Library. Wer die eigenen Ergebnisse in Ruhe einordnen möchte, findet dort einen konkreten Ansatzpunkt für die nächsten Schritte.

Häufig gestellte Fragen

Ist der Geschäftsführer-Selbstcheck §38 BSIG rechtsverbindlich?

Nein, der Geschäftsführer-Selbstcheck ist ein kostenloses Arbeitsinstrument zur Selbsteinschätzung und ersetzt keine Rechtsberatung oder förmliche BSI-Prüfung. Er strukturiert, welche Pflichten nach §38 BSIG bereits dokumentiert sind und wo Nachweislücken bestehen, damit die Geschäftsführung intern gezielt nachsteuern kann, bevor eine externe Prüfung diese Lücken aufdeckt.

Muss ich eine E-Mail-Adresse angeben, um den Selbstcheck herunterzuladen?

Nein, der Geschäftsführer-Selbstcheck §38 BSIG steht ohne E-Mail-Gate direkt zum Download bereit. NIS2Compass verzichtet bei diesem Deliverable bewusst auf jede Kontaktdaten-Abfrage, damit die Geschäftsführung die Vorlage sofort prüfen kann, ohne vorher ein Formular auszufüllen oder einen Registrierungsumweg über die Website in Kauf zu nehmen.

Was bedeutet ein hoher Anteil "Offen" im Abschnitt Überwachen?

Fünf oder mehr "Offen"-Markierungen im Abschnitt Überwachen weisen auf das höchste Haftungsrisiko hin. Hier verlangt §38 Abs. 1 BSIG eine aktive, dokumentierte Überwachung der Maßnahmen durch die Geschäftsführung, und genau an dieser Stelle fehlt der Nachweis bei einer Prüfung erfahrungsgemäß am häufigsten.

Für wen ist der Selbstcheck gedacht, für IT-Leiter oder für die Geschäftsführung?

Der Geschäftsführer-Selbstcheck richtet sich direkt an die Geschäftsführung selbst, nicht an die IT-Abteilung als reinen Vermittler zwischen Technik und Vorstand. Wer als IT-Leiter zusätzlich die rechtlichen Hintergründe und passende Argumentationshilfen gegenüber der Geschäftsführung benötigt, findet diese ausführlich im Artikel zu §38 BSIG, verlinkt unter /de/blog/nis2-geschaeftsfuehrerhaftung-paragraf-38-bsig.