🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG bzw. ISG/DSG).
Stand: 4. November 2026. Dieser Beitrag bezieht sich auf das BSIG in der Fassung des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) und auf die NIS2-Richtlinie (EU) 2022/2555. Maßgeblich ist jeweils die geltende Gesetzesfassung.
Wenn in Krankenhäusern über die Haftung nach NIS2 gesprochen wird, fällt fast immer derselbe Satz: „Die Geschäftsführung haftet persönlich." Das stimmt – greift aber zu kurz. Die entscheidende Frage ist nicht ob die Leitung haftet, sondern wer im Haus rechtlich zur Geschäftsleitung zählt. Und diese Antwort steht nicht im Organigramm, sondern im Gesetz – und sie betrifft in vielen Häusern mehr als eine Person.
Die verbreitete Verkürzung
Die meisten Häuser lesen die Haftungsregel personenbezogen: Gemeint sei der kaufmännische Geschäftsführer, der am Ende unterschreibt. In einem Krankenhaus ist die Leitung aber klassisch dreigeteilt. Ärztliche Direktion, Pflegedirektion und kaufmännische Leitung bilden gemeinsam das Direktorium. Ob die persönliche Pflicht nach NIS2 auch die ärztliche und die pflegerische Spitze trifft – und nicht nur die kaufmännische –, ist keine akademische Frage, sondern hängt an einem konkreten rechtlichen Merkmal.
Wer rechtlich als „Geschäftsleitung" gilt
Den Ausgangspunkt bildet § 2 Nr. 13 BSIG. Danach ist Geschäftsleitung eine natürliche Person, die „nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung" der Einrichtung berufen ist. Zwei Merkmale müssen zusammenkommen: die Befugnis zur Geschäftsführung und die Vertretungsmacht – beide eingeräumt durch Gesetz, Satzung oder Gesellschaftsvertrag. Nicht entscheidend ist die Berufsbezeichnung: Eine „Direktion" im Titel begründet die Pflicht nicht, eine förmliche Berufung zur Vertretung schon.
Für das Krankenhaus entscheidet damit die Organverfassung des Trägers:
- In einer Vorstandsverfassung – etwa bei einem regionalen Krankenhaus mit 300 bis 800 Betten, dessen Satzung einen mehrköpfigen Vorstand vorsieht – kommt es darauf an, wer diesem Vorstand angehört. Sind Ärztliche Direktion und Pflegevorstand Vorstandsmitglieder und kraft Satzung zur Vertretung berufen, trifft die persönliche Pflicht sie unmittelbar mit, nicht nur die kaufmännische Leitung.
- In einer GmbH ist gesetzlicher Vertreter zunächst die Geschäftsführung. Viele Häuser führen Ärztliche Direktion und Pflegedirektion nach außen als Teil der Unternehmensleitung – teils mit, teils ohne Prokura. Diese Darstellung allein macht sie nicht zur Geschäftsleitung im Sinne des Gesetzes. Erfasst sind sie, wenn sie zusätzlich zur Geschäftsführung bestellt sind. Ob eine Prokura genügt, ist umstritten: Der Wortlaut verlangt eine Berufung durch Gesetz, Satzung oder Gesellschaftsvertrag, die Prokura wird dagegen rechtsgeschäftlich erteilt. Fehlt beides, ist die Direktion nach dem Wortlaut nicht erfasst, auch wenn sie das Haus faktisch mitleitet.
Hinzu kommt ein bislang ungeklärter Streitpunkt. Teile der Literatur lesen § 2 Nr. 13 BSIG mit Blick auf den Zweck des § 38 – alle maßgeblichen Entscheiderinnen und Entscheider für die IT-Sicherheit in die Pflicht zu nehmen – weiter und wollen auch Personen mit begrenzter Vertretungsmacht einbeziehen. Rechtsprechung dazu gibt es noch nicht. Für die Praxis heißt das: Wer im Direktorium über klinische IT, Medizintechnik oder die zugehörigen Budgets mitentscheidet, sollte die eigene Pflichtenlage aktiv klären lassen, statt sie der kaufmännischen Leitung zuzuschieben.
Die drei persönlichen Pflichten der Leitung
Das BSIG weist der Geschäftsleitung in § 38 persönliche Pflichten zu, die nicht vollständig delegierbar sind:
§ 38 Abs. 1 BSIG – Umsetzung und Überwachung. Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Einhaltung überwachen. Die operative Umsetzung lässt sich organisatorisch an die IT übertragen – die Aufsichts- und Letztverantwortung bleibt bei der Leitung.
§ 38 Abs. 2 BSIG – persönliche Innenhaftung. Verletzt ein Mitglied der Geschäftsleitung diese Pflichten schuldhaft und entsteht der Einrichtung dadurch ein Schaden, kann es der Einrichtung gegenüber persönlich haften – nach den Maßstäben des für die Rechtsform geltenden Gesellschaftsrechts.
§ 38 Abs. 3 BSIG – Schulungspflicht. Die Mitglieder der Geschäftsleitung müssen regelmäßig an Cybersicherheitsschulungen teilnehmen, um Risiken und Maßnahmen selbst beurteilen zu können.
Die Pflicht zur Umsetzung und Dokumentation angemessener Risikomanagementmaßnahmen selbst ergibt sich aus § 30 Abs. 1 und 2 BSIG und trifft die Einrichtung als Betreiberin.
Die europäische Grundlage
Das BSIG setzt an dieser Stelle die NIS2-Richtlinie um. Art. 20 Abs. 1 der Richtlinie (EU) 2022/2555 verpflichtet die Leitungsorgane, die Cybersicherheitsmaßnahmen zu billigen und ihre Umsetzung zu überwachen; bei Verstößen können sie verantwortlich gemacht werden. Art. 20 Abs. 2 verankert die Schulungspflicht der Mitglieder der Leitungsorgane.
Die deutsche Umsetzung konkretisiert diese Vorgaben und macht die persönliche Dimension über § 38 BSIG unmittelbar greifbar. Dabei lohnt eine genaue Zuordnung: Die ausdrückliche Pflicht, die Maßnahmen zu billigen, steht in Art. 20 Abs. 1 NIS2. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung zur Umsetzung und Überwachung. Die Richtlinie spricht zudem weiter von „Leitungsorganen" – ein Grund mehr, den Kreis der im eigenen Haus Verantwortlichen sorgfältig zu bestimmen.
Warum das im Krankenhaus besonders relevant ist
Gerade im Krankenhaus mit seiner dreigeteilten Leitung ist die saubere Zuordnung mehr als eine Formalie. Wo Ärztliche Direktion oder Pflegevorstand organschaftlich zur Vertretung berufen sind, tragen sie die Pflichten persönlich mit – und können sich nicht darauf zurückziehen, Cybersicherheit sei „Sache des Kaufmännischen". Das verändert, wer geschult werden muss, wer in die Überwachung eingebunden gehört und wer im Schadensfall in den Blick gerät.
Ein Haftungsverständnis, das reflexhaft nur den kaufmännischen Geschäftsführer adressiert, greift damit in zwei Richtungen zu kurz: Es übersieht die mitverpflichteten Mitglieder einer Vorstandsverfassung – und es verleitet umgekehrt dazu, eine Pflicht dort anzunehmen, wo ohne Vertretungsmacht gar keine besteht. Beides lässt sich nur klären, wenn das Haus seine Organverfassung konkret auf den Begriff des § 2 Nr. 13 BSIG abbildet.
Was Kliniken jetzt klären sollten
- Leitungsbegriff bestimmen: Anhand von Rechtsform und Satzung festhalten, welche organschaftlich zur Vertretung berufenen Personen als Geschäftsleitung im Sinne des § 2 Nr. 13 BSIG gelten – ausdrücklich auch mit Blick auf Ärztliche Direktion und Pflegevorstand.
- Umsetzung und Überwachung organisieren: Die Risikomanagementmaßnahmen nachweisbar umsetzen und ihre Einhaltung überwachen (§ 38 Abs. 1 BSIG); die ausdrückliche Billigung durch das Leitungsorgan folgt aus Art. 20 Abs. 1 NIS2.
- Schulungen für alle Betroffenen: Die Schulungspflicht nach § 38 Abs. 3 nicht auf eine Person verengen, sondern auf alle bestellten Mitglieder der Leitung beziehen.
- Dokumentation nach § 30 aufbauen: Angemessene Maßnahmen umsetzen und so dokumentieren, dass die Einhaltung nachweisbar ist.
Häufige Fragen
Haftet bei NIS2 nur der Geschäftsführer?
Nicht zwingend. Das BSIG knüpft die persönlichen Pflichten an die Geschäftsleitung im Sinne des § 2 Nr. 13 BSIG – also an die organschaftlich zur Vertretung berufenen Personen. In Krankenhäusern mit Vorstandsverfassung können dazu auch Ärztliche Direktion und Pflegevorstand zählen, nicht nur die kaufmännische Leitung.
Können auch Ärztliche oder Pflegedirektion persönlich haften?
Ja – wenn sie organschaftlich zur Führung der Geschäfte und zur Vertretung berufen sind. Das ist der Fall, wenn sie in einer Vorstandsverfassung dem Vorstand angehören oder zusätzlich zur Geschäftsführung bestellt sind. Ob eine Prokura genügt, ist umstritten. Eine rein interne Leitungs- oder Weisungsbefugnis genügt nach dem Wortlaut nicht – auch dann nicht, wenn das Haus die Direktion nach außen als Teil der Unternehmensleitung führt. Die Prüfung sollte für die konkrete Rechtsform erfolgen.
Reicht es, dass die Ärztliche Direktion das Haus faktisch mitleitet?
Nach dem Gesetzeswortlaut nicht: § 2 Nr. 13 BSIG verlangt eine förmliche Berufung zur Vertretung durch Gesetz, Satzung oder Gesellschaftsvertrag. Teile der Literatur plädieren mit Blick auf den Zweck der Norm für eine weitere Auslegung; gerichtlich geklärt ist das noch nicht.
Lässt sich die Haftung an die IT-Leitung delegieren?
Die operative Umsetzung lässt sich übertragen, die Aufsichts- und Letztverantwortung der Geschäftsleitung nach § 38 Abs. 1 BSIG nicht.
Gilt die Schulungspflicht für jedes Mitglied der Leitung?
Ja. § 38 Abs. 3 BSIG und Art. 20 Abs. 2 NIS2 verpflichten die Mitglieder der Leitungsorgane zu regelmäßigen Cybersicherheitsschulungen. Das BSI stellt klar, dass es bei mehreren Mitgliedern der Geschäftsleitung nicht genügt, wenn sich nur eine Person schulen lässt.
Quellen
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), § 2 — gesetze-im-internet.de
- BSIG, § 30 — gesetze-im-internet.de
- BSIG, § 38 — gesetze-im-internet.de
- Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), Art. 20 — eur-lex.europa.eu
- BSI, Allgemeine FAQ zu NIS-2, Abschnitt „Geschäftsleitung“ — bsi.bund.de
Dieser Beitrag stellt keine Rechtsberatung dar. Maßgeblich sind ausschließlich die jeweils geltenden Rechtsvorschriften. Für die verbindliche Beurteilung des Einzelfalls – insbesondere die Zuordnung der Leitungsmitglieder zur Geschäftsleitung im Sinne des § 2 Nr. 13 BSIG – ist fachkundiger Rat einzuholen.