Question 1

Was kann die Aufsicht gegen einzelne Geschäftsleiter unternehmen?

Accepted Answer

Die Aufsicht kann Geschäftsleiter verwarnen, wenn sie gegen die Bestimmungen des Gesetzes verstoßen haben (§ 36 Absatz 2 KWG). Gegenstand der Verwarnung ist die Feststellung des entscheidungserheblichen Sachverhaltes und des hierdurch begründeten Verstoßes. Setzt ein Geschäftsleiter das Verhalten trotz Verwarnung vorsätzlich oder leichtfertig fort, kann die Aufsicht seine Abberufung verlangen und ihm die Ausübung seiner Tätigkeit untersagen.

In den Fällen des § 35 Absatz 2 Nummer 3, 4 und 6 kann die Bundesanstalt nach § 36 Absatz 1 KWG statt der Aufhebung der Erlaubnis die Abberufung der verantwortlichen Geschäftsleiter verlangen und ihnen die Ausübung der Tätigkeit untersagen.

Für Versicherer gilt § 303 VAG. Die Aufsicht kann eine Person, die ein Versicherungsunternehmen tatsächlich leitet oder für andere Schlüsselaufgaben verantwortlich ist, bei Verstößen gegen die genannten Bestimmungen verwarnen (Absatz 1). Sie kann die Abberufung verlangen und die Tätigkeit untersagen, wenn Tatsachen vorliegen, aus denen sich ergibt, dass die Person die Voraussetzungen des § 24 nicht erfüllt (Absatz 2 Nummer 1).

Question 2

Muss die Aufsicht der Bestellung eines Vorstands zustimmen?

Accepted Answer

Für Banken regelt § 24 Absatz 1 Nummer 1 KWG eine Anzeige der Absicht. Von einer Zustimmung spricht die Vorschrift nicht. Das Haus hat unverzüglich die Absicht der Bestellung eines Geschäftsleiters anzuzeigen, unter Angabe der Tatsachen, die für die Zuverlässigkeit, die fachliche Eignung und die zeitliche Verfügbarkeit wesentlich sind. Bei einem Geschäftsleiter eines großen Unternehmens im Sinne des § 1 Absatz 1c muss die Anzeige spätestens 30 Arbeitstage vor der Übernahme der Funktion erfolgen.

Die Aufsicht kann anordnen, dass die Person nicht bestellt wird (§ 25c Absatz 1c KWG), wenn Tatsachen vorliegen, aus denen sich ergibt, dass die Person die Voraussetzungen nicht erfüllt, oder wenn bei der Anzeige wesentliche Informationen fehlen.

Auch für Versicherer sieht § 47 Nummer 1 VAG die unverzügliche Anzeige der vorgesehenen Bestellung eines Geschäftsleiters vor, unter Angabe der Tatsachen, die für die Beurteilung seiner Qualifikation nach § 24 Absatz 1 wesentlich sind.

Question 3

Was verlangt das Gesetz von Geschäftsleitern einer Bank an Eignung und Zuverlässigkeit?

Accepted Answer

Die Geschäftsleiter eines beaufsichtigten Hauses müssen für die Leitung fachlich geeignet und zuverlässig sein und ihren Aufgaben ausreichend Zeit widmen. So steht es in § 25c Absatz 1 KWG.

Die fachliche Eignung setzt voraus, dass die Geschäftsleiter in ausreichendem Maß theoretische und praktische Kenntnisse in den betreffenden Geschäften sowie Leitungserfahrung haben. Als Regelfall nennt das Gesetz den Nachweis einer dreijährigen leitenden Tätigkeit bei einem Haus von vergleichbarer Größe und Geschäftsart. Die Eignung muss erhalten bleiben. Das Haus hat angemessene personelle und finanzielle Ressourcen einzusetzen, damit die Fortbildung möglich ist, die zur Aufrechterhaltung der fachlichen Eignung erforderlich ist, ausdrücklich auch in Bezug auf IKT-Risiken (§ 25c Absatz 4 KWG).

Für Versicherer gilt § 24 Absatz 1 VAG: Wer ein Versicherungsunternehmen tatsächlich leitet oder andere Schlüsselaufgaben wahrnimmt, muss zuverlässig und fachlich geeignet sein. Auch dort gilt eine dreijährige leitende Tätigkeit bei einem Versicherungsunternehmen von vergleichbarer Größe und Geschäftsart in der Regel als ausreichende Leitungserfahrung.

Question 4

Was verlangt das Gesetz von Personen, die ein Versicherungsunternehmen leiten, an Eignung und Zuverlässigkeit?

Accepted Answer

Wer ein Versicherungsunternehmen tatsächlich leitet oder andere Schlüsselaufgaben wahrnimmt, muss zuverlässig und fachlich geeignet sein (§ 24 Absatz 1 VAG). Beide Voraussetzungen gelten nebeneinander. Der Kreis reicht über die Geschäftsleiter hinaus: Zu ihm gehören auch Personen, die für das Unternehmen wesentliche Entscheidungen zu treffen befugt sind.

Fachliche Eignung setzt berufliche Qualifikationen, Kenntnisse und Erfahrungen voraus, mit denen das Unternehmen solide und umsichtig geleitet wird. Das Gesetz verlangt angemessene theoretische und praktische Kenntnisse in Versicherungsgeschäften und, wenn jemand Leitungsaufgaben wahrnimmt, ausreichende Leitungserfahrung.

Als Regelfall gilt eine dreijährige leitende Tätigkeit bei einem Versicherungsunternehmen von vergleichbarer Größe und Geschäftsart, sofern sie nachgewiesen wird.

Question 5

Genügt es, wenn einzelne Geschäftsleiter die Hauptrisiken verstehen?

Accepted Answer

Das Gesetz legt zwei Maßstäbe an. Jeder Geschäftsleiter muss nach § 25c Absatz 1 KWG selbst die fachliche Eignung und die Zuverlässigkeit besitzen. Dazu kommt § 25c Absatz 1a KWG: Die Geschäftsleiter müssen in ihrer Gesamtheit über Kenntnisse, Fähigkeiten und Erfahrungen in angemessener Breite verfügen, die zum Verständnis der Tätigkeiten einschließlich der Hauptrisiken notwendig sind.

Für das Verwaltungs- oder Aufsichtsorgan gilt derselbe Gedanke. Es muss in seiner Gesamtheit die Kenntnisse, Fähigkeiten und Erfahrungen haben, die zur Wahrnehmung der Kontrollfunktion sowie zur Beurteilung und Überwachung der Geschäftsleitung notwendig sind (§ 25d Absatz 2 KWG). Die Eignung in der Gesamtheit muss gewährleistet sein. Bei der Fortbildung nennt das Gesetz IKT-Risiken ausdrücklich, für die Geschäftsleitung in § 25c Absatz 4 KWG und für das Aufsichtsorgan in § 25d Absatz 4 KWG.

Für Versicherer verlangt § 24 Absatz 1 VAG Eignung und Zuverlässigkeit von jeder Person, die das Unternehmen tatsächlich leitet. Dazu zählen neben den Geschäftsleitern alle, die für das Unternehmen wesentliche Entscheidungen zu treffen befugt sind (§ 24 Absatz 2 VAG). Bei der Bestellung eines Aufsichtsratsmitglieds gehören nach § 47 Nummer 1 VAG die Tatsachen zur Qualifikation in die Anzeige an die Aufsichtsbehörde. Eine Gesamtbetrachtung wie in § 25c Absatz 1a KWG enthält § 24 VAG nicht. Ob europäisches Recht eine solche Gesamtbetrachtung verlangt, ist gesondert zu klären.

Question 6

Was muss ein Haus tun, wenn eine Person die Voraussetzungen für das Amt des Geschäftsleiters nicht erfüllt?

Accepted Answer

Erfüllt eine Person die Voraussetzungen des § 25c Absatz 1 Satz 1 oder Absatz 2 KWG nicht, muss das Haus unverzüglich dafür sorgen, dass sie nicht zum Geschäftsleiter bestellt wird, dass ihre Abberufung erfolgt oder dass Maßnahmen ergriffen werden, damit die Person die Voraussetzungen erfüllt. Das regelt § 25c Absatz 1b KWG.

Auch die Aufsicht hat vor der Bestellung ein Mittel. Beabsichtigt ein Unternehmen, eine Person zu bestellen, und liegen Tatsachen vor, aus denen sich ergibt, dass sie die Voraussetzungen nicht erfüllt, kann die Bundesanstalt anordnen, dass die Person nicht bestellt wird (§ 25c Absatz 1c KWG). Dieselbe Anordnung ist möglich, wenn bei der Anzeige nach § 24 über die Absicht der Bestellung wesentliche Informationen zur Beurteilung der Eignung, Zuverlässigkeit und zeitlichen Verfügbarkeit fehlen.

Für Versicherer knüpft das Gesetz an die Anzeige: Die vorgesehene Bestellung eines Geschäftsleiters ist der Aufsichtsbehörde unverzüglich anzuzeigen, unter Angabe der Tatsachen, die für die Beurteilung der Qualifikation wesentlich sind (§ 47 Nummer 1 VAG). Liegen Tatsachen vor, aus denen sich ergibt, dass die Person die Voraussetzungen des § 24 nicht erfüllt, kann die Aufsichtsbehörde nach § 303 Absatz 2 VAG ihre Abberufung verlangen und ihr die Ausübung der Tätigkeit untersagen.

Question 7

Welche Sachkunde verlangt das Gesetz von Mitgliedern des Verwaltungs- oder Aufsichtsorgans?

Accepted Answer

Die Mitglieder müssen zuverlässig sein, die erforderliche Sachkunde zur Wahrnehmung der Kontrollfunktion sowie zur Beurteilung und Überwachung der Geschäfte des Unternehmens besitzen und ihren Aufgaben ausreichend Zeit widmen (§ 25d Absatz 1 KWG). Liegen Tatsachen vor, aus denen sich ergibt, dass eine Person die erforderliche Sachkunde nicht besitzt, kann die Bundesanstalt bei den in § 25d Absatz 3 Satz 1 und 2 sowie Absatz 3a Satz 1 genannten Unternehmen die Abberufung verlangen und der Person die Ausübung ihrer Tätigkeit untersagen (§ 36 Absatz 3 Nummer 2 KWG).

Auch die Zahl der Mandate ist begrenzt. Bei einem CRR-Kreditinstitut, das bedeutend im Sinne des § 1 Absatz 3c ist, kann nicht Mitglied sein, wer in mehr als vier Unternehmen Mitglied des Verwaltungs- oder Aufsichtsorgans ist (§ 25d Absatz 3 KWG). Mehrere Mandate bei Unternehmen derselben Finanzholding-Gruppe oder gemischten Finanzholding-Gruppe gelten dabei als ein Mandat. Für Versicherungsunternehmen gilt: Zum Mitglied des Verwaltungs- oder Aufsichtsorgans kann nicht bestellt werden, wer bereits fünf Kontrollmandate bei Unternehmen ausübt, die unter der Aufsicht der Bundesanstalt stehen (§ 24 Absatz 4 VAG). Mandate bei Unternehmen derselben Versicherungs- oder Unternehmensgruppe bleiben dabei außer Betracht.

Question 8

Wann werden zu wenig Zeit oder eine zu hohe Zahl an Mandaten für einen Geschäftsleiter persönlich zum Bußgeld?

Accepted Answer

Nach § 25c Absatz 1 KWG müssen Geschäftsleiter ihren Aufgaben ausreichend Zeit widmen. Bei der Zahl der Leitungs- oder Aufsichtsmandate sind nach Absatz 2 der Einzelfall sowie Art, Umfang und Komplexität der Geschäfte zu berücksichtigen. Erfüllt eine Person diese Voraussetzungen nicht, muss das Haus unverzüglich dafür sorgen, dass sie nicht bestellt wird, dass ihre Abberufung erfolgt oder dass Maßnahmen ergriffen werden (§ 25c Absatz 1b KWG).

Beides kann auch den Geschäftsleiter selbst treffen. Nach § 56 Absatz 4h KWG handelt ordnungswidrig, wer vorsätzlich oder leichtfertig als Geschäftsleiter der Wahrnehmung seiner Aufgaben nicht ausreichend Zeit widmet (Nummer 5) oder eine zu hohe Anzahl an Leitungs- oder Aufsichtsmandaten innehat (Nummer 6). Die Geldbuße kann nach § 56 Absatz 6 Nummer 1 KWG bis zu fünf Millionen Euro betragen. Über die in Absatz 6 genannten Beträge hinaus kann nach § 56 Absatz 6d KWG eine Geldbuße bis zum Zweifachen des aus dem Verstoß gezogenen wirtschaftlichen Vorteils verhängt werden. Dieser Vorteil umfasst erzielte Gewinne und vermiedene Verluste.

Für Versicherer nennt § 24 Absatz 3 VAG eine feste Zahl: Zum Geschäftsleiter kann nicht bestellt werden, wer bereits bei zwei Versicherungsunternehmen, Pensionsfonds oder weiteren im Gesetz genannten Unternehmen als Geschäftsleiter tätig ist. Bei Unternehmen derselben Versicherungs- oder Unternehmensgruppe kann die Aufsichtsbehörde mehr Mandate zulassen. Für Mitglieder des Aufsichtsorgans liegt die Grenze bei fünf Kontrollmandaten (§ 24 Absatz 4 VAG). Erfüllt eine Person die Voraussetzungen des § 24 nicht, kann die Aufsichtsbehörde nach § 303 Absatz 2 VAG ihre Abberufung verlangen.

Question 9

Wie sieht die persönliche Haftung der Vorstandsmitglieder einer Aktiengesellschaft gegenüber der Gesellschaft aus?

Accepted Answer

Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden (§ 93 Absatz 1 AktG). Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln.

Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet (Absatz 2). Ist streitig, ob sie die Sorgfalt angewandt haben, trifft sie die Beweislast.

Die Billigung der Handlung durch den Aufsichtsrat schließt die Ersatzpflicht nicht aus (Absatz 4). Auch ein Verzicht ist begrenzt. Die Gesellschaft kann erst drei Jahre nach der Entstehung des Anspruchs auf Ersatzansprüche verzichten, und nur dann, wenn die Hauptversammlung zustimmt und nicht eine Minderheit, deren Anteile zusammen den zehnten Teil des Grundkapitals erreichen, zur Niederschrift Widerspruch erhebt.

Schließt die Gesellschaft eine Versicherung zur Absicherung eines Vorstandsmitglieds ab, ist ein Selbstbehalt von mindestens 10 Prozent des Schadens vorzusehen, bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung. Die Ansprüche verjähren bei börsennotierten Gesellschaften in zehn Jahren, bei anderen Gesellschaften in fünf Jahren (Absatz 6).

Question 10

Wie sieht die Organhaftung des Geschäftsführers einer Gesellschaft mit beschränkter Haftung gegenüber der Gesellschaft aus?

Accepted Answer

Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden (§ 43 Absatz 1 GmbHG). Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden (Absatz 2).

Eine Ersatzpflicht nennt das Gesetz ausdrücklich für Zahlungen, die den Bestimmungen des § 30 zuwider aus dem zur Erhaltung des Stammkapitals erforderlichen Vermögen gemacht werden, und für den Erwerb eigener Geschäftsanteile entgegen § 33 (Absatz 3). Soweit der Ersatz zur Befriedigung der Gläubiger erforderlich ist, wird die Verpflichtung nicht dadurch aufgehoben, dass die Geschäftsführer in Befolgung eines Beschlusses der Gesellschafter gehandelt haben.

Die Ansprüche verjähren in fünf Jahren (Absatz 4).

Question 11

Wann wird die Verletzung der Aufsichtspflicht im Unternehmen zur Ordnungswidrigkeit?

Accepted Answer

Ordnungswidrig handelt nach § 130 Absatz 1 OWiG, wer als Inhaber eines Betriebes oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um Zuwiderhandlungen gegen Pflichten zu verhindern, die den Inhaber treffen und deren Verletzung mit Strafe oder Geldbuße bedroht ist. Für die Haftung der Geschäftsleiter kommt § 9 Absatz 1 OWiG hinzu: Handelt jemand als vertretungsberechtigtes Organ einer juristischen Person oder als Mitglied eines solchen Organs, ist ein Gesetz, das besondere persönliche Merkmale voraussetzt, auch auf den Vertreter anzuwenden, wenn diese Merkmale beim Vertretenen vorliegen.

Voraussetzung ist, dass eine Zuwiderhandlung begangen wird, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. Zu den erforderlichen Aufsichtsmaßnahmen gehören auch die Bestellung, sorgfältige Auswahl und Überwachung von Aufsichtspersonen.

Die Geldbuße ist nach oben begrenzt. Ist die Pflichtverletzung mit Strafe bedroht, kann sie bis zu einer Million Euro betragen (§ 130 Absatz 3 OWiG). Ist die Pflichtverletzung mit Geldbuße bedroht, bestimmt sich das Höchstmaß der Geldbuße wegen der Aufsichtspflichtverletzung nach dem für die Pflichtverletzung angedrohten Höchstmaß. Ist sie zugleich mit Strafe und Geldbuße bedroht und übersteigt das für die Geldbuße angedrohte Höchstmaß eine Million Euro, gilt dieses Höchstmaß.

Question 12

Was macht die Aufsicht mit bestandskräftigen Maßnahmen und Bußgeldentscheidungen öffentlich?

Accepted Answer

Gegen Geschäftsleiter kennt das Gesetz die Verwarnung, das Verlangen nach Abberufung und die Untersagung der Tätigkeit (§ 36 Absatz 2 KWG). Für Banken schreibt § 60b Absatz 1 KWG vor: Die Bundesanstalt hat, sofern die Bekanntmachung nicht bereits nach § 60c Absatz 1 Satz 1 erfolgt, jede wegen eines Verstoßes gegen dieses Gesetz verhängte und bestandskräftig gewordene Maßnahme und jede unanfechtbar gewordene Bußgeldentscheidung unverzüglich auf ihren Internetseiten öffentlich bekannt zu machen und dabei auch Informationen zu Art und Charakter des Verstoßes mitzuteilen. Sie sollen nach Absatz 5 mindestens für fünf Jahre veröffentlicht bleiben; ausgenommen sind Bußgeldentscheidungen nach § 56 Absatz 4e.

Auf anonymer Basis hat die Bundesanstalt bekannt zu machen, wenn eine Bekanntmachung das Persönlichkeitsrecht natürlicher Personen verletzt oder eine Bekanntmachung personenbezogener Daten aus sonstigen Gründen unverhältnismäßig wäre (Absatz 4). Personenbezogene Daten sind zu löschen, sobald ihre Bekanntmachung nicht mehr erforderlich ist.

Für Versicherer nennt § 319 Absatz 1 VAG ausdrücklich Maßnahmen, die gegen ein Unternehmen oder gegen einen Geschäftsleiter eines Unternehmens verhängt wurden. Dort steht in Absatz 1 „soll“, nicht „hat“. Für Verstöße gegen Vorschriften, die die Richtlinie (EU) 2016/97 umsetzen, schreibt Absatz 1a dagegen „hat“ vor. Auch hier soll die Bekanntmachung mindestens fünf Jahre veröffentlicht bleiben (Absatz 3).

Question 13

Welche Geldbuße droht, wenn eine vollziehbare Anordnung nach § 36 KWG oder § 303 VAG missachtet wird?

Accepted Answer

Bei Banken kennt § 36 KWG die Verwarnung, das Verlangen nach Abberufung und die Untersagung der Tätigkeit gegen Geschäftsleiter. Wer einer vollziehbaren Anordnung nach § 36 Absatz 1 Satz 1, Absatz 2 oder Absatz 3 Satz 1 zuwiderhandelt, handelt nach § 56 Absatz 1 KWG ordnungswidrig. Der Wortlaut nennt keinen bestimmten Adressaten, sondern „wer“. Die Geldbuße kann nach § 56 Absatz 6 Nummer 2 KWG bis zu fünfhunderttausend Euro betragen.

Für Versicherer gilt Entsprechendes. Ordnungswidrig handelt, wer einer vollziehbaren Anordnung nach § 303 Absatz 2 Nummer 2 oder Nummer 3 VAG zuwiderhandelt (§ 332 Absatz 1 Nummer 2 Buchstabe b VAG). Auch hier sieht § 332 Absatz 5 VAG eine Geldbuße bis zu fünfhunderttausend Euro vor.

Grundlage dieser Anordnungen ist bei Versicherern § 303 Absatz 2 VAG: das Verlangen nach Abberufung und das Verbot, die Tätigkeit auszuüben.

Question 14

Wie hängen Fit and Proper und die Abhängigkeit von IKT-Dienstleistern zusammen?

Accepted Answer

Die Geschäftsleiter müssen nach § 25c Absatz 1a KWG in ihrer Gesamtheit über Kenntnisse, Fähigkeiten und Erfahrungen verfügen, die zum Verständnis der Tätigkeiten einschließlich der Hauptrisiken notwendig sind. Lagert ein Haus Aktivitäten und Prozesse aus, darf das nicht zu einer Übertragung der Verantwortung der Geschäftsleiter an das Auslagerungsunternehmen führen (§ 25b Absatz 2 KWG). Für Versicherer gilt nach § 32 Absatz 1 VAG: Das Unternehmen bleibt für die Erfüllung aller aufsichtsrechtlichen Vorschriften und Anforderungen verantwortlich. Die Verantwortung der Geschäftsleiter bleibt beim Haus.

Die Geschäftsleiter haben nach § 25c Absatz 4a KWG dafür Sorge zu tragen, dass im Fall einer Auslagerung angemessene Verfahren und Konzepte bestehen, um übermäßige zusätzliche Risiken zu vermeiden.

Für DORA nennt die Aufsicht das Leitungsorgan als zentral: Es ist letztverantwortlich für das Management der IKT-Risiken des Finanzunternehmens (Artikel 5 DORA). Zu berücksichtigen ist auch die Abhängigkeit vom jeweiligen IKT-Drittdienstleister.

Question 15

Wer trägt in einer Bank oder einem Versicherer die Verantwortung für DORA?

Accepted Answer

Das Leitungsorgan. Nach der Bundesanstalt für Finanzdienstleistungsaufsicht ist es „letztverantwortlich für das Management der IKT-Risiken des Finanzunternehmens“. Ihr Fachartikel überschreibt den Abschnitt mit „Verantwortung lässt sich nicht delegieren“.

Als Unternehmensleitung nennt die Aufsicht „die Geschäftsführung oder der Vorstand“ und diese Leitung muss „die Strategie für die digitale operationale Resilienz festlegen, genehmigen und hierfür ein angemessenes Budget einplanen“. DORA weist dem Leitungsorgan dazu „detaillierte Aufgaben (Art. 5 Abs. 2 DORA)“ zu. Sie zu erfüllen erfordert „ein tiefes Verständnis der Risiken sowie entsprechende Ressourcen und Fachkenntnisse“.

Question 16

Welche Kenntnisse und Fortbildung zu IKT-Risiken verlangt das Aufsichtsrecht von Geschäftsleitern und Leitungsorganen?

Accepted Answer

Die Kenntnisse müssen laufend aktuell bleiben. Zu DORA schreibt die Finanzaufsicht über die Unternehmensleitung: „Das erforderliche Know-how muss immer auf dem neuesten Stand sein.“ Die Aufgaben des Leitungsorgans erfordern laut der Aufsicht „ein tiefes Verständnis der Risiken“.

Das Kreditwesengesetz verpflichtet Banken, „angemessene personelle und finanzielle Ressourcen“ einzusetzen, damit Mitglieder der Geschäftsleitung die Fortbildung erhalten, „die zur Aufrechterhaltung ihrer fachlichen Eignung erforderlich ist, auch in Bezug auf IKT-Risiken“ (§ 25c Absatz 4). Für Mitglieder des Verwaltungs- oder Aufsichtsorgans gilt dasselbe mit dem Maßstab der „erforderlichen Sachkunde“ (§ 25d Absatz 4).

Bei Versicherern verlangt § 24 Absatz 1 des Versicherungsaufsichtsgesetzes „berufliche Qualifikationen, Kenntnisse und Erfahrungen“ für eine „solide und umsichtige Leitung des Unternehmens“.

Question 17

Haftet die Geschäftsleitung nach dem KRITIS-Dachgesetz persönlich und gilt das für Banken und Versicherer?

Accepted Answer

Für Betreiber kritischer Anlagen ja, für Banken und Versicherer, die als Finanzunternehmen unter DORA fallen, nein. § 20 verpflichtet Geschäftsleitungen, „die von den Betreibern kritischer Anlagen nach § 13 Absatz 1 zu ergreifenden Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen“. Geschäftsleitung ist nach § 2 Nummer 11 „eine natürliche Person“, die zur Führung der Geschäfte und zur Vertretung berufen ist.

Geschäftsleitungen, die diese Pflicht verletzen, haften „ihrer Einrichtung für einen schuldhaft verursachten Schaden“ nach den Regeln des Gesellschaftsrechts (§ 20 Absatz 2). Nach dem Gesetz selbst haften sie nur, wenn die gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung enthalten.

Für Finanzunternehmen gilt § 20 nicht. § 4 Absatz 2 Nummer 1 nimmt „Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554“ aus, ebenso Unternehmen, für die diese Verordnung „auf Grund von § 1a Absatz 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes“ gilt. Für sie gibt DORA vor, was beim Management der IKT-Risiken zu beachten ist.

Question 18

Was verlangt das BSI-Gesetz nach NIS2 von Geschäftsleitungen und gilt das für Banken und Versicherer unter DORA?

Accepted Answer

Das BSI-Gesetz enthält in § 38 drei Regeln für Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen. Sie sind „verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen“. Wer diese Pflichten verletzt, haftet der Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts. Die dritte Regel: Geschäftsleitungen „müssen regelmäßig an Schulungen teilnehmen“, um Risiken im Bereich der Sicherheit in der Informationstechnik zu erkennen und zu bewerten. Geschäftsleitung ist nach § 2 Nummer 13 „eine natürliche Person“.

Finanzunternehmen unter DORA sind ausgenommen. Nach § 28 Absatz 6 Nummer 1 gelten die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für „Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554“ und für Unternehmen, für die diese Verordnung „aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes“ gilt. Damit entfallen für sie auch die Pflichten der Geschäftsleitung aus § 38.

FAQ: Fit and Proper und persönliche Haftung

Fit and Proper und persönliche Haftung