NIS2-Schulung für die Geschäftsleitung
Die Schulungspflicht trifft Geschäftsführung und Vorstand persönlich. Eine Awareness-Schulung für die Belegschaft erfüllt sie nicht — das Ziel ist ein anderes.
Was das Gesetz verlangt
„Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen.“
Zwei Dinge folgen daraus unmittelbar. Erstens: Adressat sind die Leitungspersonen, nicht die Organisation. Zweitens: Maßstab ist ein inhaltliches Ziel — Risiken erkennen und bewerten zu können. Eine Schulung, die Rechtspflichten aufzählt, ohne diese Fähigkeit zu vermitteln, erfüllt den Zweck der Norm nicht.
Leitungsschulung und Mitarbeiterschulung sind zwei Pflichten
Sie beruhen auf verschiedenen Vorschriften, verfolgen verschiedene Ziele und werden getrennt nachgewiesen.
| Leitungsschulung | Mitarbeiterschulung | |
|---|---|---|
| Zielgruppe | Geschäftsführung und Vorstand persönlich | Alle Beschäftigten |
| Rechtsgrundlage | § 38 Abs. 3 BSIG | § 30 Abs. 2 Nr. 7 BSIG |
| Ziel | Risiken erkennen und bewerten können | Angriffe erkennen und melden |
| Inhalt | Governance, Haftung, Entscheidung | Phishing, Passwörter, Meldeweg |
| Nachweis | Teilnahmenachweis je Leitungsperson | Teilnahmequote der Belegschaft |
Die Sensibilisierung der Belegschaft deckt die Mitarbeiterschulung ab. Die übrigen Pflichten der Leitungsebene stehen auf der Seite Pflichten der Geschäftsleitung nach § 38 BSIG.
Inhalte, die die Pflicht erfüllen
Zugeschnitten auf Entscheider: keine Technikschulung, sondern die Fähigkeit, vorgelegte Risikoaussagen zu beurteilen und tragfähige Entscheidungen zu treffen.
Betroffenheit und Einordnung
Warum die eigene Einrichtung erfasst ist, ob als wichtige oder besonders wichtige Einrichtung — und welche Pflichten daraus jeweils folgen.
Risiken erkennen und bewerten
Der Kern der gesetzlichen Anforderung: die Bedrohungslage der eigenen Branche, typische Angriffswege und die Frage, welche Risiken die Leitung tragen kann und welche nicht.
Risikomanagementpraktiken
Wie eine Risikoanalyse funktioniert, was ein Reifegrad aussagt und woran die Leitung erkennt, ob ein vorgelegter Bericht belastbar ist.
Die eigenen Pflichten nach § 38
Umsetzung, Überwachung, Haftung nach Gesellschaftsrecht — und welche Nachweise die Erfüllung dieser Pflichten belegen.
Meldepflicht als Führungsaufgabe
Die Fristen nach § 32 BSIG greifen ab Kenntniserlangung. Wer im Ernstfall entscheidet, muss vorher wissen, dass 24 Stunden gelten — nicht erst suchen, wer zuständig ist.
Entscheidungen und Eskalation
Risikoakzeptanz, Budgetentscheidungen, Eskalationswege und die Frage, was die Leitung im Krisenfall tatsächlich entscheiden muss.
Häufige Fragen
- Muss die Geschäftsleitung nach NIS2 geschult werden?
- Ja. § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken zu erlangen. Die Pflicht richtet sich an die Leitungspersonen selbst und lässt sich nicht an die IT oder an Beauftragte delegieren.
- Reicht die allgemeine Mitarbeiterschulung aus?
- Nein. Die Sensibilisierung der Beschäftigten beruht auf § 30 Abs. 2 Nr. 7 BSIG und hat ein anderes Ziel: Angriffe erkennen und melden. Die Leitungsschulung nach § 38 Abs. 3 zielt auf das Erkennen und Bewerten von Risiken sowie auf Risikomanagementpraktiken. In Prüfungen wird der Nachweis für die Leitungsebene getrennt verlangt.
- Wie oft muss die Schulung wiederholt werden?
- Das Gesetz sagt „regelmäßig“ und nennt weder Turnus noch Stundenzahl. Die Einrichtung legt das selbst fest — muss die Festlegung aber begründen und die Teilnahme dokumentieren können. Ein jährlicher Rhythmus mit anlassbezogener Ergänzung bei wesentlichen Änderungen der Bedrohungs- oder Rechtslage ist in der Praxis gut begründbar.
- Welcher Nachweis wird verlangt?
- Ein Teilnahmenachweis je Leitungsperson mit Datum, eine Inhaltsübersicht, aus der der Bezug zu Risikoerkennung und Risikomanagement hervorgeht, sowie die dokumentierte Festlegung des Wiederholungsrhythmus. Eine Teilnehmerliste ohne Inhaltsangabe belegt die Erfüllung des inhaltlichen Ziels nicht.
- Gilt die Pflicht auch für den Aufsichtsrat?
- § 38 BSIG richtet sich an die Geschäftsleitungen. Für Aufsichts- und Kontrollgremien enthält die Norm keine eigene Schulungspflicht. Da diese Gremien die Leitung überwachen, ist eine gleichwertige Wissensbasis in der Praxis dennoch sinnvoll — die Ausgestaltung im Einzelfall ist eine gesellschaftsrechtliche Frage.
Stand: 23.08.2026 · Zuletzt geprüft: 23.08.2026. Der zitierte Wortlaut stammt aus § 38 BSIG. Fachliche Einordnung, keine Rechtsberatung.
Schulung für Ihre Leitungsebene
Wir stimmen Umfang, Format und Rhythmus auf Ihre Gremienstruktur ab und liefern den Teilnahmenachweis in der Form, die eine Prüfung erwartet.
Schulung anfragen