NIS2-Schulung der Geschäftsleitung ist gesetzliche Pflicht
§ 38 Abs. 3 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen zur regelmäßigen Teilnahme an Schulungen. Ziel sind ausreichende Kenntnisse und Fähigkeiten, um Risiken und Risikomanagementpraktiken der IT-Sicherheit zu erkennen und zu bewerten sowie ihre Auswirkungen auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
Das Ziel ist Entscheidungsfähigkeit – nicht technische Tiefe
Die Geschäftsleitung muss keine operative Security-Rolle übernehmen. Sie muss jedoch Risiken, Maßnahmen, Restrisiken und Auswirkungen auf Geschäftsservices so verstehen, dass sie Umsetzung überwachen und belastbare Entscheidungen treffen kann.
Welche Inhalte gehören in eine Executive-Schulung?
| Thema | Executive Outcome |
|---|---|
| NIS2-Rechtsrahmen | eigene Pflichten und Aufsicht verstehen |
| Cyberrisiko | technische Ereignisse in Geschäftsfolgen übersetzen |
| Risikomanagementmaßnahmen | Angemessenheit und Wirksamkeit hinterfragen |
| Incident & Meldung | unter Zeitdruck entscheiden und eskalieren |
| Resilienz | RTO/RPO, Recovery und kritische Abhängigkeiten beurteilen |
| Supply Chain | Drittparteirisiken und Konzentrationen verstehen |
| Reporting | KPIs, KRIs, Gaps und Restrisiken bewerten |
„Regelmäßig“ als Governance-Prozess verstehen
Das Gesetz nennt in § 38 Abs. 3 keinen festen Jahresrhythmus. Die Organisation sollte deshalb einen nachvollziehbaren Schulungszyklus definieren und zusätzlich anlassbezogene Aktualisierungen vorsehen, etwa bei wesentlichen Rechtsänderungen, neuen Risikoszenarien oder erheblichen Vorfällen.
Wie die Schulung nachweisbar wird
Geeignete Nachweise sind Schulungskonzept, Zielgruppe, Agenda, Datum, Teilnahme, verwendete Unterlagen und gegebenenfalls Lernerfolg oder dokumentierte Managementdiskussionen. Entscheidend ist, dass der Nachweis zur tatsächlichen Pflicht und zum Schulungsziel passt.
Besonders wirksam: Entscheidungssimulation
Eine kurze Tabletop-Sequenz kann Wissen in Judgment übersetzen: Ransomware trifft Produktion, Backup-Status ist unklar, ein Lieferant ist beteiligt und die 24-Stunden-Frist läuft. Die Geschäftsleitung muss priorisieren, Informationen anfordern, Restrisiken beurteilen und Entscheidungen dokumentieren.
Typische Fehler
- allgemeines Awareness-Training wird als Executive-Schulung behandelt.
- die Schulung erklärt Technik, aber nicht Managemententscheidungen.
- Teilnahme wird nicht dokumentiert.
- Schulung ist einmalig statt Teil der Governance.
- aktuelle eigene Risiken und Services kommen nicht vor.
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für die strukturierte Standortbestimmung und die organisatorische Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.