NIS2-Schulung der Geschäftsleitung nach § 38 BSIG (mit Vorlage)

Die Geschäftsleitung muss selbst an NIS2-Schulungen teilnehmen; der IT-Leiter kann sie dabei nicht vertreten. § 38 Abs. 3 BSIG verlangt, dass die Geschäftsleitung jeder besonders wichtigen und wichtigen Einrichtung regelmäßig an Schulungen teilnimmt, damit sie Risiken erkennen, bewerten und ihre Auswirkungen auf die Dienste des Unternehmens beurteilen kann.

Dieser Artikel erklärt, wer teilnehmen muss, wie oft und wie lange, was das BSI zu Inhalten und Form sagt und wie Sie die Teilnahme dokumentieren. Am Ende finden Sie eine 90-Minuten-Agenda für eine erste Einheit. Den Überblick über alle NIS2-Pflichten gibt unser NIS2-Leitfaden für KMU.

Aufgaben übertragen, Verantwortung behalten

Die Geschäftsleitung muss nach § 38 Abs. 1 BSIG Maßnahmen umsetzen und deren Umsetzung überwachen. Sie kann Aufgaben an Fachleute übertragen, bleibt aber letztverantwortlich (BT-Drs. 21/1501, S. 154). Verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform (§ 38 Abs. 2). Die eigene Schulung ist die eine Pflicht, die sie niemandem übertragen kann.

Wer teilnehmen muss

Die Geschäftsleitung, also die Personen, die das Unternehmen nach Gesetz, Satzung oder Gesellschaftsvertrag führen und vertreten (§ 2 Nr. 13 BSIG): in der GmbH die Geschäftsführer, in der AG der Vorstand. Hat ein Unternehmen drei Geschäftsführer, nehmen alle drei teil. Der Informationssicherheitsbeauftragte kann die Schulung vorbereiten und halten, aber nicht an Stelle der Geschäftsleitung teilnehmen. Das BSI empfiehlt, auch die Personen zu schulen, die der Geschäftsleitung bei Entscheidungen zum Risikomanagement zuarbeiten.

Die Pflicht gilt grundsätzlich für besonders wichtige und wichtige Einrichtungen; sektorale Ausnahmen nach § 28 Abs. 5 und 6 BSIG sind zu prüfen. Ob Ihr Unternehmen dazugehört, klärt der NIS2-Betroffenheits-Check.

Wie oft und wie lange

Das Gesetz sagt „regelmäßig“. Laut Gesetzesbegründung (BT-Drs. 21/1501) gelten Schulungen als regelmäßig, die mindestens alle drei Jahre angeboten werden. Die BSI-Handreichung ergänzt, dass das BSIG über den Begriff „regelmäßig“ hinaus keine konkreten Vorgaben macht, und empfiehlt Intervalle, die zum Risiko des Unternehmens passen; drei Jahre reichen laut BSI in den seltensten Fällen.

Unsere Empfehlung für KMU: zu Beginn eine vollständige Schulung, danach eine kurze jährliche Auffrischung und eine zusätzliche Runde nach einem erheblichen Vorfall oder einer größeren Veränderung im Unternehmen.

Eine Dauer nennt das Gesetz ebenfalls nicht. Die Gesetzesbegründung geht im Schnitt von vier Stunden aus. Laut BSI-FAQ ist das eine Annahme, keine Empfehlung: In den allermeisten Fällen reichen vier Stunden nicht, und die Schulung darf auf mehrere Termine verteilt werden.

Was die Schulung abdeckt

Die BSI-Handreichung gliedert die Inhalte entlang der drei Kompetenzfelder aus § 38 Abs. 3 BSIG:

Eine Schulung, die nur allgemeine Statistiken zur Cyberkriminalität zeigt, verfehlt das Ziel. Entscheidend ist der Bezug zum eigenen Unternehmen: Ihre Leistungen, Ihre Systeme, Ihre Lieferanten.

Intern oder extern

Beides ist zulässig. Die BSI-Handreichung nennt externe Schulungsanbieter ebenso wie interne fachliche Stellen und führt ein quartalsweises Format mit dem Informationssicherheitsbeauftragten als Beispiel an. Zugleich warnt das BSI, dass ausschließlich interne Schulungen zu strukturellen Erkenntnisdefiziten führen können, und empfiehlt, externe Expertise einzubeziehen. Ein praktischer Mittelweg: Der Informationssicherheitsbeauftragte hält die Schulung mit unternehmensbezogenen Inhalten, in regelmäßigen Abständen kommt ein externer Blick dazu.

Eine Prüfung ist nicht vorgeschrieben.

So dokumentieren Sie die Teilnahme

Die Dokumentation bleibt im Unternehmen und ist auf Verlangen vorzulegen. Das BSI weist darauf hin, dass sie die regelmäßige Teilnahme belegt, nicht aber, dass ausreichende Kenntnisse vermittelt wurden. Deshalb lohnt es sich, neben der Teilnahme auch die Inhalte festzuhalten. Unsere Empfehlung für den Nachweis:

• Datum und Dauer
• Teilnehmer (alle Mitglieder der Geschäftsleitung) und Schulende
• Agenda und die abgedeckten drei Kompetenzfelder
• Verwendete Schulungsunterlagen
• Entscheidungen oder Folgeaufgaben aus der Schulung
• Bestätigung der Teilnahme durch jede Person
• Termin der nächsten geplanten Schulung

Vorlage: erste Einheit in 90 Minuten

Diese Agenda ist unser Vorschlag für ein KMU: eine erste Einheit, die die drei Kompetenzfelder auf Ihr Unternehmen anwendet. Sie ist ein Baustein, nicht die ganze Schulung; planen Sie weitere Einheiten, damit der Gesamtumfang zu den Erwartungen des BSI oben passt. Bringen Sie Risikoregister, Maßnahmenstatus und Vorfallprozess mit.

1. NIS2 und BSIG in 10 Minuten. Warum das Unternehmen betroffen ist, die zentralen Pflichten, Rolle und Haftung der Geschäftsleitung nach § 38.
2. Bedrohungslage für unser Unternehmen (20 Minuten). Typische Angriffe in der Branche, realistische Szenarien wie Ransomware, ein kompromittierter Lieferant oder Phishing gegen die Geschäftsleitung.
3. Unsere Maßnahmen nach § 30 (20 Minuten). Stand der zehn Bereiche, bekannte Lücken, Verantwortliche und Termine. Hintergrund: die zehn NIS2-Maßnahmen.
4. Auswirkungen auf unsere Leistungen (15 Minuten). Was passiert, wenn das wichtigste System drei Tage ausfällt? Welche Kunden sind betroffen, was steht in den Verträgen?
5. Meldepflichten (15 Minuten). Was als erheblich gilt, die Fristen 24 Stunden, 72 Stunden und ein Monat, wer entscheidet und wer meldet. Einzelheiten in NIS2-Meldepflicht.
6. Entscheidungen und nächste Schritte (10 Minuten). Budget, Prioritäten, Termin der nächsten Einheit. Halten Sie jede Entscheidung mit Verantwortlichem und Termin fest.

Schulung mit Valiido vorbereiten

Valiido enthält zwei NIS2-Schulungsvorlagen, eine für die Geschäftsleitung und eine für Mitarbeiter, die Sie an Ihr Unternehmen anpassen und mit dem Teilnahmenachweis ablegen. Die Vorlage unterstützt die Vorbereitung; Teilnahme und Erwerb der erforderlichen Kenntnisse bleiben die Aufgabe der Geschäftsleitung. Mehr zu Valiido für NIS2.

Häufig gestellte Fragen

Brauchen auch die Mitarbeiter eine NIS2-Schulung?

Ja, aber nach einer anderen Vorschrift: § 30 Abs. 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierung zur Informationssicherheit für das Personal. Eine solche Phishing-Sensibilisierung ersetzt die Schulung der Geschäftsleitung nicht, weil sie weder die Bewertung von Risikomanagementpraktiken noch deren Auswirkungen auf die Dienste abdeckt.

Wie prüfen wir den Nutzen der Schulung ohne Prüfung?

Lassen Sie jede Person ein wesentliches Unternehmensrisiko erklären, eine vorgeschlagene Maßnahme bewerten und die Auswirkungen auf eine Leistung beschreiben. Halten Sie offene Fragen fest und vergeben Sie Folgeaufgaben. Das ist unsere praktische Empfehlung, kein vorgeschriebener Test.