Zum Inhalt springen
expertree academy – zur Startseite
Cybersecurity und NIS2 verständlich erklärt

NIS2-Schulung für die Geschäftsleitung: Pflichten, Haftung, Nachweis

Seit dem 6. Dezember 2025 muss die Geschäftsleitung betroffener Unternehmen regelmäßig an Cybersecurity-Schulungen teilnehmen. Das steht im Gesetz, und so gehst du vor.

Von expertree academyVeröffentlicht am

Mit dem NIS2-Umsetzungsgesetz hat die Cybersicherheit die Chefetage erreicht: Seit dem 6. Dezember 2025 verpflichtet § 38 BSIG die Geschäftsleitung betroffener Unternehmen, Risikomanagementmaßnahmen umzusetzen und zu überwachen – und regelmäßig an Schulungen teilzunehmen. Delegieren lässt sich das nicht einfach an die IT.

Diese Seite erklärt, wen die Pflicht trifft, was das Gesetz verlangt und was es offenlässt, und wie du die Schulung der Geschäftsleitung sauber organisierst und dokumentierst.

Wen die Schulungspflicht trifft

Die Pflicht gilt für die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, also bei einer GmbH für die Geschäftsführung, bei einer AG für den Vorstand. Ob dein Unternehmen dazugehört, hängt von Branche und Größe ab (§ 28 BSIG). Die Kriterien und den Weg zur Betroffenheitsprüfung findest du in unserer Wissenswelt Cybersecurity und NIS2.

Wer nicht selbst betroffen ist, kann die Schulung trotzdem sinnvoll nutzen: Große Kunden geben ihre Anforderungen oft an Lieferanten weiter, und die Verantwortung der Leitung für Cyberrisiken besteht auch ohne NIS2.

Was § 38 BSIG von der Geschäftsleitung verlangt

Die Vorschrift hat drei Teile:

  1. Umsetzen und überwachen: Die Geschäftsleitung muss dafür sorgen, dass die Risikomanagementmaßnahmen nach § 30 BSIG umgesetzt werden, und überwachen, dass das tatsächlich geschieht. Nach der Gesetzesbegründung soll sie die Maßnahmen zuvor als geeignet billigen. Auch wenn sie Aufgaben an Fachleute oder externe Dienstleister abgibt, bleibt sie letztverantwortlich.
  2. Haftung: Verletzt die Geschäftsleitung diese Pflichten und entsteht dadurch schuldhaft ein Schaden, haftet sie der eigenen Einrichtung. Maßgeblich sind die Haftungsregeln des Gesellschaftsrechts der jeweiligen Rechtsform; das BSIG greift nur auf, wo diese keine Regelung enthalten. Die Haftung knüpft nach dem Wortlaut an Absatz 1 an, also an Umsetzung und Überwachung.
  3. Schulung: Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen (Absatz 3).

Was die Schulung vermitteln soll

Das Gesetz nennt das Ziel, nicht den Lehrplan: Die Geschäftsleitung soll ausreichende Kenntnisse und Fähigkeiten erwerben, um

  • Risiken und Risikomanagementpraktiken im Bereich der IT-Sicherheit zu erkennen und zu bewerten, und
  • die Auswirkungen dieser Risiken und der Praktiken auf die Dienste der Einrichtung zu beurteilen.

Es geht also nicht um Technik im Detail, sondern um Entscheidungsfähigkeit. Typische Themen in der Praxis sind die aktuelle Bedrohungslage, Risikobewertung und Sicherheitsstrategie, Rollen und Verantwortung der Leitung, Incident- und Krisenmanagement sowie rechtliche Anforderungen.

Das Gesetz schreibt keinen bestimmten Anbieter, kein Format, keine Mindestdauer und kein Zertifikat vor. Entscheidend ist, dass die Inhalte zum Ziel passen und du die Teilnahme belegen kannst.

Wie oft muss die Geschäftsleitung geschult werden?

Der Gesetzestext sagt nur „regelmäßig“, eine feste Frist nennt er nicht. In der Begründung des Regierungsentwurfs (Bundestags-Drucksache 21/1501) heißt es, dass Schulungen als regelmäßig gelten, wenn sie mindestens alle drei Jahre angeboten werden. Das ist eine Orientierung, kein Gesetzestext. Mehr Sicherheit gibt ein festgelegter Rhythmus, den du an der Lage ausrichtest, etwa früher, wenn sich Geschäftsmodell, Bedrohungslage oder Recht deutlich ändern.

Nachweis: so dokumentierst du die Teilnahme

Eine bestimmte Form ist nicht vorgeschrieben. Nach der Gesetzesbegründung kann das BSI aber die Erfüllung der Schulungspflicht überprüfen und Nachweise verlangen. Sinnvoll ist deshalb eine kurze Akte pro Person der Geschäftsleitung:

  • Datum, Dauer und Anbieter der Schulung
  • Inhalte (Agenda oder Kursbeschreibung)
  • Teilnahmebestätigung
  • Beschluss, in welchem Rhythmus die nächste Schulung stattfindet

So gehst du vor

  1. Betroffenheit klären und bei Bedarf beim BSI registrieren (siehe Wissenswelt Cybersecurity und NIS2).
  2. Teilnehmende festlegen: Das Gesetz richtet sich an die Geschäftsleitung insgesamt. Eine Beschränkung auf das für IT zuständige Mitglied sieht § 38 nach seinem Wortlaut nicht vor. Plane also alle Mitglieder ein.
  3. Schulung auswählen und Termin buchen oder eine Inhouse-Schulung vereinbaren.
  4. Teilnahme dokumentieren und die nächste Schulung terminieren.
  5. Die Beschäftigten nicht vergessen: Schulungen im Bereich IT-Sicherheit gehören auch zu den Risikomanagementmaßnahmen nach § 30 BSIG, und die Gesetzesbegründung fordert Einrichtungen auf, solche Schulungen allen Beschäftigten anzubieten.

Hinweis: Dieser Überblick dient der Orientierung und ersetzt keine Rechtsberatung. Stand: Oktober 2026.

Cybersecurity für Führungskräfte

Ein Tag live online: Bedrohungslage, Risikobewertung, Verantwortung der Leitung, Incident Management und rechtliche Aspekte. Du erhältst eine Teilnahmebestätigung ab 80 % Anwesenheit, die du zu deinen Unterlagen nehmen kannst. Auch als Inhouse-Schulung.

Zur Schulung für Führungskräfte

Häufige Fragen zur NIS2-Schulung der Geschäftsleitung

Müssen alle Geschäftsführer oder Vorstände an der Schulung teilnehmen?

Das Gesetz richtet sich an die Geschäftsleitung als Organ. Eine Beschränkung auf das für IT oder Sicherheit zuständige Mitglied enthält § 38 Absatz 3 BSIG nach seinem Wortlaut nicht. Am sichersten ist es, wenn alle Mitglieder teilnehmen. Im Zweifel lässt du die Frage für deine Rechtsform rechtlich prüfen.

Wie oft muss die Geschäftsleitung an einer Schulung teilnehmen?

Das Gesetz verlangt eine regelmäßige Teilnahme und nennt keine Frist. Die Begründung des Regierungsentwurfs geht davon aus, dass Schulungen, die mindestens alle drei Jahre angeboten werden, als regelmäßig gelten. Lege einen Rhythmus fest und dokumentiere ihn.

Brauche ich ein Zertifikat, um die Pflicht zu erfüllen?

Nein, das Gesetz schreibt weder ein Zertifikat noch einen bestimmten Anbieter oder eine Mindestdauer vor. Wichtig ist, dass die Schulung zum gesetzlichen Ziel passt und du die Teilnahme belegen kannst, zum Beispiel mit einer Teilnahmebestätigung.

Haftet die Geschäftsleitung persönlich, wenn sie nicht geschult ist?

§ 38 Absatz 2 BSIG regelt die Haftung gegenüber der eigenen Einrichtung bei Verletzung der Pflichten aus Absatz 1, also bei Umsetzung und Überwachung der Risikomanagementmaßnahmen. Fehlendes Wissen erschwert diese Aufgabe erheblich. Wie sich eine unterlassene Schulung im Einzelfall auswirkt, solltest du rechtlich bewerten lassen.

Kann die Geschäftsleitung die Verantwortung an den Informationssicherheitsbeauftragten delegieren?

Aufgaben lassen sich delegieren, die Verantwortung nicht: Nach der Gesetzesbegründung bleibt die Geschäftsleitung auch bei Einschaltung von Hilfspersonen letztverantwortlich. Der Beauftragte unterstützt, entlastet aber nicht von Billigung, Überwachung und Schulung.

Gilt die Pflicht auch für Unternehmen, die nicht unter NIS2 fallen?

Die Schulungspflicht nach § 38 BSIG gilt nur für besonders wichtige und wichtige Einrichtungen. Ob dein Unternehmen dazugehört, klärst du mit der Betroffenheitsprüfung des BSI. Auch ohne gesetzliche Pflicht kann die Schulung der Leitung sinnvoll sein, etwa wegen Kundenanforderungen.

Quellen

Stand: Oktober 2026. Wir stützen uns vorrangig auf Primärquellen:

Weiterbilden

Passende Schulungen