NIS2 Schulungspflicht Geschäftsleitung: § 38 BSIG erklärt

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz und mit ihm die NIS2 Schulungspflicht Geschäftsleitung. Das BSI beaufsichtigt damit rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung. In den meisten trifft die Pflicht mehrere Personen. Das BSI sagt klar: Eine Schulung, die nur Maßnahmen aufzählt, reicht bei einer Aufsichtsprüfung nicht. Wer dann nur eine Teilnahmebescheinigung ohne Inhalte vorlegen kann, hat für die Prüfung wenig in der Hand.

Kurz gesagt: Jede Person der Geschäftsleitung einer wichtigen oder besonders wichtigen Einrichtung muss nach § 38 Absatz 3 BSIG persönlich und regelmäßig an Schulungen teilnehmen. Ein festes Intervall oder eine Abschlussprüfung schreibt das Gesetz nicht vor, eine nachvollziehbare Dokumentation ist aber nötig.

Dieser Beitrag zeigt, was § 38 Absatz 3 BSIG verlangt, welche Inhalte die BSI-Handreichung empfiehlt und wie Sie die Teilnahme belastbar dokumentieren. Für die Belegschaft gilt eine eigene Pflicht; die passenden Lösungen finden Sie in der Kategorie Security Awareness Training.

NIS2 Schulungspflicht Geschäftsleitung: Was § 38 BSIG verlangt

§ 38 BSIG bündelt drei Pflichten. Absatz 1 verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Absatz 2 regelt die Haftung gegenüber der eigenen Einrichtung. Absatz 3 enthält die eigentliche Schulungspflicht.

Der Wortlaut von § 38 Absatz 3 BSIG ist knapp: Die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen „müssen regelmäßig an Schulungen teilnehmen“. Ziel sind ausreichende Kenntnisse, um Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten und ihre Auswirkungen auf die eigenen Dienste zu beurteilen.

Wer zur Geschäftsleitung zählt, definiert § 2 Nummer 13 BSIG: jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist. Bei einer GmbH mit drei Geschäftsführern sind also alle drei schulungspflichtig. Die Haftungsfolgen beschreibt unser Beitrag zur Geschäftsführerhaftung bei Cyber-Vorfällen.

Müssen Geschäftsführer nach NIS2 an Schulungen teilnehmen?

Ja, wenn das Unternehmen als wichtige oder besonders wichtige Einrichtung unter das BSI-Gesetz fällt (Ausnahmen gelten etwa für Finanzunternehmen unter DORA, § 28 Absatz 6 BSIG). § 38 Absatz 3 BSIG verpflichtet jede Person der Geschäftsleitung persönlich zur regelmäßigen Teilnahme. Die Pflicht lässt sich nicht an IT-Leitung oder Informationssicherheitsbeauftragte delegieren.

Wer betroffen ist und wie oft geschult werden muss

Ob Ihr Unternehmen reguliert ist, ergibt sich aus § 28 BSIG: Branche nach Anlage 1 oder 2 des Gesetzes (z. B. Energie, Gesundheit, Transport und Verkehr, verarbeitendes Gewerbe) plus Größe. Als wichtige Einrichtung gilt in der Regel, wer mindestens 50 Mitarbeitende beschäftigt oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme erreicht. Ab 250 Mitarbeitenden oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme gilt ein Unternehmen aus Anlage 1 als besonders wichtig. Ob das zutrifft, klären Sie am besten mit der NIS2-Compliance-Checkliste für KMU und der Betroffenheitsprüfung des BSI.

Ein festes Intervall nennt das Gesetz nicht. Die BSI-Handreichung zur Geschäftsleitungsschulung (Version 1.0 vom 17.04.2026) empfiehlt eine ausführliche Erstschulung und danach regelmäßige Folgeschulungen. Als Anhaltspunkte für Art, zeitlichen Umfang und Intervall der Folgeschulungen nennt das BSI:

• Wechsel in der Geschäftsleitung
• deutliche Änderungen der Geschäftsprozesse
• deutlich veränderte Risikolage
• neue oder geplante Risikomanagementmaßnahmen

Eine veränderte Risikolage kann in der Praxis etwa durch neue Standorte oder neue Cloud-Dienste entstehen. Praktikabel ist ein jährlicher Termin, ergänzt um diese Anlässe. Das ist eine Praxisempfehlung, keine gesetzliche Frist.

Welche Inhalte die BSI-Handreichung empfiehlt

Das BSI verlangt keine Ausbildung zum Fachexperten. Die Geschäftsleitung soll Risiken einschätzen, Entscheidungsvorlagen verstehen und genug Budget und Personal bereitstellen können. Die Handreichung nennt drei Kernbereiche, die jede Schulung abdecken sollte:

Quelle: BSI-Handreichung Geschäftsleitungsschulung, Version 1.0, 17.04.2026

Wichtig ist die Verbindung der drei Bereiche. Das BSI schreibt ausdrücklich: Eine Schulung, die sich nur auf Risikomanagementmaßnahmen konzentriert, fällt hinter die gesetzlichen Anforderungen zurück und würde bei Aufsichtsmaßnahmen als nicht ausreichend bewertet.

Auch beim Format lässt das BSI Spielraum. Neben dem klassischen Seminar nennt die Handreichung etwa ein Risikomanagement-Quarterly mit der oder dem Informationssicherheitsbeauftragten, Planspiele (Tabletop Exercises), Audit-Simulationen und Krisenübungen. Schulen dürfen externe Anbieter oder interne Fachstellen. Das BSI hält eine Mischung für sinnvoll: allgemeine Inhalte extern, unternehmensspezifische Risiken intern.

So weisen Sie die Schulung der Geschäftsleitung nach

Die Dokumentation bleibt im Unternehmen und wird auf Verlangen vorgelegt. Bei besonders wichtigen Einrichtungen kann das BSI nach § 61 BSIG Audits oder Prüfungen durch unabhängige Stellen anordnen, die ausdrücklich auch § 38 Absatz 3 umfassen. Bei wichtigen Einrichtungen kann es nach § 62 BSIG prüfen, wenn Tatsachen auf Versäumnisse hindeuten. Eine Prüfung der Teilnehmenden ist laut BSI nicht vorgesehen.

Eine aussagekräftige Dokumentation enthält nach der Handreichung mindestens:

1. Schulungsanbieter oder interne Stelle
2. Namen und Funktion der geschulten Personen
3. Datum, Uhrzeit und Zeitumfang jeder Schulungseinheit
4. behandelte Inhalte und Formate mit Bezug auf § 38 Absatz 3 BSIG

Ein Teilnahmenachweis allein belegt aber noch keine ausreichenden Kenntnisse. Laut BSI zeigt sich der Lernerfolg an etwas anderem: an nachvollziehbaren Entscheidungen der Geschäftsleitung im Risikomanagement. Protokollieren Sie deshalb auch, wann die Geschäftsleitung Maßnahmen beschlossen, Budgets freigegeben und Berichte der IT-Sicherheit geprüft hat.

Geschäftsleitung schulen, Belegschaft nicht vergessen

Die Schulung der Geschäftsleitung ersetzt nicht die Schulung der Mitarbeitenden. Das BSI betrachtet beide getrennt: § 38 Absatz 3 regelt die Leitungsebene, § 30 Absatz 2 Nummer 7 BSIG verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen“ für die Belegschaft. Welche Themen dort Pflichtstoff sind, zeigt unser Beitrag zu Awareness-Trainings für Mitarbeitende.

Für die Belegschaft eignen sich Plattformen mit Phishing-Simulation und kurzen Lernmodulen. Sophos Phish Threat simuliert Phishing-Angriffe in verschiedenen Schwierigkeitsstufen, bietet Trainingsmodule zu Sicherheits- und Compliance-Themen und zeigt die Ergebnisse je Kampagne im Dashboard. Die Auswertungen helfen der Geschäftsleitung, die Umsetzung der Maßnahme nach § 30 regelmäßig zu verfolgen, und können in die eigene Dokumentation einfließen. Die Lizenz richtet sich nach Nutzerzahl und Laufzeit. Lizenzen gibt es laut Shop ab 28,17 € netto (Aktionspreis, Stand 02.11.2026). Weitere Sophos-Produkte finden Sie im Sophos-Sortiment.

Fehlt intern die Kapazität, die laufende Überwachung selbst zu leisten, können Managed Services wie MDR einen Teil davon übernehmen. Managed Detection and Response (MDR, ein externer 24/7-Überwachungsdienst) entlastet die IT, die Verantwortung bleibt trotzdem bei der Geschäftsleitung.

Häufige Fragen zur NIS2 Schulungspflicht der Geschäftsleitung

Kann die Geschäftsleitung die Schulung an die IT-Leitung delegieren?

Nein. § 38 Absatz 3 BSIG richtet sich an jede Person der Geschäftsleitung persönlich. Die IT-Leitung kann Inhalte vermitteln, die Teilnahme ersetzt sie nicht.

Wie lange muss eine NIS2-Schulung für Geschäftsführer sein?

Das Gesetz nennt keinen Mindestumfang. Das BSI empfiehlt, Umfang und Intervall nach Risikolage und Vorkenntnissen zu wählen, solange alle drei Kernbereiche abgedeckt sind.

Gibt es eine Prüfung am Ende der Schulung?

Nein. Eine Prüfung ist weder gesetzlich noch vom BSI vorgeschrieben. Entscheidend ist die lückenlose Dokumentation der Teilnahme und der späteren Entscheidungen.

Gilt ein normales Awareness-Training für Mitarbeitende auch für die Geschäftsleitung?

Nur bedingt. Ein Mitarbeitertraining deckt typischerweise Phishing und sicheres Verhalten ab, nicht aber Risikobewertung und Auswirkungsanalyse auf Leitungsebene. Für § 38 Absatz 3 braucht es zusätzliche Inhalte.

Was passiert, wenn die Schulung fehlt?

§ 65 BSIG nennt die Schulungspflicht nicht als eigenen Bußgeldtatbestand. Das BSI kann ihre Einhaltung aber prüfen und die Umsetzung anordnen (§§ 61, 62 BSIG). Wer eine solche vollziehbare Anordnung missachtet, riskiert nach § 65 Absatz 2 Nummer 1 Buchstabe c ein Bußgeld von bis zu 500.000 Euro.

Nächster Schritt: Schulungsplan für Leitung und Belegschaft

Planen Sie die Erstschulung der Geschäftsleitung und das Awareness-Programm für die Belegschaft am besten gemeinsam. So lassen sich beide Pflichten in einer gemeinsamen Dokumentation festhalten. Welche Awareness-Lösung zu Ihrer Nutzerzahl und Ihrer vorhandenen Sicherheitsumgebung passt, klärt der Produktberater in wenigen Schritten; für ein Angebot erreichen Sie uns über das Kontaktformular. Wie weit ist die Schulungsplanung in Ihrem Unternehmen schon?