NIS-2-Schulungspflicht: Was Geschäftsleitung und Mitarbeitende lernen müssen

NIS-2 kennt zwei Schulungspflichten, und sie werden regelmäßig verwechselt. Die eine trifft die Geschäftsleitung persönlich (§ 38 Abs. 3 BSIG), die andere die Mitarbeitenden als Teil des Maßnahmenkatalogs (§ 30 Abs. 2 Nr. 7 BSIG). Die erste ist keine Awareness-Schulung, die zweite ist keine Managementschulung. Wer beides in einen Termin packt, erfüllt keine von beiden sauber.

Die zwei Pflichten im Überblick

	Geschäftsleitungsschulung	Schulung der Mitarbeitenden
Rechtsgrundlage	§ 38 Abs. 3 BSIG	§ 30 Abs. 2 Nr. 7 BSIG
Adressat	jede Person der Geschäftsleitung persönlich	interne und externe Nutzende der Systeme der Einrichtung
Ziel	Risiken erkennen, bewerten, Maßnahmen steuern und deren Auswirkungen beurteilen	Cyberhygiene, Sicherheitsrichtlinien, sicherer Umgang mit den eingesetzten Systemen
Frequenz	„regelmäßig”, Intervall risikoangemessen	BSI-Empfehlung: Ersteinweisung plus jährliche Auffrischung
Bußgeld	§ 38 Abs. 3 ist in § 65 BSIG nicht als Tatbestand genannt	über § 30 Abs. 1 Satz 1 und § 65 Abs. 2 Nr. 2 BSIG: bis 10 bzw. 7 Mio. €
Nachweis	interne Dokumentation, auf Verlangen vorzulegen	Dokumentation der durchgeführten Maßnahmen

Wer schulungspflichtig ist

§ 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen. „Geschäftsleitung” ist dabei nach § 2 Nr. 13 BSIG jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist — Geschäftsführung bei der GmbH, Vorstand bei der AG, persönlich haftende Gesellschafter bei der KG. Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 BSIG gelten ausdrücklich nicht als Geschäftsleitung; für sie gilt die gleichlautende Pflicht aus § 43 Abs. 2 BSIG.

Das BSI weist in seiner Handreichung darauf hin, dass die Pflicht in der großen Mehrheit der Einrichtungen mehrere Personen trifft — nicht nur „den Geschäftsführer”. Wer in Ihrem Haus im Handelsregister als vertretungsberechtigt eingetragen ist, ist im Zweifel dabei.

Sinnvoll, aber nicht Pflicht: die Schulung auf Personen auszuweiten, die der Geschäftsleitung zuarbeiten oder anderweitige Entscheidungsvollmacht haben.

Was die Geschäftsleitungsschulung enthalten muss

Der Gesetzestext ist knapp, aber inhaltlich präzise. § 38 Abs. 3 BSIG verlangt Schulungen,

um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

Daraus ergeben sich drei Kerninhalte:

Risikoerkennung und -bewertung. Wesentliche Bedrohungen, ihre Eintrittswahrscheinlichkeit und ihre möglichen Auswirkungen einordnen können — nicht im technischen Detail, sondern auf strategischer Ebene.
Risikomanagementpraktiken. Art, Zweck und Wirkweise technischer und organisatorischer Schutzmaßnahmen verstehen. Die zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG müssen bekannt sein, sonst lässt sich ihre Umsetzung weder beurteilen noch überwachen.
Auswirkungen beurteilen. Was bedeuten Risiko und Maßnahme für Verfügbarkeit, Integrität und Vertraulichkeit der eigenen Dienste — und für Wirtschaftlichkeit und Regulierung?

Das BSI empfiehlt ergänzend unterstützende Inhalte, die den gesetzlichen Kern kontextualisieren. Nach seiner Systematik sollen Geschäftsleitungen unter anderem die Ziele der BSIG-Regulierung, die Melde- und Registrierungspflichten samt Fristen, ihre eigene Pflicht zur Umsetzung und Überwachung, die mögliche Haftung für schuldhaft verursachte Schäden sowie die Schulungspflicht selbst kennen. Optional können Historie der Cybersicherheitsgesetzgebung und das Zusammenspiel mit anderen Regelwerken vermittelt werden.

Ausdrücklich nicht gemeint ist eine klassische Awareness-Schulung nach Mitarbeitermuster oder ein operatives IT-Training. Ziel ist nicht, die Geschäftsleitung zu Risikomanagement-Expertinnen und -Experten auszubilden, sondern sie zu befähigen, informierte Entscheidungen zu treffen.

Ein Punkt, den das BSI hervorhebt und der in der Praxis oft fehlt: Sektor- und einrichtungsspezifischer Transfer. Allgemeine Folien über Ransomware erfüllen den Zweck nicht. Die Schulung muss auf die kritischen Geschäftsprozesse, die Governance-Strukturen und die aktuelle Risikolage genau dieser Einrichtung heruntergebrochen werden.

Frequenz: was „regelmäßig” praktisch heißt

Das BSIG macht über den Begriff „regelmäßig” hinaus keine Vorgaben zu Intervall und Dauer. Das BSI empfiehlt, beides risikoangemessen zu wählen — orientiert an der Risikoexposition der Einrichtung und den individuellen Vorkenntnissen der Geschäftsleitung. Als Grundmuster nennt es eine ausführliche initiale Schulung mit anschließenden regelmäßigen Folgeschulungen.

Konkrete Anlässe, an denen eine (weitere) Schulung fällig wird, benennt das BSI ausdrücklich:

Wechsel in der Geschäftsleitung
signifikante Änderungen in den Geschäftsprozessen
signifikante Änderungen der Risikoexposition
signifikante Änderungen bei implementierten oder geplanten Risikomanagementmaßnahmen

Ob die Inhalte in einer Schulung oder verteilt auf mehrere vermittelt werden, steht Ihnen frei. Wichtig ist die lückenlose Dokumentation über Datum, Zeitraum und Inhalte.

Für die Praxis heißt das: Ein einmaliger Halbtagestermin im Jahr der Betroffenheitsfeststellung reicht nicht. Ein fester Rhythmus mit dokumentierten Anlassprüfungen schon.

Formate: mehr als Frontalunterricht

Risikomanagement auf Leitungsebene ist abstrakt. Das BSI empfiehlt deshalb ausdrücklich Formate, die den Bezug zur eigenen Einrichtung herstellen — mehrstündige Unterrichtsblöcke sind nicht verlangt. Aus seiner Beispielliste:

Risikomanagement-Quarterly — ein fester Quartalstermin, in dem die oder der Informationssicherheitsbeauftragte mit der gesamten Geschäftsleitung an konkreten Fragestellungen des eigenen Hauses arbeitet.
Tabletop Exercise oder Planspiel — moderierte Übung an typischen Szenarien, die den Zusammenhang zwischen Sicherheitsrisiken und Managemententscheidungen sichtbar macht.
Audit-Simulation — eine Prüfungssituation nach der Methodik relevanter Audits, mit der Geschäftsleitung als Teilnehmenden.
Management-Red-/Blue-Teaming — Blue Team spielt Unternehmenssteuerung, Red Team spielt Angreifer; Fokus auf Managemententscheidungen vor und während der Krise.
Case Studies — echte Entscheidungen und Fehlentscheidungen im Risikomanagement durchsprechen.
Live-Hacking — wirksam als Ergänzung, nicht als Ersatz.

Diese Formate lassen sich kombinieren. Der gemeinsame Nenner: Die Geschäftsleitung muss das Gelernte auf konkrete Situationen übertragen und Entscheidungen unter unvollständiger Information erproben.

Anbieter: extern, intern — oder beides

Aus Sicht des BSI können Schulungen sowohl durch externe Anbieter als auch durch interne fachliche Stellen erfolgen. Ein vorgeschriebenes Zertifikat oder eine amtliche Anbieterliste gibt es nicht. Beide Wege haben ein typisches Defizit, das man kennen sollte:

Externe Anbieter liefern unabhängige Fach- und Rechtsexpertise, müssen aber die einrichtungsindividuellen Gegebenheiten berücksichtigen — was Aufwand bedeutet. Standardware allein erfüllt den Zweck nicht.
Rein interne Schulungen bergen laut BSI die Gefahr „struktureller Erkenntnisdefizite”: Die Geschäftsleitung erfährt, wie Prozesse umgesetzt werden, kann deren rechtliche und risikotechnische Angemessenheit aber nicht eigenständig beurteilen.

Das BSI hält deshalb ein Mischmodell für sinnvoll: allgemeine Inhalte extern, spezifische Inhalte durch interne Fachleute — ergänzt um unabhängige Risiko-, Compliance- und Rechtsexpertise.

Nachweis: was dokumentiert werden muss

Die Teilnahme ist nachvollziehbar und aussagekräftig zu dokumentieren. Die Dokumentation wird intern aufbewahrt und ist auf Verlangen dem BSI oder den von ihm beauftragten unabhängigen Stellen vorzulegen (§ 61 Abs. 1 in Verbindung mit § 62 BSIG). Bei Aufsichtsmaßnahmen nach §§ 61 und 62 BSIG wird die Einhaltung der Pflichten — einschließlich der Schulungspflicht — in Audits, Prüfungen, Zertifizierungen oder Nachweisen überprüft.

Nach BSI-Empfehlung enthält eine aussagekräftige Dokumentation mindestens:

Angaben zum Schulungsanbieter oder zur internen Stelle
Angaben zu den Teilnehmenden — Name und Rolle beziehungsweise Funktion in der Organisation
Datum, Uhrzeit und Dauer der Schulungseinheiten
behandelte Inhalte und Formate mit Bezug zu den gesetzlichen Vorgaben aus § 38 Abs. 3 BSIG

Zwei Klarstellungen des BSI ersparen Diskussionen mit Anbietern: Eine Prüfung der Teilnehmenden ist weder gesetzlich noch vom BSI verlangt. Und eine Teilnahmedokumentation belegt nur die Teilnahme, nicht den Lernerfolg — dieser zeigt sich nach Auffassung des BSI erst darin, dass die Geschäftsleitung aktiv und nachvollziehbar an Entscheidungen im Risikomanagement mitwirkt und damit ihrer Pflicht aus § 38 Abs. 1 BSIG nachkommt.

Die zweite Pflicht: Schulungen für alle Mitarbeitenden

§ 30 Abs. 2 Nr. 7 BSIG verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik”. Adressiert sind laut BSI die Mitarbeitenden, also die internen und externen Nutzenden von Systemen und Anwendungen der Einrichtung.

Das BSI nennt als Maßnahmen unter anderem Awareness-Schulungen mit regelmäßiger Sensibilisierung, ein Awareness-Programm, klare Sicherheitsrichtlinien, den Aufbau einer Sicherheitskultur und Schulungen im Umgang mit den eingesetzten Systemen. Zur Frequenz empfiehlt es: Schulung im Rahmen der Ersteinweisung neuer Mitarbeitender, ergänzt um eine jährliche Information über aktuelle Neuerungen. Auch hier ist die Dokumentation der Durchführung notwendige Bedingung, um die Anforderung zu erfüllen.

Der entscheidende Unterschied zur Leitungsschulung: Diese Pflicht ist Teil des Maßnahmenkatalogs nach § 30 BSIG — und damit unmittelbar bußgeldbewehrt.

Sanktionen: der ehrliche Blick

Hier lohnt Genauigkeit, weil im Markt viel Halbwissen kursiert.

§ 38 Abs. 3 BSIG (Geschäftsleitungsschulung) ist in § 65 BSIG nicht als Ordnungswidrigkeit aufgeführt. Ein direktes Bußgeld allein für eine ausgefallene Leitungsschulung sieht das Gesetz nicht vor.
Wirksam wird die Pflicht anders: über die Innenhaftung nach § 38 Abs. 2 BSIG — die Geschäftsleitung haftet ihrer eigenen Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts — und über die Aufsicht nach §§ 61, 62 BSIG.
Kommt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel Genehmigungen vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).
Fehlende Mitarbeiterschulungen dagegen sind ein Verstoß gegen § 30 Abs. 1 Satz 1 in Verbindung mit Abs. 2 Nr. 7 BSIG und über § 65 Abs. 2 Nr. 2 BSIG mit bis zu 10 Mio. Euro (besonders wichtige) beziehungsweise 7 Mio. Euro (wichtige Einrichtungen) bewehrt.
Und: Fehlt die Dokumentation der Maßnahmen, ist das nach § 30 Abs. 1 Satz 3 in Verbindung mit § 65 Abs. 2 Nr. 3 BSIG ein eigener Bußgeldtatbestand — mit demselben Rahmen.

Mehr zur persönlichen Dimension: Die persönliche Haftung der Geschäftsleitung.

In sechs Schritten zur nachweisbaren Schulungspflicht

Kreis festlegen. Alle Personen bestimmen, die unter § 2 Nr. 13 BSIG fallen — Handelsregisterauszug als Ausgangspunkt. Entscheiden, wer zusätzlich teilnimmt.
Ist-Stand erheben. Welche Vorkenntnisse liegen vor? Das BSI erlaubt ausdrücklich, bereits vorhandene Kenntnisse nicht erneut zu vermitteln — verlangt aber, diese Entscheidung nachvollziehbar zu dokumentieren.
Initiale Schulung terminieren. Die drei Kerninhalte aus § 38 Abs. 3 BSIG plus die unterstützenden Inhalte zur Regulierung, mit Transfer auf den eigenen Sektor.
Rhythmus und Anlässe festschreiben. Ein fester Folgetermin plus die vier vom BSI genannten Anlassprüfungen, hinterlegt als Wiedervorlage.
Dokumentationsvorlage anlegen. Anbieter, Teilnehmende mit Rolle, Datum, Uhrzeit, Dauer, Inhalte, Bezug zu § 38 Abs. 3 BSIG. Einmal gebaut, danach nur noch ausfüllen.
Mitarbeiterschulung getrennt aufsetzen. Ersteinweisung im Onboarding, jährliche Auffrischung, Teilnahme dokumentiert — als eigener Punkt im Maßnahmenplan nach § 30 BSIG.

Wie sich die Schulungspflicht in den vollständigen Maßnahmenkatalog einfügt, zeigt unsere Checkliste zu den NIS-2-Anforderungen; den Gesamtrahmen erklärt der NIS-2-Überblick. Ob die Pflichten für Ihr Unternehmen überhaupt gelten, klären Sie in zwei Minuten mit unserem kostenlosen Betroffenheits-Check.

Häufige Fragen

Wer genau muss unter NIS-2 an Schulungen teilnehmen? Zwei Gruppen, aus zwei verschiedenen Vorschriften. Nach § 38 Abs. 3 BSIG sind die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen persönlich schulungspflichtig — das sind alle natürlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen sind (§ 2 Nr. 13 BSIG), in der Regel also mehrere Personen. Unabhängig davon verlangt § 30 Abs. 2 Nr. 7 BSIG grundlegende Schulungen und Sensibilisierungsmaßnahmen für die Mitarbeitenden.

Wie oft muss die Geschäftsleitung geschult werden? Das BSIG sagt nur „regelmäßig” und nennt kein Intervall. Das BSI empfiehlt, Intervall und Dauer risikoangemessen zu wählen: eine ausführliche initiale Schulung, danach regelmäßige Folgeschulungen. Als Anlässe für eine neue Schulung nennt das BSI ausdrücklich Wechsel in der Geschäftsleitung, signifikante Änderungen der Geschäftsprozesse, der Risikoexposition oder der umgesetzten Risikomanagementmaßnahmen.

Kann die Geschäftsleitung die Schulung an die IT-Leitung delegieren? Nein. § 38 Abs. 3 BSIG richtet sich an die Geschäftsleitungen persönlich. Auch die zugrunde liegende Verantwortung nach § 38 Abs. 1 BSIG — Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen — ist nach Auffassung des BSI nicht delegierbar. Fachliche Arbeit lässt sich verteilen, die Aufsichtspflicht nicht.

Welche Nachweise verlangt das BSI für Schulungen? Eine interne Dokumentation, die auf Verlangen dem BSI oder von ihm beauftragten unabhängigen Stellen vorzulegen ist. Aussagekräftig ist sie nach BSI-Empfehlung, wenn sie mindestens Schulungsanbieter oder interne Stelle, Teilnehmende mit Rolle, Datum, Uhrzeit und Dauer sowie die behandelten Inhalte mit Bezug zu § 38 Abs. 3 BSIG enthält. Eine Prüfung oder ein Zertifikat für die Teilnehmenden ist weder gesetzlich noch durch das BSI vorgeschrieben.

Ist ein versäumtes Schulungsprogramm bußgeldbewehrt? Differenziert: § 38 Abs. 3 BSIG selbst ist in § 65 BSIG nicht als Bußgeldtatbestand aufgeführt. Fehlende Schulungen und Sensibilisierungsmaßnahmen für Mitarbeitende sind dagegen ein Verstoß gegen § 30 Abs. 1 Satz 1 in Verbindung mit Abs. 2 Nr. 7 BSIG und damit über § 65 Abs. 2 Nr. 2 BSIG mit bis zu 10 bzw. 7 Mio. Euro bewehrt. Für die Geschäftsleitung greifen stattdessen die Innenhaftung nach § 38 Abs. 2 BSIG und die Aufsichtsmaßnahmen nach §§ 61, 62 BSIG.

Muss die Schulung von einem zertifizierten Anbieter kommen? Nein. Aus Sicht des BSI können Schulungen sowohl durch externe Anbieter als auch durch interne fachliche Stellen erfolgen. Es gibt kein vorgeschriebenes Zertifikat und keine amtliche Anbieterliste. Entscheidend ist, dass die Inhalte die konkreten Gegebenheiten der eigenen Einrichtung berücksichtigen — kritische Geschäftsprozesse, Governance-Strukturen, aktuelle Risikolage, konkrete Entscheidungsanlässe.

Quellen

BSI-Gesetz (BSIG), §§ 2, 30, 38, 43, 61, 62, 65: gesetze-im-internet.de/bsig_2025
BSI, „Schulung für Geschäftsleitungen” — Handreichung, Version 1.0 vom 17.04.2026: bsi.bund.de
BSI, „Grundlegende Schulungen und Sensibilisierungsmaßnahmen” (#nis2know): bsi.bund.de

Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung.