NIS2: Schulungspflicht für die Geschäftsleitung (§38 BSIG)

Mit dem NIS-2-Umsetzungsgesetz ist in Deutschland erstmals eine gesetzliche Schulungspflicht für Geschäftsleitungen in Kraft: § 38 BSIG verpflichtet Geschäftsführungen und Vorstände betroffener Unternehmen, regelmäßig an Cybersicherheits-Schulungen teilzunehmen. Die Pflicht gilt individuell für jedes Mitglied der Leitung. Dieser Beitrag erklärt, wer betroffen ist, was die Pflicht konkret bedeutet und wie Sie sie nachweisbar erfüllen.

Der Rahmen: NIS-2 in Deutschland

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist im Dezember 2025 in Kraft getreten und erweitert den Kreis regulierter Unternehmen erheblich. Betroffen sind schätzungsweise rund 30.000 Unternehmen in 18 Sektoren, von Energie, Transport und Gesundheit über das verarbeitende Gewerbe und den Maschinenbau bis zu digitalen Diensten und Managed-Service-Providern. Als Faustregel gilt: mehr als 50 Beschäftigte oder mehr als 10 Mio. € Jahresumsatz in einem der regulierten Sektoren. Ob Ihr Unternehmen dazugehört, lässt sich mit der Betroffenheitsprüfung des BSI klären.

Was § 38 BSIG von der Geschäftsleitung verlangt

• Billigungs- und Überwachungspflicht: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen nach § 30 BSIG selbst billigen und ihre Umsetzung überwachen; die Verantwortung lässt sich nicht delegieren.
• Schulungspflicht: Die Mitglieder der Geschäftsleitung müssen regelmäßig an Schulungen teilnehmen, um Risiken bewerten und Maßnahmen beurteilen zu können. Die Pflicht gilt für jede Person einzeln. Bei drei Geschäftsführern müssen also alle drei teilnehmen.
• Persönliche Haftung: Verletzt die Geschäftsleitung ihre Pflichten, haftet sie dem Unternehmen gegenüber persönlich für schuldhaft verursachte Schäden. Dazu kommen empfindliche Bußgelder für das Unternehmen.

Auch die Belegschaft muss geschult werden

Neben der Geschäftsleitungs-Schulung verlangt der Maßnahmenkatalog (in Umsetzung von Art. 21 der NIS-2-Richtlinie) auch „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“ für Mitarbeitende. In der Praxis bedeutet das regelmäßige, dokumentierte Security-Awareness-Schulungen für die Belegschaft, mit denselben Nachweisanforderungen wie bei anderen Pflichtschulungen.

Was eine geeignete Schulung abdecken sollte

• Risikoidentifikation und -bewertung: die eigene Bedrohungslage einschätzen können
• Die Maßnahmen des § 30 BSIG verstehen: Risikomanagement, Incident-Handling, Business Continuity, Lieferkette
• Melde- und Registrierungspflichten gegenüber dem BSI, inklusive Fristen
• Governance: Verantwortlichkeiten, Budget-Entscheidungen, Umgang mit Prüfungen

Eine Frequenz schreibt das Gesetz nicht vor. „Regelmäßig“ wird in der Praxis als mindestens jährliche Auffrischung verstanden, ergänzt um anlassbezogene Updates bei neuen Bedrohungslagen oder Rechtsänderungen.

Der Nachweis: dokumentieren, nicht nur teilnehmen

Im Audit oder nach einem Vorfall zählt der Beleg: Wer aus der Leitung hat wann an welcher Schulung teilgenommen, mit welchen Inhalten? Dasselbe gilt für die Belegschafts-Schulungen. Empfehlenswert ist ein zentrales Register mit Teilnehmern, Terminen, Inhalten und Wiederholungs-Terminen, revisionssicher und exportierbar.

NIS-2-Schulungen mit System organisieren

Mit Caltrix Training lassen sich sowohl die Geschäftsleitungs-Schulungen als auch die Awareness-Schulungen der Belegschaft als wiederkehrende Pflichtschulungen führen: mit automatischer Wiedervorlage, Überfälligkeits-Tracking, Eskalation und signierten Nachweis-Bundles für Prüfungen. Live-Formate wie ein jährliches Security-Briefing der Geschäftsleitung organisieren Sie über Caltrix Events inklusive Anmeldung und Teilnahmebestätigung.

Fazit

Die NIS-2-Schulungspflicht ist keine Formalie: Sie gilt individuell für jedes Mitglied der Geschäftsleitung, ist mit persönlicher Haftung unterlegt und verlangt Regelmäßigkeit. Wer jetzt ein dokumentiertes Schulungsprogramm für Leitung und Belegschaft aufsetzt, erfüllt die Pflicht mit überschaubarem Aufwand und steht bei Prüfungen und Vorfällen belegbar gut da.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung. Stand: Juli 2026.