NIS2-Schulung für Geschäftsleitungen nach § 38 BSIG (Initialschulung)

NIS2-Schulung für die Geschäftsleitung: Pflicht nach § 38 BSIG

Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz zur Umsetzung der NIS-2-Richtlinie. Paragraf 38 verpflichtet die Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen.

Diese Online-Schulung ist als Initialschulung für Geschäftsführer und Vorstände angelegt. Sie folgt Modul für Modul dem Beispielcurriculum des BSI vom 28. Oktober 2026 und deckt alle drei Kompetenzfelder aus § 38 Abs. 3 BSIG ab: Risiken erkennen und bewerten, Risikomanagementpraktiken kennen, Auswirkungen auf die Dienste der Einrichtung beurteilen.

Inhalte der NIS2-Schulung

1. BSIG, NIS-2 und Anwendungsbereich
2. § 38 BSIG: Pflichten, Haftung und Delegationsgrenzen
3. Cyberrisiken als Unternehmensrisiken
4. § 30 BSIG als Managementsystem: zehn Mindestmaßnahmen in sechs Clustern
5. Registrierung, Meldung und Unterrichtung
6. Governance, Nachweis und Transfer mit Arbeitsheft zur eigenen Einrichtung

Für wen ist die Schulung gedacht?

Geschäftsführerinnen und Geschäftsführer, Vorstände und geschäftsführende Gesellschafter wichtiger und besonders wichtiger Einrichtungen. Empfohlen für Prokuristen, CFO und COO, Informationssicherheitsbeauftragte und Compliance. Auch für Geschäftsleitungen nicht regulierter Unternehmen, deren Kunden NIS-2-Nachweise verlangen.

Ablauf, Zertifikat und Schulungsnachweis

18 Lektionen mit Lernvideo, sechs Wissenstests und ein Arbeitsheft, Lernzeit rund 3,5 Stunden, zeitlich frei einteilbar. Jede Teilnehmerin und jeder Teilnehmer erhält einen eigenen Zugang für 365 Tage. Das Zertifikat enthält die Angaben, die die BSI-Handreichung für den Schulungsnachweis empfiehlt: Anbieter, Teilnehmende, Zeitraum, Lernzeit und Inhalte mit Bezug zu § 38 Abs. 3 BSIG.

Häufige Fragen zur NIS2-Schulungspflicht

Wer muss an der NIS2-Schulung teilnehmen?

Jedes Mitglied der Geschäftsleitung einer wichtigen oder besonders wichtigen Einrichtung, also etwa Geschäftsführer und Vorstände. Auch wenn ein Mitglied das Ressort Informationssicherheit übernimmt, trifft die Schulungspflicht alle anderen ebenso.

Wie oft muss die Geschäftsleitung geschult werden?

Das Gesetz verlangt eine regelmäßige Teilnahme, nennt aber kein festes Intervall. Das BSI empfiehlt eine ausführliche Erstschulung und danach Folgeschulungen, deren Abstand sich nach der Risikolage richtet. Bei einem Wechsel in der Geschäftsleitung oder wesentlichen Änderungen ist eine zusätzliche Schulung angezeigt. In der Praxis hat sich ein jährliches Update bewährt.

Ist eine Online-Schulung als Nachweis geeignet?

Ja. Die BSI-Handreichung bezeichnet zeitlich dezentrale Formate ausdrücklich als gut geeignet. Wichtig ist, dass alle drei Kompetenzfelder gemeinsam behandelt werden und die Teilnahme nachgewiesen ist. Das Arbeitsheft bezieht dabei die eigene Einrichtung ein.