NIS-2-Schulung der Geschäftsleitung: Was § 38 BSIG und das BSI verlangen

Rechtsstand: 28. Oktober 2026. Der Beitrag ersetzt keine institutsindividuelle rechtliche Prüfung.

Die NIS-2-Schulung der Geschäftsleitung ist seit dem 6. Dezember 2025 keine freiwillige Fortbildung mehr. Nach § 38 Abs. 3 des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz, BSIG) müssen die Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen. Ergänzend verpflichtet § 38 Abs. 1 BSIG sie, die Risikomanagementmaßnahmen der Einrichtung umzusetzen und deren Umsetzung zu überwachen.

In vielen Unternehmen ist die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) inzwischen erledigt, die Leitungsebene aber noch nicht strukturiert eingebunden. Häufig gibt es eine einmalige Informationsveranstaltung, jedoch keinen Schulungsplan, keine aussagekräftige Dokumentation und keinen festen Berichtsweg vom Informationssicherheitsbeauftragten an die Geschäftsführung. Genau diese Lücken prüft das BSI, sobald es Nachweise anfordert.

Hinzu kommt eine Abgrenzungsfrage, die vor allem Finanzunternehmen betrifft: Für sie gilt § 38 BSIG nicht, wohl aber die Registrierungspflicht. Wer die NIS-2-Schulung der Geschäftsleitung jetzt sauber aufsetzt und von den Anforderungen anderer Regelwerke abgrenzt, schafft vor dem ersten Jahrestag des Gesetzes eine belastbare Grundlage.

Wie das NIS-2-Umsetzungsgesetz die Leitungspflichten im BSIG verankert

Europarechtliche Grundlage ist die Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie). Nach Art. 20 Abs. 1 der Richtlinie billigen die Leitungsorgane die Risikomanagementmaßnahmen im Bereich der Cybersicherheit, überwachen deren Umsetzung und können für Verstöße verantwortlich gemacht werden; Art. 20 Abs. 2 verlangt, dass die Mitglieder der Leitungsorgane an Schulungen teilnehmen (Richtlinie (EU) 2022/2555, Art. 20). Deutschland hat die Richtlinie mit dem Gesetz vom 2. Dezember 2025 umgesetzt, verkündet im Bundesgesetzblatt 2025 I Nr. 301 am 5. Dezember 2025 und nach Art. 30 am Folgetag in Kraft getreten (BGBl. 2025 I Nr. 301).

Das BSIG formuliert strenger als die Richtlinie. § 38 Abs. 1 BSIG spricht nicht von Billigung, sondern verpflichtet die Geschäftsleitung, die Maßnahmen nach § 30 BSIG umzusetzen und deren Umsetzung zu überwachen. Geschäftsleitung ist nach § 2 Nr. 13 BSIG jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist. Die Pflicht trifft also jedes Mitglied einzeln, nicht nur das für IT zuständige Ressort.

Der Bezugspunkt der Überwachung ist der Maßnahmenkatalog des § 30 Abs. 2 BSIG mit zehn Mindestbereichen, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Wirksamkeitsbewertung und Multi-Faktor-Authentifizierung. Die Einhaltung ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren. Hinzu kommen die Meldepflichten nach § 32 BSIG mit Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussmeldung nach einem Monat sowie die Registrierung nach § 33 BSIG spätestens drei Monate nach Eintritt der Betroffenheit.

Was die NIS-2-Schulung nach Auffassung des BSI leisten muss

Das Gesetz selbst bestimmt nur das Ziel der Schulung: ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken sowie zur Beurteilung ihrer Auswirkungen auf die erbrachten Dienste (§ 38 Abs. 3 BSIG). Intervall, Dauer und Format legt es nicht fest. Diese Lücke füllt das BSI mit seiner Handreichung zur Geschäftsleitungsschulung in der Version 1.0 vom 17. April 2026. Sie ist ausdrücklich nicht rechtsverbindlich, gibt aber das Verständnis der Aufsichtsbehörde wieder (BSI, Handreichung Geschäftsleitungsschulungen gemäß BSIG).

Nach der Handreichung muss eine NIS-2-Schulung alle drei Themen gemeinsam abdecken: Erkennung und Bewertung von Risiken, Risikomanagementpraktiken und Beurteilung der Auswirkungen. Ein Fokus nur auf Risikomanagementmaßnahmen falle hinter die gesetzlichen Anforderungen zurück und würde im Rahmen von Aufsichtsmaßnahmen als nicht ausreichend bewertet. Das BSI empfiehlt eine ausführliche initiale Schulung mit regelmäßigen Folgeschulungen. Anlässe für eine Wiederholung sind Wechsel in der Geschäftsleitung sowie signifikante Änderungen der Geschäftsprozesse, der Risikoexposition oder der Maßnahmen.

Für den Nachweis nennt das BSI Mindestangaben: Schulungsanbieter oder interne Stelle, Teilnehmende mit Name und Funktion, Datum, Uhrzeit und Dauer sowie die Inhalte mit Bezug zu § 38 Abs. 3 BSIG. Eine Prüfung der Teilnehmenden ist weder gesetzlich noch vom BSI vorgesehen. Der Lernerfolg zeigt sich nach Auffassung des BSI vielmehr in den Entscheidungsdokumentationen der Geschäftsleitung zum Risikomanagement. Auf der it-sa am 28. Oktober 2026 stellt das BSI zudem ein gemeinsam mit Wirtschaftsverbänden entwickeltes Curriculum vor (BSI, Veranstaltungshinweis it-sa Expo&Congress 2026).

Haftung der Geschäftsführer, Bußgelder und die Abgrenzung zu DORA

§ 38 Abs. 2 BSIG verweist für die Haftung auf das Gesellschaftsrecht: Geschäftsleitungen, die ihre Pflichten nach Abs. 1 verletzen, haften ihrer Einrichtung für schuldhaft verursachte Schäden nach den rechtsformspezifischen Regeln, für Geschäftsführer einer GmbH also nach § 43 GmbHG, für Vorstände einer Aktiengesellschaft nach § 93 AktG. Eine eigene Haftung nach dem BSIG greift nur, wenn das Gesellschaftsrecht keine entsprechende Regel enthält.

Die Pflicht zur NIS-2-Schulung selbst ist in § 65 BSIG nicht bußgeldbewehrt. Bußgeldbewehrt sind aber Pflichten, die die Geschäftsleitung zu überwachen hat: fehlende oder unzureichende Maßnahmen nach § 30 Abs. 1 Satz 1, fehlende Dokumentation nach § 30 Abs. 1 Satz 3 und Verstöße gegen Meldepflichten. Hierfür sind bei besonders wichtigen Einrichtungen bis zu zehn Millionen Euro, bei wichtigen Einrichtungen bis zu sieben Millionen Euro vorgesehen; bei mehr als 500 Millionen Euro Gesamtumsatz bis zu 2 bzw. 1,4 Prozent (§ 65 Abs. 5 bis 7 BSIG). Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 Nr. 2 BSIG).

Für Finanzunternehmen im Sinne von Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 (Digital Operational Resilience Act, DORA) gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 Nr. 1 BSIG). An die Stelle von § 38 BSIG tritt Art. 5 DORA: Das Leitungsorgan trägt die Verantwortung für das IKT-Risikomanagement, und seine Mitglieder halten ihre Kenntnisse unter anderem durch regelmäßige spezifische Schulungen aktuell (Art. 5 Abs. 2 und 4 DORA). Die Registrierungspflicht nach § 33 BSIG ist in § 28 Abs. 6 BSIG dagegen nicht ausgenommen.

20.141 Registrierungen beim BSI, aber keine Zahlen zur Leitungsschulung

Das BSI geht von rund 29.500 Einrichtungen aus, für die durch das NIS-2-Umsetzungsgesetz erstmals Pflichten gelten (BSI, NIS-2-Pflichten). Bis zum 30. September 2026 hatten sich 20.141 Einrichtungen im BSI-Portal nach NIS-2 registriert, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen (BSI, NIS-2 in Zahlen). Rechnerisch entspricht das gut zwei Dritteln der erwarteten Zahl; die Differenz erlaubt allerdings keinen Schluss darauf, wie viele Einrichtungen ihre Pflicht versäumt haben, weil die Ausgangsgröße eine Schätzung ist.

Nach Sektoren meldet das BSI unter anderem 4.739 Registrierungen aus dem verarbeitenden Gewerbe, 3.703 aus dem Gesundheitswesen und 871 aus dem Finanzwesen; Mehrfachnennungen sind möglich. Bis zum selben Stichtag gingen 1.272 Erstmeldungen und insgesamt 3.070 NIS-2-Meldungen über das Portal ein (BSI, NIS-2 in Zahlen). Die nächste Aktualisierung kündigt das BSI für den 31. Januar 2027 an.

Amtliche Daten dazu, wie viele Geschäftsleitungen bereits eine NIS-2-Schulung absolviert haben oder in welchem Umfang, liegen nicht vor. Auch zu Bußgeldverfahren nach § 65 BSIG hat das BSI bislang keine Zahlen veröffentlicht. Unternehmen müssen ihren Stand deshalb selbst erheben.

NIS-2-Schulung umsetzen: Governance, Nachweise und Berichtswege

Die Pflicht nach § 38 Abs. 1 BSIG lässt sich operativ delegieren, die Gesamtverantwortung und angemessene Kontrollpflichten verbleiben aber bei der Geschäftsleitung (BSI, Management-Blitzlicht NIS-2). Empfehlenswert ist ein Beschluss der gesamten Geschäftsleitung, der Zuständigkeiten, Berichtsfrequenz und Eskalationswege festlegt. Der Informationssicherheitsbeauftragte berichtet darin mindestens quartalsweise über Risikolage, Umsetzungsstand der zehn Maßnahmenbereiche, Sicherheitsvorfälle und offene Feststellungen.

Für die NIS-2-Schulung selbst bietet sich ein zweistufiges Modell an, wie es auch die Handreichung nahelegt: eine initiale Schulung, die alle drei Kernbereiche und die Pflichten aus §§ 30, 32, 33 und 38 BSIG abdeckt, sowie unternehmensbezogene Folgeformate. Geeignet sind nach dem BSI etwa ein Risikomanagement-Quartalstermin mit dem CISO, Planspiele, Audit-Simulationen oder Krisenübungen. Das BSI weist darauf hin, dass rein interne Schulungen die Gefahr struktureller Erkenntnisdefizite bergen und externe Expertise ein wesentlicher Bestandteil sein kann.

Die Dokumentation der NIS-2-Schulung sollte je Geschäftsleitungsmitglied die BSI-Mindestangaben enthalten und mit den Entscheidungsvorlagen zum Risikomanagement verknüpft sein. Als Kennzahlen eignen sich der Anteil geschulter Geschäftsleitungsmitglieder, die Zeit seit der letzten Folgeschulung, der Umsetzungsgrad der Maßnahmenbereiche nach § 30 Abs. 2 BSIG und die Einhaltung der Meldefristen. Die Interne Revision kann Schulungsnachweise und Berichtswege in ihre Prüfungsplanung aufnehmen.

Proportionalität nach Einstufung, Größe und Risikoexposition

§ 30 Abs. 1 Satz 2 BSIG verlangt, bei der Verhältnismäßigkeit der Maßnahmen Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen zu berücksichtigen. Für die NIS-2-Schulung empfiehlt das BSI ebenfalls, Intervall und Dauer an der Risikoexposition und den individuellen Fähigkeiten der Geschäftsleitung auszurichten. Ein mittelständischer Hersteller mit zwei Geschäftsführern benötigt einen anderen Rhythmus als ein Betreiber kritischer Anlagen mit mehrköpfigem Vorstand.

Nach Einschätzung von S+P Compliance ist für die meisten wichtigen Einrichtungen eine initiale Tagesschulung mit jährlicher Folgeschulung und anlassbezogenen Ergänzungen ein vertretbarer Ausgangspunkt. Das ist eine eigene Empfehlung, keine gesetzliche oder behördliche Vorgabe.

Für eine kompakte Standortbestimmung empfehlen sich folgende Fragen:

Ist dokumentiert, ob das Unternehmen als wichtige oder besonders wichtige Einrichtung nach § 28 BSIG gilt oder unter die Ausnahme des § 28 Abs. 6 BSIG fällt?

Ist die Registrierung nach § 33 BSIG erfolgt und werden Änderungen fristgerecht übermittelt?

Haben alle Personen im Sinne von § 2 Nr. 13 BSIG eine initiale NIS-2-Schulung mit allen drei Kernbereichen absolviert?

Gibt es einen Plan für Folgeschulungen mit festgelegten Anlässen?

Enthält die Schulungsdokumentation Anbieter, Teilnehmende, Datum, Dauer und Inhalte mit Bezug zu § 38 Abs. 3 BSIG?

Berichtet der Informationssicherheitsbeauftragte regelmäßig an die gesamte Geschäftsleitung, und sind deren Entscheidungen dokumentiert?

Ist der Meldeprozess nach § 32 BSIG mit Zuständigkeiten für 24 Stunden, 72 Stunden und einen Monat hinterlegt?

Sind Schulungsnachweise und Berichtswege Gegenstand der Prüfungsplanung der Internen Revision?

Warum die NIS-2-Schulung zur Steuerungsfrage für die Leitung wird

Nach Einschätzung von S+P Compliance verschiebt § 38 BSIG den Schwerpunkt der Cybersicherheit von der IT-Abteilung zur Unternehmensleitung. Die NIS-2-Schulung ist dabei nicht das Ziel, sondern die Voraussetzung dafür, dass die Geschäftsleitung Risiken bewerten, Budgets begründen und Maßnahmen wirksam überwachen kann. Ein Teilnahmenachweis ohne dokumentierte Leitungsentscheidungen wird diesem Anspruch nicht gerecht.

Offen sind die konkrete Prüfpraxis des BSI bei Nachweisanforderungen, mögliche Rechtsverordnungen nach § 30 Abs. 5 BSIG und die weitere Fortschreibung der Handreichung. Wer den Bereich DORA und NIS-2 jetzt mit Schulungsplan, Berichtsweg und Dokumentation strukturiert, kann künftige Präzisierungen ohne Neuaufbau einarbeiten.

Häufige Fragen zur NIS-2-Schulung

Wer muss an der NIS-2-Schulung teilnehmen?

Schulungspflichtig ist nach § 38 Abs. 3 BSIG jede Person, die nach § 2 Nr. 13 BSIG zur Geschäftsführung und Vertretung einer wichtigen oder besonders wichtigen Einrichtung berufen ist. Das betrifft alle Geschäftsführer oder Vorstandsmitglieder, nicht nur das IT-Ressort. Das BSI hält es für sinnvoll, zuarbeitende Führungskräfte mit Entscheidungsbefugnis einzubeziehen; verpflichtend ist das nicht.

Wie oft muss die Geschäftsleitung geschult werden?

Das BSIG verlangt nur eine regelmäßige Teilnahme und nennt weder Intervall noch Dauer. Das BSI empfiehlt eine ausführliche initiale Schulung und regelmäßige Folgeschulungen. Wiederholungen sind insbesondere bei Wechseln in der Geschäftsleitung sowie bei signifikanten Änderungen der Geschäftsprozesse, der Risikoexposition oder der Maßnahmen angezeigt. Rhythmus und Umfang richten sich nach dem Risiko.

Wie wird die NIS-2-Schulung nachgewiesen?

Das BSI erwartet eine interne Dokumentation, die auf Verlangen vorzulegen ist. Sie sollte Schulungsanbieter oder interne Stelle, Teilnehmende mit Funktion, Datum, Uhrzeit, Dauer sowie die Inhalte mit Bezug zu § 38 Abs. 3 BSIG enthalten. Eine Prüfung ist nicht vorgeschrieben. Den Lernerfolg sieht das BSI in dokumentierten Entscheidungen der Geschäftsleitung zum Risikomanagement.

Haften Geschäftsführer persönlich nach NIS-2?

Nach § 38 Abs. 2 BSIG haften Geschäftsleitungen ihrer Einrichtung für schuldhaft verursachte Schäden aus Verletzungen der Umsetzungs- und Überwachungspflicht nach Gesellschaftsrecht, etwa nach § 43 GmbHG oder § 93 AktG. Die Schulungspflicht ist nicht unmittelbar bußgeldbewehrt. Bußgelder nach § 65 BSIG treffen die Einrichtung, etwa bei unzureichenden Maßnahmen, fehlender Dokumentation oder verspäteten Meldungen.

Gilt § 38 BSIG auch für Banken und andere Finanzunternehmen?

Nein. Für Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA schließt § 28 Abs. 6 Nr. 1 BSIG unter anderem die §§ 30, 32 und 38 BSIG aus. Für sie gelten die Leitungs- und Schulungspflichten aus Art. 5 DORA. Die Registrierungspflicht nach § 33 BSIG ist von dieser Ausnahme nicht erfasst, was im Einzelfall geprüft werden sollte.

Reicht eine interne Schulung durch den CISO aus?

Das BSI lässt für die NIS-2-Schulung interne wie externe Anbieter zu. Es weist aber darauf hin, dass ausschließlich interne Formate zu strukturellen Erkenntnisdefiziten führen können, weil die Geschäftsleitung die Angemessenheit der eigenen Prozesse dann nicht unabhängig beurteilen kann. Empfohlen wird eine Kombination aus externen Grundlagen und unternehmensspezifischen Inhalten durch interne Fachleute.

Quellen

Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie), Europäisches Parlament und Rat, 14. Dezember 2022, insbesondere Art. 20 und 21: NIS-2-Richtlinie bei EUR-Lex.

Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA), Europäisches Parlament und Rat, 14. Dezember 2022, insbesondere Art. 2 und 5: DORA-Verordnung bei EUR-Lex.

Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung vom 2. Dezember 2025, Bundesgesetzblatt 2025 I Nr. 301 vom 5. Dezember 2025: BGBl. 2025 I Nr. 301 bei recht.bund.de.

BSI-Gesetz (BSIG), §§ 2, 28, 30, 32, 33, 38, 61 und 65, Onlinefassung bei Gesetze im Internet, bereitgestellt durch das Bundesministerium der Justiz und das Bundesamt für Justiz, abgerufen am 28. Oktober 2026: § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht, § 28 BSIG – Einrichtungen und Ausnahmen, § 65 BSIG – Bußgeldvorschriften.

Geschäftsleitungsschulungen gemäß BSIG (NIS-2), Handreichung, Version 1.0, Bundesamt für Sicherheit in der Informationstechnik, 17. April 2026: Handreichung des BSI zur Geschäftsleitungsschulung.

Management-Blitzlicht „NIS-2-Richtlinie kompakt“, Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 28. Oktober 2026: Managementwissen zu NIS-2 des BSI.

NIS-2 in Zahlen, Registrierungs- und Meldungszahlen zum 30. September 2026, Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 28. Oktober 2026: Registrierungen und Meldungen nach NIS-2.

NIS-2-Pflichten, Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 28. Oktober 2026: Übersicht der NIS-2-Pflichten beim BSI.

it-sa Expo&Congress 2026, Veranstaltungshinweis, Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 28. Oktober 2026: BSI-Vorträge auf der it-sa 2026.

Ãœber S+P Compliance

S+P Compliance ist eine Compliance-Beratung mit Sitz in München und unterstützt von der BaFin beaufsichtigte Institute bei regulatorischen und organisatorischen Aufgaben. Das Haus übernimmt ausgelagerte Kontrollfunktionen, darunter Geldwäscheprävention, MaRisk-Compliance und Interne Revision. S+P Compliance betreibt ein nach ISO/IEC 27001:2022 zertifiziertes Informationssicherheitsmanagementsystem. Zum fachlichen Weiterbildungsangebot des S+P Unternehmerforums gehören Seminare zu den Leitungspflichten nach NIS-2, zur Informationssicherheit nach DORA und für Geschäftsführer. Die Angebote richten sich an Geschäftsleitungen sowie Fach- und Führungskräfte regulierter Unternehmen.