NIS-2-Schulung der Geschäftsleitung: Was das neue BSI-Curriculum vorgibt

Seit dem 6. Dezember 2025 verpflichtet § 38 Absatz 3 BSIG die Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen, regelmäßig an Schulungen teilzunehmen. Was eine solche Schulung enthalten muss, ließ das Gesetz offen. Das BSI hat im April 2026 eine Handreichung zur Schulungspflicht veröffentlicht. Am 28. Oktober 2026 folgte auf der it-sa der nächste, deutlich konkretere Schritt: ein Beispielcurriculum für NIS-2-Geschäftsleitungsschulungen, erarbeitet mit Bitkom, DIHK, VDMA, ZDH, ZVEI, VOICE und der Gesellschaft für Informatik.

Das 24-seitige Curriculum ist ausdrücklich nicht verbindlich. BSI und Verbände sehen darin „eine mögliche Umsetzung von § 38 BSIG“. Weil es aber Dauer, Inhalte, Zielgruppe und Nachweise so konkret festhält, wird es zum Maßstab, an dem sich Schulungsangebote und interne Programme messen lassen müssen. Dieser Artikel fasst zusammen, was darin steht und was Geschäftsleitungen daraus machen sollten.

Was die NIS-2-Schulung der Geschäftsleitung leisten soll

Das Curriculum bindet jede Lerneinheit an die drei Fähigkeiten aus § 38 Absatz 3 BSIG und Artikel 20 Absatz 2 der NIS-2-Richtlinie: Risiken erkennen und bewerten, Risikomanagementpraktiken einordnen und deren Auswirkungen auf die erbrachten Dienste beurteilen. Ziel ist Urteilsfähigkeit, keine technische Ausbildung. Die Geschäftsleitung soll die richtigen Fragen stellen, Ressourcen bereitstellen, Verantwortlichkeiten festlegen, Restrisiken bewusst akzeptieren oder ablehnen und die Umsetzung der Maßnahmen wirksam überwachen.

Der Kernsatz steht in Modul 2: Die operative Umsetzung kann delegiert werden, Verantwortung und Überwachungspflicht jedoch nicht. Delegation ist nur mit klaren Rollen, Berichtslinien, Eskalationswegen und Kontrolle zulässig. Entscheidungen müssen informiert, dokumentiert und am Risiko ausgerichtet sein, das Curriculum spricht hier von Business Judgement im Cyberkontext.

Wer an der Schulung teilnehmen muss

Verpflichtend sind alle geschäftsführenden natürlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte berufen sind. Empfohlen wird die Teilnahme weiterer Personen mit Entscheidungs- oder Zuarbeitsfunktion für das Risikomanagement, etwa CISO oder ISB, CIO, CFO, COO, Legal und Compliance, OT- und Produktionsverantwortliche oder Prokuristen.

Unmissverständlich ist die Abgrenzung nach unten: „Ausschließliche Schulung von IT-Leitung, Informationssicherheitsbeauftragten, Datenschutz oder Compliance ersetzt die Schulung der Geschäftsleitung nicht.“ Wer bisher den ISB zur Schulung geschickt und das Thema damit abgehakt hat, erfüllt die Pflicht nach dieser Lesart nicht. Eine Sonderregel gilt nur für Geschäftsleitungen im IT/TK-Sektor, die bereits rollenangemessen informiert sind. Dort kann die Befähigung auch über bestehende Berichtswege und Fachfunktionen erreicht und dokumentiert werden.

Vier Stunden in sechs Modulen

Die Beispielagenda kommt ohne Übungen auf 240 Minuten:

Modul	Inhalt	Dauer
1	BSIG, NIS-2 und Anwendungsbereich: Scope, Dienste, IT/OT, Konzern	30 Min.
2	§ 38 BSIG: Pflichten, Haftung, Grenzen der Delegation	40 Min.
3	Cyberrisiken als Unternehmensrisiken: Schutzziele, Schadensarten, Restrisiko	40 Min.
4	§ 30 BSIG als Managementsystem: Mindestmaßnahmen in sechs Clustern	75 Min.
5	Registrierung, Meldung und Unterrichtung nach §§ 32 bis 35 BSIG	35 Min.
6	Governance, Nachweis und Transfer: Berichtswesen, KPI/KRI, Beschlüsse	20 Min.

Eine Kürzungsvariante mit rund 180 Minuten ist vorgesehen. Sie bleibt im Sinne von § 38 nur vollständig, wenn ein etwa zehnseitiges Pre-Read verbindlich dokumentiert wird. Dieses Pre-Read enthält die eigene Betroffenheit, die erbrachten Dienste, das Organigramm, den Status der § 30-Maßnahmen, den Incident-Prozess und eine Risikoübersicht. Damit ist auch klar, dass eine generische Schulung ohne Bezug zum eigenen Unternehmen dem Curriculum nicht entspricht.

Bewusst nicht enthalten sind Übungen, Planspiele, Tabletops und Red- oder Blue-Team-Formate, technische Detailschulungen, Awareness-Trainings für Mitarbeitende und einzelfallbezogene Rechtsberatung. Diese Formate sollen separat geplant werden, Krisenstabsübungen etwa als eigenes Format nach der Initialschulung.

Modul 4: Wirksamkeit statt Dokumente

Das längste Modul übersetzt die Mindestmaßnahmen nach § 30 BSIG in sechs Cluster für die Leitungsebene: Risikoanalyse und ISMS, Vorfallbewältigung und Wiederherstellung, Lieferkette, Beschaffung und Schwachstellenmanagement, Wirksamkeitsprüfung sowie Personal, Zugriff, Kryptografie und MFA. Für jedes Cluster beschreibt das Curriculum, was die Geschäftsleitung entscheidet und welche Nachweise typisch sind.

Beim Cluster „Wirksamkeit, Kontrolle, Audit, Kennzahlen“ ist die Aufgabe der Geschäftsleitung so formuliert: Sie „verlangt Belege für Wirksamkeit und nicht nur Plan-/Policy-Erfüllung“. Eine der Leitfragen für Modul 4 lautet entsprechend: „Wie wird die Wirksamkeit überprüft, nicht nur das Vorhandensein von Dokumenten?“ Die ergänzende Checkliste der Gesellschaft für Informatik geht noch einen Schritt weiter. Sie führt als Schulungsinhalt die Information der Geschäftsleitung durch regelmäßige Berichte auf Grundlage von Sicherheitsprüfungen auf, ebenso die Verantwortung der Geschäftsleitung für die zeitnahe Behebung der daraus hervorgehenden Feststellungen.

Aus unserer Pentest-Praxis ist das der Punkt, an dem sich Papier und Sicherheit trennen. Ein Maßnahmenregister zeigt, was geplant ist. Ob eine MFA tatsächlich alle Zugänge schützt, ob das Patchmanagement die exponierten Systeme erreicht oder ob ein Dienstleisterzugang segmentiert ist, zeigt erst ein Test. Für die Geschäftsleitung zählt dabei weniger die Zahl der Findings als die Frage, welche davon die kritischen Dienste gefährden, wer sie bis wann behebt und ob ein Retest die Behebung bestätigt. Welche Maßnahmen überhaupt fehlen, zeigt vorab eine Gap-Analyse nach NIS-2.

Nach der Schulung: Nachweis und Beschlüsse

Das Curriculum betont, dass der Schulungsnachweis allein nicht genügt. Entscheidend ist, dass die Geschäftsleitung anschließend nachvollziehbar an Risikomanagemententscheidungen mitwirkt. Zum empfohlenen Dokumentationspaket gehören ein Schulungsnachweis mit Datum, Dauer, Anbieter, Teilnehmenden und behandelten Inhalten mit Bezug zu § 38 Absatz 3, eine unterschriebene Teilnehmendenliste sowie Beschluss- und Maßnahmenlisten.

Für die Management-Nachbereitung nennt das BSI Entscheidungen, die idealerweise innerhalb von zwei bis sechs Wochen adressiert werden:

1. Bestätigung oder Korrektur des NIS-2-Scopes einschließlich Tochtergesellschaften, Konzern-IT und kritischer Dienstleister
2. Festlegung der Governance-Struktur mit Berichtslinie von ISB oder CISO und Eskalationswegen
3. Freigabe eines § 30-Maßnahmenregisters mit Prioritäten, Verantwortlichen, Fristen, Budget und Nachweisen
4. Regeln zur Restrisikoakzeptanz und Eskalationsschwellen
5. Freigabe des Melde- und Krisenprozesses mit den Fristen von 24 und 72 Stunden
6. Beschluss eines regelmäßigen Cyberrisiko-Berichts an die Geschäftsleitung
7. Planung der Folgeschulungen und separater Praxisformate

Wer seine Betroffenheit nach NIS-2 noch nicht sauber geklärt hat, scheitert bereits am ersten Punkt.

So prüfen Unternehmen ein Schulungsangebot

Das Curriculum richtet sich ausdrücklich auch an Organisationen, die Schulungen konzipieren, einkaufen oder selbst anbieten. Beim Einkauf lohnt sich ein Abgleich mit wenigen Fragen. Deckt die Schulung alle sechs Module ab, und plant sie realistisch drei bis vier Stunden ein? Sitzt die Geschäftsführung selbst im Raum, und nicht nur ihre Stellvertretung aus der IT? Arbeitet die Schulung mit dem eigenen Scope, den eigenen Diensten und dem tatsächlichen Stand der Maßnahmen, oder mit Folien, die für jedes Unternehmen gleich aussehen? Endet sie mit einer Beschlussliste und einem vorlagefähigen Nachweis? Die GI-Checkliste ist dafür das passende Prüfwerkzeug, weil sie die Inhalte des Curriculums Punkt für Punkt abfragt.

Fazit

Neu an der Schulungspflicht ist nicht die Pflicht, sondern die Messlatte. Mit dem Curriculum liegt jetzt eine konkrete, von BSI und Wirtschaftsverbänden getragene Vorstellung davon vor, wie eine NIS-2-Schulung der Geschäftsleitung aussieht: vier Stunden, sechs Module, die Geschäftsführung selbst am Tisch und konkrete Beschlüsse danach. Geschäftsleitungen sollten ihre bisherige Schulung damit abgleichen, fehlende Nachweise ergänzen und vor allem festlegen, wie sie die Wirksamkeit ihrer Maßnahmen künftig belegen. Die Schulung erklärt, warum getestet werden muss. Den Test selbst ersetzt sie nicht.