NIS2-Schulung für die Geschäftsleitung
Seit Dezember 2025 Pflicht nach §38 BSIG – nicht delegierbar, mit persönlicher Haftung.
Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten und verpflichtet die Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen nach §38 BSIG zur regelmäßigen Teilnahme an Cybersicherheitsschulungen. Betroffen sind rund 29.500 Unternehmen in Deutschland, in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Die Pflicht lässt sich nicht an die IT delegieren; bei schuldhafter Verletzung haftet die Geschäftsleitung persönlich.
Auf einen Blick
| Rechtsgrundlage | §38 BSIG (NIS2UmsuCG) |
|---|---|
| In Kraft seit | 6. Dezember 2025 |
| Betroffene Einrichtungen | rund 29.500 in Deutschland |
| Schwelle | ab 50 Beschäftigten oder 10 Mio. € Umsatz |
| Zielgruppe | Geschäftsführer, Vorstände, vergleichbare Leitungsorgane |
| Intervall | regelmäßig, BSI empfiehlt jährlich |
| Delegierbar | nein |
| Preis | 450 bis 1.200 € je Person |
Vorteile
Bei schuldhafter Pflichtverletzung haftet die Geschäftsleitung gegenüber dem Unternehmen, im Regelfall mit dem Privatvermögen.
Das Gesetz gilt seit Inkrafttreten unmittelbar, eine allgemeine Schonfrist gibt es nicht.
Risiken erkennen, Maßnahmen einordnen, Auswirkungen auf die Dienste beurteilen – Einzelaspekte genügen nicht.
Teilnahmenachweise gehören in die Dokumentation des Informationssicherheitsmanagements.
Zielgruppe
Geschäftsführer, Vorstände und vergleichbare Leitungsorgane von Einrichtungen, die unter das erweiterte BSI-Gesetz fallen – vom Maschinenbauer über Logistik und Lebensmittelproduktion bis zu IT-Dienstleistern und Abfallwirtschaft.
Ablauf
Sektor, Beschäftigtenzahl und Umsatz mit den Kategorien des BSIG abgleichen.
Alle Personen erfassen, die nach Gesetz oder Satzung zur Geschäftsführung berufen sind.
Alle drei Kompetenzfelder integriert, nicht als Einzelbausteine.
Teilnahmenachweise ablegen und Wiederholung terminieren.
Warum die Schulung nicht delegierbar ist
Der Gesetzgeber wollte verhindern, dass Cybersicherheit als reines IT-Thema nach unten weitergereicht wird. §38 BSIG richtet sich deshalb ausdrücklich an die Leitungsorgane selbst. Ein geschulter IT-Leiter ersetzt die Schulung des Geschäftsführers nicht.
Was die Schulung abdecken muss
- Risiken erkennen und bewerten – Eintrittswahrscheinlichkeit und Schadensausmaß einschätzen
- Risikomanagementmaßnahmen einordnen – Zweck, Angemessenheit und Wirksamkeit technischer und organisatorischer Maßnahmen
- Auswirkungen beurteilen – Folgen für Verfügbarkeit, Integrität und Vertraulichkeit der erbrachten Dienste sowie wirtschaftliche und rechtliche Belange
Das BSI hat dazu einen Orientierungsleitfaden veröffentlicht. Eine Schulung, die nur einen der drei Punkte behandelt, erfüllt die Anforderung nicht.
Die Einordnung, ob ein Unternehmen als wichtige oder besonders wichtige Einrichtung gilt, ist im Einzelfall nicht trivial. Sie hängt vom Sektor, von der Beschäftigtenzahl und vom Umsatz ab. Im Zweifel lohnt eine kurze rechtliche Prüfung, bevor Schulungen eingekauft werden.
Häufige Fragen
Weiterlesen
Welche Pflichtschulungen sind für Unternehmen Pflicht? Pflichten für Ihren Betrieb ermitteln Pflichtschulungen in der Branche Gastronomie Pflichtschulungen in der Branche Pflege und Gesundheit Anbieter für diese Leistung findenQuellen: §38 BSIG in der Fassung des NIS2UmsuCG, verkündet am 5. Dezember 2025, in Kraft seit 6. Dezember 2025 · Orientierungsleitfaden des BSI zur Schulungspflicht. Stand: August 2026. Dieser Beitrag ersetzt keine Rechtsberatung.
NIS2-Schulung für die Geschäftsleitung anfragen
Kostenlos, unverbindlich, bis zu vier Angebote geprüfter Anbieter aus Ihrer Region – ohne Vermittlungsgebühr.