NIS2-Schulung für Geschäftsführer: online, verständlich, nachweisbar
Die Geschäftsleitungsschulung nach § 38 Abs. 3 BSIG in 6 Modulen: online in Lerneinheiten von höchstens 10 Minuten, verständlich erklärt aus Sicht der Geschäftsleitung und nachweisbar über den Lernfortschritt je Person – ab Paket Silber zusätzlich mit Teilnahmebescheinigung je Person.
- Ein Preis für die ganze Geschäftsleitung: ab 149 € netto im Monat
- Alle Geschäftsführer plus bis zu 3 Personen wie ISB oder IT-Leitung
- Auf Desktop, Tablet und Smartphone
Inhalte orientiert an der BSI-Handreichung v1.0.Fußnote 1: Hinweis zur BSI-Handreichung
30 Minuten per Microsoft Teams · auf Wunsch 14 Tage Testzugang · kostenlos und unverbindlich
Die NIS2-Schulung für Geschäftsführer in Kürze
- Rechtsgrundlage
- § 38 Abs. 3 BSIG in der Fassung des NIS-2-Umsetzungsgesetzes, in Kraft seit 06.12.2025 (BGBl. 2025 I Nr. 301).
- Für wen
- Jedes Mitglied der Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen im Sinne von § 2 Nr. 13 BSIG – typischerweise Geschäftsführer, Vorstände und vertretungsberechtigte geschäftsführende Gesellschafter. Für alle anderen Unternehmen ist die Schulung freiwillige Vorsorge.
- Format
- Online, im eigenen Tempo, auf Desktop, Tablet und Smartphone. Jede Lektion wahlweise als Video, in dem Marcel Hofmann selbst durch die Präsentation führt, oder als reine Audiofassung für unterwegs, vertont mit einer lizenzierten KI-Stimme. Kein fester Termin, keine Anreise.
- Umfang
- 6 Module, Lerneinheiten von höchstens 10 Minuten, interaktive Elemente und ein Wissenstest zur Selbstkontrolle.
- Nachweis
- Lernfortschritt je Person und dokumentierte Schulungsinhalte in allen Paketen; ab Silber zusätzlich Teilnahmebescheinigung je Person und Vorlagen, etwa für den Geschäftsleitungsbeschluss.
- Preis
- Ab 149 € netto zzgl. MwSt. im Monat (Bronze), monatliche Abrechnung im Voraus, Mindestlaufzeit 12 Monate, jährlich kündbar – ein Preis je Unternehmen für alle Mitglieder der Geschäftsleitung und bis zu 3 weitere Personen, etwa ISB, IT-Leitung oder Prokura.
- Stand der Rechtsinformationen
- 18. September 2026
Rechtsgrundlage
NIS-2-Schulung der Geschäftsleitung: Was das Gesetz verlangt
Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen – jedes Mitglied der Geschäftsleitung. Ziel sind ausreichende Kenntnisse, um Risiken und Risikomanagementpraktiken zu erkennen und zu bewerten und ihre Auswirkungen auf die eigenen Dienste zu beurteilen. Geschäftsleitung im Sinne von § 2 Nr. 13 BSIG ist, wer nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist – typischerweise Geschäftsführer, Vorstände und vertretungsberechtigte geschäftsführende Gesellschafter.
Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
- „Regelmäßig“ ist nicht beziffert. Die Gesetzesbegründung nennt mindestens alle drei Jahre (BT-Drs. 21/1501, S. 154 f.). Das BSI hält das in den seltensten Fällen für ausreichend (BSI-FAQ).
- Es gibt keine gesetzliche Mindestdauer. Laut BSI dürfen die Inhalte auf eine oder mehrere Schulungen verteilt werden. Wir nutzen diesen Spielraum und schneiden die Lerneinheiten auf höchstens 10 Minuten zu.
- Das BSI kann die Schulung prüfen. Bei besonders wichtigen Einrichtungen per angeordnetem Audit (§ 61 Abs. 1 BSIG), bei wichtigen Einrichtungen anlassbezogen (§ 62 BSIG).
- Die Schulung steht auf der BSI-Checkliste. „Lassen Sie sich als Geschäftsleitung schulen“ ist dort ein eigener Schritt auf dem Weg zur Umsetzung.
Ausführlich im Ratgeber: NIS2-Schulungspflicht nach § 38 Abs. 3 BSIG →
Die IT kann Systeme absichern, der Informationssicherheitsbeauftragte kann beraten, Dienstleister können unterstützen. Die Verantwortung für angemessene Steuerung bleibt bei der Geschäftsleitung – auch dann, wenn die IT vollständig ausgelagert ist. Das Gesetz adressiert sie direkt: Maßnahmen umsetzen, deren Umsetzung überwachen, regelmäßig an Schulungen teilnehmen (§ 38 Abs. 1 und 3 BSIG). Delegieren lässt sich die Arbeit, nicht die Verantwortung.
- Sie sollen Verantwortung tragen, sprechen aber nicht dieselbe Sprache wie IT, Security und Dienstleister.
- Sie sollen Risiken bewerten, bekommen aber technische Details statt unternehmerischer Klarheit.
- Sie sollen Maßnahmen überwachen, wissen aber nicht immer, welche Fragen Sie stellen müssen.
Sie brauchen keine Technikvorlesung über Ports, Firewalls und Logfiles. Sie brauchen Klarheit.
Die Plattform
Eine Lernumgebung, die in Ihrer Sprache spricht
Nicht als trockene Pflichtveranstaltung. Nicht als generische Awareness-Schulung. Nicht als PDF für die Ablage. Sondern als digitale Lernumgebung, die NIS2 aus Sicht der Geschäftsleitung erklärt: sechs Module, Lerneinheiten von höchstens 10 Minuten und ein Wissenstest zur Selbstkontrolle; ab Paket Silber bestätigt eine Teilnahmebescheinigung je Person die Teilnahme. Sie lernen im eigenen Tempo, auf Desktop, Tablet oder Smartphone.
-
Lerneinheiten von max. 10 Minuten
Kurze, verständliche Lerneinheiten – ideal für zwischendurch.
-
Video und Audio in jeder Lektion
In jeder Lektion steht beides bereit: oben das Video mit Präsentation, darunter dieselbe Lektion zum Hören.
-
Lernfortschritt je Person
In jedem Paket sehen Sie jederzeit, welche Module abgeschlossen sind und was noch offen ist.
-
Teilnahmebescheinigung ab Silber
Ab dem Paket Silber erhält jede Person eine Teilnahmebescheinigung für Ihre Unterlagen. Sie bestätigt die Teilnahme, unabhängig vom Ergebnis des Wissenstests.
Was die Plattform sonst noch kann
-
Eigene Lernumgebung
Eine eigene Lernumgebung für Geschäftsführer und Management – keine Foliensammlung, sondern eine strukturierte Plattform.
-
Lernen im eigenen Tempo
Lernen Sie, wann und wo es in Ihren Kalender passt – ohne feste Präsenztermine.
-
Modulare Inhalte
Sechs aufeinander aufbauende Module von den Grundlagen bis zur Nachweisführung.
-
Interaktiv
Interaktive Elemente und ein Wissenstest zur Selbstkontrolle, den die Plattform automatisch auswertet.
-
Dokumentierte Schulungsinhalte
Inhalte und Teilnahme sind nachvollziehbar dokumentiert.
-
Auf allen Geräten
Mobile Nutzung auf Desktop, Tablet und Smartphone.
-
Erweiterbar
Die Plattform ist technisch erweiterbar um weitere Schulungsthemen, zum Beispiel Datenschutz oder Informationssicherheit.
Lernformate
Zwei Wege durch jede Lektion
Jede Lektion gibt es in zwei Formaten, und beide stehen in derselben Lektion bereit. Sie entscheiden erst dort, ob Sie zusehen oder nur zuhören – dieselben Inhalte, dieselbe Reihenfolge, derselbe dokumentierte Fortschritt. Wer am Schreibtisch sitzt, nimmt das Video. Wer im Auto sitzt, nimmt den Ton.
Video mit Präsentation
Sie sehen und hören Marcel Hofmann: Er führt durch die Folien der Lektion, zeigt die Handlungspunkte und ordnet ein, was sie für Ihre Geschäftsleitung bedeuten.
- Ihr Nutzen
- Ein Gesicht, eine Stimme, eine Einordnung durch einen Berater – statt anonymem E-Learning von der Stange.
- Wann es passt
- Für die konzentrierte Runde am Schreibtisch, wenn Sie mitdenken und mitschreiben wollen.
Reine Audiofassung
Dieselbe Lektion, nur zum Hören – vertont mit einer lizenzierten KI-Stimme. Der Audioplayer steht in jeder Lektion direkt unter dem Video; Sie starten ihn statt des Videos.
- Ihr Nutzen
- Lernzeit entsteht dort, wo sonst keine ist – ohne dass ein Termin dafür weichen muss.
- Wann es passt
- Für Geschäftsführer unterwegs: im Auto auf dem Weg zum Termin, zur Arbeit, zwischen zwei Terminen.
Audiofassung: Vertonung mit KI-Stimme. In den Videolektionen spricht Marcel Hofmann selbst.
Beides steht in jeder Lektion bereit
Sie müssen sich nicht vorab für ein Format entscheiden und keinen zweiten Kurs buchen. In der geöffneten Lektion steht oben das Video, darunter der Audioplayer mit derselben Lektion. Sie starten das, was zur Situation passt – am Schreibtisch das Video, auf der Fahrt zum Termin den Ton.
Beide Formate sind in allen Paketen enthalten: in Bronze, Silber und Gold.
Produktbeweis
Blick in echte Lektionen – ohne Anmeldung
Jede Lektion folgt demselben Muster: links die Handlungspunkte, rechts Ihr Auftrag und Ihr Arbeitsmittel. Blättern Sie durch acht Themen und hören Sie hinein.
-
Modul 1 · Lektion 2 · Folie 2 Was unterscheidet NIS2 von anderen Gesetzen? Einordnung neben DSGVO, VDA ISA/TISAX®, ISO 27001 und ISO 9001. -
Modul 2 · Lektion 1 · Folie 2 Verantwortung der Geschäftsführung Pflichten nach § 38 BSIG: Maßnahmen umsetzen, Umsetzung überwachen, an Schulungen teilnehmen. -
Modul 3 · Lektion 1 · Folie 2 Was ist ein Cyberrisiko? Beispiele: Ransomware stoppt Lieferungen, Fehlversand von Kundendaten. -
Modul 3 · Lektion 2 · Folie 3 Rechtliche Folgen Bußgelder, Kundenansprüche und persönliche Haftung sind bei Pflichtverstößen möglich. -
Modul 3 · Lektion 2 · Folie 4 Meldewege vorab klären Meldeplan mit Fristen, Kontakten und Vertretung – vor dem Ernstfall. -
Modul 3 · Lektion 2 · Folie 5 Verträge mit Dienstleistern Sicherheitsleistungen, Meldefristen, Prüfrechte und Haftung klären. -
Modul 3 · Lektion 2 · Folie 6 Entscheidungen dokumentieren Arbeitsmittel: Protokoll mit Maßnahmen und Wiedervorlage. -
Modul 3 · Lektion 5 · Folie 4 Was kostet ein Cyberangriff? Fiktives Rechenbeispiel: Ransomware mit 290.000 € Gesamtbelastung.
Drei Hörproben aus echten Lektionen
Was Sie hier hören, ist die Audiofassung – das Format für unterwegs, vertont mit einer lizenzierten KI-Stimme. Dieselben Lektionen gibt es als Video mit Präsentation, in dem Marcel Hofmann selbst durch die Folien führt. Die Hörproben stammen aus echten Lektionen und sind nicht für die Website nachproduziert. Unter jedem Player können Sie das Transkript aufklappen und mitlesen – auch ohne Ton.
Demo anfordern und ganze Lektion sehen
Kostenlos, per Microsoft Teams – auf Wunsch 14 Tage Testzugang im Anschluss.
Ein Cyberangriff allein beweist noch keine Pflichtverletzung. Nötig sind eine aktuelle Anforderungsübersicht, ein erprobter Meldeplan, geprüfte Verträge und nachvollziehbare Entscheidungsprotokolle.
Audiofassung: Vertonung mit KI-Stimme. In den Videolektionen spricht Marcel Hofmann selbst.
KI-Stimme von Stefan Rank, Sprecher und Moderator im deutschen Rundfunk · powered by voicemodel.ai (externer Link, öffnet in neuem Tab)
Transkript anzeigen
Cybervorfälle können rechtliche Folgen für das Unternehmen und unter bestimmten Voraussetzungen auch für die Geschäftsführung haben. Entscheidend ist deshalb, die geltenden Anforderungen zu kennen und rechtzeitig zu handeln.
Lassen Sie eine aktuelle Übersicht der gesetzlichen, branchenspezifischen und vertraglichen Pflichten erstellen. Halten Sie fest, wer welche Anforderung erfüllt, welche Fristen gelten und wie die Umsetzung nachgewiesen wird. Binden Sie dafür rechtliche Beratung und die Datenschutzverantwortlichen ein.
Ein Cyberangriff allein beweist noch keine Pflichtverletzung. Werden Pflichten verletzt, können jedoch Bußgelder, Kundenansprüche oder eine persönliche Haftung entstehen. Lassen Sie mögliche rechtliche Folgen deshalb frühzeitig und parallel zur technischen Aufarbeitung prüfen.
Bereiten Sie die Meldewege vor einem Vorfall vor. Es muss klar sein, wer den Vorfall bewertet, wer mögliche Meldepflichten prüft und wer an welche Stelle meldet. Dazu gehören erreichbare Kontakte, Vertretungen und eindeutige Fristen. Unterschiedliche Meldepflichten können nebeneinander bestehen. Erproben Sie diesen Ablauf in einer Übung.
Prüfen Sie außerdem kritische Dienstleisterverträge. Welche Sicherheitsleistungen schuldet der Anbieter? Wie schnell informiert er über Vorfälle? Welche Nachweisrechte haben Sie? Und wie sind Haftung sowie die Rückgabe oder Löschung Ihrer Daten geregelt?
Dokumentieren Sie wesentliche Entscheidungen mit Sachverhalt, eingeholtem Rat und Begründung. Benennen Sie Verantwortliche und Termine. Verfolgen Sie anschließend, ob die Maßnahmen umgesetzt wurden und wirken. Ein Protokoll allein genügt nicht.
Für die Geschäftsführung bedeutet das: Anforderungen kennen, fachlichen Rat einholen, Zuständigkeiten klären und die Umsetzung nachhalten. Ihre wichtigsten Arbeitsmittel sind eine aktuelle Anforderungsübersicht, ein erprobter Meldeplan, geprüfte Verträge und nachvollziehbare Entscheidungsprotokolle.
Ein Rechenbeispiel über zehn Tage Ausfall zeigt, wie weit die Folgen über die IT hinausreichen – und welche Zahlen die Geschäftsleitung einfordern sollte.
Das Rechenbeispiel ist fiktiv.
Audiofassung: Vertonung mit KI-Stimme. In den Videolektionen spricht Marcel Hofmann selbst.
Transkript anzeigen
Willkommen zur Lektion 5 im Modul „Management von Cyberrisiken“. Wie viel könnte ein Cybervorfall Ihr Unternehmen kosten? Welche Schutzmaßnahmen sind sinnvoll? Und welches verbleibende Risiko können Sie tragen? Als Geschäftsführer benötigen Sie dafür verständliche Bewertungen. Sie legen Prioritäten fest und entscheiden, wie Ihr Unternehmen mit den Risiken umgeht.
Beginnen Sie bei Ihren wichtigsten Geschäftsprozessen. Welche Abläufe müssen funktionieren, damit Sie Aufträge bearbeiten, Leistungen erbringen und Rechnungen stellen können? Welche Daten, Systeme und Dienstleister werden dafür benötigt? Beschreiben Sie daraus konkrete Szenarien. Ein Beispiel: Ein Angreifer verschlüsselt zentrale Server. Die Auftragsbearbeitung fällt aus, das Lager erhält keine Versandinformationen und der Kundenservice kann keine Liefertermine nennen. Jetzt lässt sich beurteilen, was dieser Vorfall für Ihr Unternehmen bedeutet.
Beziehen Sie die betroffenen Fachbereiche ein. Diese wissen, welche Aufgaben liegen bleiben und welche Ersatzabläufe möglich sind. Fragen Sie: Wie lange könnte der Ausfall dauern? Welche Umsätze gehen tatsächlich verloren? Welche Aufträge können später nachgeholt werden? Welche zusätzlichen Kosten entstehen? Berücksichtigen Sie neben der Wiederherstellung auch externe Unterstützung, Notbetrieb, Kommunikation und mögliche Vertragsstrafen. Kundenverlust und beeinträchtigtes Vertrauen können weitere Folgen sein.
Unser fiktiver Kassenbon zeigt, wie sich diese Belastungen zusammensetzen können. Angenommen werden zehn Tage Betriebsunterbrechung durch einen Ransomware-Angriff. Für Betriebsunterbrechung und Ausfall rechnen wir mit 160.000 Euro. Der interne Einsatz kostet im Beispiel 10.000 Euro, externe Forensik und Wiederherstellung weitere 40.000 Euro. Ersatzsysteme und Notbetrieb kommen mit 10.000 Euro hinzu. Für Datenschutz- und Rechtsberatung sowie für Krisenkommunikation werden jeweils 20.000 Euro angesetzt. Marketing nach einem Imageschaden und eine angenommene Vertragsstrafe verursachen jeweils weitere 15.000 Euro. Insgesamt ergibt das 290.000 Euro geschätzte Gesamtbelastung. Diese Beträge sind fiktive Annahmen.
Die wesentliche Erkenntnis lautet: Die finanziellen Folgen reichen weit über die Reparatur der Systeme hinaus. Lassen Sie für Ihr Unternehmen prüfen, welche Kosten tatsächlich relevant wären. Grenzen Sie die Positionen sauber ab, damit derselbe Aufwand nicht mehrfach gezählt wird.
Auch die beste Risikobewertung enthält Unsicherheiten. Fragen Sie deshalb, worauf die Schätzungen beruhen. Gibt es bekannte Schwachstellen, Erfahrungen aus Vorfällen oder Ergebnisse aus Wiederherstellungstests? Betrachten Sie einen günstigen, einen wahrscheinlichen und einen schweren Verlauf. Im günstigen Fall gelingt die Wiederherstellung schnell. Im schweren Fall sind auch Sicherungen betroffen und wichtige Daten fehlen. Fordern Sie nachvollziehbare Schadensbandbreiten und eine Einschätzung der Eintrittswahrscheinlichkeit ein. Lassen Sie sich erklären, welche Annahmen das Ergebnis besonders stark beeinflussen.
Damit schaffen Sie die Grundlage für Ihre nächste Entscheidung: Welche Risiken möchten Sie tragen und wo besteht Handlungsbedarf?
Mehr Unternehmen als gedacht: Sektor, Größe und Sonderfälle. Die Betroffenheit muss jedes Unternehmen selbst prüfen – die Verantwortung dafür liegt bei der Geschäftsleitung.
Audiofassung: Vertonung mit KI-Stimme. In den Videolektionen spricht Marcel Hofmann selbst.
Transkript anzeigen
Wer ist eigentlich von NIS2 betroffen? Die kurze Antwort lautet: deutlich mehr Organisationen, als viele zunächst vermuten. NIS2 gilt nicht nur für klassische Betreiber kritischer Infrastrukturen. Betroffen sein können Unternehmen und öffentliche Einrichtungen aus dem Bereich Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienstleistungen. Aber auch die Lebensmittelwirtschaft, die Chemieindustrie, die Abfallwirtschaft, Post- und Kurierdienste, Forschungseinrichtungen sowie bestimmte Unternehmen des produzierenden Gewerbes gehören dazu.
Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Dabei entscheidet jedoch nicht allein die Branche. In der Regel spielen auch die Anzahl der Beschäftigten, der Jahresumsatz und die Bilanzsumme eine Rolle. Beschäftigt eine Organisation mindestens 50 Mitarbeitende oder überschreiten sowohl der Jahresumsatz als auch die Bilanzsumme jeweils 10 Millionen Euro, sollte sie ihre Betroffenheit genau prüfen. Für bestimmte besonders kritische Einrichtungen gelten Ausnahmen: Sie können unabhängig von ihrer Größe unter NIS2 fallen.
Auch Zulieferer und Dienstleister sollten das Thema nicht unterschätzen. Sie sind möglicherweise nicht unmittelbar gesetzlich betroffen. Ihre Kunden können die Anforderungen an die Informationssicherheit jedoch über Verträge und Vorgaben an sie weitergeben.
Und wer ist innerhalb einer betroffenen Organisation verantwortlich? Die Antwort lautet: nicht nur die IT. Die Geschäftsleitung trägt die übergeordnete Verantwortung. Sie muss die Umsetzung steuern, überwachen und sich regelmäßig mit den bestehenden Cyberrisiken befassen. Die IT setzt viele technische und organisatorische Maßnahmen um. Und alle Mitarbeitenden tragen durch ihr tägliches Verhalten zur Sicherheit des Unternehmens bei.
Wichtig ist deshalb: Eine Organisation muss ihre Betroffenheit grundsätzlich selbst prüfen. Sie erhält keine automatische Einladung und keine persönliche Aufforderung. NIS2 betrifft daher nicht nur einzelne Branchen, sondern die gesamte Organisation.
Die Modul- und Lektionsnummern auf den gezeigten Folien entsprechen der aktuellen Plattformfassung und können von der Gliederung unten abweichen.
Das Programm
Die 6 Module im Detail
Die Schulung führt in sechs Modulen von den Grundlagen der Regulierung bis zur Nachweisführung: NIS2 einordnen, die eigene Verantwortung kennen, Cyberrisiken unternehmerisch bewerten, Maßnahmen hinterfragen, Vorfälle und Meldepflichten beherrschen, Nachweise führen. Nach jedem Modul wissen Sie, was Sie als Geschäftsleitung entscheiden, fragen und belegen müssen.
-
Modul 1: NIS2 kompakt verstehen
Die Geschäftsleitung erhält einen verständlichen Überblick über Ziel, Hintergrund und Bedeutung der NIS2-Regulierung.
Nach dem Modul wissen Sie:
- warum NIS2 mehr ist als eine IT-Vorschrift,
- ob Ihr Unternehmen betroffen sein kann,
- warum Geschäftsleitungen ausdrücklich adressiert werden,
- wie sich NIS2 von Datenschutz, ISO 27001, TISAX® und IT-Grundschutz abgrenzt.
-
Modul 2: Verantwortung der Geschäftsleitung
Dieses Modul macht deutlich, warum Informationssicherheit nicht vollständig delegiert werden kann.
Nach dem Modul wissen Sie:
- welche Pflichten bei der Geschäftsleitung liegen,
- was Billigung, Umsetzung und Überwachung von Maßnahmen bedeuten (§ 38 Abs. 1 BSIG),
- welche Rolle IT, ISB, Datenschutz und Dienstleister spielen,
- warum „Das macht unsere IT“ nicht reicht.
-
Modul 3: Cyberrisiken unternehmerisch bewerten
Geschäftsführer müssen keine technischen Spezialisten sein. Sie müssen aber Risiken einordnen können.
Nach dem Modul wissen Sie:
- wie Cyberrisiken aus Managementsicht bewertet werden,
- welche Auswirkungen Angriffe auf Umsatz, Lieferfähigkeit und Reputation haben,
- warum Verfügbarkeit, Integrität und Vertraulichkeit Entscheidungsgrößen sind,
- welche Praxisfälle besonders relevant sind.
-
Modul 4: Maßnahmen verstehen und hinterfragen
Dieses Modul übersetzt technische und organisatorische Sicherheitsmaßnahmen in verständliche Managementsprache.
Nach dem Modul wissen Sie:
- welche Maßnahmen typischerweise relevant sind,
- was MFA, Backup, Patchmanagement und Berechtigungen geschäftlich bedeuten,
- welche Fragen Sie Ihrer IT oder Ihren Dienstleistern stellen sollten,
- wie Sie zwischen echter Sicherheit und bloßer Dokumentation unterscheiden.
-
Modul 5: Sicherheitsvorfälle und Meldepflichten
Im Ernstfall zählt nicht nur Technik, sondern Geschwindigkeit, Klarheit und Verantwortung.
Nach dem Modul wissen Sie:
- was ein Sicherheitsvorfall ist,
- wann ein Vorfall eskaliert werden muss,
- welche Rolle die Geschäftsleitung im Krisenfall hat,
- welche Fehler im Vorfall besonders teuer werden können.
-
Modul 6: Nachweise, Dokumentation und Governance
NIS2 verlangt nicht nur Maßnahmen, sondern nachvollziehbare Steuerung.
Nach dem Modul wissen Sie:
- welche Schulungsnachweise sinnvoll sind,
- wie Inhalte, Dauer und Teilnahme dokumentiert werden,
- wie die Schulung in Managementreview, ISMS und Compliance eingebunden werden kann,
- warum Nachweisfähigkeit im Ernstfall entscheidend ist.
Einordnung
Woran sich die Inhalte orientieren: die BSI-Handreichung v1.0
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 17.04.2026 eine Handreichung zur Geschäftsleitungsschulung veröffentlicht, abgestimmt mit Bitkom, DIHK, Gesellschaft für Informatik, VDMA, ZDH und ZVEI. Sie ist rechtlich unverbindlich und nennt drei Kompetenzfelder, die eine Schulung abdecken sollte. An ihnen orientieren sich unsere Module.Fußnote 1: Hinweis zur BSI-Handreichung
| Kompetenzfeld | Was das BSI dazu schreibt | Im Kurs |
|---|---|---|
| Risiken erkennen und bewerten | An der Risikobewertung mitwirken, Risiken einschätzen und daraus Budget und Personal ableiten. | Modul 3 Cyberrisiken unternehmerisch bewerten Schadensbandbreiten, Eintrittswahrscheinlichkeit und die Frage, welches Risiko Ihr Unternehmen tragen will. |
| Risikomanagementpraktiken kennen | Technische und organisatorische Maßnahmen kennen, darunter die zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG. | Modul 4 und Modul 2 Maßnahmen verstehen und hinterfragen · Verantwortung der Geschäftsleitung Was MFA, Backup, Patchmanagement und Berechtigungen geschäftlich bedeuten – und was Sie dazu fragen. |
| Auswirkungen beurteilen | Risiken und Maßnahmen gemeinsam bewerten und als Geschäftsrisiko einordnen. | Modul 3 und Modul 5 Cyberrisiken unternehmerisch bewerten · Sicherheitsvorfälle und Meldepflichten Folgen für Umsatz, Lieferfähigkeit und Reputation; Vorfall, Eskalation und Meldepflichten. |
| Unterstützende Inhalte | Regulierung einordnen und von Datenschutz, ISO 27001 und TISAX® abgrenzen | Modul 1 NIS2 kompakt verstehen |
| Pflichten und Haftung der Geschäftsleitung nach § 38 BSIG | Modul 2 Verantwortung der Geschäftsleitung | |
| Sicherheitsvorfälle erkennen und Meldepflichten einhalten | Modul 5 Sicherheitsvorfälle und Meldepflichten | |
| Schulungsnachweis, Dokumentation und Governance | Modul 6 Nachweise, Dokumentation und Governance |
Eine BSI-Zertifizierung für Geschäftsleitungsschulungen gibt es nicht – auch unsere ist nicht zertifiziert. Das BSI sieht kein Anerkennungsverfahren für Anbieter vor und empfiehlt keine einzelnen Anbieter. Es rät stattdessen, jedes Angebot mit der Handreichung abzugleichen. Genau das können Sie mit der Tabelle oben tun.
Was die BSI-Handreichung verlangt → Themenseite des BSI zur Geschäftsleitungsschulung →
Nachweis
Wie funktioniert der Nachweis – und was belegt er?
Das BSI empfiehlt, die Teilnahme intern zu dokumentieren und auf Verlangen vorzulegen: mit Anbieter, Teilnehmenden und Rolle, Datum, Uhrzeit, Dauer und Inhalten mit Bezug zu § 38 Abs. 3 BSIG. Die Tabelle listet diese Angaben einzeln auf – so können Sie jedes Schulungsangebot damit abgleichen, auch unseres. Wie die GEFIM-Schulungsplattform Teilnahme und Inhalte dokumentiert, zeigen wir Ihnen in der Demo an einem Beispielzugang.Fußnote 1: Hinweis zur BSI-Handreichung
| Angabe laut BSI |
|---|
| Anbieter der Schulung |
| Teilnehmende Personen und ihre Rolle |
| Datum, Uhrzeit und Dauer |
| Inhalte mit Bezug zu § 38 Abs. 3 BSIG |
Was Sie am Ende in der Hand haben
- Lernfortschritt je Person in allen Paketen – für Ihre ganze Geschäftsleitung an einer Stelle statt in fünf Postfächern.
- Dokumentierte Schulungsinhalte mit Bezug zu § 38 Abs. 3 BSIG.
- Teilnahmebescheinigung je Person ab Paket Silber, für Ihre Unterlagen.
- Vorlagen für Beschluss und Roadmap ab Silber, für Ihre Beschlüsse und die nächsten Schritte. In Gold kommt das Umsetzungs-Toolkit mit Maßnahmen-Selbstcheck dazu.
Unser Modell
Digital lernen, im eigenen Unternehmen umsetzen
Das BSI hält interaktive und zeitlich flexible Formate für gut geeignet und erwartet, dass die Geschäftsleitung das Gelernte auf das eigene Unternehmen bezieht.Fußnote 1: Hinweis zur BSI-Handreichung Unsere Schulung ist dafür ein Selbstlernangebot: kurze Lerneinheiten, Leitfragen an IT und Dienstleister und ab Silber Vorlagen, mit denen Ihre Geschäftsleitung ihre Entscheidungen selbst festhält.
Kein einmaliges Webinar und kein Kurs mit festem Termin: Die Schulung läuft als Selbstlernangebot auf unserer Plattform, jederzeit startbar und im eigenen Tempo. Getrennt davon beraten wir ab Silber zur Umsetzung in Ihrem Unternehmen – im Umsetzungs-Workshop und in Gold in der Umsetzungsberatung.
Was in welchem Paket dazukommt
- Plattform: Schulung in 6 Modulen (Selbstlernangebot) Alle Pakete. Ihre Geschäftsleitung lernt im eigenen Tempo, der Lernfortschritt wird je Person dokumentiert.
- Teilnahmebescheinigung, Vorlagen und Umsetzungs-Workshop Silber und Gold. Beschluss- und Roadmap-Vorlage, Fragenkatalog für IT, ISB und Dienstleister – damit prüfen Sie im Alltag, ob Zusagen und Wirklichkeit zusammenpassen. Im Umsetzungs-Workshop, online in der Gruppe, greift GEFIM Umsetzungsthemen auf. Vorhaben Ihres Unternehmens können Sie vorab einreichen; GEFIM wählt aus.
- Umsetzungs-Toolkit und Umsetzungsberatung Gold. Maßnahmen-Selbstcheck mit Auswertung, Vorlagen für Leitlinie, Meldeplan und Managementbericht – und die Umsetzungsberatung mit 2 × 60 Minuten je Vertragsjahr (online) zu Vorhaben im eigenen Unternehmen.
- NIS2-Beratung als eigenes Angebot Unsere sieben Beratungsleistungen: Betroffenheitsprüfung, Gap-Analyse, BSI-Registrierung, Externer ISB (Informationssicherheitsbeauftragter), Lieferkettensicherheit, ISO 27001-Begleitung, TISAX®-Begleitung.
Gold im Detail → Die sieben Beratungsleistungen im Überblick →
Zielgruppe
Für wen ist die Schulung?
Schulungspflichtig sind die Leitungsorgane betroffener Unternehmen, und zwar jedes einzelne Mitglied. Geschäftsleitung im Sinne von § 2 Nr. 13 BSIG ist, wer nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist – typischerweise Geschäftsführer, Vorstände und vertretungsberechtigte geschäftsführende Gesellschafter. Das BSI empfiehlt, auch Personen einzubeziehen, die der Geschäftsleitung zuarbeiten oder eigene Entscheidungsbefugnisse haben. Fällt Ihr Unternehmen nicht unter NIS2, ist die Schulung freiwillige Vorsorge – sinnvoll bleibt sie trotzdem.Fußnote 1: Hinweis zur BSI-Handreichung
Geschäftsführung und Vorstand
Pflicht nach § 38 Abs. 3 BSIG – und zwar für jedes Mitglied. Die Schulung Ihrer IT-Leitung ersetzt Ihre eigene nicht.
Der erweiterte Leitungskreis
Prokura, Bereichsleitung, IT-Leitung, Informationssicherheitsbeauftragter: Das BSI empfiehlt, sie einzubeziehen. Jedes Paket umfasst neben der Geschäftsleitung bis zu 3 weitere Personen.
Neu in der Geschäftsleitung?
Das BSI nennt den Wechsel in der Geschäftsleitung ausdrücklich als Anlass für eine Schulung. Neue Mitglieder der Geschäftsleitung erhalten während der Laufzeit ohne Aufpreis einen Zugang, statt auf den nächsten Seminartermin zu warten.
Bronze, Silber oder Gold?
Ein Preis für Ihre ganze Geschäftsleitung.
Die Schulung ist in jedem Paket dieselbe. Sie wählen, wie viel Nachweis und wie viele Arbeitsmittel Sie brauchen. Bronze: schulen. Silber: schulen und die Teilnahme nachweisen. Gold: dazu mit der Umsetzung beginnen.
In jedem Paket: Unternehmenslizenz
- alle 6 Module, Video + Audiofassung, Wissenstest zur Selbstkontrolle
- alle Geschäftsführer + bis zu 3 Personen wie ISB oder IT-Leitung
- neue Geschäftsführer ohne Aufpreis
- 12 Monate Laufzeit, jährlich kündbar
-
Bronze : Schulen
Für Geschäftsleitungen, die die Schulung im eigenen Tempo durcharbeiten und die Dokumentation selbst führen möchten.
149 € pro Monat
netto zzgl. MwSt., monatlich im Voraus
Enthalten:
- Die komplette NIS2-Schulung
- Lernfortschritt je Person
- Support zu Zugang und Technik per E-Mail
- keine Teilnahmebescheinigung
- keine Vorlagen
Für 50 € mehr im Monat: Teilnahmebescheinigung je Person, Vorlagen und Umsetzungs-Workshop Silber
- Empfohlen für die meisten Geschäftsleitungen
Silber : Schulen & Nachweisen
Für Geschäftsleitungen, die ihre Teilnahme belegen und die nächsten Schritte dokumentiert beschließen möchten.
199 € pro Monat
netto zzgl. MwSt., monatlich im Voraus
Alles aus Bronze, dazu:
- Teilnahmebescheinigung je Person
- Vorlage für den Geschäftsleitungsbeschluss
- Fragenkatalog für IT, ISB und Dienstleister
- Roadmap-Vorlage für die nächsten Schritte
- Umsetzungs-Workshop 2× im Jahr (online, in der Gruppe) zu Vorhaben im eigenen Unternehmen
- Support zu Zugang und Technik per E-Mail und Telefon
-
Gold : Schulen, Nachweisen & Umsetzen
Für Geschäftsleitungen, die die Umsetzung in ihrem Unternehmen mit Arbeitsmitteln und Beratung angehen möchten.
390 € pro Monat
netto zzgl. MwSt., monatlich im Voraus
Alles aus Silber, dazu:
- Umsetzungs-Toolkit
- Maßnahmen-Selbstcheck mit Auswertung
- Vorlagen für Informationssicherheitsleitlinie, Meldeplan und Managementbericht
- Anforderungskatalog für Dienstleister
- Jährliches Update bei Rechtsänderungen
- Umsetzungs-Workshop 4× im Jahr statt 2×
- Umsetzungsberatung 2 × 60 Minuten je Vertragsjahr (online) zu Vorhaben im eigenen Unternehmen
- Umsetzungs-Toolkit
Alle Preise in Euro netto zzgl. gesetzlicher MwSt., monatliche Abrechnung im Voraus. Mindestlaufzeit 12 Monate. Angebot ausschließlich für Unternehmer im Sinne des § 14 BGB. Der Vertrag verlängert sich automatisch um jeweils 12 Monate und ist jährlich zum Ende der Laufzeit kündbar.
Die Schulungspflicht nach § 38 Abs. 3 BSIG gilt, wenn Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt. Für alle anderen ist die Schulung freiwillige Vorsorge – die BSI-Handreichung richtet sich ausdrücklich auch an nicht regulierte Unternehmen.
In fünf Schritten
So kommen Sie zu Demo und Testzugang
Kein Buchungstool, kein Vertriebstrichter. Sie schreiben uns, wir melden uns persönlich – telefonisch, wenn Sie eine Nummer angeben, sonst per E-Mail.
-
Schritt 1: Anfrage senden
Eine Minute, vier Pflichtfelder. Sie legen sich zu nichts fest.
-
Schritt 2: Wir melden uns persönlich
Telefonisch, wenn Sie eine Nummer angeben – in dem Zeitfenster, das Sie im Formular angeben. Sonst per E-Mail.
-
Schritt 3: Live-Demo
Etwa 30 Minuten per Microsoft Teams, gemeinsam mit einem der beiden Geschäftsführer der GEFIM UG (haftungsbeschränkt). Sie bestimmen, was Sie sehen wollen.
-
Schritt 4: Testzugang auf Wunsch
Auf Wunsch schauen Sie 14 Tage lang kostenlos selbst in die Plattform. Der Testzugang endet automatisch und enthält keine Teilnahmebescheinigung.
-
Schritt 5: Angebot auf Wunsch
Schriftlich, ohne Verpflichtung. Ein Vertrag entsteht erst mit Ihrer Auftragsbestätigung.
Häufige Fragen zur NIS2-Schulung für Geschäftsführer
Muss ich als Geschäftsführer persönlich an einer NIS2-Schulung teilnehmen?
Ja, wenn Ihr Unternehmen eine wichtige oder besonders wichtige Einrichtung ist. Nach § 38 Abs. 3 BSIG müssen die Geschäftsleitungen regelmäßig an Schulungen teilnehmen – und zwar jedes Mitglied der Geschäftsleitung. Die Schulung Ihrer IT-Leitung ersetzt Ihre eigene nicht. Ist Ihr Unternehmen nicht betroffen, ist die Schulung freiwillige Vorsorge.
Quellen: § 38 BSIG , BSI-FAQ zu NIS-2
Wie oft muss die Schulung wiederholt werden?
Das Gesetz sagt nur „regelmäßig“. Nach der Gesetzesbegründung sind Schulungen mindestens alle drei Jahre gemeint. Das BSI hält dieses Minimum in den seltensten Fällen für ausreichend und empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen, etwa bei einem Wechsel in der Geschäftsleitung. Unsere Pakete laufen deshalb 12 Monate und verlängern sich jährlich; neue Mitglieder der Geschäftsleitung schulen Sie während der Laufzeit ohne Aufpreis mit.
Quellen: BT-Drs. 21/1501 , BSI-FAQ zu NIS-2 , BSI-Handreichung „Schulung für Geschäftsleitungen“ v1.0 (17.04.2026)
Mehr dazu: Wie oft die Geschäftsleitung geschult werden muss
Wie lange dauert die NIS-2-Schulung?
Eine gesetzliche Mindestdauer gibt es nicht. Die oft genannten vier Stunden sind eine Annahme aus der Kostenschätzung des Gesetzentwurfs, keine Vorgabe; das BSI hält vier Stunden in den meisten Fällen nicht für ausreichend und erlaubt, Inhalte auf mehrere Einheiten zu verteilen. Die GEFIM-Schulungsplattform arbeitet mit Lerneinheiten von höchstens 10 Minuten; die Gesamtlernzeit zeigen wir Ihnen in der Demo.
Quellen: BT-Drs. 21/1501 , BSI-FAQ zu NIS-2
In welchen Formaten gibt es die Lektionen?
In zwei Formaten: als Video mit Präsentation, in dem Marcel Hofmann selbst spricht, durch die Folien führt und die Punkte für die Geschäftsleitung einordnet, und als reine Audiofassung zum Hören unterwegs. Beide stehen in jeder Lektion bereit: oben das Video, darunter der Audioplayer mit derselben Lektion. Inhalt, Reihenfolge und dokumentierter Fortschritt sind identisch, und beide Formate sind in Bronze, Silber und Gold enthalten.
Das Video zeigt zusätzlich die Folien mit den Handlungspunkten. Die Audiofassung ist dieselbe Lektion zum Hören, vertont mit einer lizenzierten KI-Stimme – gedacht für Termine, zwischen denen sonst keine Lernzeit entsteht, etwa auf der Fahrt zum Kunden.
Ist eine Online-Schulung für die Geschäftsleitung zulässig?
Ja. Das Format ist frei, und das BSI hält interaktive und zeitlich dezentrale Formate ausdrücklich für gut geeignet. Wichtig ist, dass die Inhalte auf Ihr Unternehmen übertragen werden. Diesen Schritt geht Ihre Geschäftsleitung selbst: Unsere Schulung ist ein Selbstlernangebot, und ab Silber helfen der Fragenkatalog für IT, ISB und Dienstleister und die Vorlagen für Beschluss und Roadmap.
Anonym ist unsere Online-Schulung trotzdem nicht: In jeder Lektion führt Marcel Hofmann im Video selbst durch die Folien. Wer unterwegs lernen möchte, startet in derselben Lektion die reine Audiofassung, die direkt unter dem Video steht; sie ist mit einer lizenzierten KI-Stimme vertont.
Quelle: BSI-Handreichung „Schulung für Geschäftsleitungen“ v1.0 (17.04.2026)
Ist Ihre Schulung BSI-zertifiziert?
Nein – und das kann keine Geschäftsleitungsschulung sein. Das BSI zertifiziert oder anerkennt solche Schulungen nicht und empfiehlt keine einzelnen Anbieter. Es hat eine rechtlich unverbindliche Handreichung veröffentlicht (Version 1.0 vom 17.04.2026), an der sich unsere Inhalte orientieren.
Quellen: BSI-Handreichung „Schulung für Geschäftsleitungen“ v1.0 (17.04.2026) , BSI-FAQ zu NIS-2
Reicht die Teilnahmebescheinigung als Nachweis?
Sie belegt Ihre Teilnahme und hängt nicht vom Ergebnis des Wissenstests ab; eine Teilnahmebescheinigung je Person gibt es bei uns ab dem Paket Silber. Das BSI empfiehlt, die Teilnahme intern zu dokumentieren und auf Verlangen vorzulegen – mit Anbieter, Teilnehmenden und deren Rolle, Datum, Uhrzeit, Dauer und den Inhalten mit Bezug zu § 38 Abs. 3 BSIG. Ihre Entscheidungen zu Risiken hält die Geschäftsleitung selbst fest; ab Silber gibt es dafür die Vorlage für den Geschäftsleitungsbeschluss, in Gold zusätzlich den Maßnahmen-Selbstcheck mit Auswertung.
Quelle: BSI-Handreichung „Schulung für Geschäftsleitungen“ v1.0 (17.04.2026)
Muss ich eine Prüfung ablegen?
Nein. Eine Prüfung ist weder gesetzlich noch vom BSI vorgeschrieben, und unsere Schulung sieht keine vor. Der Wissenstest ist in allen Paketen enthalten und dient nur Ihrer Selbstkontrolle: Die Plattform wertet ihn automatisch aus, ohne individuelle Rückmeldung durch GEFIM, und die Teilnahmebescheinigung hängt nicht vom Ergebnis ab.
Quelle: BSI-Handreichung „Schulung für Geschäftsleitungen“ v1.0 (17.04.2026)
Wer gehört zur Geschäftsleitung – müssen auch Prokuristen teilnehmen?
Geschäftsleitung im Sinne des BSI-Gesetzes sind die Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen sind, also etwa GmbH-Geschäftsführer und Vorstände. Prokuristen und Aufsichtsräte fallen nach dem Wortlaut eher nicht darunter; das ist eine Auslegung. Das BSI empfiehlt aber, Personen einzubeziehen, die der Geschäftsleitung zuarbeiten – deshalb umfasst jedes unserer Pakete neben der Geschäftsleitung bis zu 3 weitere Personen, etwa ISB, IT-Leitung oder Prokura.
Quellen: § 2 BSIG , BSI-FAQ zu NIS-2
Eine Schulung ersetzt keine Sicherheitsmaßnahmen. Sie befähigt die Geschäftsleitung, die richtigen Maßnahmen zu beschließen, ihre Umsetzung zu überwachen und das zu belegen.