NIS2-Schulungspflicht der Geschäftsleitung nach § 38 Abs. 3 BSIG

Wer muss an der NIS2-Schulung teilnehmen?

An der Schulung nach § 38 Abs. 3 BSIG muss jedes Mitglied der Geschäftsleitung teilnehmen – in wichtigen wie in besonders wichtigen Einrichtungen. Es reicht nicht, eine Person zu schulen und die anderen informieren zu lassen. Geschäftsleitung im Sinne des Gesetzes sind die Geschäftsführer, Vorstände und vertretungsberechtigten Gesellschafter.

§ 2 Nr. 13 BSIG definiert den Begriff wörtlich als „eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist“. Erfasst sind damit typischerweise GmbH-Geschäftsführer, Vorstandsmitglieder einer AG und vertretungsberechtigte Gesellschafter. Nach dem Wortlaut nicht gemeint sind Prokuristen – ihre Vertretungsmacht beruht auf einer rechtsgeschäftlichen Vollmacht, nicht auf einer Berufung durch Gesetz, Satzung oder Gesellschaftsvertrag – sowie Aufsichts- und Beiräte, denen die Führung der Geschäfte fehlt. Eine Entscheidung des BSI oder eines Gerichts dazu gibt es bislang nicht – das ist eine Auslegung.

Das BSI empfiehlt zusätzlich, Personen einzubeziehen, die der Geschäftsleitung zuarbeiten und an Risikoentscheidungen beteiligt sind, etwa die IT-Leitung oder den Informationssicherheitsbeauftragten (ISB). Pflicht ist deren Teilnahme nur, wenn sie selbst unter § 2 Nr. 13 BSIG fallen.

Ob Ihr Unternehmen überhaupt zu den wichtigen oder besonders wichtigen Einrichtungen zählt, klärt der Artikel „NIS2: Wer ist betroffen?“. Für eine schnelle Einschätzung genügt der NIS2-Check.

Wie oft muss die Schulung wiederholt werden?

Das Gesetz verlangt nur, dass Geschäftsleitungen „regelmäßig an Schulungen teilnehmen“ (§ 38 Abs. 3 BSIG). Ein festes Intervall nennt es nicht. Die Gesetzesbegründung zieht als Untergrenze Schulungen heran, die mindestens alle drei Jahre angeboten werden (BT-Drs. 21/1501, S. 154 f.). Das BSI hält dieses Minimum in seiner FAQ „in den seltensten Fällen“ für ausreichend.

Die BSI-Handreichung „Schulung für Geschäftsleitungen“ in der Version 1.0 vom 17.04.2026^{¹Fußnote 1: Hinweis zur BSI-Handreichung} nennt selbst keine Zahl mehr. Sie empfiehlt eine ausführliche Erstschulung und danach regelmäßige Folgeschulungen, deren Abstand sich nach der Risikoexposition der Einrichtung und den Vorkenntnissen der Geschäftsleitung richtet. Als Anlässe für eine erneute Schulung nennt das BSI ausdrücklich:

• einen Wechsel in der Geschäftsleitung,
• wesentliche Änderungen der Geschäftsprozesse,
• eine veränderte Risikoexposition,
• wesentliche Änderungen an umgesetzten oder geplanten Maßnahmen.

Die NIS2-Schulung für Geschäftsführer von GEFIM ist deshalb als Lizenz mit 12 Monaten Mindestlaufzeit angelegt, die sich automatisch um jeweils 12 Monate verlängert. Während der Laufzeit kann Ihre Geschäftsleitung die Lektionen jederzeit wiederholen, und neue Mitglieder der Geschäftsleitung erhalten ohne Aufpreis einen Zugang – damit lässt sich deutlich häufiger schulen als die Untergrenze aus der Gesetzesbegründung verlangt.

Wie lange muss eine NIS2-Schulung dauern?

Eine gesetzliche Mindestdauer gibt es nicht. Die BSI-Handreichung v1.0 nennt keine Stundenzahl; maßgeblich sind Risikoexposition und Vorkenntnisse. Die oft zitierten vier Stunden stammen aus der Kostenschätzung des Gesetzentwurfs (BT-Drs. 21/1501, S. 113 f.), nicht aus einer Empfehlung des BSI. Inhalte dürfen ausdrücklich auf mehrere Schulungen verteilt werden.

Die BSI-Aussagen sind an dieser Stelle nicht ganz einheitlich: In der FAQ zur Geschäftsleitung schreibt das BSI einerseits, vier Stunden reichten in den allermeisten Fällen nicht aus, andererseits sollten Schulungen innerhalb von drei Jahren mindestens vier Stunden umfassen. Praktisch heißt das: Verlassen Sie sich nicht auf eine Stundenzahl, sondern auf die Inhalte – und halten Sie die tatsächliche Lernzeit fest, etwa mit Datum und Dauer je Einheit, soweit Ihre Lernplattform das dokumentiert.

Was die Lizenz für Ihre Geschäftsleitung im Monat kostet, sehen Sie offen unter Kosten und Preise der NIS2-Schulung.

Ist eine Online-Schulung zulässig?

Ja. Das Format ist frei wählbar. Das BSI hält interaktive und zeitlich dezentrale Formate ausdrücklich für gut geeignet und verlangt keine mehrstündigen Unterrichtsblöcke. Eine rein allgemeine Online-Schulung genügt den Erwartungen des BSI allerdings nicht: Es verlangt den Transfer auf die eigene Einrichtung und den eigenen Sektor.

Als Beispielformate nennt die Handreichung unter anderem einen regelmäßigen Risikomanagement-Termin mit dem ISB, Planspiele und Notfallübungen am Tisch, Audit-Simulationen und Fallstudien. Szenarien sollen regelmäßiger Bestandteil sein. Für die Geschäftsleitung ist das eine gute Nachricht: Sie müssen keinen Tagesblock im Kalender freiräumen, sondern können in kurzen Einheiten lernen.

Für den Unternehmensbezug schlägt das BSI selbst ein Hybridmodell vor: allgemeine Inhalte von einem externen Anbieter, ergänzt um einrichtungsspezifische Inhalte. Rein interne Schulungen bergen laut BSI die Gefahr struktureller Erkenntnisdefizite, weil der Blick von außen fehlt. Bei GEFIM stellt die Geschäftsleitung diesen Bezug im Selbststudium her – mit den Leitfragen an IT und Dienstleister in Modul 4 und ab Silber mit Vorlagen für Beschluss und Roadmap. Wer bei der Umsetzung im eigenen Unternehmen Unterstützung möchte, findet sie in der NIS2-Beratung, einem eigenen Angebot.

Welche Inhalte empfiehlt das BSI?

§ 38 Abs. 3 BSIG nennt drei verknüpfte Kompetenzfelder: Risiken erkennen und bewerten, Risikomanagementpraktiken kennen, die Auswirkungen auf die eigenen Dienste beurteilen. Die BSI-Handreichung erwartet, dass eine Schulung alle drei abdeckt. Eine Schulung, die sich nur auf Maßnahmen konzentriert, würde das BSI bei Aufsichtsmaßnahmen als nicht ausreichend bewerten.

Die Inhalte der GEFIM-Schulungsplattform orientieren sich an der BSI-Handreichung v1.0^{¹Fußnote 1: Hinweis zur BSI-Handreichung}. Eine Prüfung oder Anerkennung durch das BSI gibt es dafür nicht – und kann es auch nicht geben (siehe unten).

Wie wird die Teilnahme dokumentiert?

Die Einrichtung dokumentiert die Teilnahme intern und legt sie dem BSI oder von ihm beauftragten Prüfstellen auf Verlangen vor (§§ 61, 62 BSIG). Als Mindestinhalt einer aussagekräftigen Dokumentation nennt das BSI: Schulungsanbieter oder interne Stelle, Teilnehmende mit Name und Rolle, Datum, Uhrzeit und Dauer sowie die behandelten Inhalte und Formate mit Bezug zu § 38 Abs. 3 BSIG.

Wichtig für die Erwartungshaltung: Eine solche Dokumentation belegt nach Auffassung des BSI nur die Teilnahme, nicht den Erwerb ausreichender Kenntnisse. Diese zeigen sich darin, dass die Geschäftsleitung aktiv und nachvollziehbar an Risikoentscheidungen mitwirkt. Wer also die Teilnahmebescheinigung abheftet und sonst nichts ändert, hat wenig gewonnen.

So dokumentieren Sie die Schulung richtig

1. Anbieter oder interne Stelle benennen.
2. Teilnehmende mit Name und Funktion erfassen – jedes Mitglied der Geschäftsleitung einzeln.
3. Datum, Uhrzeit und Dauer jeder Lerneinheit festhalten.
4. Inhalte und Formate notieren und den drei Kompetenzfeldern aus § 38 Abs. 3 BSIG zuordnen.
5. Ausgelassene Inhalte begründen: Wenn ein Mitglied der Geschäftsleitung Themen wegen vorhandener Kenntnisse überspringt, gehören Entscheidung und Begründung in die Akte.
6. Unterlagen intern aufbewahren, auch nach Ende eines Plattformzugangs, und für eine Vorlage bereithalten.
7. Die Entscheidungen festhalten, die aus dem Gelernten folgen – Beschlüsse, Maßnahmenpläne, Protokolle.

Wie die GEFIM-Schulungsplattform Teilnahme, Lernzeit und Inhalte dokumentiert und welche Angaben die Teilnahmebescheinigung enthält, zeigen wir Ihnen in der Demo. Die Teilnahmebescheinigung je Person gibt es ab dem Paket Silber, zusammen mit einer Vorlage für den Geschäftsleitungsbeschluss. Details dazu stehen auf der Seite NIS2-Schulung für Geschäftsführer.

Muss die Geschäftsleitung eine Prüfung ablegen?

Nein. Weder das BSI-Gesetz noch die BSI-Handreichung verlangen eine Prüfung, einen Test oder ein Zertifikat für die Geschäftsleitung. Ein Wissenstest ist freiwilliger Mehrwert zur Selbstkontrolle. Er belegt keine „ausreichenden Kenntnisse“ im Sinne des § 38 Abs. 3 BSIG – diese zeigen sich nach Auffassung des BSI in nachvollziehbaren Risikoentscheidungen.

Gibt es BSI-zertifizierte NIS2-Schulungen?

Nein. Das BSI-Gesetz und die Handreichung sehen keine Zertifizierung, Anerkennung oder Zulassung von Geschäftsleitungsschulungen oder Schulungsanbietern vor. Das BSI spricht auch keine Empfehlung für einzelne Anbieter aus und rät stattdessen, das Angebot mit der Handreichung abzugleichen. Ein „NIS2-Zertifikat“ existiert ebenfalls nicht.

Vier Fragen, mit denen Sie ein Angebot selbst prüfen können:

• Deckt es alle drei Kompetenzfelder aus § 38 Abs. 3 BSIG ab – oder nur Maßnahmen?
• Welche Angaben enthält der Teilnahmenachweis, und bekommen Sie ihn exportiert?
• Wie wird der Bezug zu Ihrem Unternehmen und Ihrem Sektor hergestellt?
• Welche Arbeitsmittel unterstützen Sie bei der Umsetzung im eigenen Unternehmen?

Was passiert, wenn die Geschäftsleitung nicht geschult ist?

Ein Verstoß gegen § 38 Abs. 3 BSIG ist in § 65 BSIG nicht als eigener Bußgeldtatbestand aufgeführt. Die Schulung ist aber ausdrücklich Prüfgegenstand: Bei besonders wichtigen Einrichtungen kann das BSI Audits, Prüfungen oder Zertifizierungen anordnen (§ 61 Abs. 1 BSIG), bei wichtigen Einrichtungen anlassbezogen prüfen (§ 62 BSIG).

Wer eine vollziehbare Anordnung des BSI nicht befolgt, handelt ordnungswidrig; der Rahmen reicht bis 500.000 € (§ 65 Abs. 2 Nr. 1 Buchst. c, Abs. 5 Nr. 5 BSIG). Das ist eine Auslegung der Sanktionsvorschriften, kein Automatismus. Die persönliche Haftung der Geschäftsleitung knüpft dagegen an Absatz 1 an – also an Umsetzung und Überwachung der Maßnahmen, nicht an die Schulung. Was das konkret bedeutet, steht im Artikel NIS2-Haftung der Geschäftsführer.

Gilt die Schulungspflicht auch für Mitarbeitende?

§ 38 Abs. 3 BSIG richtet sich nur an die Geschäftsleitung. Für Beschäftigte gilt eine eigene, davon getrennte Pflicht der Einrichtung: § 30 Abs. 2 Satz 2 Nr. 7 BSIG verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Eine Geschäftsleitungsschulung deckt diese Sensibilisierung nicht ab.

Weitere kurze Antworten rund um Betroffenheit, Pflichten und Nachweise finden Sie auf der Seite Häufige Fragen zu NIS2.