NIS2-Schulungsanforderungen: Was § 38 und § 30 BSIG von Einrichtungen verlangen

NIS2-Schulungsanforderungen: Was § 38 und § 30 BSIG von Einrichtungen verlangen

Schulungen werden in vielen NIS2-Projekten als Nebensache behandelt. Die meisten Compliance-Diskussionen drehen sich um technische Maßnahmen: Firewalls, Verschlüsselung, Notfallpläne. Schulungen gelten dagegen oft als bloße Formsache oder als Aufgabe, die vollständig an die Personalabteilung abgegeben werden kann.

Das BSI-Gesetz (BSIG) in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes sieht das anders. Es regelt Schulungen an zwei getrennten Stellen — für zwei verschiedene Personengruppen und mit unterschiedlichen Folgen. § 38 Absatz 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, regelmäßig selbst an Schulungen teilzunehmen [1]. § 30 Absatz 2 Satz 2 Nummer 7 BSIG verlangt von den Einrichtungen „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ für die Beschäftigten [2]. Die Teilnahme an der Geschäftsleitungsschulung lässt sich nicht an andere Personen abgeben; Organisation und Durchführung beider Programme können dagegen intern oder extern vergeben werden. Das Gesetz schreibt dabei bewusst wenig vor: Es nennt weder Stundenumfang noch festes Intervall noch ein Zertifikat.

Dieser Artikel erläutert, was jede der beiden Pflichten verlangt, für wen sie gilt, welche Inhalte sich aus Gesetz, Durchführungsverordnung und BSI-Empfehlungen ableiten lassen und welche Dokumentation sich als Nachweis bewährt. Ob Sie als Personalleitung ein Schulungsprogramm aufbauen oder als Compliance-Verantwortliche eine Prüfung durch das BSI vorbereiten — dieser Leitfaden trennt, was gesetzlich verlangt ist, von dem, was gute Praxis ist.

Verwandte Inhalte: Vollständige Übersicht der NIS2-Anforderungen | NIS2-Compliance-Checkliste

§ 38 Absatz 3 BSIG: Die Schulungspflicht der Geschäftsleitung

In Deutschland ergibt sich die Schulungspflicht der Leitungsebene nicht unmittelbar aus der NIS2-Richtlinie, sondern aus dem BSIG. Artikel 20 Absatz 2 der Richtlinie richtet sich an die Mitgliedstaaten: Sie „stellen sicher, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen an Schulungen teilnehmen müssen“ [7]. Der deutsche Gesetzgeber hat dies in § 38 Absatz 3 BSIG umgesetzt [1]:

„Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.“

Die Vorschrift ist kurz, aber jedes Element hat Folgen für die Praxis. Im Folgenden wird erläutert, was sie konkret verlangt — und was nicht.

Wer geschult werden muss: die Geschäftsleitung

„Geschäftsleitung“ ist in § 2 Nummer 13 BSIG definiert als „eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung“ der Einrichtung berufen ist [3]. Erfasst sind damit typischerweise die Geschäftsführerinnen und Geschäftsführer einer GmbH oder die Mitglieder des Vorstands einer Aktiengesellschaft — und zwar jede dieser Personen einzeln. Das BSI schreibt in seiner Handreichung: „Alle Personen, die dieser Definition entsprechen, sind schulungspflichtig“, und geht davon aus, dass die Pflicht in der großen Mehrheit der Einrichtungen mehrere Personen trifft [9].

Es genügt daher nicht, dass der Chief Information Security Officer (CISO) oder die IT-Leitung eine Schulung absolviert und der Geschäftsleitung berichtet. Umgekehrt sind leitende Angestellte ohne Organstellung — etwa Bereichsleitungen oder der CISO selbst — nach dem Wortlaut nicht Adressaten des § 38 Absatz 3. Das BSI hält es aber für sinnvoll, die Schulungen auf Personen auszuweiten, die der Geschäftsleitung zuarbeiten oder anderweitig Entscheidungsvollmacht haben [9].

Drei Einschränkungen sollten Einrichtungen kennen:

• Bundesverwaltung: Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach § 29 BSIG gelten nicht als Geschäftsleitung [3]; für sie gilt nach der BSI-Handreichung die gleichlautende Regelung in § 43 Absatz 2 BSIG [9].
• Telekommunikation und Energie: § 38 gilt nicht für Einrichtungen, die ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen, und nicht für Betreiber von Energieversorgungsnetzen, Energieanlagen oder digitalen Energiediensten, die den §§ 5c bis 5e des Energiewirtschaftsgesetzes unterliegen — vorbehaltlich der Rückausnahmen in § 28 Absatz 5 Satz 2 BSIG [6].
• Finanzsektor: Für Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554 gelten die §§ 30 und 38 BSIG nach § 28 Absatz 6 BSIG ebenfalls nicht [6]; dort greifen die Vorgaben der DORA.

Was die Schulung leisten muss

§ 38 Absatz 3 BSIG beschreibt das Ziel der Schulung, nicht ihre Form. Aus dem Wortlaut ergeben sich drei Kompetenzen [1]:

1. Risiken erkennen und bewerten — die Geschäftsleitung soll wesentliche Bedrohungen, Eintrittswahrscheinlichkeiten und mögliche Auswirkungen einordnen können, statt sich allein auf zusammenfassende Berichte zu verlassen.
2. Risikomanagementpraktiken bewerten — sie soll beurteilen können, ob die nach § 30 BSIG ergriffenen Maßnahmen angemessen sind und wirken.
3. Auswirkungen auf die Dienste beurteilen — Risiken und Maßnahmen sollen mit dem Betrieb und den Diensten der Einrichtung verknüpft werden, sodass Cyberrisiken als Geschäftsrisiken greifbar werden.

Das BSI bezeichnet genau diese drei Bereiche — Erkennung und Bewertung von Risiken, Risikomanagementmaßnahmen und die Beurteilung ihrer Auswirkungen — als „Kerninhalte“ der Schulung [9]. Einen Mindestumfang legt es nicht fest: Intervall und Dauer sollen sich nach der Risikoexposition der Einrichtung und den individuellen Fähigkeiten der Geschäftsleitung richten. Ausdrücklich heißt es: „Geschäftsleitungen müssen nicht unbedingt mehrstündige Unterrichtsblöcke absolvieren, wenn Risikomanagement auch in alternativen Formaten vermittelt werden kann.“ Eine Prüfung der Teilnehmenden ist nach dem BSI „weder gesetzlich noch durch das BSI verpflichtend vorgesehen“ [9]. Maßstab ist, ob die Geschäftsleitung danach ihre Pflicht aus § 38 Absatz 1 BSIG erfüllen kann, die Risikomanagementmaßnahmen umzusetzen und deren Umsetzung zu überwachen.

Warum dies wichtig ist: Aufsicht und Haftung

Die Schulungspflicht steht in engem Zusammenhang mit der Umsetzungs- und Überwachungspflicht aus § 38 Absatz 1 BSIG. Verletzt die Geschäftsleitung diese Pflicht, haftet sie nach § 38 Absatz 2 BSIG ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform; nach dem BSIG selbst nur, wenn das Gesellschaftsrecht keine entsprechende Haftungsregelung enthält [1].

Für die Schulungspflicht selbst gilt: Ein Verstoß gegen § 38 Absatz 3 ist in § 65 BSIG nicht als Ordnungswidrigkeit aufgeführt [5]. Folgenlos ist er dennoch nicht. Das BSI kann gegenüber besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen ausdrücklich auch zur Erfüllung von § 38 Absatz 3 anordnen (§ 61 Absatz 1 BSIG) und Anordnungen zu ihrer Umsetzung erlassen (§ 61 Absatz 7 BSIG); bei wichtigen Einrichtungen ist dies möglich, wenn Tatsachen die Annahme rechtfertigen, dass die Pflicht nicht oder nicht richtig umgesetzt wird (§ 62 BSIG) [4]. Wer einer vollziehbaren Anordnung nach § 61 Absatz 7 nicht nachkommt, handelt ordnungswidrig; die Geldbuße kann bis zu 500.000 Euro betragen (§ 65 Absatz 2 Nummer 1 Buchstabe c, Absatz 5 Nummer 5 BSIG) [5]. Bei besonders wichtigen Einrichtungen kann die zuständige Aufsichtsbehörde zudem als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen, wenn Anordnungen des BSI trotz Fristsetzung nicht befolgt werden (§ 61 Absatz 9 BSIG) [4].

Hinzu kommt ein praktischer Punkt: Nach einem schwerwiegenden Vorfall wird eine Geschäftsleitung, die nie geschult wurde, schwer darlegen können, dass sie die Risikomanagementmaßnahmen sachkundig überwacht hat. Einen Überblick über die Sanktionen finden Sie in unserem Leitfaden zu NIS2-Sanktionen und Management-Haftung.

§ 30 Absatz 2 Nummer 7 BSIG: Schulung und Sensibilisierung der Beschäftigten

§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Zu den zehn Mindestmaßnahmen nach Absatz 2 Satz 2 gehören unter Nummer 7 „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ [2]. Die Vorschrift setzt Artikel 21 Absatz 2 Buchstabe g der NIS2-Richtlinie um, der von „grundlegende[n] Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“ spricht [7].

Adressaten sind nach dem BSI die Mitarbeitenden, „d.h. die internen und externen Nutzenden von Systemen und Anwendungen innerhalb der betroffenen Einrichtung“ [10]. Das BSI betont außerdem, dass diese Anforderung getrennt von der Schulungspflicht der Geschäftsleitung nach § 38 Absatz 3 zu sehen ist [10]. Die Einhaltung ist nach § 30 Absatz 1 Satz 3 BSIG zu dokumentieren [2]. Anders als § 38 Absatz 3 ist diese Pflicht bußgeldbewehrt: Wer eine Maßnahme nach § 30 Absatz 1 Satz 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig ergreift, handelt ordnungswidrig (§ 65 Absatz 2 Nummer 2 BSIG) — mit Geldbußen von bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen; für Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz gelten umsatzbezogene Obergrenzen [5].

Für elf Einrichtungsarten der digitalen Infrastruktur und digitaler Dienste — DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Rechenzentrumsdienstleister, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke und Vertrauensdiensteanbieter — hat die Durchführungsverordnung (EU) 2024/2690 nach § 30 Absatz 3 BSIG Vorrang [2] [8]. Ihr Anhang konkretisiert die Schulungspflicht in Nummer 8. Die wesentlichen Elemente sind:

• Zielgruppe (Nr. 8.1.1, 8.1.2): Das Sensibilisierungsprogramm richtet sich an die Mitarbeitenden einschließlich der Mitglieder der Leitungsorgane sowie — soweit angemessen — an direkte Anbieter und Diensteanbieter [8].
• Wiederholung und neue Mitarbeitende (Nr. 8.1.2 a): Das Programm ist „zeitlich so geplant, dass die Maßnahmen wiederholt werden und neue Mitarbeitende erreichen“ [8].
• Inhalte (Nr. 8.1.2 c): einschlägige Cyberbedrohungen, die bestehenden Risikomanagementmaßnahmen, Kontaktstellen und Ressourcen für Beratung sowie Verfahren der Cyberhygiene für Nutzer [8].
• Wirksamkeit und Aktualität (Nr. 8.1.3): Das Programm wird „soweit angemessen“ in geplanten Zeitabständen auf seine Wirksamkeit getestet und unter Berücksichtigung der aktuellen Bedrohungslage aktualisiert [8].
• Rollenbezogene Sicherheitsschulungen (Nr. 8.2): Beschäftigte, deren Rollen sicherheitsrelevante Fähigkeiten erfordern, sind zu ermitteln und regelmäßig zu schulen; die Schulung muss funktionsbezogen sein, ihre Wirksamkeit ist zu bewerten, und sie erfasst auch Rollenwechsel [8].

Für alle übrigen Einrichtungen bleibt es beim knappen Wortlaut von § 30 Absatz 2 Nummer 7 BSIG. Der Anhang der Durchführungsverordnung ist für sie nicht verbindlich, eignet sich aber gut als Auslegungshilfe.

Wer was benötigt: Schulungsanforderungen nach Rolle

Das BSIG schreibt kein einheitliches Schulungsprogramm für alle vor. Verschiedene Rollen tragen unterschiedliche Pflichten und brauchen unterschiedliche Inhalte. Die folgende Tabelle ordnet jeder Gruppe die Rechtsgrundlage und typische Inhalte zu. Die Spalte zum Turnus enthält Orientierungswerte aus der Praxis und den BSI-Empfehlungen — gesetzlich vorgeschrieben ist keiner dieser Werte.

Schulungsthemen: Was Durchführungsverordnung, ENISA und BSI nennen

Weder das BSIG noch die NIS2-Richtlinie enthalten eine Themenliste. Konkreter werden drei Dokumente mit unterschiedlicher Verbindlichkeit: der Anhang der Durchführungsverordnung (EU) 2024/2690 (verbindlich nur für die elf genannten Einrichtungsarten), die Umsetzungsleitlinien der ENISA (unverbindlich) und die Handreichung des BSI zur Geschäftsleitungsschulung (unverbindliche Empfehlung der deutschen Aufsichtsbehörde).

Anhang Nummer 8 der Durchführungsverordnung — verbindliche Mindestinhalte

Der Anhang ist knapper, als viele Ratgeber vermuten. Für das Sensibilisierungsprogramm aller Mitarbeitenden verlangt Nummer 8.1.2 Buchstabe c lediglich, dass es „einschlägige Cyberbedrohungen, bestehende Risikomanagementmaßnahmen im Bereich der Cybersicherheit, Kontaktstellen und Ressourcen für zusätzliche Informationen und Beratung zu Cybersicherheitsfragen sowie Verfahren im Bereich der Cyberhygiene für Nutzer abdeckt“. Für rollenbezogene Sicherheitsschulungen nennt Nummer 8.2.3 drei Pflichtinhalte [8]:

• Anweisungen für die sichere Konfiguration und den sicheren Betrieb der Netz- und Informationssysteme, einschließlich mobiler Geräte
• Unterrichtung über bekannte Cyberbedrohungen
• Schulung in Bezug auf das Verhalten bei sicherheitsrelevanten Ereignissen

ENISA-Leitlinien — indikative Themenliste für alle Beschäftigten

Die ENISA hat im Juni 2025 eine technische Umsetzungsleitlinie zur Durchführungsverordnung veröffentlicht. Zu Nummer 8.1.2 nennt sie als „indicative, non-exhaustive list“ unter anderem folgende Cyberhygiene-Themen [11]:

• Regelungen zum aufgeräumten Schreibtisch und zur Bildschirmsperre
• starke Authentifizierung, Mehr-Faktor-Authentifizierung und Passwörter
• Melden von Ereignissen
• sichere Nutzung von E-Mail und Web
• Schutz vor Phishing und Social Engineering, einschließlich Pretexting und Tailgating
• sichere Nutzung mobiler Geräte und sichere Verbindungen
• Datensicherung, Software-Updates und sichere Gerätekonfiguration
• sicheres Arbeiten im Homeoffice, einschließlich der Konfiguration des Heimnetzes
• Ursachen unbeabsichtigter Datenpreisgabe, etwa Fehlversand oder Verlust mobiler Geräte
• Schadsoftware und die Risiken nicht genehmigter Software

BSI-Handreichung — Inhalte für die Geschäftsleitung

Für die Geschäftsleitungsschulung formuliert das BSI Empfehlungen als Checkliste mit SOLL- und KANN-Inhalten [9]. Zu den SOLL-Inhalten gehören unter anderem:

• Sinn, Ziele und Grundbegriffe des Risikomanagements — etwa Eintrittswahrscheinlichkeit, Schadensausmaß und Risikoakzeptanz
• die gesetzlichen Mindestmaßnahmen nach § 30 Absatz 2 BSIG und wie Maßnahmen ausgewählt, priorisiert und überprüft werden
• Strategien zur Risikobehandlung (Vermeidung, Minderung, Übertragung, Akzeptanz)
• betriebliche, wirtschaftliche und regulatorische Auswirkungen sowie Abhängigkeiten zwischen Systemen, Prozessen und Dienstleistungen
• als unterstützende Inhalte: Meldepflicht und -fristen, Registrierungspflicht, Umsetzungs- und Überwachungspflicht, mögliche Haftung und die Pflicht zur regelmäßigen Schulung

Wenn Sie Schulungen für die Geschäftsleitung konzipieren oder einkaufen, eignet sich diese Checkliste als inhaltlicher Maßstab. Das BSI empfiehlt außerdem, allgemeine Inhalte um einrichtungs- und sektorspezifische Inhalte zu ergänzen — etwa kritische Geschäftsprozesse, Governance-Strukturen und die aktuelle Risikolage [9].

Schulungsmethoden und -durchführung

Weder das BSIG noch die Durchführungsverordnung schreiben bestimmte Formate vor. Die Durchführungsverordnung verlangt für die elf erfassten Einrichtungsarten aber, dass die Wirksamkeit getestet beziehungsweise bewertet wird (Anhang Nummern 8.1.3 und 8.2.3) [8], und die ENISA nennt dafür beispielhaft Quizze oder reale Szenarien [11]. Verschiedene Methoden dienen unterschiedlichen Zwecken.

E-Learning-Plattformen

Skalierbar, nachverfolgbar und flexibel. Geeignet für die Grundlagensensibilisierung aller Beschäftigten. Der wesentliche Vorteil liegt in der automatischen Teilnahmeerfassung und der Quiz-Auswertung. Die Einschränkung ist die geringe Einbindung — passiver Konsum ändert ohne Verstärkung selten Verhalten. Nutzen Sie E-Learning für grundlegende Inhalte, nicht als einzige Methode.

Workshops mit Trainerin oder Trainer

Höhere Einbindung, Raum für Fragen, besser geeignet für differenzierte Themen. Für Geschäftsleitungsschulungen gut geeignet, weil reale Szenarien und das konkrete Risikoprofil der Einrichtung besprochen werden können. Das BSI rät ohnehin dazu, Inhalte anhand von Beispielszenarien, interaktiven Übungen oder Case Studies greifbar zu machen [9].

Tabletop-Übungen

Szenariobasierte Übungen testen die tatsächliche Entscheidungsfindung unter simuliertem Druck und eignen sich besonders für Vorfallbewältigung und Krisenmanagement. Das BSI nennt Tabletop-Übungen und Planspiele ausdrücklich als Format der Geschäftsleitungsschulung, ebenso ein „Risikomanagement-Quarterly“ mit der oder dem Informationssicherheitsbeauftragten [9]. In seinen Leitfragen führt es als Beispiel einer hilfreichen Antwort an: „Wir führen regelmäßig (mindestens jährlich) Szenario-Übungen oder Planspiele durch“ [9]. Eine Übung für die Geschäftsleitung, die ein Ransomware-Szenario einschließlich der Meldefristen nach § 32 BSIG (frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden) durchspielt, deckt alle drei Kompetenzen aus § 38 Absatz 3 BSIG in einer Sitzung ab.

Phishing-Simulationen

Simulierte Phishing-E-Mails zeigen, wer klickt, wer meldet und wer ignoriert. Eine Pflicht zu Phishing-Simulationen enthält weder das BSIG noch die Durchführungsverordnung; das BSI nennt Phishing-Tests in seinen Leitfragen aber als Teil einer guten Praxis [9]. Verfolgen Sie Trends im Zeitverlauf — insbesondere eine steigende Melderate ist ein brauchbarer Hinweis darauf, dass das Programm wirkt.

Wie belastbar die Klickrate als Beleg ist, hängt allerdings vom Format ab: Eine große randomisierte Studie mit über 19.500 Beschäftigten fand keinen signifikanten Zusammenhang zwischen einer kürzlich absolvierten jährlichen Pflichtschulung und dem Durchfallen bei Phishing-Simulationen [13]. Der IT-Grundschutz-Baustein ORP.3.A8 empfiehlt zudem als SOLL-Anforderung, dass Messungen „sowohl quantitative als auch qualitative Aspekte“ berücksichtigen [12]. Welche Erkennungsmerkmale das BSI selbst nennt, woher die Pflicht rechtlich kommt und welches Format nachweislich wirkt, behandelt unser Leitfaden Phishing-Mails erkennen.

Kurze themenbezogene Sitzungen

Informelle Kurzsitzungen zu neuen Bedrohungen halten das Thema zwischen den großen Schulungszyklen präsent. Eine 20-minütige Sitzung zu einer neuen Phishing-Masche oder einem aktuellen Vorfall in der eigenen Branche bleibt oft besser im Gedächtnis als die Wiederholung desselben Jahresmoduls.

Praktische technische Übungen (nur IT- und Sicherheitspersonal)

Übungen in geschützten Umgebungen — Schwachstellenscans, Übungen zur Vorfallbewältigung, Protokollanalyse. Für technisches Personal sehr wertvoll, als allgemeine Sensibilisierungsmethode aber nicht geeignet. Die ENISA nennt für rollenbezogene Schulungen ausdrücklich auch Hands-on-Labs und Simulationen [11].

Beispiel für ein kombiniertes Jahresprogramm

Das folgende Programm ist ein Beispiel aus der Praxis, keine gesetzliche Vorgabe. Es greift die Empfehlungen von BSI und ENISA auf und lässt sich an Größe und Risikolage der Einrichtung anpassen:

• Bei der Einstellung: Ersteinweisung zur Informationssicherheit zeitnah nach Eintritt
• Jährlich: Auffrischung für alle Beschäftigten mit Informationen über aktuelle Neuerungen; Überprüfung und Aktualisierung des Programms
• Laufend: Phishing-Simulationen und kurze Hinweise zu neuen Bedrohungen in einem Turnus, den die Einrichtung selbst festlegt
• Für die Geschäftsleitung: ausführliche Erstschulung, danach regelmäßige Folgeschulungen — etwa als Workshop, Risikomanagement-Quarterly oder jährliche Tabletop-Übung
• Anlassbezogen: zusätzliche Schulungen nach schwerwiegenden Vorfällen, bei Rollenwechseln oder bei Einführung neuer Systeme

Häufigkeit und Auffrischungsanforderungen

Ein festes Intervall schreibt keine der einschlägigen Rechtsquellen vor. Das BSIG spricht in § 38 Absatz 3 von „regelmäßig“, § 30 Absatz 2 Nummer 7 nennt gar keinen Turnus. Die folgende Übersicht zeigt, was die einzelnen Quellen tatsächlich sagen.

Dokumentieren Sie Ihren Schulungskalender als vorausschauenden Plan, nicht als nachträgliches Protokoll. So lässt sich bei einer Prüfung zeigen, dass Schulungen gezielt und systematisch erfolgen und nicht nur als Reaktion auf Vorfälle.

Für deutsche Einrichtungen gilt: Maßgeblich ist das BSI-Gesetz. Es schreibt der Geschäftsleitung in § 38 Absatz 3 BSIG nur „regelmäßig“ vor — einen festen Mindestturnus nennt auch die aktuelle Handreichung des BSI (Version 1.0 vom 17. April 2026) nicht. Warum diese Pflicht zugleich nicht bußgeldbewehrt und dennoch nach §§ 61 und 62 BSIG unmittelbar prüfbar ist, erklärt unser Leitfaden zur NIS2-Schulungspflicht der Geschäftsführung.

Schulungsnachweise und Compliance-Belege

Die Durchführung von Schulungen ist notwendig, aber nicht ausreichend. Einrichtungen müssen die Einhaltung ihrer Maßnahmen nach § 30 Absatz 1 Satz 3 BSIG dokumentieren [2], und die Dokumentation zur Geschäftsleitungsschulung ist nach dem BSI „intern aufzubewahren und auf Verlangen dem BSI bzw. den vom BSI beauftragten ‚unabhängigen Stellen‘“ vorzulegen [9]. Im Rahmen einer Prüfung oder nach einem schwerwiegenden Vorfall kann es erforderlich sein, Unterlagen kurzfristig vorzulegen.

Was zu dokumentieren ist

Für die Geschäftsleitungsschulung nennt das BSI als Mindestinhalt einer aussagekräftigen Dokumentation: Angaben zum Schulungsanbieter oder zur internen Stelle, zu den Teilnehmenden (Name, Rolle/Funktion), Datum, Uhrzeit und Dauer der Schulungseinheiten sowie die behandelten Inhalte und Formate mit Bezug zu § 38 Absatz 3 BSIG [9]. Für das gesamte Programm haben sich folgende Nachweise bewährt:

• Teilnahmenachweise: Namen, Daten und Format jeder Schulungsveranstaltung
• Schulungsinhalte: die verwendeten Materialien, Folien oder E-Learning-Module — ausreichend, um zu zeigen, welche Themen behandelt wurden und wie sie sich auf § 30 Absatz 2 Nummer 7 und § 38 Absatz 3 BSIG (sowie gegebenenfalls Anhang Nummer 8 der Durchführungsverordnung) beziehen
• Bewertungsergebnisse: Quiz-Ergebnisse, Klick- und Melderaten aus Phishing-Simulationen, Feedback der Teilnehmenden — Belege für die Wirksamkeit, nicht nur für die Teilnahme
• Bestätigung der Geschäftsleitung: optional eine unterzeichnete Bestätigung jedes Mitglieds der Geschäftsleitung über die absolvierte Schulung nach § 38 Absatz 3 BSIG
• Schulungsplan: vorausschauender Zeitplan mit geplanten Maßnahmen, Verantwortlichen und Zielgruppen
• Lückenanalyse: laufende Übersicht ausstehender Schulungen mit geplanten Abschlussterminen

Das BSI weist auf eine Grenze hin: Eine solche Dokumentation belegt nur die regelmäßige Teilnahme, nicht die Vermittlung ausreichender Kenntnisse. Der Lernerfolg zeige sich vielmehr in den Unterlagen zur Entscheidungsfindung und zur Umsetzung der Risikomanagementmaßnahmen — also darin, dass die Geschäftsleitung „aktiv und nachvollziehbar an Entscheidungen im Risikomanagement mitwirkt“ [9].

Aufbewahrungsfrist

Weder das BSIG noch die Durchführungsverordnung legen eine Aufbewahrungsfrist für Schulungsnachweise fest. Zwei Gesichtspunkte helfen bei der Festlegung: Das BSI kann von besonders wichtigen Einrichtungen, die nicht nach § 61 Absatz 1 BSIG geprüft werden, Nachweise erst „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes“ anfordern (§ 61 Absatz 3 BSIG) [4] — Nachweise sollten also mehrere Schulungszyklen abdecken. Zugleich enthalten Teilnahmelisten personenbezogene Daten, die nach dem Grundsatz der Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e DSGVO) nur so lange gespeichert werden dürfen, wie es für den Zweck erforderlich ist [14]. Legen Sie die Frist deshalb in einem Löschkonzept fest und begründen Sie sie. Die Unterlagen sollten leicht auffindbar sein und das Ausscheiden einzelner Beschäftigter im Rahmen dieser Frist überdauern.

Bestätigung der Geschäftsleitung als Compliance-Anker

Speziell für § 38 Absatz 3 BSIG empfiehlt es sich, einen formalen jährlichen Bestätigungsprozess einzuführen: Jedes Mitglied der Geschäftsleitung unterzeichnet eine Erklärung, in der es bestätigt, die Schulung absolviert zu haben und seine Pflichten nach § 38 BSIG zu kennen. Gesetzlich vorgeschrieben ist eine solche Erklärung nicht. Sie schafft aber einen eindeutigen Prüfpfad und schärft das Bewusstsein, bevor die nächste Schulung ansteht, nicht erst danach.

Vorlagen zur Unterstützung Ihres Schulungsprogramms

Ein belastbares Schulungsprogramm erfordert mehr als die Durchführung von Veranstaltungen. Die Governance-Ebene — Richtlinien, Pläne und Nachweise — macht Schulungen prüfbar und nachhaltig.

Unsere NIS2-Compliance-Vorlagenbibliothek enthält unter anderem zwei Dokumente, die speziell für die Schulungspflichten entwickelt wurden:

Erster Schulungsplan (Dokument 03)

Ein Planungsdokument für Rollen, Themen, Durchführungsmethoden, Häufigkeiten und Verantwortlichkeiten. Es dient als Programmdokument, in dem Zielgruppen und Turnus festgelegt werden, und ist so aufgebaut, dass Sie es durch Eintragen der organisationsspezifischen Angaben — Rollen, Namen, Termine — vervollständigen können, statt bei null zu beginnen. Als Durchführungsnachweis ergänzt ihn das Schulungsprotokoll (Dokument 55).

HR-Sicherheitsrichtlinie (Dokument 33)

Behandelt die sicherheitsrelevanten Aspekte des gesamten Beschäftigungslebenszyklus, einschließlich der Schulungspflichten in jeder Phase: Überprüfung bei der Einstellung, Ersteinweisung, regelmäßige Auffrischung, Auslöser bei Rollenwechseln sowie sicheres Ausscheiden. Die Richtlinie legt fest, welche Schulungen in der Einrichtung verpflichtend sind und in welchem Turnus — und bietet damit ein Governance-Dokument, das das Schulungsprogramm untermauert.

Beide Vorlagen orientieren sich an § 30 Absatz 2 Nummer 7 BSIG und am Anhang der Durchführungsverordnung (EU) 2024/2690 und sind darauf ausgelegt, einer Prüfung durch das BSI eine nachvollziehbare Struktur entgegenzusetzen; an die eigene Einrichtung angepasst werden müssen sie in jedem Fall. Den vollständigen Satz finden Sie in der Vorlagenbibliothek. Für Ihren gesamten Umsetzungsfahrplan nutzen Sie unsere NIS2-Compliance-Checkliste.

Häufig gestellte Fragen

Kann die Geschäftsleitung ihre Schulungspflicht delegieren?

Nein. § 38 Absatz 3 BSIG verlangt, dass die Geschäftsleitungen selbst „regelmäßig an Schulungen teilnehmen“ [1]. Ein CISO oder die IT-Leitung kann nicht stellvertretend teilnehmen. Schulungspflichtig ist jede Person, die nach § 2 Nummer 13 BSIG zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist [3]. Delegieren lassen sich nur Organisation und Durchführung: Das BSI hält sowohl externe Anbieter als auch interne fachliche Stellen für geeignet [9].

Was passiert, wenn ein Geschäftsführer die Schulung nicht absolviert?

Ein Verstoß gegen § 38 Absatz 3 BSIG ist nicht unmittelbar bußgeldbewehrt [5]. Das BSI kann die Einhaltung aber prüfen und Anordnungen erlassen (§§ 61, 62 BSIG); wer einer vollziehbaren Anordnung nicht nachkommt, riskiert ein Bußgeld von bis zu 500.000 Euro, und bei besonders wichtigen Einrichtungen kommt als letztes Mittel eine vorübergehende Untersagung der Leitungstätigkeit in Betracht [4] [5]. Zivilrechtlich bleibt die Haftung gegenüber der Einrichtung nach § 38 Absatz 2 BSIG zu beachten: Sie knüpft an die Umsetzungs- und Überwachungspflicht aus Absatz 1 an, deren sachkundige Erfüllung ohne Schulung schwer darzulegen ist [1]. Mehr dazu in unserem Leitfaden zu NIS2-Sanktionen und Management-Haftung.

Wie oft müssen NIS2-Schulungen stattfinden?

Das BSIG schreibt für die Geschäftsleitung nur „regelmäßig“ vor und nennt für die Beschäftigten gar keinen Turnus [1] [2]. Das BSI empfiehlt für die Geschäftsleitung eine ausführliche Erstschulung mit regelmäßigen, risikoangemessenen Folgeschulungen [9] und hält für Beschäftigte eine Schulung bei der Ersteinweisung plus jährliche Information über Neuerungen für zweckmäßig [10]. Die ENISA empfiehlt, die Programme mindestens jährlich zu überprüfen und zu aktualisieren [11]. Zusätzliche Schulungen bieten sich nach schwerwiegenden Vorfällen, bei Rollenwechseln und bei wesentlichen Änderungen an.

Müssen auch externe Kräfte und Zeitarbeitskräfte geschult werden?

Das BSI versteht unter Mitarbeitenden ausdrücklich „die internen und externen Nutzenden von Systemen und Anwendungen“ der Einrichtung [10]; Werkstudierende, Zeitarbeitskräfte oder externe Dienstleister mit Systemzugang sollten daher einbezogen werden. Für die elf Einrichtungsarten der Durchführungsverordnung erstreckt sich das Sensibilisierungsprogramm „soweit angemessen“ auch auf direkte Anbieter und Diensteanbieter (Anhang Nummer 8.1.2) [8].

Reichen kostenlose Online-Kurse aus?

Das kann genügen, wenn die Inhalte zu § 30 Absatz 2 Nummer 7 BSIG passen und die Teilnahme dokumentiert wird; für die elf Einrichtungsarten der Durchführungsverordnung müssen zusätzlich die Inhalte aus Anhang Nummer 8 abgedeckt sein. Für die Geschäftsleitung sind allgemeine Kurse meist nicht ausreichend: Das BSI legt Wert darauf, dass die Schulung die individuellen Gegebenheiten der Einrichtung berücksichtigt [9]. Generische Kurse behandeln zudem selten deutsche Besonderheiten wie die Meldefristen nach § 32 BSIG — prüfen Sie die Inhalte vor dem Einsatz.

Wie weisen wir nach, dass unser Schulungsprogramm wirkt?

Für die elf Einrichtungsarten der Durchführungsverordnung ist die Wirksamkeit zu testen beziehungsweise zu bewerten (Anhang Nummern 8.1.3 und 8.2.3) [8]; für alle anderen Einrichtungen verlangt § 30 Absatz 2 Nummer 6 BSIG allgemein Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen [2]. Praktische Kennzahlen sind Melderaten und Zeit bis zur ersten Meldung bei Phishing-Simulationen, Quiz-Ergebnisse im Zeitverlauf, Feedback der Teilnehmenden und die Entwicklung gemeldeter Sicherheitsereignisse. Der IT-Grundschutz-Baustein ORP.3 empfiehlt, quantitative und qualitative Aspekte zu kombinieren [12]. Dokumentieren Sie die Kennzahlen mit Trendanalyse in Ihren Schulungsnachweisen.

Quellen

1. § 38 BSIG — Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de.
2. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de — insbesondere Absatz 1 Satz 3, Absatz 2 Satz 2 Nummern 6, 7 und 9, Absatz 3.
3. § 2 BSIG — Begriffsbestimmungen (Nummer 13: Geschäftsleitung), gesetze-im-internet.de.
4. § 61 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen und § 62 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen, gesetze-im-internet.de.
5. § 65 BSIG — Bußgeldvorschriften, gesetze-im-internet.de — insbesondere Absatz 2 Nummern 1 und 2, Absätze 5 bis 7.
6. § 28 BSIG — Besonders wichtige Einrichtungen und wichtige Einrichtungen, gesetze-im-internet.de — Absätze 5 und 6.
7. Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), deutsche Amtsblattfassung, EUR-Lex — Artikel 20 Absatz 2, Artikel 21 Absatz 2 Buchstabe g.
8. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, deutsche Amtsblattfassung, EUR-Lex — Artikel 1, Anhang Nummern 8.1, 8.2 und 10.
9. BSI. Schulung für Geschäftsleitungen — Handreichung für die Empfehlung zur Schulungspflicht für Geschäftsleitungen wichtiger Einrichtungen und besonders wichtiger Einrichtungen nach dem BSI-Gesetz, Version 1.0 vom 17. April 2026 (PDF) — Kapitel 1.1 bis 1.5, 2 und 3.
10. BSI. #nis2know: Grundlegende Schulungen und Sensibilisierungsmaßnahmen, Bundesamt für Sicherheit in der Informationstechnik.
11. ENISA. Technical Implementation Guidance on Cybersecurity Risk Management Measures, Version 1.0, Juni 2025 (PDF) — Kapitel 8.
12. BSI. IT-Grundschutz-Kompendium, Baustein ORP.3 Sensibilisierung und Schulung zur Informationssicherheit, Edition 2023 (PDF) — Anforderung ORP.3.A8.
13. Ho, G.; Mirian, A.; Luo, E. et al. Understanding the Efficacy of Phishing Training in Practice. IEEE Symposium on Security and Privacy 2025 (PDF).
14. Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), deutsche Amtsblattfassung, EUR-Lex — Artikel 5 Absatz 1 Buchstabe e.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Maßgeblich ist das BSI-Gesetz in der Fassung des NIS2UmsuCG. Für eine auf Ihre Einrichtung zugeschnittene Bewertung wenden Sie sich an eine qualifizierte Rechts- oder Compliance-Fachkraft.