NIS2-Schulung für Geschäftsführer: Die eine Pflicht, die Sie nicht delegieren können — und die das BSI prüfen darf

Wer den Volltext des § 65 BSIG nach „§ 38“ durchsucht, findet null Treffer. Die Bußgeldvorschrift des BSI-Gesetzes verweist auf 23 Paragrafen — auf § 30, § 32, die Registrierungspflichten der §§ 33 und 34, bis hinunter zu den Aufsichtsnormen §§ 61 und 62. Auf § 38, der die Pflichten der Geschäftsleitung regelt, verweist sie kein einziges Mal.

Wer dagegen § 61 Absatz 1 liest, findet dort genau eine Pflicht der Geschäftsleitung ausdrücklich benannt: Das BSI kann Audits durch unabhängige Stellen anordnen „zur Prüfung der Erfüllung der Verpflichtungen nach § 30 Absatz 1 Satz 1 … sowie § 38 Absatz 3“ — der Schulungspflicht.

Daraus folgt eine Sanktionslogik, die in der deutschsprachigen Ratgeberliteratur fast durchgehend falsch herum dargestellt wird. Die Schulungspflicht der Geschäftsleitung ist nicht bußgeldbewehrt — und zugleich die einzige Pflicht des § 38, die eine Prüfstelle im Auftrag des BSI unmittelbar aufschlagen kann. Sie ist außerdem die einzige, die niemand für Sie erfüllen kann.

Wer schulungspflichtig ist — und warum „die Geschäftsführung“ die falsche Antwort ist

Die Pflicht trifft keine Funktion und kein Gremium, sondern Personen. Geschäftsleitung im Sinne des BSIG ist nach § 2 Nummer 13 jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist. Das BSI schreibt dazu in seiner Handreichung: „Alle Personen, die dieser Definition entsprechen, sind schulungspflichtig“, und geht davon aus, „dass die Schulungspflicht in der großen Mehrheit der Einrichtungen mehrere Personen trifft“.

Praktisch heißt das: Drei Geschäftsführer sind drei Schulungspflichten. Es genügt nicht, dass einer teilnimmt und die anderen unterrichtet — der Zweck der Norm ist, dass jede Person, die mitentscheidet, die Risiken selbst beurteilen kann.

Personenkreis	Rechtsgrundlage	Persönlich schulungspflichtig?
Geschäftsführer, Vorstände, geschäftsführende Gesellschafter einer besonders wichtigen oder wichtigen Einrichtung	§ 38 Abs. 3 i. V. m. § 2 Nr. 13 BSIG	Ja — jede Person einzeln
Leitungen von Einrichtungen der Bundesverwaltung (§ 29 BSIG)	§ 43 Abs. 2 BSIG (gleichlautend, nicht § 38)	Ja
Prokuristen, Bereichsleitungen, IT-Leitung, Informationssicherheitsbeauftragte	—	Nein. Das BSI hält eine freiwillige Ausweitung auf zuarbeitende Personen für sinnvoll
Beschäftigte allgemein	§ 30 Abs. 2 Satz 2 Nr. 7 BSIG	Als Maßnahme der Einrichtung — keine persönliche Pflicht
Geschäftsleitungen nicht regulierter Unternehmen	—	Nein; die BSI-Empfehlung gilt für sie ausdrücklich freiwillig

Warum die Teilnahme höchstpersönlich ist

§ 38 enthält drei Pflichten, und sie verhalten sich unterschiedlich zur Delegation. Absatz 1 verlangt, die Risikomanagementmaßnahmen nach § 30 „umzusetzen und ihre Umsetzung zu überwachen“. Die Ausführung darf an ein Team, einen Informationssicherheitsbeauftragten oder einen Dienstleister gehen — die Überwachung bleibt bei der Leitung. Absatz 3 dagegen adressiert die Teilnahme selbst: Geschäftsleitungen „müssen regelmäßig an Schulungen teilnehmen“. Ein Stellvertreter kann diese Teilnahme nicht erbringen, weil das Ergebnis — Kenntnisse und Fähigkeiten in einem bestimmten Kopf — nicht übertragbar ist.

Der Wortlaut nennt den Zweck ausdrücklich: ausreichende Kenntnisse zu erlangen, um Risiken und Risikomanagementpraktiken „zu erkennen und zu bewerten“ sowie deren Auswirkungen auf die erbrachten Dienste „beurteilen zu können“. Beurteilungsfähigkeit ist die Voraussetzung dafür, die Überwachungspflicht aus Absatz 1 überhaupt erfüllen zu können. Die beiden Absätze sind kein Nebeneinander, sondern eine Kette.

Auf europäischer Ebene ist diese Pflicht auffallend asymmetrisch formuliert. Artikel 20 Absatz 2 NIS2 verlangt, dass Mitglieder der Leitungsorgane „are required to follow training“ — während die Mitgliedstaaten Einrichtungen lediglich ermutigen sollen („shall encourage“), vergleichbare Schulungen ihren Beschäftigten anzubieten. Die verbindliche Mitarbeiterschulung folgt daher nicht aus Artikel 20 Absatz 2, sondern aus Artikel 21 Absatz 2 Buchstabe g, in Deutschland umgesetzt in § 30 Absatz 2 Satz 2 Nummer 7 BSIG. Wer schreibt, Artikel 20 Absatz 2 verlange Mitarbeiterschulungen, zitiert die Norm falsch.

Die Sanktionslogik steht auf dem Kopf

Die verbreitete Darstellung lautet: Wer die Schulung auslässt, riskiert ein Bußgeld. Das ist nach dem geltenden Gesetzestext nicht haltbar. § 65 BSIG zählt die Ordnungswidrigkeiten abschließend auf und nennt § 38 an keiner Stelle. Umgekehrt benennen die Aufsichtsnormen § 61 Absatz 1 und § 62 die Schulungspflicht ausdrücklich als Prüfgegenstand.

Pflicht	Delegierbar?	Bußgeld nach § 65?	Ausdrücklich prüfbar nach §§ 61/62?
§ 30 Abs. 1 S. 1 — Risikomanagementmaßnahmen	Ja (Einrichtungspflicht)	Ja	Ja
§ 32 — Meldepflichten	Ja (Einrichtungspflicht)	Ja	Ja
§ 38 Abs. 1 — umsetzen und überwachen	Ausführung ja, Überwachung nein	Nein	Nicht genannt
§ 38 Abs. 3 — Schulungsteilnahme	Nein	Nein	Ja — namentlich benannt

Die Konsequenz ist unbequemer, als ein Bußgeld es wäre. Ein Verstöße gegen § 38 führt nicht in ein Verwaltungsverfahren, sondern über § 38 Absatz 2 in die gesellschaftsrechtliche Innenhaftung: Geschäftsleitungen haften ihrer Einrichtung für schuldhaft verursachte Schäden „nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts“. Satz 2 macht die BSIG-Haftung dabei ausdrücklich subsidiär — für GmbH und AG greifen primär § 43 GmbHG und § 93 AktG. Die Einzelheiten dazu behandelt unser Beitrag zur Geschäftsleiterhaftung nach § 38 BSIG; die Bußgeldrahmen gegen die Einrichtung stehen in der Bußgeldstaffel des § 65.

Wann die Prüfung realistisch wird, hängt von der Einstufung ab — und dieser Unterschied wird selten benannt:

• Besonders wichtige Einrichtungen: Das BSI kann nach § 61 Absatz 1 anlassunabhängig Audits durch unabhängige Stellen anordnen. Die Vorlage von Nachweisen gegenüber weiteren besonders wichtigen Einrichtungen kann es nach Absatz 3 erst „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes“ verlangen — das novellierte BSIG gilt seit dem 6. Dezember 2025, also frühestens ab Dezember 2028. Für zugelassene Krankenhäuser nach § 108 SGB V beträgt diese Frist fünf Jahre.
• Wichtige Einrichtungen: § 62 erlaubt eine Überprüfung nur, wenn „Tatsachen die Annahme rechtfertigen“, dass unter anderem § 38 Absatz 3 nicht oder nicht richtig umgesetzt wird — also anlassbezogen, typischerweise nach einem Vorfall.

Für wichtige Einrichtungen bedeutet das: Die Schulungsdokumentation wird in dem Moment relevant, in dem ohnehin etwas schiefgegangen ist. Wie eine solche Prüfung abläuft, beschreibt unser Leitfaden zur Vorbereitung auf ein NIS2-Audit.

„Alle drei Jahre, vier Stunden“ — zwei Zahlen, die nicht im Gesetz stehen

Beide Zahlen kursieren in nahezu jedem deutschen Ratgeber zum Thema. Beide sind — als Rechtspflicht — falsch, und eine davon hat das BSI inzwischen selbst zurückgezogen.

In der vorläufigen Fassung 0.9 seiner Handreichung vom 30. September 2025 schrieb das BSI: „Mindestens aber sollen die Schulungen alle drei Jahre stattfinden.“ In der aktuellen Version 1.0 vom 17. April 2026 ist dieser Satz ersatzlos entfallen. Dort heißt es stattdessen: „Das BSIG macht zu Intervall und Dauer der verpflichtenden Schulungen von Geschäftsleitungen keine konkreten Vorgaben über den Begriff ‚regelmäßig‘ hinaus.“ Das BSI hat die Handreichung nach eigener Angabe nach Inkrafttreten des novellierten BSI-Gesetzes und in Abstimmung mit Verbänden überarbeitet. Der Drei-Jahres-Mindestturnus hat diese Überarbeitung nicht überlebt.

Die vier Stunden stammen aus einer anderen Quelle, und ihre Herkunft ist aufschlussreich. Sie stehen im Erfüllungsaufwand des Gesetzentwurfs (BT-Drucksache 21/1501), Vorgabe 4.2.4. Dort formuliert der Gesetzgeber selbst: „Des Weiteren wird frei angenommen, dass es sich im Durchschnitt um eine halbtägige Schulung handelt (4 Stunden).“ Es handelt sich um eine erklärte Rechenannahme zur Kostenschätzung. Im selben Abschnitt räumt der Entwurf ein: „eine konkrete Periodizität wird allerdings nicht vorgegeben. Zusätzlich ist unklar, wer im Unternehmen konkret zu den Geschäftsleitern zählt.“

Position (Vorgabe 4.2.4)	Fallzahl	Zeit je Fall	Lohnsatz	Sachkosten je Fall	Aufwand pro Jahr
Geschäftsleitungen	150.000	4 Stunden	62,40 €	110 €	53,94 Mio. €
Beschäftigte	3.000.000	1 Stunde	37,10 €	0 €	111,30 Mio. €
Summe (gedruckt: 165.240 Tsd. €)					165,24 Mio. €

Rechnet man das Modell auf den einzelnen Kopf herunter — eine eigene Ableitung, der Entwurf druckt sie nicht —, veranschlagt der Gesetzgeber pro Geschäftsleiter und Jahr rund 360 Euro: 4 × 62,40 € Arbeitszeit plus 110 € Sachkosten für externe Dozenten. Der Entwurf weist zudem darauf hin, dass bereits kostenlose Online-Schulungen existieren und die Sachkosten dann „bedeutend geringer ausfallen“ würden. Gemessen an der Innenhaftung, die auf der anderen Seite steht, ist dies die billigste Pflicht des gesamten Regimes. Wie sie sich in den Gesamtaufwand einordnet, zeigt unsere Analyse der NIS2-Kosten für KMU.

Verbindlich ist damit ausschließlich das Wort „regelmäßig“. Das BSI empfiehlt eine ausführliche Erstschulung mit anschließenden Folgeschulungen und nennt vier Anlässe, die Art, Dauer und Intervall bestimmen sollten: Wechsel in der Geschäftsleitung, signifikante Änderungen der Geschäftsprozesse, der Risikoexposition oder der implementierten beziehungsweise geplanten Risikomanagementmaßnahmen. Ein jährlicher Turnus ist eine verbreitete und gut begründbare Praxis — eine gesetzliche Vorgabe ist er nicht.

Welches Format wirkt — und warum der Pflichtkurs das schwächste ist

Version 1.0 der Handreichung enthält eine bemerkenswerte Freigabe: „Geschäftsleitungen müssen nicht unbedingt mehrstündige Unterrichtsblöcke absolvieren, wenn Risikomanagement auch in alternativen Formaten vermittelt werden kann.“ Das BSI nennt als Beispiele ein Risikomanagement-Quarterly mit dem Informationssicherheitsbeauftragten, Tabletop-Übungen und Planspiele, eine Audit-Simulation nach der Methodik eines künftigen §-61-Audits, Management-Red-/Blue-Teaming, Case Studies und Live-Hacking.

Diese Verschiebung weg vom Frontalunterricht deckt sich mit dem, was die belastbarste Studie zum Thema gefunden hat. Ho, Mirian, Luo und Kollegen untersuchten auf dem 46. IEEE Symposium on Security and Privacy (2025) über acht Monate mehr als 19.500 Beschäftigte einer US-Klinik mit echter Kontrollgruppe. Ergebnis: Wie lange das jährliche Pflichttraining zurücklag, stand in keinem signifikanten Zusammenhang mit der Wahrscheinlichkeit, an einer Phishing-Simulation zu scheitern (Odds Ratio 0,998 je 30 Tage; 95-%-Konfidenzintervall 0,996–1,000; p = 0,06). Wer ein interaktives Training tatsächlich abschloss, schnitt messbar besser ab als wer dasselbe Training nur begann (OR 0,809; KI 0,730–0,896). Mehrere abgeschlossene statische Einheiten gingen dagegen mit einer höheren Fehlerquote einher (OR 1,185; KI 1,110–1,266).

Diese Studie misst Phishing-Anfälligkeit von Beschäftigten in einer einzelnen Gesundheitseinrichtung, nicht die Risikokompetenz von Geschäftsleitungen — sie ist kein Wirksamkeitsnachweis für §-38-Schulungen. Übertragbar ist die Aussage über das Format: Der abhak-orientierte Standardkurs ist genau die Bauform, für die der bislang größte kontrollierte Versuch keinen Effekt nachweisen konnte. Wer eine Pflicht erfüllen will, die im Ernstfall an der Qualität von Entscheidungen gemessen wird, sollte das berücksichtigen.

Zur Frage intern oder extern bezieht das BSI ungewöhnlich deutlich Position: Erfolgt die Schulung ausschließlich durch interne Stellen, „besteht die Gefahr struktureller Erkenntnisdefizite: Die Geschäftsleitung erfährt, wie Prozesse umgesetzt werden, kann jedoch deren rechtliche und risikotechnische Angemessenheit nicht eigenständig beurteilen.“ Ein kombiniertes Modell — allgemeine Inhalte extern, einrichtungsspezifische Inhalte intern — hält das Amt für sinnvoll. Wer diese externe Rolle besetzt, behandelt unser Beitrag zum externen CISO.

Die Dokumentation, die im Audit zählt

Das BSI benennt vier Mindestangaben. Eine aussagekräftige Dokumentation enthält:

• Angaben zum Schulungsanbieter beziehungsweise zur internen Stelle
• Angaben zu den beschulten Teilnehmenden mit Name und Rolle oder Funktion in der Organisation
• Datum, Uhrzeit und Dauer der Schulungseinheiten
• Behandelte Unterrichtsinhalte und -formate sowie deren Bezüge zu den gesetzlichen Vorgaben aus § 38 Absatz 3 BSIG

Diese Unterlagen sind intern aufzubewahren und auf Verlangen dem BSI beziehungsweise den beauftragten unabhängigen Stellen vorzulegen. Eine Prüfung der Teilnehmenden ist „weder gesetzlich noch durch das BSI verpflichtend vorgesehen“ — ein Test am Ende der Schulung ist zulässig, aber nicht gefordert.

Der wichtigste Satz des Kapitels wird meist überlesen: „Eine solche aussagekräftige Dokumentation kann nur die regelmäßige Teilnahme an Schulungen belegen, nicht aber die Vermittlung ausreichender Kenntnisse und Fertigkeiten.“ Der Lernerfolg zeigt sich nach Auffassung des BSI anderswo — nämlich darin, dass die Geschäftsleitung „aktiv und nachvollziehbar an Entscheidungen im Risikomanagement mitwirkt“ und so ihrer Pflicht aus § 38 Absatz 1 nachkommt. Es braucht daher zwei Beweisketten: die Teilnehmerliste für Absatz 3 und die Entscheidungsdokumentation für Absatz 1. Welche Nachweise darüber hinaus zu führen sind, fasst unser Überblick zu den NIS2-Dokumentationspflichten zusammen. Die inhaltlichen Anforderungen an das Schulungsprogramm insgesamt — auch für Beschäftigte — behandelt unser Hub zu den NIS2-Schulungsanforderungen.

Was jetzt konkret zu tun ist

Rolle	Nächster Schritt
Geschäftsführung / Vorstand	Namentliche Liste aller Personen nach § 2 Nr. 13 BSIG erstellen. Erstschulung ansetzen, sofern seit dem 6. Dezember 2025 keine stattgefunden hat. Turnus an den vier BSI-Anlässen festmachen und die Begründung schriftlich festhalten.
Compliance / Recht	Schulungsregister mit den vier Mindestangaben anlegen. Prüfen, ob die Einrichtung besonders wichtig oder wichtig ist — davon hängt ab, ob die Prüfung anlassunabhängig oder nur anlassbezogen droht.
Informationssicherheitsbeauftragte / IT-Leitung	Ein wiederkehrendes Format aufsetzen, das keine Frontalschulung ist — etwa ein Risikomanagement-Quarterly oder eine Audit-Simulation — und die Inhalte den Anforderungen aus § 38 Abs. 3 explizit zuordnen.

Die Grundlagen der Einstufung als besonders wichtige oder wichtige Einrichtung erklärt unser NIS2-Grundlagen-Leitfaden.

Häufig gestellte Fragen

Droht ein Bußgeld, wenn die Geschäftsleitung nicht an Schulungen teilnimmt?
Nach dem Wortlaut des Gesetzes nicht. § 65 BSIG zählt die Ordnungswidrigkeiten auf und verweist an keiner Stelle auf § 38. Das Risiko liegt in der gesellschaftsrechtlichen Innenhaftung nach § 38 Absatz 2 und darin, dass die Pflicht nach §§ 61 und 62 unmittelbar geprüft werden kann.

Reicht es, wenn ein Geschäftsführer teilnimmt und die anderen informiert?
Nein. Die Pflicht trifft nach § 2 Nummer 13 BSIG jede natürliche Person, die zur Geschäftsführung und Vertretung berufen ist. Das BSI geht ausdrücklich davon aus, dass in den meisten Einrichtungen mehrere Personen betroffen sind.

Muss die Schulung alle drei Jahre stattfinden?
Nein. Diese Formulierung stand in der vorläufigen Handreichung 0.9 vom 30. September 2025 und ist in Version 1.0 vom 17. April 2026 entfallen. Verbindlich ist allein „regelmäßig“; Intervall und Dauer sind risikoorientiert zu wählen und zu begründen.

Kann ein externer Dienstleister die Schulungspflicht übernehmen?
Ein Dienstleister kann die Schulung durchführen — das BSI hält externe Anbieter ausdrücklich für geeignet. Die Teilnahme selbst bleibt höchstpersönlich und kann nicht übertragen werden.

Gibt es eine Prüfung oder ein Zertifikat?
Nein. Eine Erfolgskontrolle der Teilnehmenden ist nach Angabe des BSI weder gesetzlich noch behördlich verpflichtend. Nachzuweisen ist die regelmäßige Teilnahme, nicht ein Prüfungsergebnis.

Ab wann kann das BSI Nachweise verlangen?
Gegenüber besonders wichtigen Einrichtungen kann es Audits nach § 61 Absatz 1 anordnen; die Vorlage von Nachweisen nach Absatz 3 ist erst frühestens drei Jahre nach Inkrafttreten des Gesetzes möglich, also frühestens ab Dezember 2028 (Krankenhäuser: fünf Jahre). Bei wichtigen Einrichtungen setzt § 62 Tatsachen voraus, die einen Verstoß nahelegen.

Dieser Artikel bietet allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Rechtsordnung und Organisationstyp variieren. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an eine qualifizierte Juristin, einen qualifizierten Juristen oder eine Compliance-Fachkraft.

Quellen

1. § 38 BSIG — Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, Gesetze im Internet (BMJ/juris)
2. § 61 BSIG — Nachweise, Überprüfung der Einhaltung der Anforderungen, Gesetze im Internet
3. § 62 BSIG — Überprüfung wichtiger Einrichtungen, Gesetze im Internet
4. § 65 BSIG — Bußgeldvorschriften, Gesetze im Internet
5. § 30 BSIG — Risikomanagementmaßnahmen, Gesetze im Internet
6. Schulung für Geschäftsleitungen — Handreichung, Version 1.0 vom 17.04.2026, Bundesamt für Sicherheit in der Informationstechnik
7. BT-Drucksache 21/1501 — Entwurf eines NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes, Erfüllungsaufwand Vorgabe 4.2.4, Deutscher Bundestag, 08.09.2025
8. Artikel 20 der Richtlinie (EU) 2022/2555 (NIS2) — Governance
9. Ho, Mirian, Luo et al., „Understanding the Efficacy of Phishing Training in Practice“, 46th IEEE Symposium on Security and Privacy, 2025