Cybersicherheit ist längst nicht mehr allein Aufgabe der IT-Abteilung. Seit Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 müssen die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen nicht nur die Umsetzung angemessener Sicherheitsmaßnahmen sicherstellen und überwachen, sondern auch regelmäßig an Schulungen teilnehmen. Damit rücken Kenntnisse über Cyberrisiken, gesetzliche Meldepflichten und die betriebliche Widerstandsfähigkeit unmittelbar in den Verantwortungsbereich der Unternehmensführung. Spezialisierte Weiterbildungsangebote sollen Führungskräfte dabei unterstützen, diese Anforderungen in konkrete Entscheidungen und überprüfbare Managementprozesse zu übersetzen.

Die Grundlage bildet § 38 des BSI-Gesetzes (BSIG). Danach sind Geschäftsleitungen der erfassten Einrichtungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und deren Durchführung zu überwachen. Die Schulungspflicht nach § 38 Abs. 3 soll sicherstellen, dass sie IT-Sicherheitsrisiken erkennen und bewerten, geeignete Risikomanagementpraktiken verstehen und deren Auswirkungen auf die Leistungen des Unternehmens beurteilen können. Die Verantwortung betrifft grundsätzlich sämtliche zur Geschäftsführung und Vertretung berufenen Mitglieder der Leitungsebene, nicht ausschließlich die für Informationstechnologie zuständigen Personen.

BSI konkretisiert Anforderungen an die Weiterbildung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die gesetzlichen Vorgaben mit einer Handreichung zur Geschäftsleitungsschulung konkretisiert. Die im April 2026 aktualisierte Orientierungshilfe beschreibt drei wesentliche Kompetenzbereiche: die Erkennung und Bewertung von Cybersicherheitsrisiken, das Verständnis geeigneter Risikomanagementpraktiken sowie die Beurteilung ihrer Auswirkungen auf die erbrachten Dienstleistungen und betrieblichen Abläufe. Ergänzend veröffentlichte das BSI im Oktober 2026 ein Curriculum, das als Grundlage für die Gestaltung entsprechender Schulungen dienen kann.

Eine bestimmte Mindestdauer, ein festgelegtes Schulungsintervall oder eine Abschlussprüfung schreibt § 38 BSIG nicht vor. Das BSI empfiehlt jedoch eine fundierte Erstschulung und regelmäßige Auffrischungen, deren Umfang sich an der Risikoexposition und den vorhandenen Kenntnissen der Geschäftsleitung orientiert. Zusätzlicher Schulungsbedarf kann insbesondere durch organisatorische Veränderungen, neue Bedrohungsszenarien oder personelle Wechsel entstehen.

Für die Nachweisführung ist eine nachvollziehbare Dokumentation erforderlich. Nach den Empfehlungen des BSI sollten unter anderem Schulungsanbieter, teilnehmende Personen und ihre Funktionen, Datum, Dauer sowie die behandelten Inhalte festgehalten werden. Eine Teilnahmebescheinigung kann dabei als Bestandteil der Dokumentation dienen. Sie ersetzt allerdings nicht den Nachweis, dass die Geschäftsleitung ihrer Verantwortung für die Umsetzung und Überwachung der Sicherheitsmaßnahmen tatsächlich nachkommt.

Praxisorientierte Schulungen verbinden Recht, Risikomanagement und Krisenvorsorge

Ein geeignetes Weiterbildungsangebot sollte sich daher nicht auf eine allgemeine Einführung in die NIS-2-Richtlinie beschränken. Entscheidend ist vielmehr, dass Führungskräfte die Auswirkungen auf ihre eigene Organisation verstehen und daraus konkrete Handlungsanforderungen ableiten können. Dazu gehören die Prüfung der regulatorischen Betroffenheit, der Aufbau geeigneter Berichtswege, die Bewertung von Risiken innerhalb der Lieferkette sowie die Vorbereitung auf erhebliche Sicherheitsvorfälle.

Besonders wichtig sind die gesetzlichen Meldeprozesse. § 32 BSIG sieht bei erheblichen Sicherheitsvorfällen ein gestuftes Verfahren mit einer frühen Erstmeldung innerhalb von 24 Stunden, einer weiteren Meldung innerhalb von 72 Stunden und einer späteren Abschlussmeldung vor. Geschäftsleitungen müssen nicht sämtliche technischen Einzelheiten dieser Prozesse beherrschen. Sie sollten jedoch beurteilen können, ob Zuständigkeiten, Eskalationswege und Krisenabläufe angemessen organisiert sind und im Ernstfall funktionieren.

Auch die wirtschaftlichen Folgen eines Cyberangriffs gehören zur Schulung. Produktionsunterbrechungen, der Ausfall kritischer Dienstleistungen oder erhebliche Wiederherstellungskosten können die Geschäftstätigkeit unmittelbar beeinträchtigen. Eine wirksame Weiterbildung muss deshalb die Verbindung zwischen technischen Risiken, Geschäftsfortführung, Budgetentscheidungen und unternehmerischer Verantwortung herstellen.

S+P Unternehmerforum bietet NIS-2-Schulung für Führungskräfte an

Ein entsprechendes Weiterbildungsangebot stellt das S+P Unternehmerforum mit dem Live-Online-Seminar „NIS-2 für Führungskräfte 2026/2027“ bereit. Das eintägige Format richtet sich an Geschäftsführer, Vorstände, Führungskräfte sowie Verantwortliche aus Compliance, Informationssicherheit und IT-Risikomanagement. Im Mittelpunkt stehen die Leitungspflichten nach dem BSIG und ihre organisatorische Umsetzung.

Das Seminar ist in drei Themenblöcke gegliedert. Zunächst werden die Einstufung als wichtige oder besonders wichtige Einrichtung, die Registrierung beim BSI sowie die Anforderungen an Risikomanagement und Überwachung behandelt. Ein zweiter Schwerpunkt liegt auf dem Umgang mit Sicherheitsvorfällen, den gesetzlichen Meldeverfahren und der Absicherung von Lieferantenbeziehungen. Abschließend geht es um Business Continuity Management, Krisenübungen und die Entwicklung einer angemessenen IT-Sicherheitsstrategie.

Nach Anbieterangaben erhalten Teilnehmende ergänzende Arbeitsmaterialien, darunter Vorlagen für eine NIS-2-Risikobewertung, einen Melde- und Eskalationsplan sowie die Ausarbeitung einer Sicherheitsstrategie. Der nächste veröffentlichte Online-Termin ist der 16. November 2026, weitere Veranstaltungen sind für 2027 vorgesehen. Die Teilnahmegebühr beträgt nach aktuellem Angebot 930 Euro zuzüglich Mehrwertsteuer. Das Seminar umfasst sechs Zeitstunden fachlicher Weiterbildung; die Teilnahme wird mit einer Bescheinigung und einem digitalen Nachweis dokumentiert.

Das Angebot stellt damit eine Möglichkeit dar, die gesetzlich geforderte Weiterbildung strukturiert zu organisieren. Eine behördliche Anerkennung oder Zertifizierung der Schulung durch das BSI ist damit jedoch nicht verbunden. Ob die Schulung im Einzelfall die Anforderungen erfüllt, hängt insbesondere von den vermittelten Inhalten, ihrer Aktualität, der regelmäßigen Teilnahme und der Einbindung in die unternehmensspezifische Sicherheitsorganisation ab.

Weitere Informationen zum Seminar bietet das S+P Unternehmerforum.

Schulungspflicht ist nicht mit der Erfüllung sämtlicher NIS-2-Anforderungen gleichzusetzen

Die Schulung der Geschäftsleitung ist nur ein Bestandteil der gesetzlichen Anforderungen. Unternehmen müssen darüber hinaus geeignete technische und organisatorische Risikomanagementmaßnahmen umsetzen, dokumentieren und auf ihre Wirksamkeit überprüfen. Zu den zehn Maßnahmenbereichen nach § 30 BSIG gehören unter anderem Risikoanalysen, die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Geschäftsbetriebs, die Sicherheit der Lieferkette sowie Verfahren zur Bewertung der Wirksamkeit bestehender Schutzmaßnahmen.

Die Pflichten sind auch haftungsrechtlich relevant. Nach § 38 Abs. 2 BSIG können Geschäftsleitungen bei schuldhafter Verletzung ihrer Umsetzungs- und Überwachungspflichten gegenüber ihrer Einrichtung nach den jeweils geltenden gesellschaftsrechtlichen Vorschriften haften. Die unterlassene Teilnahme an einer Schulung ist im Bußgeldkatalog des BSIG nicht als eigenständiger Bußgeldtatbestand aufgeführt. Verstöße gegen andere gesetzliche Sicherheits-, Dokumentations- oder Meldepflichten können dagegen erhebliche Sanktionen nach sich ziehen.

Zu beachten sind außerdem gesetzliche Ausnahmen und die Abgrenzung zu anderen regulatorischen Rahmenwerken. Für bestimmte Finanzunternehmen, die unter den Digital Operational Resilience Act (DORA) fallen, ist § 38 BSIG nach § 28 Abs. 6 nicht anwendbar. Für ihre Leitungsorgane bestehen jedoch eigenständige Anforderungen an das IKT-Risikomanagement und die regelmäßige Aktualisierung der erforderlichen Kenntnisse nach Artikel 5 DORA. Vor der Auswahl eines Schulungsangebots sollte deshalb geklärt werden, welche Vorschriften für das jeweilige Unternehmen tatsächlich gelten.

Weiterbildung soll die Entscheidungsfähigkeit der Geschäftsleitung stärken

Für Unternehmen liegt der langfristige Nutzen einer NIS-2-Schulung nicht allein in der Erfüllung einer gesetzlichen Pflicht. Entscheidend ist, ob Führungskräfte anschließend in der Lage sind, Sicherheitsrisiken angemessen einzuordnen, geeignete Maßnahmen zu priorisieren und deren Umsetzung kritisch zu überwachen. Dies setzt eine enge Zusammenarbeit zwischen Geschäftsleitung, Informationssicherheitsbeauftragten, Risikomanagement und operativen IT-Verantwortlichen voraus.

Eine einmalige Schulungsveranstaltung kann dafür eine wichtige Grundlage schaffen, ersetzt jedoch weder regelmäßige Lageberichte noch nachvollziehbare Entscheidungen zur Informationssicherheit. Unternehmen sollten deshalb Weiterbildungsmaßnahmen mit ihrer bestehenden Governance-Struktur verbinden und prüfen, inwieweit erworbene Kenntnisse in Budgetentscheidungen, Risikobewertungen und die Vorbereitung auf Sicherheitsvorfälle einfließen.

Die NIS-2-Schulung ist damit mehr als ein formaler Qualifikationsnachweis. Richtig eingebunden, kann sie dazu beitragen, Cybersicherheit als dauerhafte Führungsaufgabe zu etablieren und die digitale Widerstandsfähigkeit eines Unternehmens systematisch zu verbessern.