NIS2 Geschäftsleitungsschulung — § 38 BSIG-E Pflicht erfüllen

Die Kernaussage für Geschäftsführer lautet: NIS2 verlangt keine tieftechnische Admin-Ausbildung, aber eine belastbare Management-Kompetenz. Wer Beschlüsse zu Budget, Personal, Prioritäten, Lieferanten oder Krisenreaktion fasst, muss die regulatorische Tragweite dieser Entscheidungen verstehen. Genau deshalb nennt Art. 20 NIS2 das Leitungsorgan ausdrücklich und genau deshalb verankert § 38 BSIG die Schulungspflicht im deutschen Gesetzesrahmen.

Rechtspraktisch relevant sind dabei vor allem vier Fragen. Erstens: Ist das eigene Unternehmen als besonders wichtige oder wichtige Einrichtung einzustufen? Zweitens: Welche Risiken und Dienste sind für die Betriebsfortführung kritisch? Drittens: Wie wird bei einem erheblichen Vorfall intern und extern eskaliert? Viertens: Wie weist die Geschäftsleitung nach, dass sie ihrer Aufsichts- und Schulungspflicht tatsächlich nachgekommen ist?

Diese Seite stützt sich auf Art. 20 und Art. 21 NIS2, auf § 38 BSIG sowie auf den Maßnahmenrahmen des § 30 BSIG. Für die operative Vertiefung helfen ergänzend unser Vergleich NIS2-Schulung Vergleich und der Überblick zur NIS2 Online-Schulung.

Für die Geschäftsleitung ist besonders wichtig, die richtige Abgrenzung zu ziehen. Die eigene Aufgabe besteht nicht darin, technische Schutzmaßnahmen selbst umzusetzen, sondern darin, die Sicherheitsorganisation so zu steuern, dass Risiken systematisch erkannt, priorisiert, finanziert und überwacht werden. Praktisch heißt das: Das Management muss verstehen, ob die Risikoanalyse vollständig ist, ob die Meldewege funktionieren, ob kritische Drittparteien angemessen kontrolliert werden und ob das Unternehmen im Krisenfall entscheidungsfähig bleibt.

Genau an dieser Stelle scheitern viele NIS2-Projekte. Die operative Ebene erstellt Maßnahmenlisten, aber auf Leitungsebene fehlen eindeutige Beschlüsse, klare Verantwortlichkeiten und eine regelmäßige Berichtslinie. Eine gute Geschäftsleitungsschulung schließt diese Lücke, weil sie aus Paragraphen konkrete Management-Fragen macht: Welche Risiken sind für unser Geschäftsmodell wesentlich? Welche Investitionen sind nicht länger aufschiebbar? Welche Dienstleister müssen auf Board-Ebene überwacht werden? Und welche Informationen will die Geschäftsführung in jeder Lage innerhalb weniger Minuten sehen können?

Gleichzeitig schafft die Schulung einen wichtigen gemeinsamen Sprachstandard zwischen Vorstand, Geschäftsführung, CISO, IT-Leitung, Compliance, Datenschutz, BCM und Einkauf. Gerade bei NIS2 entstehen Reibungsverluste oft nicht durch fehlende Technik, sondern durch unterschiedliche Begriffe, Prioritäten und Eskalationslogiken. Wenn die Geschäftsleitung dieselbe Grundlogik versteht wie die Schlüsselrollen, werden Vorfallmeldung, Lieferkettenprüfung und Budgetsteuerung deutlich belastbarer.

Besonders wichtig ist die Übersetzung in Entscheidungssituationen. Eine gute Geschäftsleitungsschulung beantwortet nicht nur, welche Norm gilt, sondern wann das Management eingreifen muss, wann der Krisenstab aktiviert werden sollte, welche Dienstleister aus Board-Perspektive kritisch sind und wie aus einem Sicherheitsreport eine echte Steuerungsgrundlage wird.

Für viele Unternehmen ist genau das der Unterschied zwischen formaler Pflichterfüllung und wirksamer Governance. Die Geschäftsleitung muss keine Firewalls konfigurieren, aber sie muss verstehen, welche Konsequenzen fehlende Priorisierung, schwaches Lieferantenmanagement oder unterlassene Eskalation im eigenen Unternehmen auslösen können. Wenn Sie die Schulung breiter im Unternehmen verankern wollen, ist die geförderte NIS2-Schulung eine sinnvolle Anschlussoption.

Inhaltlich sollte die Geschäftsleitung vor allem drei Ebenen sicher beherrschen. Erstens die rechtliche Ebene: Welche Pflichten folgen aus Art. 20 NIS2, § 38 BSIG und dem Maßnahmenkatalog des § 30 BSIG? Zweitens die organisatorische Ebene: Wie werden Risikoanalyse, Lieferkette, Incident Response, Notfallmanagement und Nachweisführung im Unternehmen tatsächlich abgebildet? Drittens die ökonomische Ebene: Welche Auswirkungen haben Sicherheitsdefizite auf Betriebsunterbrechung, Vertragsbeziehungen, Versicherbarkeit, Finanzierung und persönliche Organhaftung?

Genau deshalb ist die Schulung für Geschäftsführer keine isolierte Einzelmaßnahme. Sie wirkt nur dann voll, wenn sie in ein Management-System aus Reporting, Beschluss- dokumentation, Verantwortungszuweisung und regelmäßigen Reviews eingebettet wird. Unternehmen, die diese Verknüpfung sauber aufbauen, können gegenüber Aufsicht, Auditoren, Versicherern und Großkunden deutlich glaubwürdiger nachweisen, dass NIS2 nicht nur auf dem Papier bearbeitet wird.

Für stark regulierte Umfelder ist außerdem die Anschlussfähigkeit entscheidend. Finanzunternehmen müssen NIS2 oft gemeinsam mit DORA, Industrieunternehmen mit Lieferketten- und Produktionsrisiken, Gesundheitsorganisationen mit Verfügbarkeits- und Datenschutzanforderungen betrachten. Die Schulung hilft der Geschäftsleitung dabei, diese Überschneidungen einzuordnen, ohne in Spezialdetails zu versinken. Das spart gerade auf Leitungsebene Zeit und schafft trotzdem belastbare Entscheidungsfähigkeit.

Haftungsrelevant ist dabei vor allem die Dokumentationslage. Wer als Geschäftsleitung belastbar zeigen kann, dass Risiken priorisiert, Maßnahmen freigegeben, Reportings eingefordert und Schulungen absolviert wurden, steht im Ernstfall deutlich besser da als ein Organ, das sich ausschließlich auf informelle Zurufe der IT verlassen hat.

Deshalb ist die NIS2 Geschäftsleitungsschulung kein kosmetischer Kurs, sondern Teil einer rationalen Haftungsprävention. Sie ersetzt keine Rechtsberatung im Einzelfall, schafft aber einen dokumentierbaren Mindeststandard, der zu Audit, Krisenstab und Aufsichtsanforderungen passt.

In der Praxis zeigt sich Haftung häufig nicht sofort in einer einzelnen Sanktion, sondern in einer Kette von Problemen. Nach einem Vorfall folgen typischerweise forensische Aufarbeitung, Kundenkommunikation, Versicherungsfragen, interne Sonderprüfungen, Fragen des Aufsichtsrats oder Beirats und im Extremfall persönliche Regressüberlegungen gegen Organmitglieder. Je klarer die Geschäftsleitung ihre Schulungs-, Steuerungs- und Überwachungsleistungen dokumentiert hat, desto belastbarer ist die eigene Position in dieser Phase.

Hinzu kommt die Erwartungshaltung großer Kunden und kritischer Partner. Viele Unternehmen müssen heute nicht nur einer Behörde, sondern auch im Due-Diligence- oder Audit-Prozess zeigen, dass Management und Schlüsselrollen NIS2-relevante Pflichten verstanden haben. Eine strukturierte Geschäftsleitungsschulung ist deshalb nicht nur ein Rechts-, sondern auch ein Vertriebs- und Governance-Thema: Sie verbessert die Anschlussfähigkeit in Ausschreibungen, Security-Fragebögen und Vertragsverhandlungen.

Für Geschäftsführer lautet die nüchterne Management-Frage deshalb nicht: "Kann ich diese Schulung delegieren?" Sondern: "Welcher dokumentierte Mindeststandard schützt unsere Organisation und meine Organrolle am zuverlässigsten?" Genau darauf zielt diese Landingpage und genau darauf ist der Kurs in Inhalt, Nachweis und Format zugeschnitten.

Preislich ist für viele Unternehmen nicht der einzelne Kursslot entscheidend, sondern die Frage, wie schnell ein belastbarer Nachweis für Leitungsorgane und Schlüsselrollen aufgebaut werden kann. Ein Präsenzformat mit mehreren Terminen, Reisezeiten und interner Abstimmung wirkt auf den ersten Blick oft hochwertig, ist für die Geschäftsleitung aber organisatorisch häufig teurer als eine kompakte, klar dokumentierbare Online-Lösung.

Gerade in NIS2-Projekten zählt außerdem die Wiederholbarkeit. Management-Wechsel, neue Gesellschaften, zusätzliche Standorte oder nachträglich eingebundene Schlüsselrollen machen eine skalierbare Schulungslogik wertvoller als ein einmaliger Event. Die Paketstruktur ist deshalb bewusst so gewählt, dass Unternehmen klein starten und später ohne Formatbruch erweitern können.

Für die Geschäftsleitung ist das ein relevanter Governance-Vorteil: Statt bei jeder personellen Änderung erneut ein Inhouse-Format aufzusetzen, lässt sich die Schulungspflicht über einen standardisierten, dokumentierten Prozess abbilden. Genau diese Prozessstabilität ist bei Audits und in internen Kontrollsystemen meist mehr wert als ein isolierter Schulungstermin ohne Anschlussstruktur.

Wenn Sie intern diskutieren, ob die Geschäftsleitung jetzt schon geschult werden sollte, obwohl die operative Umsetzung noch läuft, ist die Antwort in der Regel ja. Gerade weil Budget, Priorisierung, Lieferantensteuerung und Vorfalleskalation auf Leitungsebene entschieden werden, sollte das Management nicht erst am Ende eines NIS2-Projekts inhaltlich aufgeschaltet werden.

Der bessere Weg ist fast immer umgekehrt: zuerst die Leitungsorgane auf einen belastbaren Mindeststandard bringen, dann die operative Vertiefung in Schlüsselrollen sauber ausrollen. So entstehen frühere Beschlussfähigkeit, bessere Priorisierung und eine deutlich plausiblere Nachweislogik gegenüber internen und externen Prüfern.