NIS2-Schulung der Geschäftsleitung: Pflicht ohne Intervall
12. September 2026 · 5 Min. Lesezeit · RegelWerk Redaktion§ 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen zur regelmäßigen Teilnahme an Schulungen, ohne einen Turnus zu nennen. Verlangt sind zwei Lernziele: Risiken und Risikomanagementpraktiken erkennen und bewerten, und ihre Auswirkungen auf die eigenen Dienste beurteilen.
Die Schulungspflicht der Geschäftsleitung ist eine der wenigen NIS2-Pflichten, die eine Person persönlich trifft und nicht die Organisation. Sie steht in einem einzigen Satz, und dieser Satz nennt kein Intervall. Daraus folgt weder, dass die Pflicht unverbindlich wäre, noch, dass ein Jahresrhythmus gesetzlich vorgeschrieben ist. Beides wird regelmäßig behauptet, und beides ist falsch.
Der Wortlaut und was er nicht sagt
§ 38 Abs. 3 BSIG lautet: „Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können."
Drei Beobachtungen daran sind für die Umsetzung entscheidend.
- Kein Turnus. Das Gesetz sagt „regelmäßig“ und nennt weder Monate noch Jahre. Ein Zwölf-Monats-Takt ist verbreitete Praxis und darf als Vorschlag angezeigt werden, nie als Gesetzesfrist und nie mit dem Wort „überschritten“.
- Beide Kategorien. Die Norm nennt besonders wichtige und wichtige Einrichtungen, die besonders wichtige zuerst. Es gibt keine Stufe, die von der Schulungspflicht frei wäre.
- Zwei Lernziele, nicht eines. Verlangt sind Kenntnisse zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken sowie die Fähigkeit, deren Auswirkungen auf die erbrachten Dienste zu beurteilen. Eine reine Rechtsschulung deckt das zweite Ziel nicht ab.
Welche Einrichtung in welche Kategorie fällt, entscheidet § 28 BSIG: besonders wichtig ist unter anderem, wer einer Einrichtungsart der Anlage 1 zuzuordnen ist und mindestens 250 Mitarbeiter beschäftigt oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweist. Für wichtige Einrichtungen liegt die Finanzschwelle bei jeweils über 10 Millionen Euro. Die beiden Stufen ordnet unser Beitrag Besonders wichtig oder wichtig ein.
Woran die Haftung wirklich hängt
Die Schulungspflicht steht in Absatz 3 derselben Vorschrift wie die Haftung, und das führt regelmäßig zu einer Verknüpfung, die das Gesetz nicht trifft.
- Abs. 1: Die Geschäftsleitungen sind verpflichtet, die nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
- Abs. 2 Satz 1: Wer diese Pflichten verletzt, haftet der Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts.
- Abs. 2 Satz 2: Nach diesem Gesetz haften sie nur, wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
- eigene Pflicht der Geschäftsleitung
- kein Intervall, keine Form, kein Nachweisverfahren im Gesetzestext
- § 65 BSIG, die Bußgeldvorschrift des Gesetzes, nennt § 38 an keiner Stelle
Wer Schulungspflicht und Haftung in einem Satz nebeneinanderstellt, behauptet eine Zurechnung, die das Gesetz so nicht herstellt. Die praktische Verbindung besteht trotzdem: Ohne die Kenntnisse aus Absatz 3 lässt sich die Überwachungspflicht aus Absatz 1 kaum erfüllen, und wer nie geschult wurde, hat im Schadensfall ein schlechteres Argument. Die Haftungsfrage im Einzelnen behandelt unser Beitrag zur Geschäftsführerhaftung bei NIS2; den Bußgeldrahmen für die Meldepflichten der Beitrag zu § 65 BSIG.
Wie sich eine Pflicht ohne Intervall belegen lässt
Genau weil das Gesetz keinen Turnus vorgibt, ist die Nachweisfrage offen. Bewährt hat sich, den Nachweis an den Inhalt zu hängen statt an den Kalender: Nicht „zuletzt geschult am“, sondern „welches Thema wann, und was hat sich seitdem geändert“.
| Angabe | Warum sie zählt |
|---|---|
| Datum und Dauer | Der Beleg, dass überhaupt geschult wurde. Ohne Datum ist keine Regelmäßigkeit darstellbar. |
| Inhalte, den zwei Lernzielen zugeordnet | Absatz 3 nennt Risikoerkennung und Auswirkungsbeurteilung. Eine Agenda, die nur Rechtsgrundlagen aufzählt, deckt das zweite Ziel nicht. |
| Bezug zu den eigenen Diensten | Das Gesetz verlangt die Beurteilung der Auswirkungen auf die von der Einrichtung erbrachten Dienste. Eine allgemeine Schulung ohne Bezug zum eigenen Haus erfüllt das nur halb. |
| Anlass der nächsten Schulung | Statt eines Datums ein Auslöser: neue Systeme, neuer Dienstleister, ein erheblicher Sicherheitsvorfall, Wechsel in der Geschäftsleitung. |
Zwölf Monate sind eine sinnvolle betriebliche Festlegung. Sie werden dadurch aber nicht zur Gesetzesfrist, und ein überschrittener Termin ist kein Rechtsverstoß, sondern eine unerfüllte eigene Festlegung.
Der Unterschied wird wichtig, sobald jemand von außen fragt: Eine als Gesetzesfrist ausgegebene Eigenfestlegung schafft einen Verstoß, den es ohne sie nicht gäbe.
Dieselbe Konstruktion kennt der AI Act: Art. 4 verlangt ein ausreichendes Maß an KI-Kompetenz bei den Personen, die mit KI-Systemen umgehen, ebenfalls ohne Intervall. Wer beide Pflichten gemeinsam erfüllt, spart einen Termin und erfüllt zwei Nachweise; die Einzelheiten stehen im Beitrag zur Schulungspflicht aus Art. 4 AI Act.
RegelWerk führt die Schulungspflicht als eigenen Punkt je Mitglied der Geschäftsleitung und zeigt ein Intervall ausdrücklich als Vorschlag an, nicht als Frist. Welche Maßnahmen ein Prüfer daneben sehen will, ordnet der Beitrag NIS2-Pflichten konkret ein.
Häufige Fragen
Wie oft muss die Geschäftsleitung nach NIS2 geschult werden?
Das Gesetz nennt kein Intervall. § 38 Abs. 3 BSIG verlangt nur, dass die Geschäftsleitungen „regelmäßig“ an Schulungen teilnehmen. Ein Zwölf-Monats-Takt ist verbreitete Praxis und eine zulässige betriebliche Festlegung, aber keine gesetzliche Frist.
Gilt die Schulungspflicht auch für wichtige Einrichtungen?
Ja. § 38 Abs. 3 BSIG nennt ausdrücklich die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen. Eine Stufe ohne Schulungspflicht gibt es nicht.
Gibt es ein Bußgeld, wenn die Schulung ausbleibt?
§ 65 BSIG, die Bußgeldvorschrift des Gesetzes, nennt § 38 an keiner Stelle. Die Pflicht wirkt mittelbar: Ohne die verlangten Kenntnisse lässt sich die Umsetzungs- und Überwachungspflicht aus § 38 Abs. 1 BSIG schwer erfüllen, und daran hängt die Haftung nach Absatz 2.
Reicht eine allgemeine Cybersecurity-Schulung?
Sie deckt in der Regel nur das erste Lernziel ab. § 38 Abs. 3 BSIG verlangt zusätzlich die Fähigkeit, die Auswirkungen von Risiken und Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste zu beurteilen. Dafür braucht es einen Bezug zum eigenen Haus.
Das Wichtigste in Kürze
§ 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen zur regelmäßigen Teilnahme an Schulungen, ohne einen Turnus zu nennen. Verlangt sind zwei Lernziele: Risiken und Risikomanagementpraktiken erkennen und bewerten, und ihre Auswirkungen auf die eigenen Dienste beurteilen.
Die Haftung der Geschäftsleitung hängt nicht an dieser Schulung, sondern nach § 38 Abs. 1 und 2 BSIG an den Risikomanagementmaßnahmen des § 30. Und § 65 BSIG nennt § 38 an keiner Stelle. Wer daraus ableitet, die Schulung sei folgenlos, verkennt den mittelbaren Weg; wer ein Jahresintervall zur Gesetzesfrist erklärt, erfindet einen Verstoß.
Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall – wenden Sie sich dafür an fachkundige Beratung.