NIS-2-Schulung der Geschäftsleitung: Was § 38 Abs. 3 BSIG verlangt

Die Schulungspflicht der Geschäftsleitung nach NIS-2 steht im BSI-Gesetz: Wer eine besonders wichtige oder wichtige Einrichtung im Sinne des BSI-Gesetzes leitet, muss regelmäßig an Schulungen zur Sicherheit in der Informationstechnik teilnehmen. Das verlangt § 38 Abs. 3 BSIG; das BSI-Gesetz in seiner heutigen Fassung gilt seit dem 6. Dezember 2025. Die Pflicht trifft jede Person, die zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist. Nicht anzuwenden ist § 38 unter anderem bei Finanzunternehmen im Anwendungsbereich der DORA-Verordnung und bei bestimmten Telekommunikations- und Energieunternehmen; für die Bundesverwaltung gilt eine eigene Regelung mit derselben Schulungspflicht der Leitung (§ 43 Abs. 2 BSIG). Ein festes Intervall, eine Mindestdauer oder eine Form des Nachweises schreibt das Gesetz nicht vor.

NIS-2-Schulung der Geschäftsleitung: das Wichtigste

• Wer: jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist (§ 2 Nr. 13 BSIG). Gibt es mehrere solcher Personen, gilt die Pflicht für jede einzelne (BSI-FAQ zu NIS-2, Abschnitt Geschäftsleitung, Frage 3).
• Was: eine Schulung, die alle drei im Gesetz genannten Bereiche abdeckt. Das BSI empfiehlt eine ausführliche Erstschulung und danach regelmäßige Folgeschulungen, deren Abstand und Dauer sich nach dem Risiko richten (BSI-Handreichung zur Geschäftsleitungsschulung, Abschnitt 1.2).
• Wie oft: „regelmäßig“. Die Begründung des Regierungsentwurfs (BT-Drs. 21/1501) lässt Schulungen „mindestens alle 3 Jahre“ als regelmäßig gelten; das BSI hält diesen Abstand nach seiner FAQ „in den seltensten Fällen“ für ausreichend.
• Womit nachgewiesen: Das Gesetz nennt keine Form. Nach Auffassung des BSI gehört eine interne Dokumentation dazu, die auf Verlangen vorzulegen ist (bei besonders wichtigen Einrichtungen auch nach § 61 Abs. 5 Satz 3 BSIG); ein Raster dafür steht im Abschnitt zum Nachweis.

Was § 38 Abs. 3 BSIG wörtlich verlangt

Die Kernnorm lautet:

„Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.“

Zusammengefasst: Adressat sind die Geschäftsleitungen; die Einhaltung prüft die Aufsicht bei der Einrichtung (dazu der Abschnitt zum Nachweis). Verlangt ist die Teilnahme an Schulungen, und das Gesetz gibt ihr Ziel vor – Kenntnisse und Fähigkeiten in drei Bereichen: Risiken erkennen und bewerten, Risikomanagementpraktiken kennen und die Auswirkungen beider auf die Dienste der Einrichtung beurteilen. Eine Prüfung am Ende, eine Stundenzahl oder einen bestimmten Anbieter nennt die Vorschrift nicht. Die europäische Grundlage ist Art. 20 der NIS-2-Richtlinie (EU) 2022/2555; für Einrichtungen in Deutschland maßgeblich ist der Wortlaut des BSIG.

Für wen die Schulungspflicht gilt

Die Pflicht gilt, wenn zwei Bedingungen zusammentreffen: Die Einrichtung ist besonders wichtig oder wichtig im Sinne von § 28 Abs. 1 und 2 BSIG, und keine der Ausnahmen im nächsten Abschnitt (§ 28 Abs. 5, 6 und 8, § 29 Abs. 2 BSIG) greift. Fällt die Einrichtung unter § 28? Das hängt von der Art der Einrichtung nach den Anlagen 1 und 2 sowie von Beschäftigtenzahl, Jahresumsatz und Jahresbilanzsumme ab; die Prüfung in Schritten beschreibt der Beitrag NIS-2: Welche Unternehmen betroffen sind. Ob die Schulungspflicht für eine bestimmte Einrichtung gilt, lässt sich nur mit dieser Prüfung beantworten.

Wer zählt zur Geschäftsleitung?

„Geschäftsleitung“ ist nach § 2 Nr. 13 BSIG „eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist“. Beide Merkmale müssen zusammenkommen: Führung der Geschäfte und Vertretung. Die BSI-FAQ beantwortet die Frage, ob es bei mehreren Geschäftsleitungen genügt, wenn sich eine Person schulen lässt, mit dem Satz: „Die Schulungspflicht gilt für jede natürliche Person“, die diese Definition erfüllt. In der Handreichung geht das BSI davon aus, dass die Pflicht „in der großen Mehrheit der Einrichtungen mehrere Personen trifft“ (Abschnitt 1.1).

Ob weitere Funktionen dazugehören – etwa Prokura, Generalvollmacht, stellvertretende Vorstandsmitglieder oder Mitglieder eines Aufsichtsrats –, regelt das Gesetz nicht ausdrücklich. Zu prüfen ist im Einzelfall, ob die Person nach Gesetz, Satzung oder Gesellschaftsvertrag sowohl zur Führung der Geschäfte als auch zur Vertretung berufen ist. Unabhängig davon hält das BSI es für sinnvoll, die Schulung auf Personen auszuweiten, „die den Geschäftsleitungen zuarbeiten, oder anderweitige Entscheidungsvollmacht innehaben“ (Handreichung, Abschnitt 1.1). Das ist eine Empfehlung, keine gesetzliche Pflicht.

Grenzen und Ausnahmen

Auch wenn eine Einrichtung unter § 28 fällt, gilt § 38 BSIG nicht in jedem Fall:

• Telekommunikation und Energie: Nach § 28 Abs. 5 Satz 1 BSIG gilt § 38 nicht für Einrichtungen, die ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen, und nicht für Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und dessen §§ 5c bis 5e unterliegen. Die Ausnahme entfällt nach Satz 2, soweit sie darüber hinaus weitere kritische Anlagen betreiben oder wegen weiterer Tätigkeiten einer Einrichtungsart der Anlagen 1 oder 2 zuzuordnen sind; ist der Betrieb einer Energieanlage nur eine Nebentätigkeit, findet der Absatz nach Satz 4 keine Anwendung. Für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste, die besonders wichtige oder wichtige Einrichtungen (§ 28 Abs. 1 Satz 1 Nr. 3, Abs. 2 Satz 1 Nr. 2 BSIG) sind, enthält § 165 Abs. 2d TKG eine eigene Schulungspflicht der Geschäftsleitungen; sie ist nicht Gegenstand dieses Beitrags.
• Finanzsektor und Telematikinfrastruktur: Nach § 28 Abs. 6 BSIG gilt § 38 nicht für Finanzunternehmen nach Art. 2 Abs. 2 der Verordnung (EU) 2022/2554 (DORA), für Unternehmen, für die deren Anforderungen über das Kreditwesengesetz oder das Versicherungsaufsichtsgesetz gelten, sowie für die Gesellschaft für Telematik und bestimmte Betreiber von Diensten der Telematikinfrastruktur. Welche Schulungspflichten dort stattdessen gelten, ist nicht Gegenstand dieses Beitrags.
• Landesrechtlich regulierte Verwaltungsdienstleister: Nach § 28 Abs. 8 BSIG gilt das BSIG insgesamt, also auch § 38, nicht für rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und juristische Personen, an denen ausschließlich Gebietskörperschaften, ausgenommen der Bund, beteiligt sind, wenn sie zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden; das Landesrecht dazu ist nicht Gegenstand dieses Beitrags.

Für Einrichtungen der Bundesverwaltung gilt eine eigene Regelung mit derselben Schulungspflicht: § 38 ist dort nicht anzuwenden (§ 29 Abs. 2 BSIG), ihre Leitung muss aber nach § 43 Abs. 2 BSIG ebenfalls regelmäßig an Schulungen teilnehmen. Dieser Beitrag behandelt die Bundesverwaltung nicht im Einzelnen.

Getrennt davon zu sehen ist die Schulung der übrigen Beschäftigten. Zu den Risikomanagementmaßnahmen, die die Einrichtung selbst ergreifen muss, gehören nach § 30 Abs. 2 Satz 2 Nr. 7 BSIG „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Das BSI betrachtet diese Schulungen für Mitarbeitende ausdrücklich gesondert von der Schulung der Geschäftsleitung (Handreichung, Abschnitt 1). Wie sich die Schulung der Belegschaft organisieren lässt, behandelt der Beitrag Security-Awareness-Programm aufbauen.

Wie oft ist die Schulung zu wiederholen?

Das Gesetz sagt nur „regelmäßig“. Eine Zahl steht nicht im Gesetzestext, sondern in der Begründung des Regierungsentwurfs, und das BSI legt den Maßstab strenger aus. Die Ebenen im Vergleich:

Die vier Stunden stammen aus der Schätzung des Erfüllungsaufwands im Regierungsentwurf: Dort wird „frei angenommen, dass es sich im Durchschnitt um eine halbtägige Schulung handelt (4 Stunden)“, und für dieselbe Rechnung, dass einmal im Jahr zehn leitende Beschäftigte je Unternehmen teilnehmen (Vorgabe 4.2.4). Beides sind Rechengrößen für die Kosten, keine Vorgaben. Die FAQ des BSI ist an dieser Stelle selbst nicht einheitlich: Frage 1 formuliert, Schulungen „sollten innerhalb von drei Jahren über eine Dauer von mindestens 4 Stunden durchgeführt werden“; Frage 4 stellt klar, dass die 4 Stunden keine Empfehlung sind.

Für die Folgeschulungen nennt das BSI als entscheidende Anhaltspunkte einen Wechsel in der Geschäftsleitung sowie signifikante Änderungen in den Geschäftsprozessen, der Risikoexposition oder bei implementierten oder geplanten Risikomanagementmaßnahmen (Handreichung, Abschnitt 1.2). Maßgeblich bleibt nach Auffassung des BSI, „dass alle geforderten Kenntnisse und Fähigkeiten sinnvoll übermittelt werden“. „Mindestens alle 3 Jahre“ ist eine Auslegung des Begriffs „regelmäßig“, kein Fristende, aus dem sich ein fester Termin ableiten ließe. Wie weit diese Untergrenze trägt, wenn die Aufsicht oder ein Gericht den Maßstab des BSI anlegt, ist im Einzelfall zu prüfen.

Welche Inhalte die Schulung abdecken muss

Der Inhalt folgt aus dem Zweck in § 38 Abs. 3: Die Geschäftsleitung soll Risiken erkennen und bewerten, Risikomanagementpraktiken kennen und die Auswirkungen von Risiken und Maßnahmen auf die Dienste der Einrichtung beurteilen können. Das BSI erwartet, dass eine Schulung alle drei Aspekte adressiert: „Ein Fokus etwa nur auf Risikomanagementmaßnahmen fällt hinter die gesetzlichen Anforderungen zurück und würde durch das BSI im Rahmen von Aufsichtsmaßnahmen auch als nicht ausreichend bewertet werden.“ (Handreichung, Abschnitt 1)

Technisch so versiert wie die Fachverantwortlichen muss die Geschäftsleitung dafür nach Auffassung des BSI nicht sein. Sie soll Cybersicherheitsrisiken sinnvoll einschätzen können, die technisch-organisatorischen Maßnahmen kennen – mindestens die Mindestmaßnahmen nach § 30 Abs. 2 BSIG – und ausreichende finanzielle und personelle Mittel bereitstellen können (Handreichung, Abschnitt 1). Ob die Inhalte in einer Schulung oder verteilt auf mehrere vermittelt werden, steht den Einrichtungen frei (Abschnitt 1.2). Eine ausführliche Liste empfohlener Inhalte und Leitfragen für Geschäftsleitungen enthalten die Kapitel 2 und 3 der Handreichung; dieser Beitrag gibt sie nicht wieder.

Welcher Nachweis ist zu führen?

§ 38 BSIG schreibt keine Form vor, in der die Teilnahme nachzuweisen ist. Für die Risikomanagementmaßnahmen der Einrichtung – dazu gehören die grundlegenden Schulungen nach § 30 Abs. 2 Satz 2 Nr. 7 – verlangt § 30 Abs. 1 Satz 3 BSIG eine Dokumentation; für die Schulung der Geschäftsleitung enthält das Gesetz keine entsprechende ausdrückliche Vorschrift. Prüfen kann das BSI die Schulungspflicht trotzdem: Bei besonders wichtigen Einrichtungen kann es Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anordnen, die ausdrücklich auch die Erfüllung von § 38 Abs. 3 umfassen (§ 61 Abs. 1 BSIG). Bei wichtigen Einrichtungen kann es die Einhaltung überprüfen und Maßnahmen nach § 61 treffen, wenn Tatsachen die Annahme rechtfertigen, dass sie die Pflicht nicht oder nicht richtig umsetzen (§ 62 BSIG).

Wie die Dokumentation aussehen soll, beschreibt das BSI in Abschnitt 1.5 der Handreichung: Die Teilnahme sei „nachvollziehbar und aussagekräftig“ zu dokumentieren, und die Dokumentation sei „intern aufzubewahren und auf Verlangen dem BSI bzw. den vom BSI beauftragten ‚unabhängigen Stellen‘ […] vorzulegen“. Nach Kapitel 2 der Handreichung („Priorisierung der Inhalte“) muss nicht jede Person der Geschäftsleitung dieselben Inhalte in gleicher Detailtiefe erhalten, und in Teilbereichen schon vorhandene „ausreichende Kenntnisse und Fähigkeiten“ müssen nicht vermittelt werden; diese Entscheidungen sind samt Begründung nach Auffassung des BSI „nachvollziehbar“ zu dokumentieren. Das ist die Auffassung der Aufsichtsbehörde, keine gesetzliche Formvorschrift. Gesetzlich geregelt ist dagegen die Vorlage bei einer Überprüfung: Das BSI kann bei besonders wichtigen Einrichtungen die Einhaltung der Anforderungen des BSIG überprüfen; die Einrichtung hat dabei auf Verlangen die in Betracht kommenden Unterlagen vorzulegen (§ 61 Abs. 5 Satz 1 und 3 BSIG), wozu die Dokumentation der Schulung gehören kann. Eine Prüfung der Teilnehmenden ist nach derselben Stelle „weder gesetzlich noch durch das BSI verpflichtend vorgesehen“. Wie Schulungsnachweise allgemein aufgebaut werden, zeigt der Beitrag Pflichtschulungen nachweisen.

Raster: Nachweis der Schulung der Geschäftsleitung

Das Raster ordnet die Mindestangaben, die das BSI in Abschnitt 1.5 der Handreichung nennt, und die Angabe zur Priorisierung aus Kapitel 2 in eine Tabelle. Es gibt die Auffassung des BSI wieder und ist keine gesetzliche Form; es belegt die Teilnahme, nicht den Lernerfolg. Die letzten beiden Zeilen sind Ergänzungen der Redaktion.

Wie lange die Dokumentation aufzubewahren ist, nennt keine der ausgewerteten Quellen; das ist im Einzelfall zu klären. Den Lernerfolg sieht das BSI ohnehin nicht im Teilnahmenachweis, sondern in den Dokumentationen zur Entscheidungsfindung und zur Umsetzung der übrigen Pflichten des BSIG, insbesondere der Risikomanagementmaßnahmen (Handreichung, Abschnitt 1.5).

Was droht, wenn die Schulung fehlt?

Für das bloße Versäumen der Schulung enthält der Bußgeldkatalog in § 65 BSIG keinen eigenen Tatbestand. Bußgeldbewehrt kann aber der nächste Schritt sein. Das BSI kann gegenüber besonders wichtigen Einrichtungen Anordnungen zur Umsetzung der in § 61 Abs. 1 genannten Pflichten erlassen, darunter § 38 Abs. 3 (§ 61 Abs. 7 Satz 1 BSIG). Anordnungen, Nachweise über die Erfüllung dieser Pflichten vorzulegen, erlaubt § 61 Abs. 3 Satz 1 BSIG frühestens drei Jahre nach Inkrafttreten des Gesetzes am 6. Dezember 2025, also nicht vor Dezember 2028; die Frist gilt nur für diese Anordnungen, nicht für die Überprüfung nach § 61 Abs. 5. Gegenüber wichtigen Einrichtungen stehen Maßnahmen nach § 61 unter den Voraussetzungen des § 62 offen. Wer einer solchen vollziehbaren Anordnung vorsätzlich oder fahrlässig zuwiderhandelt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 1 Buchst. c BSIG); die Geldbuße beträgt bei Vorsatz bis zu 500.000 Euro, bei Fahrlässigkeit bis zu 250.000 Euro (§ 65 Abs. 5 Satz 1 Nr. 5 BSIG, § 17 Abs. 2 OWiG). Die höheren Bußgeldrahmen in § 65 Abs. 5 Satz 1 Nr. 1 BSIG gelten für andere Tatbestände. Ob diese Kette greift, hängt von der konkreten Anordnung ab und ist im Einzelfall zu prüfen.

Bei einer Überprüfung besonders wichtiger Einrichtungen nach § 61 Abs. 5 BSIG (Abschnitt zum Nachweis) ist auch die Vorlage bußgeldbewehrt: Wer eine verlangte Unterlage vorsätzlich oder fahrlässig nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt, handelt ordnungswidrig (§ 65 Abs. 2 Nr. 17 BSIG); die Geldbuße beträgt bei Vorsatz bis zu 100.000 Euro, bei Fahrlässigkeit bis zu 50.000 Euro (§ 65 Abs. 5 Satz 1 Nr. 6 BSIG, § 17 Abs. 2 OWiG). Wichtige Einrichtungen kann das BSI nach § 62 BSIG überprüfen, wenn Tatsachen die Annahme eines Verstoßes rechtfertigen; § 65 Abs. 2 Nr. 17 BSIG nennt § 62 nicht, anders als Nr. 1 Buchst. c. Ob dort ein Bußgeld droht, ist im Einzelfall zu prüfen.

Kommt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Fristsetzung nicht nach, kann das BSI dies der zuständigen Aufsichtsbehörde mitteilen. Diese kann als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen, solange die Einrichtung der Anordnung nicht nachkommt (§ 61 Abs. 9 BSIG).

Zur Haftung: Nach § 38 Abs. 2 BSIG haften Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen – die Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen –, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts. Die Schulungspflicht steht in Absatz 3. Ob eine versäumte Schulung zugleich eine Pflichtverletzung nach Absatz 1 begründet, sagt das Gesetz nicht ausdrücklich; das ist eine Frage des Einzelfalls. Die Folgen von NIS-2 für die Einrichtung insgesamt behandelt der oben verlinkte Beitrag zur Betroffenheit; was sich gegenüber NIS-1 für die Geschäftsleitung geändert hat, zeigt der Beitrag NIS-2, NIS-1 und IT-SiG 2.0: Was tatsächlich neu ist.

In eigener Sache: Bridgly bietet den Kurs „NIS2/KRITIS: Betroffenheit, Registrierung, Dokumentation“ an; er dauert 55 Minuten und enthält ein Modul zur Verantwortung der Geschäftsleitung. Ob und wie er in die Schulung einer Geschäftsleitung nach § 38 Abs. 3 BSIG passt, richtet sich nach den oben beschriebenen Maßstäben; die Teilnahme ist wie jede Schulungseinheit zu dokumentieren.

Methodik und Aktualität

Ausgewertet wurden der Wortlaut der §§ 2, 28, 29, 30, 38, 61, 62 und 65 BSIG in der Ausgabe von gesetze-im-internet.de, Art. 20 der NIS-2-Richtlinie in der Fassung des Amtsblatts, Begründung und Erfüllungsaufwand des Regierungsentwurfs (BT-Drs. 21/1501 vom 8. September 2025), die Handreichung des BSI in Version 1.0 vom 17. April 2026 und die NIS-2-FAQ des BSI. Nicht ausgewertet sind die Beschlussempfehlung BT-Drs. 21/2782, die Berichtigungen der Richtlinie und frühere Fassungen der Handreichung. Die Abrufdaten stehen bei den Quellen. Anlass für eine Überarbeitung sind eine neue Fassung der Handreichung, eine Änderung von § 38 BSIG oder Äußerungen von Aufsicht und Gerichten zur Auslegung von „regelmäßig“.

Reichen vier Stunden Schulung alle drei Jahre?

Das Gesetz nennt weder Stunden noch Abstand. Die Begründung des Regierungsentwurfs lässt Schulungen „mindestens alle 3 Jahre“ als regelmäßig gelten; die 4 Stunden sind nur eine Annahme im Erfüllungsaufwand. Das BSI hält das Mindestintervall nur „in den seltensten Fällen“ für ausreichend und eine 4-stündige Schulung „in den allermeisten Fällen“ für nicht ausreichend (BSI-FAQ, Fragen 7 und 4).

Gibt es ein Bußgeld, wenn die Geschäftsleitung die Schulung versäumt?

Einen eigenen Bußgeldtatbestand für die versäumte Schulung enthält § 65 BSIG nicht. Ordnungswidrig ist aber der vorsätzliche oder fahrlässige Verstoß gegen eine vollziehbare Anordnung des BSI nach § 61 Abs. 3 Satz 1 oder Abs. 7 BSIG, auch in Verbindung mit § 62; dafür beträgt die Geldbuße bei Vorsatz bis zu 500.000 Euro, bei Fahrlässigkeit bis zu 250.000 Euro (§ 65 Abs. 5 Satz 1 Nr. 5 BSIG, § 17 Abs. 2 OWiG). Ordnungswidrig handelt außerdem, wer bei einer Überprüfung einer besonders wichtigen Einrichtung nach § 61 Abs. 5 BSIG eine verlangte Unterlage vorsätzlich oder fahrlässig nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt (§ 65 Abs. 2 Nr. 17 BSIG); die Geldbuße beträgt dann bei Vorsatz bis zu 100.000 Euro, bei Fahrlässigkeit bis zu 50.000 Euro (§ 65 Abs. 5 Satz 1 Nr. 6 BSIG, § 17 Abs. 2 OWiG).

Muss die Geschäftsleitung nach der Schulung eine Prüfung ablegen?

Nein. Eine Prüfung, mit der Teilnehmende „ausreichende Kenntnisse und Fähigkeiten“ belegen, ist nach der Handreichung des BSI „weder gesetzlich noch durch das BSI verpflichtend vorgesehen“ (Abschnitt 1.5). Zu dokumentieren ist nach Auffassung des BSI die Teilnahme, mit Angaben zu Anbieter, Teilnehmenden, Zeit und Inhalten, bei je Person priorisierten oder weggelassenen Inhalten auch diese Entscheidung samt Begründung (Kapitel 2 der Handreichung).

Ist die Handreichung des BSI verbindlich?

Nein, nach ihrem eigenen Text: „Eine rechtliche Verpflichtung zur Verwendung der Handreichung besteht nicht.“ Sie zeigt aber, woran das BSI Schulungen misst. Eine Schulung, die sich nur auf Risikomanagementmaßnahmen beschränkt, würde das BSI nach der Handreichung im Rahmen von Aufsichtsmaßnahmen als nicht ausreichend bewerten.

Haftet die Geschäftsleitung, wenn sie nicht geschult ist?

§ 38 Abs. 2 BSIG knüpft die Haftung gegenüber der Einrichtung an die Pflichten aus Absatz 1, also an Umsetzung und Überwachung der Risikomanagementmaßnahmen. Die Schulungspflicht steht in Absatz 3. Ob eine versäumte Schulung zugleich eine Pflichtverletzung nach Absatz 1 begründet, sagt das Gesetz nicht ausdrücklich; das ist im Einzelfall zu prüfen.

• BSI-Gesetz (BSIG) – § 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen (Abruf: 20.10.2026)
• BSIG – § 2 Begriffsbestimmungen, Nr. 13 Geschäftsleitung (Abruf: 20.10.2026)
• BSIG – § 28 Besonders wichtige Einrichtungen und wichtige Einrichtungen (Abruf: 20.10.2026)
• BSIG – § 29 Einrichtungen der Bundesverwaltung (Abruf: 14.10.2026)
• BSIG – § 30 Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen (Abruf: 20.10.2026)
• BSIG – § 61 Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen (Abruf: 20.10.2026)
• BSIG – § 62 Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen (Abruf: 20.10.2026)
• BSIG – § 65 Bußgeldvorschriften (Abruf: 20.10.2026)
• BSIG – Gesamtausgabe mit Fußnote zum Inkrafttreten (zuletzt geändert durch G v. 23.07.2026, BGBl. 2026 I Nr. 226; Abruf: 21.10.2026)
• Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) – Art. 20 Governance (ABl. L 333 vom 27.12.2022, S. 80; Abruf: 19.10.2026)
• Gesetzentwurf der Bundesregierung zur Umsetzung der NIS-2-Richtlinie, BT-Drs. 21/1501 – Begründung zu § 38 Abs. 3 und Erfüllungsaufwand, Vorgabe 4.2.4 (08.09.2025; S. 154 und S. 113; Abruf: 19.10.2026)
• BSI: Schulung für Geschäftsleitungen – Handreichung, Abschnitte 1, 1.1, 1.2 und 1.5 (Version 1.0 vom 17.04.2026)
• BSI: Allgemeine FAQ zu NIS-2 – Abschnitt Geschäftsleitung, Fragen 1, 3, 4 und 7 (Seite ohne Standangabe)

Alle Quellen abgerufen am 22.10.2026, soweit im Eintrag nicht anders angegeben.