NIS2-Vorstandsprogramm

Von der gesetzlichen Pflicht zur abgewogenen Entscheidungsfindung

Am 15. August 2026 ist die niederländische NIS2-Gesetzgebung in Kraft getreten. Seitdem gilt für jedes Mitglied des Leitungsorgans einer wesentlichen oder wichtigen Einrichtung eine persönliche Pflicht: Du musst Risiken für Netz- und Informationssysteme erkennen, Maßnahmen beurteilen und deren Folgen für deine Dienstleistungen abwägen können. Du weist das mit dem Zertifikat einer Schulung nach, die die gesetzlich vorgeschriebenen Themen behandelt, und hältst das Wissen danach nachweisbar aktuell. Spätestens am 15. August 2028 musst du diese Pflicht erfüllen.

Der Gesetzgeber ist deutlich, was das Niveau betrifft. Technisches Wissen wird nicht von dir erwartet, wohl aber Wissen auf strategischer Ebene, damit du als Vorstand Maßnahmen beurteilen und Risiken beherrschen lassen kannst. Die Erläuterung zur niederländischen NIS2-Durchführungsverordnung fasst das Ziel zusammen als das Erreichen „einer guten Abwägung und abgewogenen Entscheidungsfindung rund um die Sicherheit von Netz- und Informationssystemen“.

Genau das trainiert dieses Programm.

Warum E-Learning allein nicht genügt

Das Gesetz verlangt zwei verschiedene Dinge. Die Durchführungsverordnung schreibt dreizehn Themen vor, die die Schulung behandeln muss. Das ist Wissen, und Wissen vermittelt man effizient per E-Learning. Das Gesetz selbst verlangt daneben Fähigkeiten, und eine Fähigkeit entsteht nicht durch Zuhören. Sie entsteht, wenn du eine Entscheidung treffen musst, während die Fakten unvollständig sind und die Meldefrist läuft.

Deshalb besteht dieses Programm aus beidem, und keines von beiden ist optional. Sechs kurze E-Learning-Module legen die theoretische Basis und decken nachweisbar alle dreizehn gesetzlichen Themen ab. Zwei Workshops mit deinem eigenen Vorstand setzen diese Basis in das Verhalten um, nach dem das Gesetz wirklich fragt. Wer nur Videos ansieht, erhält ein Zertifikat. Wer auch übt, kann die dazugehörige Entscheidung tatsächlich treffen und verantworten.

Das Programm in sechs Monaten

Du durchläufst sechs E-Learning-Module von 12 bis 15 Minuten, eines pro Monat, wann immer es dir passt. Jedes Modul dreht sich um dieselben vier Fragen, die du danach an deinem eigenen Vorstandstisch stellst: Was kann hier schiefgehen und was betrifft das, was tun wir dagegen und sehe ich, dass es wirkt, was bedeutet es für unsere Dienstleistungen, wenn es dennoch passiert, und wer entscheidet darüber und was ist meine Rolle.

Nach den ersten drei Modulen machst du einen Zwischentest, der prüft, ob die Grundlagen sitzen, bevor du dich mit deinem eigenen Vorstand an den Tisch setzt. Danach folgt der erste Workshop, mit deinem eigenen Vorstand und deinem eigenen CISO am Tisch. Du hinterfragst deine eigene Risikoberichterstattung, legst deine Risikobereitschaft fest und triffst eine Maßnahmenentscheidung, die du schriftlich begründest.

Nach den letzten drei Modulen machst du den Entscheidungstest, der keine Faktenkenntnisse abfragt, sondern die Verteidigbarkeit von Vorstandsentscheidungen. Zum Abschluss folgt der Abschlussworkshop, eine Simulation in drei Runden. Du sitzt in den ersten Stunden eines Vorfalls mit unvollständigen Informationen, stehst am dritten Tag vor der Wahl zwischen Wiederherstellen und Weiterarbeiten, und erklärst sechs Monate später der Aufsichtsbehörde, warum du entschieden hast, was du entschieden hast. Ein unabhängiger Beobachter hält jede Entscheidung in einem Entscheidungsprotokoll fest, das du für dein Nachweisdossier mitbekommst.

Der gesamte Aufwand pro Vorstandsmitglied beträgt etwa neuneinhalb Stunden, verteilt über sechs Monate: acht Stunden für die beiden Workshops zusammen, dazu die sechs Module. Das sind anderthalb Stunden pro Monat für eine Pflicht, für die du persönlich einstehen musst.

Was du danach in der Hand hast

Du erhältst ein Zertifikat, das alle Formvorgaben der niederländischen NIS2-Durchführungsverordnung erfüllt, ausgestellt auf Niederländisch oder Englisch. Auf der Rückseite steht je gesetzlichem Thema, in welchem Modul oder Workshop es behandelt wurde und wann. Ein Auditor, der das Zertifikat neben den Gesetzestext legt, muss nichts mehr prüfen.

Außerdem baut die Plattform laufend dein Nachweisdossier auf. Das Gesetz verlangt, dass du dein Wissen nach der Schulung nachweisbar aktuell hältst, und dafür ist kein Zertifikat vorgeschrieben, sondern ein Nachweis „auf andere Weise“. Unsere Berichterstattung ist genau dieser Nachweis: ein nicht veränderbares Protokoll pro Vorstandsmitglied mit Abschlussdaten, Inhaltsversionen, Testergebnissen und der geplanten Aktualisierung. Bei einer Kontrolle lieferst du einen einzigen Export.

Aktuell bleiben

Nach dem ersten Jahr folgt jährlich ein kurzes Aktualisierungsmodul mit neuen Fallbeispielen und den Gesetzesänderungen des Jahres. Alle zwei Jahre wiederholst du die Simulation mit einem neuen Fall. Ein Vorstandsmitglied, das zwischenzeitlich eintritt, durchläuft das vollständige Programm direkt bei der Ernennung. Das Gesetz gewährt einem neuen Mitglied zwei Jahre, aber wer über Maßnahmen mitentscheidet, die er erst später beurteilen lernt, trägt dieses ganze Zeitfenster ein Risiko ohne nachweisbare Grundlage.

Investition

Ein Preis pro Vorstand, unabhängig von der Mitgliederzahl bis acht Teilnehmer. Alle Beträge verstehen sich zuzüglich Mehrwertsteuer. Die Workshops finden vor Ort statt und beinhalten die Vorbereitung mit deinem CISO, die Begleitung, einen unabhängigen Beobachter und die Berichterstattung.

Ein Vorstandsmitglied, das zwischenzeitlich eintritt, durchläuft das vollständige E-Learning-Programm und erhält ein eigenes Zertifikat, ohne Mehrkosten, solange die Aktualisierung läuft. Bei einem Vorstand mit mehr als acht Mitgliedern oder mehreren Leitungsorganen innerhalb einer Organisation vereinbaren wir ein maßgeschneidertes Angebot.

Bist du bereits Kunde von 2LRN4 oder Kantyra, gilt ein Kombinationsrabatt von 10% auf das vollständige Programm. Nutzt du beide Plattformen, beträgt der Rabatt 15%. Dein Nachweisdossier schließt dann außerdem direkt an deine bestehende Umgebung an, sodass der Nachweis für die Schulungspflicht und der Nachweis für die Sorgfaltspflicht in derselben Berichterstattung zusammenkommen.

Workshops außerhalb der Niederlande

Die Workshops finden in den Niederlanden statt, auf Niederländisch oder auf Englisch. Wir führen sie auch bei dir vor Ort im Ausland durch, dann auf Englisch, wobei Reise- und Übernachtungskosten gesondert zum Selbstkostenpreis berechnet werden. Für Workshops in deutscher Sprache in Deutschland und Österreich suchen wir noch Partner. Wenn du als Bildungsanbieter oder Beratungshaus dieses Programm in deinem Markt anbieten willst, schau dir unsere Partnerseite an.

Für wen das gilt

Die Pflicht trifft jedes Mitglied des Leitungsorgans einer wesentlichen oder wichtigen Einrichtung. Bei einem One-Tier-Board gilt sie ausschließlich für die geschäftsführenden Mitglieder. Bei einer Sozietät gilt sie für jeden Partner, bei einer offenen Handelsgesellschaft für jeden Gesellschafter, und bei Behörden bestimmt das Gesetz das Leitungsorgan, bei Gemeinden zum Beispiel das Kollegium aus Bürgermeister und Beigeordneten. Bist du unsicher, ob deine Organisation und deine Rolle darunterfallen, klären wir das für dich in einem halbstündigen Gespräch, kostenlos.

Rechtzeitig beginnen

Der Stichtag ist der 15. August 2028, und das Programm dauert sechs Monate. Wer 2027 beginnt, durchläuft das Programm in Ruhe, neben der Registrierung, den Sorgfaltsmaßnahmen und den Lieferkettenvereinbarungen, die im selben Zeitraum auf der Vorstandsagenda stehen. Wer bis zum Frühjahr 2028 wartet, absolviert die Schulung unter Zeitdruck, während die Aufsichtsbehörde bereits zusieht.

Plane ein Kennenlerngespräch über die Kontaktseite oder schreibe an support@2lrn4.com.