Warum ist dieses Thema für meine Organisation relevant?

Menschliches Verhalten ist die häufigste Ursache von Sicherheitsvorfällen. Wissen und Awareness zu diesem Thema senken das Risiko direkt und nachweisbar.

Wie hilft 2LRN4 bei diesem Thema?

2LRN4 verknüpft das Thema mit einem risikobasierten Trainingsmodul, optionaler Phishing-Simulation und Reports, sodass Sie Compliance gegenüber Aufsicht und Vorstand belegen können.

Reicht ein Awareness-Training aus oder braucht es mehr?

Training ist ein notwendiger Baustein, aber kein vollständiger Schutz. Kombinieren Sie es mit technischen Maßnahmen (MFA, E-Mail-Filter), Prozessen und einer Meldekultur für besten Schutz.

NIS2-Schulungspflicht für Geschäftsleitung und Vorstand in Deutschland und Österreich

§ 38 BSIG verpflichtet die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und regelmäßig an Cybersicherheitsschulungen teilzunehmen. Das gilt seit dem 6. Dezember 2025. In Österreich richtet § 31 NISG 2026 vergleichbare Pflichten ab dem 1. Oktober 2026 an Geschäftsführung und Vorstand. Beide Gesetze setzen Artikel 20 der NIS2-Richtlinie um. Wer trägt die Pflichten, was muss die Schulung leisten und was bedeutet die persönliche Haftung in der Praxis?

Deutschland, die NIS2-Schulungspflicht nach § 38 BSIG

Deutschland hat die NIS2-Richtlinie mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das seit dem 6. Dezember 2025 gilt. § 38 BSIG legt die Governance-Pflichten direkt bei der Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen. Sie muss die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen, die sie in die Lage versetzen, Risiken zu erkennen und Risikomanagementpraktiken und deren Folgen für die Dienste der Einrichtung zu bewerten.

Die Ausführung dürfen Sie delegieren, die Verantwortung nicht. Auch wenn ein CISO oder ein externer Dienstleister die tägliche Arbeit übernimmt, bleiben Billigung und Aufsicht Sache der Geschäftsleitung, und bei einer Verletzung dieser Pflichten haften ihre Mitglieder persönlich. Der Bußgeldrahmen reicht bis 10 Millionen Euro für besonders wichtige Einrichtungen und bis 7 Millionen Euro für wichtige Einrichtungen.

Österreich, § 31 NISG 2026

Österreich setzt die Richtlinie mit dem NISG 2026 um, das am 1. Oktober 2026 in Kraft tritt und rund 4.000 Organisationen in 18 Sektoren erfasst. § 31 NISG 2026 richtet die Governance-Pflichten unmittelbar an Geschäftsführung und Vorstand. Die Teilnahme an Cybersicherheitsschulungen, die speziell für Leitungsorgane gestaltet sind, ist ausdrücklich vorgeschrieben.

Die Aufsicht liegt bei der Cybersicherheitsbehörde im Bundesamt für Cybersicherheit. Die Strafen reichen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Wer die Pflichten trägt

In Deutschland adressiert das Gesetz die Geschäftsleitung, in Österreich Geschäftsführung und Vorstand. Gemeint ist in beiden Ländern das Leitungsorgan selbst, keine Fachabteilung und kein beauftragter Dienstleister. Viele Organisationen lassen Aufsichtsgremien freiwillig an derselben Schulung teilnehmen, weil diese Gremien beurteilen müssen, ob die Geschäftsleitung ihre Cybersicherheitsrolle erfüllt.

Was die Schulung leisten muss

Artikel 20 der Richtlinie formuliert ein Ziel und keinen Stundenplan. Die Schulung muss die Mitglieder des Leitungsorgans in die Lage versetzen, Risiken für Netz- und Informationssysteme zu erkennen und Risikomanagementpraktiken und deren Folgen für die Dienste der Einrichtung zu bewerten. Das Niveau ist das der Leitungsebene. Technisches Wissen wird nicht erwartet, wohl die Fähigkeit, einen Risikobericht zu hinterfragen, eine Maßnahme zu beurteilen und eine Entscheidung zu verantworten. Ein allgemeines Awareness-E-Learning für Mitarbeitende genügt deshalb nicht als Schulung der Leitungsebene; es trainiert Nutzerverhalten, keine Entscheidungsfindung.

Dass Wissen allein nicht genügt, ist keine Meinung, sondern ein Forschungsergebnis. Bada, Sasse und Nurse zeigten in ihrer viel zitierten Studie zu Awareness-Kampagnen, dass das bloße Anbieten von Informationen das Verhalten kaum verändert; die Menschen müssen den Rat anwenden können und motiviert sein, das zu tun. Für Leitungsorgane heißt das, dass ein gutes Programm neben E-Learning auch Übungen enthält, in denen eine Entscheidung fallen muss, während die Fakten unvollständig sind.

Auch die Rolle der Leitungsebene selbst ist belegt. Uchendu, Nurse, Bada und Furnell werteten in Computers & Security 58 Studien zur Sicherheitskultur aus und folgern, dass die Unterstützung durch das Topmanagement zu den entscheidenden Bedingungen gehört, um eine solche Kultur aufzubauen. Die Schulungspflicht ist in diesem Licht keine Formalie; eine Geschäftsleitung, die das Thema versteht und auf die Tagesordnung setzt, ist genau das, was eine Sicherheitskultur braucht.

Für das Üben auf Leitungsebene müssen Sie ebenfalls nicht auf unser Wort vertrauen. Der niederländische Wissenschaftliche Rat für Regierungspolitik (WRR) empfahl bereits 2019 in seinem Bericht „Voorbereiden op digitale ontwrichting“ (Vorbereitung auf digitale Disruption), dass Organisationen sich mit Übungen auf digitale Vorfälle vorbereiten, so wie sie es für physische Krisen längst tun. Eine Simulation, in der die Geschäftsleitung die ersten Stunden eines Vorfalls durchlebt, ist die praktische Umsetzung dieses Rats.

Nachweis und Protokoll

Bei einer Prüfung zählt, was Sie zeigen können. Bewährt hat sich ein Protokoll je Mitglied der Geschäftsleitung mit Abschlussdaten, Inhaltsversionen und Prüfungsergebnissen. Aufzeichnungen, die sich nachträglich nicht ändern lassen und Zeitstempel tragen, sind deutlich stärker als lose Zertifikate oder E-Mails.

Halten Sie außerdem je Sitzung fest, wann Cybersicherheit besprochen wurde und welche Entscheidung gefallen ist. Auch das belegt, dass das Leitungsorgan seine Aufsichtsrolle erfüllt, und danach fragt eine Behörde nach einem Vorfall zuerst.

Persönliche Haftung, was heißt das konkret?

§ 38 BSIG sieht eine persönliche Haftung der Geschäftsleitung vor, wenn sie ihre Pflichten verletzt, und auch die Richtlinie bestimmt, dass Mitglieder des Leitungsorgans bei Nachlässigkeit haftbar gemacht werden können. Ob ein Vorwurf trägt, hängt davon ab, was ein Mitglied wusste oder hätte wissen müssen.

Wer belegen kann, dass er geschult ist, das Risiko auf die Tagesordnung gesetzt und begründete Entscheidungen getroffen hat, steht stark, auch wenn es trotzdem zu einem Vorfall kommt. Wer nie geschult wurde und Cybersicherheit vollständig delegiert hat, ohne sich ein eigenes Urteil zu bilden, steht schwach. Die Schulung ist damit kein Selbstzweck, sondern die Grundlage einer verteidigbaren Position.

Häufige Fehler

Generische Awareness-Module für die Geschäftsleitung verwenden statt einer Schulung auf Governance-Niveau. Das hakt ein Kästchen ab, trainiert aber nicht, was das Gesetz verlangt.
Cybersicherheit vollständig an den CISO delegieren, ohne dass sich das Leitungsorgan ein eigenes Urteil bildet. Das Gesetz legt die Billigung der Maßnahmen ausdrücklich bei der Geschäftsleitung.
Keine Dokumentation der Sitzungen, in denen Cybersicherheit besprochen wurde. Ohne Tagesordnungspunkt und Protokoll lässt sich hinterher nichts belegen.
Compliance und Sicherheit verwechseln. Eine Organisation kann auf dem Papier die Vorgaben erfüllen und trotzdem verwundbar sein. Die Geschäftsleitung muss beides unterscheiden können.
Neue Mitglieder spät einbinden. Jeder Monat zwischen Bestellung und Schulung ist ein Monat, in dem jemand mitentscheidet, ohne eine belegbare Grundlage zu haben.

Die NIS2-Schulungspflicht mit einem kompletten Programm erfüllen

Die Schulung für Leitungsorgane von 2LRN4 kombiniert sechs E-Learning-Module mit zwei Workshops am eigenen Vorstandstisch und liefert das Zertifikat und das Nachweisdossier, um die es in diesem Artikel geht.

NIS2 für Vorstände

Quellen

FAQ

Kann die Schulung online stattfinden?

Ja. Artikel 20 beschreibt, was Mitglieder des Leitungsorgans können müssen, und keine Lernform. Online-Module, hybride Sitzungen und Präsenzworkshops kommen alle in Betracht, solange die Teilnahme nachweisbar ist. Bedenken Sie dabei, dass Forschung zeigt, dass Information allein das Verhalten kaum verändert; ein Programm, das E-Learning mit Übungen am eigenen Vorstandstisch kombiniert, passt besser zu dem, was die Richtlinie bezweckt.

Gilt die Pflicht auch für den Aufsichtsrat?

§ 38 BSIG richtet sich an die Geschäftsleitung, § 31 NISG 2026 an Geschäftsführung und Vorstand. Viele Organisationen lassen Aufsichtsgremien trotzdem freiwillig teilnehmen, weil diese beurteilen müssen, ob die Geschäftsleitung ihre Cybersicherheitsrolle erfüllt.

Wie oft muss geschult werden?

§ 38 BSIG verlangt eine regelmäßige Teilnahme. In der Praxis heißt das, das Wissen aktuell zu halten und Auffrischungen zu dokumentieren, etwa in einem Protokoll je Mitglied mit Abschlussdaten und Inhaltsversionen. So können Sie die Regelmäßigkeit bei einer Prüfung belegen.

Was droht bei Verstößen?

In Deutschland reicht der Bußgeldrahmen bis 10 Millionen Euro für besonders wichtige und bis 7 Millionen Euro für wichtige Einrichtungen, und die Mitglieder der Geschäftsleitung haften bei Pflichtverletzungen persönlich. In Österreich reichen die Strafen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Was kostet eine Schulung für die Geschäftsleitung?

Das reicht von einzelnen E-Learnings pro Person bis zu begleiteten Programmen je Leitungsorgan. Zur Einordnung, das komplette Programm von 2LRN4, mit sechs Modulen, zwei Tests, zwei Workshops vor Ort, Zertifikat und Nachweisdossier, kostet 11.500 Euro je Leitungsorgan bis acht Teilnehmende, zuzüglich Umsatzsteuer, plus 950 Euro pro Jahr für die Aktualisierung. Vergleichen Sie Anbieter vor allem danach, welcher Nachweis am Ende übrig bleibt, denn danach fragt die Behörde.