- § 38 Absatz 3 BSIG verpflichtet Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen zur regelmäßigen Teilnahme an Schulungen mit einem konkreten Risikokompetenz-Ziel.
- § 30 BSIG ordnet grundlegende Schulungen und Sensibilisierungsmaßnahmen als Bestandteil des Cyberrisikomanagements der Einrichtung ein.
- § 38 selbst nennt weder eine Mindestdauer noch einen festen Kalenderturnus für die Geschäftsleitungsschulung.
- Für bestimmte digitale Einrichtungsarten konkretisiert die Verordnung (EU) 2024/2690 Awareness und rollenbezogene Sicherheitsschulung deutlich stärker.
- Ein gemeinsames Awareness-Fundament kann sinnvoll sein; die notwendige Vertiefung richtet sich nach Kompetenzziel, Rolle und Risikokontext.
Wer 2026 nach NIS2-Schulungen sucht, findet schnell zwei Arten von Angeboten: Awareness-Kurse für Mitarbeitende und Workshops für Geschäftsleitungen. Rechtlich steckt dahinter mehr als eine Aufteilung nach Zielgruppen. Das geltende BSI-Gesetz behandelt Schulung an mehreren Stellen und mit unterschiedlichen Funktionen.
Für Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen enthält § 38 Absatz 3 BSIG eine persönliche Pflicht: Sie müssen regelmäßig an Schulungen teilnehmen und dadurch in die Lage versetzt werden, Cyberrisiken und Risikomanagementpraktiken zu erkennen und zu bewerten. § 30 BSIG setzt an der Organisation an. Dort gehören grundlegende Schulungen und Sensibilisierungsmaßnahmen zu den Risikomanagementmaßnahmen, die betroffene Einrichtungen umsetzen müssen.
Beides kann in einem gemeinsamen Qualifizierungsprogramm zusammenlaufen. Für die Ausgestaltung zählt aber, welches Kompetenzziel eine Zielgruppe erreichen soll.
Für die Geschäftsleitung geht es um Risikokompetenz
§ 38 Absatz 3 BSIG beschreibt ungewöhnlich klar, was die Schulung der Geschäftsleitung leisten soll. Die Teilnehmer sollen ausreichende Kenntnisse und Fähigkeiten erwerben, um Risiken sowie Risikomanagementpraktiken im Bereich der IT-Sicherheit erkennen und bewerten zu können. Außerdem müssen sie beurteilen können, welche Auswirkungen diese Risiken und Maßnahmen auf die von der Einrichtung erbrachten Dienste haben.
Der Maßstab ist Entscheidungskompetenz. Technische Detailkenntnisse sind dafür nur insoweit relevant, wie sie helfen, Risikoaussagen, vorgeschlagene Maßnahmen und deren Folgen für den eigenen Betrieb einzuordnen. Die Norm zielt auf eine Geschäftsleitung, die Sicherheitsentscheidungen fachlich nachvollziehen und überwachen kann.
Das passt zu Absatz 1 derselben Vorschrift. Dort verpflichtet das BSIG die Geschäftsleitungen, die nach § 30 erforderlichen Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen. Schulung und Führungsverantwortung stehen deshalb in einem direkten Zusammenhang: Wer Maßnahmen freigeben und überwachen soll, braucht genügend Kompetenz, um die zugrunde liegenden Risiken einordnen zu können.
Der Gesetzestext nennt weder eine Mindestdauer noch einen festen Kalenderturnus. In § 38 Absatz 3 steht „regelmäßig“. Aussagen wie „vier Stunden jedes Jahr“ oder „alle drei Jahre“ können aus Leitlinien, internen Konzepten oder einzelnen Angeboten stammen. § 38 selbst gibt diese Zahlen nicht vor.
Bei der Belegschaft ist Schulung Teil des Risikomanagements
Für Mitarbeitende ist die Rechtslogik eine andere. § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Absatz 2 nennt zehn Bereiche, die diese Maßnahmen mindestens umfassen müssen. An siebter Stelle stehen grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik.
Der Maßstab ist damit zunächst die Einrichtung und ihr Risikomanagement. § 30 formuliert keinen jährlichen Einheitskurs für jede beschäftigte Person. Die Maßnahmen müssen zur Risikoexposition, Größe, Umsetzungskosten sowie zur Wahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle passen.
Die europäische NIS-2-Richtlinie ergänzt dieses Bild. Artikel 20 Absatz 2 verlangt Schulungen für Mitglieder der Leitungsorgane und fordert zugleich dazu auf, Mitarbeitenden regelmäßig ähnliche Schulungen anzubieten. Artikel 21 Absatz 2 Buchstabe g zählt grundlegende Cyberhygiene und Cybersicherheitsschulungen zu den Risikomanagementmaßnahmen.
Für die Umsetzung ergibt sich daraus eine breitere Aufgabe als die Buchung eines Standardkurses. Eine Organisation muss überlegen, welche Personen welches Sicherheitsverhalten und welches Wissen für ihre Rolle benötigen. Bei vielen Beschäftigten wird das vor allem Awareness und sichere Alltagspraktiken betreffen. Wer Systeme administriert, Sicherheitsvorfälle bearbeitet oder andere sicherheitskritische Aufgaben übernimmt, benötigt in der Regel eine andere Tiefe.
- Geschäftsleitung: § 38 Absatz 3 BSIG enthält eine persönliche, regelmäßige Schulungspflicht. Ziel ist die Fähigkeit, Cyberrisiken, Risikomanagementpraktiken und deren Auswirkungen auf die eigenen Dienste zu beurteilen.
- Organisation: § 30 Absatz 2 Nummer 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen als Bestandteil des Cyberrisikomanagements. Ihre Ausgestaltung steht im Zusammenhang mit dem konkreten Risiko der Einrichtung.
- Bestimmte digitale Einrichtungsarten: Für die in der Durchführungsverordnung (EU) 2024/2690 genannten Anbieter werden Awareness und rollenbezogene Sicherheitsschulungen deutlich detaillierter geregelt.
Die Ebenen greifen ineinander und erfüllen unterschiedliche Funktionen. Ein Teilnahmenachweis aus einem allgemeinen Awareness-Kurs beantwortet deshalb noch nicht automatisch die Kompetenzfrage aus § 38 Absatz 3.
„Regelmäßig“ ist kein gesetzlicher Jahresrhythmus
Bei Pflichtschulungen entsteht schnell der Wunsch nach einer einfachen Zahl: einmal pro Jahr, alle zwei Jahre, vier Stunden, acht Stunden. Solche Intervalle vereinfachen die Planung. § 38 liefert dafür allerdings keine feste Zahl.
Für die Geschäftsleitung ist der gesetzliche Begriff „regelmäßig“ entscheidend. Für die praktische Umsetzung braucht die Organisation daher einen sachgerechten Rhythmus; wie er gewählt wird, lässt sich nicht aus einer festen Zahl in § 38 ableiten.
Was sachgerecht ist, kann sich verändern. Eine neue Geschäftsleitung, eine wesentlich geänderte Risikolage, neue kritische Dienste oder größere Veränderungen der Sicherheitsorganisation können einen anderen Schulungsbedarf erzeugen als ein unveränderter Betrieb. Für die rechtliche Bewertung eines konkreten Rhythmus können zusätzliche Behördenhinweise und sektorspezifische Anforderungen relevant sein.
Bei § 30 ist die Logik ohnehin risikobasiert. Ein fester Wiederholungszyklus kann Teil eines solchen Programms sein; entscheidend bleibt, ob Inhalt, Zielgruppe und Aktualisierung zur tatsächlichen Risikolage passen.
Für bestimmte digitale Anbieter wird NIS2 konkreter
Ein wichtiger Sonderfall ist die Durchführungsverordnung (EU) 2024/2690. Sie erfasst bestimmte digitale Einrichtungsarten, darunter Cloud-Computing- und Rechenzentrumsdienste, Managed Service Provider, Managed Security Service Provider, DNS-Dienste, TLD-Registries, Content Delivery Networks, bestimmte Online-Plattformen und Vertrauensdiensteanbieter.
Für diese Einrichtungen enthält die Verordnung in Abschnitt 8 konkrete Programmanforderungen. Awareness-Maßnahmen sollen wiederholt stattfinden und neue Mitarbeitende erreichen. Inhaltlich geht es unter anderem um relevante Cyberbedrohungen, vorhandene Risikomanagementmaßnahmen, Kontaktstellen und Verfahren der Cyberhygiene. Soweit angemessen, soll die Wirksamkeit getestet werden.
Daneben verlangt die Verordnung, Mitarbeitende mit Rollen zu identifizieren, für die sicherheitsrelevante Fähigkeiten und Fachkenntnisse erforderlich sind. Diese Personen sind regelmäßig und funktionsbezogen zu schulen. Auch beim Wechsel in eine solche Rolle ist Schulung vorgesehen.
Diese Detailregeln gelten nur für den in der Verordnung definierten Kreis von Einrichtungen. Bei anderen betroffenen Unternehmen bleibt das BSIG der Ausgangspunkt, ergänzt um weitere Regeln, die für den jeweiligen Sektor gelten können.
Ein gemeinsames Fundament kann sinnvoll sein
Ein gemeinsames Awareness-Fundament bleibt möglich und kann organisatorisch sogar sinnvoll sein, wenn es die relevanten Bedrohungen, Verhaltensregeln und Meldewege der Organisation abdeckt. Danach richtet sich die Vertiefung nach Kompetenzziel und Rolle.
Für die Geschäftsleitung geht es um Risiko- und Entscheidungskompetenz. Beschäftigte brauchen die für ihren Arbeitskontext relevanten sicheren Verhaltensweisen. Sicherheitskritische Rollen benötigen zusätzliche Fachkenntnisse, die über allgemeine Awareness hinausgehen.
Damit lässt sich ein bestehender Kurskatalog oft besser beurteilen als über das bloße Vorhandensein eines Kurses mit dem Label „NIS2“.
Die Rechtsgrundlage entscheidet, was Schulung leisten soll
NIS2 und BSIG machen Cybersicherheit ausdrücklich zu einer Führungs- und Organisationsaufgabe. Schulung erfüllt dabei je nach Zielgruppe eine andere Funktion.
Die Geschäftsleitung hat eine eigene, gesetzlich formulierte Schulungspflicht mit einem konkreten Kompetenzziel. Auf Ebene der Einrichtung gehören Schulungs- und Sensibilisierungsmaßnahmen zum Risikomanagement. Für bestimmte digitale Anbieter kommen detailliertere Vorgaben zu Awareness und rollenbezogener Qualifizierung hinzu.
Wer diese Ebenen zuerst trennt, kann anschließend pragmatisch entscheiden, welche Inhalte gemeinsam vermittelt werden und wo unterschiedliche Rollen mehr Tiefe brauchen. Für die Umsetzung ist das hilfreicher als ein pauschaler NIS2-Kurs, dessen Titel wenig darüber sagt, welche Anforderung er tatsächlich abdeckt.