NIS2-Schulungspflicht für GF & Mitarbeiter erklärt

Inhalt in Kürze

• § 38 Abs. 3 BSIG verlangt von der Geschäftsleitung betroffener Unternehmen die regelmäßige Teilnahme an Cybersicherheits-Schulungen. Ein Bußgeld ist dafür nicht vorgesehen – § 38 steht nicht im Katalog des § 65.
• Die NIS2 Schulungspflicht umfasst zwei Ebenen: Schulung der Leitung und Sensibilisierung aller Beschäftigten zu Cyberhygiene (Phishing, Passwörter, Meldewege).
• Betroffen sind Unternehmen in 18 Sektoren ab 50 Beschäftigten – oder wenn Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € liegen (§ 28 Abs. 2 Nr. 3 BSIG) – über die Lieferkette auch kleinere Zulieferer.
• Verletzt die Geschäftsleitung ihre Pflicht aus § 38 Abs. 1, haftet sie ihrer eigenen Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2) – nicht gegenüber Dritten.

Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) in Kraft. Es macht IT-Sicherheit zur Chefsache – wörtlich. Wer die Schulungspflicht ignoriert, riskiert nicht nur Bußgelder, sondern die persönliche Haftung der Geschäftsführung.

NIS2 Schulungspflicht: Was § 38 BSIG von der Geschäftsleitung verlangt

Das NIS2UmsuCG ändert vor allem das BSI-Gesetz (BSIG). Der zentrale Hebel für Geschäftsführer ist § 38 BSIG – er begründet die Schulungspflicht für Geschäftsleitungen. Gemeint sind alle Leitungsorgane: Geschäftsführer, Vorstand und vergleichbare Geschäftsleitungen. Die Vorschrift nimmt sie in drei Punkten in die Pflicht:

• Umsetzen und überwachen. § 38 Abs. 1 BSIG verlangt beides: Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen. „Billigen“ ist der Wortlaut der EU-Richtlinie — das deutsche Gesetz geht darüber hinaus.
• Überwachen. Sie muss die Umsetzung dieser Maßnahmen kontinuierlich kontrollieren.
• Sich schulen lassen. Sie muss regelmäßig an Schulungen teilnehmen, um Cyberangriffe und Cyberrisiken bewerten zu können.

Wichtig: Diese Pflichten sind höchstpersönlich. Ein Geschäftsführer kann die operative Umsetzung an die IT delegieren – die Verantwortung und die Schulungsteilnahme aber nicht. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu eine eigene Handreichung veröffentlicht. Diese BSI-Handreichung stellt klar: Eine Schulung muss drei Kompetenzfelder abdecken – die Erkennung und Bewertung von Risiken, das Beurteilen der Risikomanagementmaßnahmen und das Einschätzen ihrer Auswirkung auf die eigenen Dienste. Ein Halbtages-Seminar zu einem Einzelaspekt erfüllt die gesetzlichen Anforderungen nicht.

Auch die Mitarbeiter müssen geschult werden

Die NIS2 Schulungspflicht endet nicht in der Chefetage. Art. 21 der NIS2-Richtlinie (EU) 2022/2555 zählt „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit” ausdrücklich zu den verpflichtenden Mindestmaßnahmen. Über das BSIG gilt diese Vorgabe der NIS-2-Richtlinie in Deutschland unmittelbar.

Konkret heißt das: Jeder Beschäftigte muss verstehen, wie er Phishing erkennt, mit Passwörtern und MFA umgeht und wie er einen Verdachtsfall meldet. Genau hier scheitern die meisten Angriffe oder gelingen – der Faktor Mensch ist die größte Schwachstelle und zugleich der wirksamste Schutzwall.

Lesetipp: Dieses Thema behandelt unser kostenloses E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten). Jetzt herunterladen →

Wer ist betroffen – und wer über die Lieferkette mitgemeint

NIS2 greift nicht nur bei Großkonzernen. Maßgeblich sind Sektor und Unternehmensgröße.

In Deutschland sind rund 20.850 Einrichtungen in 18 Sektoren direkt betroffen (BT-Drs. 20/13184) – 2.950 besonders wichtige und 17.900 wichtige Einrichtungen. Für die Leitungsorgane wichtiger Einrichtungen gilt die Schulungspflicht genauso wie für besonders wichtige. Doch auch wer unter den Schwellenwerten bleibt, kommt selten an NIS2 vorbei: Betroffene Auftraggeber müssen ihre Lieferkette absichern und reichen die Anforderungen an Zulieferer weiter – inklusive Schulungsnachweis.

Es trifft auch die kleineren Unternehmen, die nicht direkt unter NIS2 fallen – aber aufgrund der Lieferkette ein wichtiger Bestandteil sind.

Nils OehmichenDatenschutzberater bei frag.hugo

Was Sie konkret nachweisen müssen

Aufsicht und Auditoren fragen nicht, ob Sie es ernst meinen – sie verlangen Belege. Für die Schulungspflicht heißt das:

1. Betroffenheit klären: Prüfen Sie Sektor und Schwellenwerte. Dokumentieren Sie das Ergebnis – auch ein „nicht betroffen" gehört begründet zur Akte.
2. Geschäftsleitung schulen: Mindestens jährlich, mit den drei vom BSI geforderten Kompetenzfeldern. Achten Sie bei der Wahl der Schulungsanbieter darauf, dass deren Inhalte genau diese Felder abdecken. Teilnahme dokumentieren.
3. Belegschaft sensibilisieren: Cyberhygiene-Schulung für alle, ergänzt um Phishing-Simulationen, die das Verhalten messbar machen.
4. Nachweis archivieren: Inhalte, Datum, Teilnehmer, Testergebnisse, Teilnahmebescheinigungen – revisionssicher und jederzeit abrufbar.

Aus der Praxis

Dass eine technisch saubere Mail kein Beleg für Sicherheit ist, zeigt ein realer Fall aus unserer Beratung. Gut geschulte Mitarbeiter hätten hier den entscheidenden Unterschied gemacht.

Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff.

Nils OehmichenDatenschutzberater bei frag.hugo

Der Angreifer hatte das Postfach des Partners übernommen. Keine gefälschte Absenderadresse, kein Tippfehler – nur ein ungewöhnlicher Zahlungswunsch. Solche Angriffe stoppt keine Firewall, sondern nur ein Mitarbeiter, der gelernt hat, im richtigen Moment nachzufragen. Genau das ist der Sinn der NIS2-Sensibilisierungspflicht.

Fazit: Schulen, dokumentieren, nachweisen

NIS2 verlangt keine Heldentaten, sondern Systematik: regelmäßig schulen, sauber dokumentieren, jederzeit nachweisen können. Wer das in einen festen Jahresrhythmus gießt, erfüllt die Pflicht und senkt sein Risiko spürbar.

Genau dafür ist Hugo Learn gebaut. Die Plattform liefert ein eigenes Modul zur NIS2-Pflicht für die Geschäftsleitung, Awareness-Schulungen plus Phishing-Simulation für die Belegschaft und einen auditfesten Nachweis – auf Deutsch, in Deutschland gehostet. Wer die technische Absicherung der Lieferkette ergänzen will, schaut sich Hugo Shield an; für die Awareness-Tiefe lohnt der Blick auf unsere AI-Act-Schulungspflicht und den Schulungsnachweis fürs Audit.

Häufige Fragen (FAQ)

Wer fällt unter die NIS2 Schulungspflicht?

Betroffen sind besonders wichtige und wichtige Einrichtungen in 18 Sektoren ab 50 Mitarbeitern oder bei jeweils über 10 Mio. Euro Umsatz und Bilanzsumme. Die Schulungspflicht trifft direkt die Geschäftsleitung, zusätzlich gilt eine Sensibilisierungspflicht für alle Beschäftigten.

Was schreibt § 38 BSIG genau vor?

§ 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagement-Maßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen (Abs. 1) sowie regelmäßig an Schulungen teilzunehmen (Abs. 3). Diese Pflicht ist nicht auf Dritte delegierbar.

Müssen auch normale Mitarbeiter geschult werden?

Ja. Aus den Risikomanagement-Pflichten (Art. 21 NIS2-Richtlinie, umgesetzt im BSIG) folgt die Pflicht zu Cyberhygiene-Schulungen und Sensibilisierung aller Beschäftigten – etwa zu Phishing, Passwörtern und Meldewegen.

Gilt NIS2 auch für kleine Unternehmen unter dem Schwellenwert?

Formal nicht. Über die Lieferkette werden aber auch kleinere Zulieferer faktisch in die Pflicht genommen, weil betroffene Auftraggeber Schulungsnachweise und Sicherheitsmaßnahmen vertraglich einfordern.

Wie weist man die NIS2-Schulung nach?

Über dokumentierte Teilnahme: Schulungsinhalte, Datum, Teilnehmerliste, bestandene Tests und Teilnahmebescheinigungen. Eine Plattform mit auditfestem Reporting liefert diesen Nachweis automatisch für Aufsicht und Audits.

Wie oft muss geschult werden?

Das Gesetz fordert regelmäßige Schulungen ohne feste Frequenz. Das BSI empfiehlt für die Geschäftsleitung eine jährliche Teilnahme; für die Belegschaft hat sich ein jährlicher Rhythmus plus laufende Phishing-Simulationen etabliert.

Welche Schulungen gibt es für die NIS2-Geschäftsleitung?

Die Schulung muss die drei vom BSI geforderten Kompetenzfelder abdecken: die Erkennung und Bewertung von Risiken, das Beurteilen der Risikomanagementmaßnahmen und das Einschätzen ihrer Auswirkung auf die eigenen Dienste. Üblich sind Präsenz- oder Online-Workshops sowie strukturierte E-Learning-Module mit Teilnahmenachweis.

Was sind NIS2-Pflichten?

Betroffene Einrichtungen müssen technische und organisatorische Risikomanagementmaßnahmen nach § 30 BSIG umsetzen, schwerwiegende Vorfälle in drei Stufen nach § 32 BSIG melden – Erstmeldung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung –, sich registrieren und ihre Geschäftsleitung schulen lassen. Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1).

Wann bin ich NIS2 pflichtig?

Sie sind in der Regel pflichtig, wenn Ihr Unternehmen einem der 18 NIS2-Sektoren angehört und mindestens 50 Mitarbeiter beschäftigt oder jeweils über 10 Mio. Euro Umsatz und Bilanzsumme aufweist. Einige Sektoren wie kritische Infrastruktur sind unabhängig von der Größe betroffen.

Ist NIS2 verpflichtend?

Ja. Seit dem deutschen NIS2-Umsetzungsgesetz gelten die Vorgaben für betroffene Einrichtungen verbindlich. Verstöße können mit Bußgeldern bis 10 Mio. Euro nach § 65 Abs. 5 BSIG geahndet werden; daneben haftet die Geschäftsleitung ihrer eigenen Einrichtung nach § 38 Abs. 2 BSIG.