Die NIS2-Schulungspflicht hat zwei Ebenen. Erstens: § 38 BSIG verpflichtet die Geschäftsleitung ausdrücklich, regelmäßig an Schulungen zur Cybersicherheit teilzunehmen — diese Pflicht ist Teil der persönlichen Verantwortung der Geschäftsleitung und nicht delegierbar. Zweitens: Grundlegende Cyberhygiene und Schulungen zählen zu den 10 Pflichtbereichen der Risikomanagementmaßnahmen nach § 30 BSIG — betroffen sind damit auch IT-Team und Belegschaft.
Wer muss geschult werden?
| Zielgruppe | Inhalte | Empfohlener Rhythmus |
|---|---|---|
| Geschäftsleitung | NIS2-Pflichten, Haftung, Risikomanagement | Jährlich |
| IT-Sicherheitsteam | Technische Schulungen zu aktuellen Bedrohungen | Quartalsweise |
| Alle Mitarbeiter | Cyberhygiene, Phishing-Awareness, Passwort-Sicherheit | Jährlich |
| Neue Mitarbeiter | Security-Onboarding | Bei Einarbeitung |
Die Pflicht zur Schulungsteilnahme der Geschäftsleitung ist gesetzlich fixiert; die Rhythmen für die übrigen Gruppen sind bewährte Praxis, um die Anforderung an Cyberhygiene und Schulungen nachweisbar zu erfüllen.
Warum Dokumentation entscheidend ist
Bei der Geschäftsleiterhaftung liegt die Beweislast beim Geschäftsführer: Sie müssen nachweisen, dass Sie Ihre Pflichten erfüllt haben — nicht das BSI muss das Gegenteil belegen. Dokumentieren Sie deshalb jede Schulungsteilnahme mit Datum, Thema und Anbieter. Sinnvoll ist zusätzlich, die Wirksamkeit zu überprüfen, etwa durch Phishing-Simulationen. Mehr zur persönlichen Haftung lesen Sie im Artikel NIS2-Geschäftsführerhaftung.
Häufige Fragen
Kann die Geschäftsleitung die Schulung an den CISO delegieren?
Nein. § 38 BSIG verlangt die Teilnahme der Geschäftsleitung selbst. Der CISO kann operative Aufgaben übernehmen, die Schulungs- und Überwachungspflicht der Geschäftsleitung bleibt bestehen.
Was kosten NIS2-Schulungen?
Als Orientierung: Schulungen für die Geschäftsleitung liegen bei etwa 1.000 bis 3.000 Euro pro Person, technische Schulungen für das IT-Team bei 2.000 bis 5.000 Euro pro Person, Awareness-Schulungen für alle Mitarbeiter bei 20 bis 50 Euro pro Person und Jahr. Plattformlösungen decken die Pflichtkategorien deutlich günstiger ab.
Gilt die Schulungspflicht auch für mein Unternehmen?
Sie gilt für besonders wichtige und wichtige Einrichtungen unter NIS2. Ob Ihr Unternehmen dazugehört, zeigt der kostenlose Betroffenheitscheck.