NIS2-Schulung der Geschäftsführung: Inhalt, Turnus, Nachweis und Kosten nach § 38 Abs. 3 BSIG

Verfasst von der NIS2Compass Redaktion / Stand: November 2026

Nach § 38 Abs. 3 BSIG muss jedes Mitglied der Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen selbst an Schulungen teilnehmen. Der Gesetzgeber versteht „regelmäßig“ als mindestens alle drei Jahre aus seinen Kostenannahmen ergeben sich rund 360 Euro je Person und Schulung. Format und Anbieter sind frei, ein Wissenstest ist nicht vorgesehen. Für den Nachweis bietet NIS2Compass die Vorlage „Schulungsnachweis Leitungsorgane“.

Wer muss nach § 38 Abs. 3 BSIG an der Schulung teilnehmen?

Schulungspflichtig ist jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag die Geschäfte einer wichtigen oder besonders wichtigen Einrichtung führt und sie vertritt. In der GmbH sind das alle Geschäftsführer, auch der kaufmännische, und die Schulung des IT-Leiters oder ISB ersetzt ihre Teilnahme nicht. Das BSI empfiehlt, zuarbeitende Personen mitzuschulen.

Der amtliche Wortlaut von § 38 Abs. 3 BSIG:

„Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.“

Die Pflicht gilt seit Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 ohne Übergangsfrist und setzt Art. 20 Abs. 2 der NIS2-Richtlinie um. Nach § 2 Nr. 13 BSIG gilt: Zur Geschäftsleitung gehört, wer die Geschäfte führt und die Einrichtung vertritt. Nach Einrichtungsart unterscheidet § 38 Abs. 3 nicht, so die BSI-FAQ zu NIS-2. Ob Ihre Einrichtung betroffen ist, klärt die NIS2-Betroffenheitsprüfung.

• Verpflichtet: alle Geschäftsführer einer GmbH, alle Vorstandsmitglieder einer AG, geschäftsführende Gesellschafter, jede Person einzeln.
• Nicht ausreichend: Nach dem BSI-Curriculum für Geschäftsleitungsschulungen ersetzt die ausschließliche Schulung von IT-Leitung, ISB, Datenschutz oder Compliance die Schulung der Geschäftsleitung nicht.
• Empfohlen, nicht verpflichtend: laut BSI zuarbeitende Personen wie CISO, CFO, OT-Verantwortliche oder Prokuristen, sofern sie nicht selbst unter § 2 Nr. 13 BSIG fallen.
• Aufsichtsrat und Beirat: Ein reines Kontrollgremium führt keine Geschäfte und ist nach dem Wortlaut in der Regel nicht erfasst.

Auch wenn sie Hilfspersonen einsetzt, bleibt die Geschäftsleitung letztverantwortlich (Begründung zu § 38 Abs. 1, BT-Drs. 21/1501, S. 154). Deshalb muss das Wissen bei den Personen ankommen, die entscheiden.

Der Gesetzgeber rechnet nach einer freien Annahme mit rund 150.000 leitenden Beschäftigten, für die sich durch die NIS2-Schulungspflicht etwas ändert (BT-Drs. 21/1501, S. 113).

Pflicht- und Empfehlungsteilnehmer trennt die Vorlage „NIS2 Schulungsplan und Zielgruppenmatrix“ aus der Template Library von NIS2Compass.

Welche Inhalte muss eine NIS2-Schulung der Geschäftsführung abdecken?

Das BSI erwartet drei verknüpfte Kernbereiche: Risiken erkennen und bewerten, Risikomanagementmaßnahmen kennen und deren Auswirkungen auf die eigenen Dienste beurteilen. Eine Schulung, die nur Maßnahmen behandelt, bewertet das BSI als nicht ausreichend. Das Beispielcurriculum vom Oktober 2026 verteilt die Inhalte auf sechs Module mit insgesamt 240 Minuten.

Maßstab ist die BSI-Handreichung „Schulung für Geschäftsleitungen“, Version 1.0 vom 17.04.2026. Sie ist rechtlich nicht verbindlich, zeigt aber, woran das BSI Schulungen bei Aufsichtsmaßnahmen misst. Die drei Kernbereiche:

• Erkennung und Bewertung von Risiken: Eintrittswahrscheinlichkeit, Schadensausmaß, Risikoakzeptanz und Risikomanagement als kontinuierlicher Prozess.
• Risikomanagementpraktiken: mindestens die Maßnahmen nach § 30 Abs. 2 BSIG, sinnvollerweise auch die eingeführten und geplanten Maßnahmen der eigenen Einrichtung.
• Auswirkungen beurteilen: betriebliche, wirtschaftliche und regulatorische Folgen, Cyberrisiken als Geschäftsrisiken, Zielkonflikte zwischen Sicherheit und Diensterbringung.

Ergänzend gehören BSIG-Überblick, Melde- und Registrierungspflicht sowie Haftung dazu. Der Bezug zu Sektor, kritischen Geschäftsprozessen und Standards wie B3S ist ausdrücklich gewollt. Nicht jedes Mitglied der Geschäftsleitung braucht dieselbe Tiefe: Vorhandene Kenntnisse müssen nicht erneut vermittelt werden, die Begründung dafür ist aber zu dokumentieren.

Das BSI-Beispielcurriculum, Version 1 vom 28.10.2026, mit Verbänden der Allianz für Cybersicherheit erarbeitet, schlägt diese Agenda vor:

1. BSIG, NIS-2 und Anwendungsbereich (30 Min.)
2. § 38 BSIG: Pflichten, Haftung, Delegationsgrenzen (40 Min.)
3. Cyberrisiken als Unternehmensrisiken (40 Min.)
4. § 30 BSIG als Managementsystem (75 Min.)
5. Registrierung, Melde- und Unterrichtungspflichten (35 Min.)
6. Governance, Nachweis und Transfer (20 Min.)

Das Curriculum ist unverbindlich, eine mögliche Umsetzung. Ziel ist Urteilsfähigkeit, keine technische Detailschulung zu Tools, Architektur oder Angriffstechniken.

Was unterscheidet die Schulung der Geschäftsführung von der Mitarbeiterschulung?

Mitarbeiterschulungen beruhen auf § 30 Abs. 2 Nr. 7 BSIG: „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Die Handreichung betrachtet sie gesondert, das Curriculum klammert Awareness aus. Die Gesetzesbegründung rechnet für Mitarbeitende mit einer einstündigen Schulung oder Selbstlerneinheit pro Jahr. Mehr dazu im Beitrag Mitarbeiter als größtes NIS2-Risiko.

Daraus folgt: Eine Awareness-Schulung, an der die Geschäftsführer teilnehmen, deckt § 38 Abs. 3 BSIG in aller Regel nicht ab, weil die drei Kernbereiche fehlen.

Wie oft und wie lange muss die Geschäftsführung geschult werden?

Das Gesetz nennt keinen Turnus, laut Gesetzesbegründung gelten Schulungen aber als regelmäßig, wenn sie mindestens alle drei Jahre angeboten werden. Das BSI hält dieses Mindestintervall in den seltensten Fällen für ausreichend und empfiehlt einen risikoangemessenen Rhythmus. Die oft genannten vier Stunden sind keine Empfehlung, sondern eine Kostenannahme des Gesetzgebers, die das BSI meist für zu knapp hält.

Was hat der Gesetzgeber angenommen?

• Turnus: Laut Begründung zu § 38 Abs. 3 BSIG (BT-Drs. 21/1501, S. 154) gelten Schulungen als regelmäßig, die „mindestens alle 3 Jahre angeboten werden“.
• Dauer: Für den Erfüllungsaufwand (S. 113) wird „frei angenommen“, dass es sich im Schnitt um eine halbtägige Schulung von 4 Stunden handelt.

Was erwartet das BSI?

In seiner FAQ zu NIS-2 stellt das BSI klar: Die 4 Stunden sind eine Annahme aus der Gesetzesbegründung, keine Empfehlung. „In den allermeisten Fällen wird eine 4-stündige Schulung nicht ausreichend sein.“ Das Dreijahres-Intervall hält das BSI „in den seltensten Fällen“ für ausreichend. Schulungen dürfen aufgeteilt werden.

Die BSI-Handreichung (Version 1.0, Abschnitt 1.2) empfiehlt eine ausführliche Initialschulung mit anschließenden regelmäßigen Folgeschulungen. Intervall und Dauer richten sich nach der Risikoexposition der Einrichtung und den individuellen Fähigkeiten der Geschäftsleitung. Als Anhaltspunkte für Art, Dauer und Intervall der Folgeschulungen nennt sie:

• Wechsel in der Geschäftsleitung
• Signifikante Änderungen in den Geschäftsprozessen
• Signifikante Änderungen der Risikoexposition
• Signifikante Änderungen bei implementierten oder geplanten Risikomanagementmaßnahmen

Wie lang ist die Initialschulung im BSI-Curriculum?

Für die Initialschulung skizziert das BSI-Curriculum 240 Minuten ohne Übungen. Eine Kürzungsvariante kommt mit rund 180 Minuten aus, setzt aber ein verbindlich dokumentiertes Pre-Read von höchstens zehn Seiten voraus. Übungen, Planspiele und Tabletop-Formate sieht das Curriculum als eigene Formate nach der Initialschulung vor. Die 240 Minuten des Curriculums sind ein Einstieg, keine Dauerlösung: Übungen und Folgeschulungen kommen hinzu.

Eine BSI-Vorgabe „mindestens einmal jährlich“ oder eine feste Frist nach Amtsantritt gibt es nicht. Ein jährlicher Rhythmus kann trotzdem risikoangemessen sein, ist dann aber eine eigene Festlegung Ihrer Einrichtung. Wie weit die einzelnen Geschäftsführer bereits sind, schätzen Sie vor der Planung mit dem Selbstcheck für Geschäftsführer (Excel-Vorlage) ein.

Was kostet die NIS2-Schulung der Geschäftsführung, intern oder extern?

Einen amtlichen Preis gibt es nicht. Der Gesetzgeber hat je Person und Schulung 4 Stunden zu 62,40 Euro sowie 110 Euro für externe Dozenten angenommen, zusammen rund 360 Euro, bei drei Geschäftsführern also etwa 1.080 Euro. Tatsächliche Kosten hängen vor allem von Dauer, Turnus, Inhouse-Format und dem Anteil unternehmensspezifischer Inhalte ab.

Die Werte stammen aus der Gesetzesbegründung (BT-Drs. 21/1501, S. 113 f.). Es sind Annahmen für die Folgenschätzung, keine Vorgabe zur Schulungsdauer. Die 4 Stunden sind dort „frei angenommen“, der Lohnsatz entspricht einem hohen Qualifikationsniveau.

Bundesweit rechnet die Begründung mit knapp 37 Mio. Euro Personal- und 16,5 Mio. Euro Sachkosten für Leitungspersonen, mit Mitarbeiterschulungen rund 165 Mio. Euro jährlich. Sie verweist zudem auf kostenlose Online-Schulungen, die die Sachkosten senken würden, falls sie genügen.

Beispielrechnung von NIS2Compass mit diesen Annahmen:

• Arbeitszeit: 4 × 62,40 Euro = 249,60 Euro je Person
• Externe Dozenten: 110 Euro je Person
• Summe: 359,60 Euro je Person und Schulung, bei drei Geschäftsführern 1.078,80 Euro

Die Arbeitszeit ist ein kalkulatorischer Wert, kein Rechnungsbetrag.

Die tatsächlichen Kosten treiben vor allem:

• Umfang: Dauer über 4 Stunden, Turnus und anlassbezogene Folgeschulungen
• Format: offenes Seminar oder Inhouse, Übungen wie Tabletop oder Planspiel

Für eine Inhouse-Schulung durch Berater gilt als Anhaltspunkt: Laut BDU-Honorarstudie 2025 lag der durchschnittliche Tagessatz bei 1.300 Euro, je nach Seniorität im Schnitt 700 Euro (Analyst) bis 1.600 Euro (Partner). Das ist ein Beratertagessatz, kein Schulungspreis.

Sollte die Schulung intern oder extern stattfinden?

Die BSI-Handreichung (Abschnitt 1.4) lässt beides zu:

• Extern: Externe Anbieter müssen die einrichtungsindividuellen Aspekte berücksichtigen, was laut BSI höheren Aufwand bedeuten kann.
• Intern, etwa durch den ISB: Kontextnah. Erfolgt die Schulung ausschließlich intern, sieht das BSI die Gefahr struktureller Erkenntnisdefizite: Die Geschäftsleitung erfährt, wie Prozesse umgesetzt werden, kann deren rechtliche und risikotechnische Angemessenheit aber nicht eigenständig beurteilen.
• Kombination: Das BSI hält es für sinnvoll, allgemeine Inhalte extern zu vermitteln und intern um spezifische zu ergänzen.

Setzt derselbe Dienstleister auch Ihre Maßnahmen um, prüfen Sie mögliche Interessenkonflikte. Ein amtliches Gütesiegel oder eine BSI-Zulassung für Schulungsanbieter gibt es nicht. Laut BSI-FAQ (Frage 5) empfiehlt das BSI keine einzelnen Anbieter und rät, Angebote mit der Handreichung abzugleichen.

Wie weisen Sie die Schulung nach, und was passiert ohne Nachweis?

Das BSI erwartet eine Dokumentation mit Anbieter oder interner Stelle, Teilnehmenden mit Rolle, Datum, Uhrzeit und Dauer sowie den behandelten Inhalten mit Bezug zu § 38 Abs. 3 BSIG. Eine Prüfung der Teilnehmenden ist nicht vorgesehen. Das BSI kann die Erfüllung der Schulungspflicht überprüfen und die Umsetzung anordnen, ein eigenes Bußgeld kennt § 65 BSIG dafür nicht.

Die Mindestangaben laut BSI-Handreichung (Kap. 1.5):

• Anbieter: externer Anbieter oder interne Stelle
• Teilnehmende: Name und Rolle
• Zeit: Datum, Uhrzeit, Dauer der Einheiten
• Inhalte: Themen und Formate mit Bezug zu § 38 Abs. 3 BSIG

Das BSI-Curriculum (Kap. 6) ergänzt: unterschriebene Teilnehmendenliste, versionierte Schulungsunterlage, Beschlussprotokoll und ein festgelegtes Intervall mit Anlässen.

Die Dokumentation belegt allerdings nur die Teilnahme. Ob die Kenntnisse reichen, zeigt sich laut Handreichung an der aktiven, nachvollziehbaren Mitwirkung an Risikomanagemententscheidungen. Legen Sie deshalb die Beschlüsse nach der Schulung mit ab.

Wann kann das BSI den Nachweis verlangen?

• Besonders wichtige Einrichtungen: Angeordnete Audits oder Prüfungen können ausdrücklich § 38 Abs. 3 umfassen (§ 61 Abs. 1 BSIG). Die Vorlage von Nachweisen ohne Audit kann das BSI frühestens drei Jahre nach Inkrafttreten anordnen (§ 61 Abs. 3), also ab Dezember 2028; für zugelassene Krankenhäuser gilt grundsätzlich eine Frist von fünf Jahren.
• Wichtige Einrichtungen: nur wenn Tatsachen die Annahme rechtfertigen, dass die Schulungspflicht nicht oder nicht richtig umgesetzt wird (§ 62 BSIG).

Was passiert, wenn die Schulung fehlt?

§ 65 BSIG führt § 38 Abs. 3 nicht als Bußgeldtatbestand. Das BSI kann die Umsetzung aber anordnen (§ 61 Abs. 7, bei wichtigen Einrichtungen über § 62). Wer eine solche vollziehbare Anordnung vorsätzlich oder fahrlässig nicht befolgt, handelt ordnungswidrig: bis zu 500.000 Euro (§ 65 Abs. 2 Nr. 1 Buchst. c i. V. m. Abs. 5 Nr. 5).

Kommt eine besonders wichtige Einrichtung Anordnungen trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 Nr. 2). Zur persönlichen Haftung lesen Sie mehr im Beitrag zur Geschäftsführerhaftung nach § 38 BSIG.

Für die Ablage bietet die Template Library von NIS2Compass den „Schulungsnachweis Leitungsorgane“ (Word) und das „NIS2 Schulungsnachweisregister“ (Excel), beide Teil des Pro-Abos. Sie strukturieren die Mindestangaben, die Schulung selbst ersetzen sie nicht.

Wie sieht die Umsetzung in einer GmbH mit drei Geschäftsführern aus?

Ein fiktiver Maschinenbauer mit 120 Mitarbeitern ist wichtige Einrichtung und hat drei Geschäftsführer für Technik, Vertrieb und Finanzen; der technische bringt ISO-27001-Vorkenntnisse mit. Der ISB plant eine Initialschulung für alle drei, lädt den Leiter Produktion als Zuarbeitenden ein und legt den nächsten Termin risikoabhängig fest. Danach folgen innerhalb weniger Wochen konkrete Beschlüsse der Geschäftsführung.

• Schritt 1, Teilnehmer: Alle drei sind nach § 2 Nr. 13 BSIG schulungspflichtig, der technische trotz Vorwissen. Seine Schulungstiefe darf laut BSI-Handreichung angepasst werden, die Begründung wird dokumentiert. Der Leiter Produktion und der ISB nehmen als empfohlene Zuarbeitende teil.
• Schritt 2, Format: Ein externer Referent übernimmt die allgemeinen Inhalte (Curriculum-Module zu BSIG-Überblick, § 38-Pflichten und Meldepflichten). Der ISB ergänzt eigene Risiken, OT-Abhängigkeiten und den Stand der § 30-Maßnahmen (Module zu Cyberrisiken, § 30-Maßnahmen und Governance). Vorab gibt es ein Pre-Read.
• Schritt 3, Nachweis: Schulungsnachweis mit Agenda und Bezug zu § 38 Abs. 3 BSIG, unterschriebene Teilnehmerliste und Foliensatz als PDF landen in der Compliance-Ablage.
• Schritt 4, Turnus: Die Folgeschulung wird eine Tabletop-Übung zu Ransomware in der Produktion. Wegen der OT-Abhängigkeit beschließt die Geschäftsführung einen kürzeren Rhythmus als drei Jahre. Wechselt ein Geschäftsführer, wird die neue Person anlassbezogen geschult.
• Schritt 5, Nachbereitung: Das BSI-Curriculum (Kap. 9) sieht vor, Entscheidungen idealerweise innerhalb von 2 bis 6 Wochen nach der Initialschulung zu adressieren. Dazu gehören die Freigabe des § 30-Maßnahmenregisters, Regeln zur Risikoakzeptanz, ein regelmäßiger Cyberrisiko-Bericht und die Planung der Folgeschulung.

Der ISB trägt diesen Nachbereitungstermin deshalb gleich mit dem Schulungstermin in den Kalender der Geschäftsführung ein.

Häufig gestellte Fragen

Reicht ein Online-Kurs für die NIS2-Schulung der Geschäftsführung?

Das Format ist frei, die BSI-Handreichung hält interaktive oder zeitlich dezentrale Formate sogar für gut geeignet. Entscheidend ist, dass die drei Kernbereiche abgedeckt sind und der Bezug zur eigenen Einrichtung hergestellt wird. Ein allgemeiner Kurs ohne diesen Bezug bleibt meist hinter der Erwartung des BSI zurück. Teilnahme und Inhalte müssen dokumentiert werden.

Muss der Aufsichtsrat oder Beirat an der Schulung teilnehmen?

Die Pflicht trifft Personen, die zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind (§ 2 Nr. 13 BSIG). Ein reines Kontrollgremium fällt nach diesem Wortlaut in der Regel nicht darunter. Hat ein Gremium nach Satzung Geschäftsführungsbefugnisse, lassen Sie das rechtlich prüfen. Eine freiwillige Teilnahme ist jederzeit möglich.

Gibt es ein BSI-Zertifikat für die Geschäftsleitungsschulung?

Nein, ein BSI-Zertifikat oder eine BSI-Zulassung für Schulungen gibt es nicht. Laut BSI-FAQ zu NIS-2 empfiehlt das BSI keine einzelnen Anbieter und rät, Angebote mit der Handreichung abzugleichen. Eine Prüfung der Teilnehmenden ist weder gesetzlich noch vom BSI vorgesehen. Teilnahmebestätigungen von Anbietern helfen bei der Dokumentation, ersetzen aber nicht die Angaben zu Inhalten, Dauer und Bezug zu § 38 Abs. 3 BSIG.

Wann muss ein neuer Geschäftsführer geschult werden?

Eine gesetzliche Frist nach Amtsantritt gibt es nicht. Die Handreichung nennt den Wechsel in der Geschäftsleitung aber ausdrücklich als Anhaltspunkt für Art, Dauer und Intervall der nachfolgenden Schulungen. Planen Sie die Schulung zeitnah nach der Bestellung ein. So kann die neue Person ihre Pflichten aus § 38 Abs. 1 BSIG von Beginn an erfüllen.

Ersetzt eine ISO-27001-Zertifizierung die Schulung der Geschäftsführung?

Nein. Ein Zertifikat der Einrichtung oder das Vorwissen einzelner Personen ersetzt die persönliche Teilnahme nicht. Vorhandene Kenntnisse dürfen aber berücksichtigt werden: Teilbereiche, die schon sitzen, müssen nicht erneut vermittelt werden, sofern Sie Entscheidung und Begründung dokumentieren. Die Pflicht nach § 38 Abs. 3 BSIG trifft jede Person, nicht die Einrichtung.