Die drei Pflichten der Geschäftsleitung
Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen haben nach § 38 BSIG drei Pflichten:
- Umsetzen: die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen (§ 38 Abs. 1).
- Überwachen: die Umsetzung dieser Maßnahmen überwachen (§ 38 Abs. 1).
- Schulen lassen: regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen und um die Auswirkungen von Risiken und Risikomanagementpraktiken auf die Dienste der Einrichtung beurteilen zu können (§ 38 Abs. 3).
§ 38 Abs. 2 BSIG regelt, dass Geschäftsleitungen, die ihre Pflichten aus Abs. 1 verletzen, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts ihrer Rechtsform haften. Die Schulung ist das Mittel, mit dem die Geschäftsleitung die beiden anderen Pflichten überhaupt erfüllen kann.
Den Wortlaut finden Sie in § 38 BSIG auf gesetze-im-internet.de (Wortlaut geprüft am 18.10.2026).
Wer geschult werden muss
Schulungspflichtig ist jede Person, die als Geschäftsleitung gilt. Das BSI-Gesetz versteht darunter eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist (§ 2 Nr. 13 BSIG). In einer GmbH sind das die Geschäftsführerinnen und Geschäftsführer, in einer AG die Mitglieder des Vorstands.
Das BSI geht in seiner Handreichung davon aus, dass die Pflicht in der großen Mehrheit der Einrichtungen mehrere Personen trifft, und betont, dass die Geschäftsleitung ihre Verantwortung nicht delegieren kann. Eine Schulung nur der oder des Informationssicherheitsbeauftragten erfüllt die Pflicht der Geschäftsleitung also nicht. Es kann aber sinnvoll sein, Personen mitzuschulen, die der Geschäftsleitung zuarbeiten.
Die Schulung der Geschäftsleitung ist eine andere als die Schulung der Beschäftigten nach § 30 Abs. 2 Nr. 7 BSIG. Beide sind Pflicht, sie verfolgen aber unterschiedliche Ziele: Beschäftigte sollen sicher arbeiten, die Geschäftsleitung soll Risiken bewerten und entscheiden können.
Die BSI-Handreichung: Fassung 1.0 vom 17. April 2026
Das BSI hat eine Handreichung zur Schulungspflicht veröffentlicht. Die erste Fassung 0.9 stammt vom 30. September 2025, die aktuelle Fassung 1.0 vom 17. April 2026; sie wurde nach Abstimmung mit Verbänden, darunter Bitkom, DIHK, VDMA und ZDH, überarbeitet (Quelle: bsi.bund.de, Handreichung Schulung für Geschäftsleitungen, abgerufen am 18.10.2026).
Die Handreichung ist eine Empfehlung. Das BSI schreibt selbst, dass eine rechtliche Verpflichtung zu ihrer Verwendung nicht besteht. Sie zeigt aber, wie das BSI die Schulungspflicht versteht, und damit, woran es Schulungen bei einer Prüfung misst. Eine Stelle ist deutlich: Eine Schulung, die sich etwa nur auf Risikomanagementmaßnahmen konzentriert, fällt nach Auffassung des BSI hinter die gesetzlichen Anforderungen zurück und würde bei Aufsichtsmaßnahmen als nicht ausreichend bewertet (Handreichung, Abschnitt 1, S. 7).
Jede Schulung soll deshalb drei miteinander verknüpfte Bereiche abdecken: Risiken erkennen und bewerten, Risikomanagementpraktiken kennen, Auswirkungen von Risiken und Maßnahmen auf die eigenen Dienste beurteilen. Das sind genau die drei Ziele aus § 38 Abs. 3 BSIG.
Wie oft und wie lange: Turnus und Dauer
Das Gesetz sagt "regelmäßig" und nichts darüber hinaus. Die Fassung 1.0 der Handreichung nennt ebenfalls keine feste Zahl. Sie empfiehlt:
- eine ausführliche erste Schulung und danach regelmäßige Folgeschulungen,
- Intervall und Dauer nach der Risikoexposition der Einrichtung und den Fähigkeiten der einzelnen Personen zu wählen,
- die Inhalte bei Bedarf auf mehrere Termine zu verteilen,
- eine lückenlose Dokumentation über Datum, Zeitraum und Inhalte jeder Schulung.
Als Anhaltspunkte für Art, Dauer und Intervall der Folgeschulungen nennt die Handreichung einen Wechsel in der Geschäftsleitung und signifikante Änderungen der Geschäftsprozesse, der Risikoexposition oder der umgesetzten und geplanten Maßnahmen (Abschnitt 1.2, S. 7 bis 8).
Woher "drei Jahre" und "vier Stunden" kommen: Viele Seiten nennen "mindestens alle drei Jahre" und im Schnitt "vier Stunden". Diese Zahlen stehen in der Begründung zum Gesetz; die Vorfassung 0.9 der Handreichung hat sie von dort übernommen (Abschnitt 1.2, S. 7). Die Fassung 1.0 nennt keine Zahl mehr und stellt auf das Risiko der Einrichtung ab. Der Gesetzestext selbst sagt nur "regelmäßig".
Praktisch heißt das: Legen Sie Rhythmus und Dauer selbst fest, schreiben Sie die Begründung dazu und halten Sie sich daran. Unsere Vorlage schlägt jährlich und mindestens vier Stunden vor, in eckigen Klammern, damit Sie Ihren eigenen Wert einsetzen. Ein kürzerer Rhythmus als drei Jahre ist mit dem eigenen Risiko meist leichter zu begründen als ein längerer.
Formate: nicht nur Frontalunterricht
Die Handreichung betont, dass Geschäftsleitungen nicht unbedingt mehrstündige Unterrichtsblöcke absolvieren müssen. Interaktive Formate hält sie für gut geeignet, und besonders wirksam seien Beispiele aus dem eigenen Sektor oder der eigenen Einrichtung. Als Beispiele nennt sie (Abschnitt 1.3, S. 8 bis 9):
| Format | Worum es geht |
|---|---|
| Risikomanagement-Quarterly | Ein fester Termin je Quartal, in dem der oder die ISB mit der Geschäftsleitung an konkreten Fragen der Einrichtung arbeitet. |
| Planspiel (Tabletop Exercise) | Moderierte Übung an typischen Szenarien, die zeigt, wie Risiken, Maßnahmen und Entscheidungen zusammenhängen. |
| Audit-Simulation | Eine Prüfungssituation wird mit der Geschäftsleitung als Beteiligter nachgestellt. |
| Management Red- und Blue-Teaming | Die Geschäftsleitung entscheidet in einer simulierten Krise, ein Gegenteam spielt Angreifer und Krisenverlauf. |
| Szenarien, Übungen, Fallstudien | Sektor- und einrichtungsbezogene Beispiele, gemeinsame Krisen- und Notfallübungen, Entscheidungen und Fehlentscheidungen aus echten Fällen. |
| Live-Hacking | Eher als Ergänzung zu anderen Formaten. |
Wer die Notfallübung oder eine Übung des Meldeprozesses ohnehin plant, kann sie mit der Geschäftsleitung durchführen und als Schulung dokumentieren, wenn die drei Bereiche des § 38 Abs. 3 BSIG behandelt und festgehalten werden.
Wer schulen darf: extern, intern oder beides
Eine Zulassung oder Zertifizierung für Schulungsanbieter sieht weder das Gesetz noch die Handreichung vor. Schulen können externe Anbieter, etwa Beratungsunternehmen für Cybersicherheit, und interne fachliche Stellen. Entscheidend ist nach der Handreichung, dass die Schulung die Gegebenheiten der eigenen Einrichtung berücksichtigt: kritische Geschäftsprozesse, Governance, aktuelle Risikolage und anstehende Entscheidungen (Abschnitt 1.4, S. 9 bis 10).
Die Handreichung hält deshalb eine Mischung für sinnvoll: allgemeine Inhalte von außen, einrichtungsbezogene Inhalte von innen. Eine Schulung nur durch interne Stellen birgt nach der Handreichung die Gefahr, dass die Geschäftsleitung zwar erfährt, wie Prozesse umgesetzt werden, deren Angemessenheit aber nicht unabhängig beurteilen kann. Ein Videokurs ohne jeden Bezug zum eigenen Unternehmen erfüllt nach diesem Maßstab das Ziel kaum.
Inhalte: die Kernbereiche und was dazugehört
Die Handreichung formuliert ihre Empfehlungen als Checkliste mit SOLL- und KANN-Punkten (Abschnitt 2, S. 11 bis 14). Zusammengefasst:
| Bereich | Was die Geschäftsleitung danach können oder wissen soll |
|---|---|
| Risiken erkennen und bewerten | Ziel und Begriffe des Risikomanagements; wie Risiken identifiziert, bewertet und überwacht werden; Risikoquellen, Schwachstellen und Schutzbedarfe der eigenen Einrichtung; Eintrittswahrscheinlichkeit, Schadensausmaß, Risikoakzeptanz; Risikomanagement als laufender Prozess. |
| Risikomanagementpraktiken | Maßnahmen müssen geeignet, verhältnismäßig und wirksam sein und dokumentiert werden; die Mindestmaßnahmen des § 30 Abs. 2 BSIG; wie Maßnahmen ausgewählt, priorisiert und geprüft werden; Strategien der Risikobehandlung (vermeiden, mindern, übertragen, akzeptieren); Überblick über die Maßnahmen der eigenen Einrichtung. |
| Auswirkungen beurteilen | Betriebliche, wirtschaftliche und regulatorische Folgen einschätzen; Risiken und Maßnahmen gemeinsam bewerten. |
| Unterstützende Inhalte | Ziele der Regulierung, Meldepflicht und Meldefristen, Registrierungspflicht, die Pflicht zur Umsetzung und Überwachung, die mögliche Haftung und die Schulungspflicht selbst. |
Nicht jede Person der Geschäftsleitung muss jeden Punkt in derselben Tiefe lernen. Die Handreichung erlaubt, nach Funktion zu priorisieren und Inhalte wegzulassen, die bereits beherrscht werden, wenn die Entscheidung und ihre Begründung dokumentiert sind (Abschnitt 2, S. 11). Ein eigenes Feld für diese Begründung und für die Wahl von Rhythmus und Dauer hat unser Schulungsnachweis nicht; halten Sie sie im Beschluss der Geschäftsleitung fest.
Der Nachweis: was dokumentiert sein sollte
Die Dokumentation der Schulungen bewahrt die Einrichtung nach der Handreichung intern auf und legt sie dem BSI auf Verlangen vor. Eine Prüfung der Teilnehmenden ist weder gesetzlich noch durch das BSI verpflichtend vorgesehen. Als Mindestangaben nennt die Handreichung (Abschnitt 1.5, S. 10):
| Mindestangabe nach der Handreichung | Feld in der Vorlage NIS-NW-23 (Anhang A) |
|---|---|
| Schulungsanbieter oder interne Stelle | Referentin oder Referent (Name, Rolle oder Firma) |
| Teilnehmende mit Name und Rolle oder Funktion | Teilnehmende Mitglieder der Geschäftsleitung: Name, Funktion, Unterschrift |
| Datum, Uhrzeit, Dauer | Datum, Uhrzeit, Dauer |
| Behandelte Inhalte und Formate mit Bezug zu § 38 Abs. 3 BSIG | Format und behandelte Inhalte zum Ankreuzen, beginnend mit den drei Bereichen des § 38 Abs. 3 |
Wichtig ist der Satz, der danach kommt: Eine solche Dokumentation belegt die Teilnahme, nicht den Lernerfolg. Ob die Geschäftsleitung ausreichende Kenntnisse hat, zeigt sich nach der Handreichung daran, dass sie aktiv und nachvollziehbar an Entscheidungen im Risikomanagement mitwirkt. Deshalb gehören Beschlüsse und Berichte zur Umsetzung und Überwachung nach § 38 Abs. 1 BSIG zum Nachweis dazu: Protokolle, in denen die Geschäftsleitung Risiken bewertet, Maßnahmen freigibt oder ablehnt und das begründet.
Ergänzen Sie eine Übersicht über mehrere Jahre, in der jede Person der Geschäftsleitung mit ihren Schulungen steht. Dort fällt sofort auf, wenn jemand neu eingetreten und noch nicht geschult ist.
Was passiert, wenn die Schulung fehlt
Die Liste der Ordnungswidrigkeiten in § 65 BSIG nennt § 38 nicht. Eine verpasste Schulung ist danach keine eigene Ordnungswidrigkeit. Folgenlos ist sie trotzdem nicht, denn die Aufsicht kann sie prüfen und anordnen:
- Gegenüber besonders wichtigen Einrichtungen kann das BSI Audits und Prüfungen anordnen, die ausdrücklich auch die Schulungspflicht nach § 38 Abs. 3 umfassen (§ 61 Abs. 1 BSIG), und Anordnungen zu ihrer Umsetzung erlassen (§ 61 Abs. 7 BSIG).
- Bei wichtigen Einrichtungen kann das BSI die Einhaltung prüfen und dieselben Maßnahmen treffen, wenn Tatsachen die Annahme rechtfertigen, dass die Pflicht nicht erfüllt wird (§ 62 BSIG).
- Wer eine vollziehbare Anordnung nach § 61 Abs. 7 BSIG nicht befolgt, handelt ordnungswidrig; der Bußgeldrahmen reicht bis 500.000 Euro (§ 65 Abs. 2 Nr. 1 und Abs. 5 Nr. 5 BSIG).
- Kommt eine besonders wichtige Einrichtung Anordnungen trotz Fristsetzung nicht nach, kann die zuständige Aufsichtsbehörde als letztes Mittel unzuverlässigen Geschäftsleitungen die Ausübung ihrer Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).
Bußgeldbewehrt ist außerdem, die Einhaltung der Risikomanagementmaßnahmen nicht, nicht richtig oder nicht vollständig zu dokumentieren (§ 65 Abs. 2 Nr. 3 BSIG), mit einem Rahmen von bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen (§ 65 Abs. 5 Nr. 1 BSIG). Nach unserer Einschätzung gehören Beschlüsse und Berichte der Geschäftsleitung zu dieser Dokumentation, weil sie zeigen, dass die Maßnahmen gesteuert und überwacht werden.
Vorlagen für alle drei Pflichten
Das NIS2-Paket enthält einen Schulungsnachweis für die Geschäftsleitung mit Teilnehmerliste je Schulung und Mehrjahresübersicht, dessen Felder die vier Mindestangaben der Handreichung abdecken, und eine Nachweisvorlage für Umsetzung und Überwachung mit Beschluss und wiederkehrendem Bericht. Rhythmus und Dauer stehen dort als Vorschläge in eckigen Klammern, weil weder das Gesetz noch die Handreichung sie festlegt; Sie setzen Ihre eigenen Werte ein. Alle Pflichten im Überblick zeigt die NIS2-Checkliste. Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung.
Dieser Ratgeber gibt einen Überblick und ist keine Rechtsberatung.