NIS-2-Schulung für Geschäftsleitungen (§ 38 Abs. 3 BSIG)

Wofür und für wen

Tätigkeiten

Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen, Cybersicherheitsrisiken erkennen, bewerten und Ressourcen dafür bereitstellen, Auswirkungen von Risiken und Maßnahmen auf die eigenen Dienste beurteilen, Registrierungs-, Melde- und Nachweispflichten gegenüber dem BSI steuern

Zielgruppe

Geschäftsführer, Vorstände und vertretungsberechtigte Gesellschafter von besonders wichtigen und wichtigen Einrichtungen, Geschäftsleitungen nicht regulierter Unternehmen (freiwillig), Personen, die der Geschäftsleitung in der Informationssicherheit zuarbeiten

Voraussetzungen

Keine Zugangsvoraussetzungen. Schulungspflichtig ist jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen oder wichtigen Einrichtung berufen ist (Geschäftsleitung nach § 2 Nr. 13 BSIG); laut BSI trifft das in den meisten Einrichtungen mehrere Personen.^[5][3]

Rechtsgrundlage

Pflicht

Teilweise, je nach Tätigkeit

Pflicht trägt

die Person, die die Tätigkeit ausübt

Grundlage

BSIG vom 02.12.2025 (in Kraft seit 06.12.2025, zuletzt geändert am 22.10.2026) § 38 Abs. 1 bis 3, § 28, § 2 Nr. 13; für Einrichtungen der Bundesverwaltung § 43 Abs. 2 BSIG

Zuständig

Bundesamt für Sicherheit in der Informationstechnik (BSI)

Die Pflicht trifft die Mitglieder der Geschäftsleitung selbst: Sie müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken in der IT-Sicherheit erkennen und bewerten sowie ihre Auswirkungen auf die Dienste der Einrichtung beurteilen zu können (§ 38 Abs. 3 BSIG). Betroffen sind besonders wichtige und wichtige Einrichtungen nach § 28 BSIG, etwa Betreiber kritischer Anlagen und Unternehmen der Einrichtungsarten aus Anlage 1 und 2 mit mindestens 50 Mitarbeitern oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. § 38 gilt nicht für Finanzunternehmen nach der DORA-Verordnung, für bestimmte Telekommunikations- und Energieunternehmen und für bestimmte Betreiber der Telematikinfrastruktur (§ 28 Abs. 5 und 6). Für Geschäftsleitungen anderer Unternehmen besteht keine Schulungspflicht nach dem BSIG. Für Leitungen von Einrichtungen der Bundesverwaltung gilt eine vergleichbare Pflicht nach § 43 Abs. 2 BSIG. Ein bestimmter Kurs, eine Mindestdauer, ein Intervall oder eine Prüfung ist nicht vorgeschrieben. Laut BSI sind auch interne Schulungen möglich, und die Teilnahme ist zu dokumentieren und dem BSI auf Verlangen vorzulegen.

Quellen: ^{[1][2][3][4][6]}

Die rechtlichen Angaben sind nicht juristisch geprüft. Verbindlich ist der Wortlaut der genannten Rechtsquelle.

Nachweis und Gültigkeit

Art des Nachweises

Teilnahmebescheinigung

Ausgestellt von

Schulungsanbieter oder interne Stelle; kein gesetzlich vorgeschriebener Nachweis, das BSI erwartet eine Dokumentation von Anbieter, Teilnehmenden, Datum, Dauer und Inhalten

Förmliche Bestellung nötig

Nein

Gültigkeit

nicht ermittelt (regelmäßige Wiederholung ist Pflicht, ein Abstand ist gesetzlich nicht festgelegt)

Auffrischung

Regelmäßige Folgeschulungen; Dauer und Abstand richten sich laut BSI nach Risikoexposition, Wechseln in der Geschäftsleitung und wesentlichen Änderungen von Geschäftsprozessen oder Risikomanagementmaßnahmen.

Quellen: ^[1][3]

Format

Kurs online

komplett online möglich

Prüfung online

keine Prüfung vorgesehen

Hinweis

Eine Prüfung ist laut BSI weder gesetzlich noch vom BSI vorgesehen. Das BSI nennt neben Seminaren auch Formate wie Planspiele, Tabletop-Übungen oder ein quartalsweises Risikomanagement-Treffen mit dem Informationssicherheitsbeauftragten. Die gelisteten Seminare gibt es live online, Haufe auch in Präsenz.

Quellen: ^{[3][Angebot 1][Angebot 2]}

Kosten und Dauer

Kosten

559 € bis 1.095 € (inkl. MwSt., aus den gelisteten Angeboten)

Dauer

4 Stunden bis 1 Tag Erstschulung, danach regelmäßige Folgeschulungen

Preise der gelisteten Seminare, Stand: Prüfdatum je Angebot. Das Beispielcurriculum des BSI für eine Initialschulung umfasst sechs Module mit zusammen rund vier Stunden.

Quellen: ^{[7][Angebot 1][Angebot 2]}

Angebote

Sortiert nach Preis, vollständige Angebote zuerst.

Preise und Angebote ändern sich. Maßgeblich ist die Seite des Anbieters.

Typische Missverständnisse

Die Schulungspflicht gilt nur für Geschäftsleitungen von Einrichtungen, die unter das BSI-Gesetz fallen; ob das zutrifft, hängt von Sektor, Größe und Tätigkeit ab. Ein Zertifikat oder eine Prüfung ist nicht vorgeschrieben, und das BSI hat keine Anbieter zugelassen; Hinweise wie "BSI-konform" sind Werbeaussagen. Eine einmalige Schulung genügt nicht, das Gesetz verlangt regelmäßige Teilnahme. Laut BSI reicht eine Schulung nur zu Risikomanagementmaßnahmen nicht aus; auch Risikobewertung und Auswirkungen auf die Dienste gehören dazu. Die Schulung der Geschäftsleitung ist von der Schulung der Beschäftigten nach § 30 BSIG zu unterscheiden.

Quellen

1. BSI-Gesetz § 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, Bundesministerium der Justiz (gesetze-im-internet.de). Rechtsquelle, abgerufen am 11.11.2026.
2. BSI-Gesetz § 28 Besonders wichtige Einrichtungen und wichtige Einrichtungen, Bundesministerium der Justiz (gesetze-im-internet.de). Rechtsquelle, abgerufen am 11.11.2026.
3. Schulung für Geschäftsleitungen, Handreichung zur Schulungspflicht nach dem BSI-Gesetz, Version 1.0 vom 17.04.2026, Bundesamt für Sicherheit in der Informationstechnik (BSI). Behörde oder Träger, abgerufen am 11.11.2026.
4. BSI-Gesetz, Vollzitat und Stand (Ausfertigung 02.12.2025, Textnachweis ab 06.12.2025), Bundesministerium der Justiz (gesetze-im-internet.de). Rechtsquelle, abgerufen am 11.11.2026.
5. BSI-Gesetz § 2 Nr. 13 Begriff Geschäftsleitung, Bundesministerium der Justiz (gesetze-im-internet.de). Rechtsquelle, abgerufen am 11.11.2026.
6. BSI-Gesetz § 43 Informationssicherheitsmanagement (Abs. 2 Schulungspflicht der Leitung von Einrichtungen der Bundesverwaltung), Bundesministerium der Justiz (gesetze-im-internet.de). Rechtsquelle, abgerufen am 11.11.2026.
7. Curriculum für eine Geschäftsleitungsschulung nach NIS-2 (Beispiel, 28.10.2026), Bundesamt für Sicherheit in der Informationstechnik (BSI). Behörde oder Träger, abgerufen am 11.11.2026.

Stand des Eintrags: 11.11.2026. Nächste Prüfung geplant: 11.05.2027. Inhalt: Redaktion von zusatzqualifikation.com. Wie wir die Angaben prüfen

Mehr aus diesen Bereichen

Alle Qualifikationen im Bereich Recht und Compliance: Beauftragte/r der internen Meldestelle (Fachkunde nach § 15 Abs. 2 HinSchG), Betriebsratsschulung (Grundlagen BetrVG, § 37 Abs. 6), CE-Koordinator / CE-Beauftragter (Maschinen), Certified Information Privacy Professional/Europe (CIPP/E), CISA (Certified Information Systems Auditor), Compliance Officer (Zertifikatslehrgang), Exportkontrollbeauftragte/r, Exportmanager (IHK), Zertifikatslehrgang Außenwirtschaft, Geldwäschebeauftragte/r (§ 7 GwG), Informationssicherheitsbeauftragte/r (ISB), Sachkunde für Inkassodienstleistungen (§ 11 RDG), Zertifizierte/r Mediator/in (MediationsG, ZMediatAusbV)

Alle Qualifikationen im Bereich IT und Digitales: Certified Ethical Hacker (CEH), Certified Information Privacy Professional/Europe (CIPP/E), CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CISSP (Certified Information Systems Security Professional), CompTIA A+, CompTIA Security+, Datenschutzbeauftragte/r (Fachkunde nach Art. 37 DSGVO, § 38 BDSG), E-Commerce-Manager (IHK-Zertifikat), Informationssicherheitsbeauftragte/r (ISB), ITIL 4 Foundation, Professional Scrum Master I (PSM I), Prompt Engineer (Zertifikatskurs), TOGAF Enterprise Architecture Foundation