NIS-2 macht Cybersicherheit zur Chefsache: Die Schulungspflicht für Geschäftsleitungen

Bei Datenschutz und IT-Sicherheit hat sich in vielen Unternehmen ein bequemes Muster etabliert: Die Geschäftsführung benennt einen Verantwortlichen, unterschreibt einmal im Jahr ein Budget — und wendet sich wieder dem Tagesgeschäft zu. Die NIS-2-Richtlinie beendet dieses Modell sehr gezielt. Art. 20 nimmt nicht das Unternehmen in die Pflicht, sondern die Mitglieder der Leitungsorgane persönlich: Sie müssen die Cybersicherheits-Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen — und sie müssen selbst an Schulungen teilnehmen. Nicht ihre IT-Abteilung. Sie selbst.

Was Art. 20 NIS-2 tatsächlich verlangt

Die Richtlinie (EU) 2022/2555 formuliert in Art. 20 zwei Ebenen. Absatz 1 verankert die Verantwortung: Die Leitungsorgane wesentlicher und wichtiger Einrichtungen billigen die Risikomanagementmaßnahmen nach Art. 21, überwachen ihre Umsetzung und können für Verstöße verantwortlich gemacht werden. Das ist keine symbolische Formel — die Haftung des Leitungsorgans ist ausdrücklich Teil des Regelungskonzepts, und sie lässt sich nicht per Organigramm nach unten durchreichen.

Absatz 2 ergänzt die Kompetenzseite: Die Mitglieder der Leitungsorgane sind verpflichtet, an Schulungen teilzunehmen, die ihnen ausreichende Kenntnisse und Fähigkeiten vermitteln, um Cyberrisiken zu erkennen und zu bewerten und die Auswirkungen auf die Geschäftstätigkeit einzuschätzen. Zusätzlich sollen die Einrichtungen ihren Beschäftigten regelmäßig entsprechende Schulungen anbieten. Das deutsche Umsetzungsgesetz übernimmt diese Logik in die Geschäftsleiter-Pflichten des neuen BSI-Gesetzes: Billigung, Überwachung, Schulung — als persönliche Pflicht der Geschäftsleitung.

Der Gedanke dahinter ist nüchtern: Wer Risikomanagementmaßnahmen billigen soll, muss beurteilen können, was er da billigt. Eine Unterschrift unter ein Sicherheitskonzept, dessen Inhalt man nicht versteht, erfüllt die Pflicht aus Absatz 1 nur auf dem Papier — und genau deshalb koppelt die Richtlinie beide Absätze aneinander.

Wen das betrifft — und wen es überrascht

Ob Ihr Unternehmen unter NIS-2 fällt, entscheidet sich über Sektor und Größe; die Details haben wir im NIS-2-Betroffenheits-Check aufgeschlüsselt. Die Kurzfassung: Es geht längst nicht mehr nur um Kraftwerke und Telekommunikation. Verpflichtet sind auch Maschinenbauer, Lebensmittelhersteller, Entsorger, Digitaldienstleister — in der Regel ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz, in kritischen Sektoren auch darunter. Viele mittelständische Geschäftsführungen sind damit erstmals Adressat einer persönlichen Cybersicherheitspflicht, ohne es zu wissen.

Überraschend ist für viele auch, dass die Schulungspflicht nicht mit einer einmaligen Veranstaltung erledigt ist. Cyberrisiken erkennen und bewerten zu können ist ein Zustand, der gepflegt werden muss — die Bedrohungslage von 2024 hilft bei der Ransomware-Taktik von 2026 nur begrenzt. In der Praxis heißt das: ein wiederkehrendes Format mit dokumentierter Teilnahme, nicht ein Zertifikat im Archiv.

Was eine Leitungsschulung abdecken sollte

Eine Geschäftsleitungsschulung ist keine verkürzte Mitarbeiterschulung mit besserem Catering. Die Zielgruppe braucht keine Anleitung zum Erkennen von Phishing-Mails — dafür gibt es die Belegschaftsformate, idealerweise ergänzt um realistische Phishing-Simulationen. Die Leitungsebene braucht etwas anderes:

Risikobewertung statt Technikdetails. Welche Szenarien bedrohen das eigene Geschäftsmodell konkret — Produktionsstillstand, Lieferkettenausfall, Datenabfluss? Wie liest man eine Risikomatrix kritisch, statt sie nur abzunicken?

Die eigene Pflichtenlage. Billigung, Überwachung, Haftung, Meldepflichten mit ihren engen Fristen — und die Frage, welche Entscheidungen die Geschäftsleitung im Ernstfall persönlich treffen muss, etwa ob ein erpresstes Unternehmen zahlt oder Systeme vom Netz nimmt.

Governance-Werkzeuge. Wie hängen Risikomanagement, Notfallplanung und Lieferantensteuerung zusammen? Wer ein Managementsystem nach ISO 27001 betreibt oder aufbaut, hat hier einen strukturellen Vorteil: Die Norm erzwingt genau die Berichts- und Steuerungswege, die Art. 20 voraussetzt. Für Verantwortliche, die tiefer einsteigen wollen, gibt es strukturierte ISO-27001-Schulungen vom Foundation-Level bis zum Lead Auditor — für die Leitungsebene reicht meist das Grundlagenformat, entscheidend ist das Verständnis der Systematik.

Einordnung des Berichtswesens. Die Leitung muss die Berichte ihres Sicherheitsbeauftragten hinterfragen können: Was bedeutet eine offene kritische Schwachstelle im Kontext? Welche Kennzahlen sind Beruhigungsprosa, welche echte Frühwarnindikatoren?

Zwei bis vier Stunden pro Jahr, auf die Geschäftsleitung zugeschnitten, mit dokumentierter Agenda und Teilnahmenachweis — das ist der realistische Rahmen, den wir in Projekten ansetzen. Der Aufwand ist überschaubar; das Signal an Aufsichtsbehörden und Versicherer ist es nicht.

Der Compliance-Stack: NIS-2 ist nicht allein

Bemerkenswert ist, wie konsequent der europäische Gesetzgeber Schulungspflichten inzwischen auf der Leitungs- und Organisationsebene verankert. Die DSGVO kennt die Sensibilisierung der Mitarbeiter als Aufgabe des Datenschutzbeauftragten, gelebt in regelmäßigen Datenschutzschulungen. Der EU AI Act verlangt seit Februar 2025 mit Art. 4 KI-Kompetenz für alle, die mit KI-Systemen arbeiten. NIS-2 setzt nun eine Ebene höher an und holt die Geschäftsleitung selbst in den Schulungsraum.

Wer diese Pflichten einzeln abarbeitet, bucht drei Dienstleister und produziert drei Ordner. Sinnvoller ist ein gemeinsamer Schulungskalender: ein Leitungsformat pro Jahr, das NIS-2-Risikobewertung, Datenschutz-Governance und KI-Einsatz zusammen behandelt, plus rollenspezifische Belegschaftsformate. Die Themen überschneiden sich ohnehin — ein Ransomware-Vorfall ist fast immer zugleich eine Datenpanne mit 72-Stunden-Frist und ein Fall für das Notfallmanagement.

Woran Sie morgen früh arbeiten können

Drei Fragen zeigen schnell, wo Sie stehen: Kann jedes Mitglied Ihrer Geschäftsleitung in fünf Sätzen erklären, welche drei Cyberrisiken das Unternehmen am härtesten treffen würden? Gibt es einen dokumentierten Nachweis über eine Cybersicherheitsschulung der Leitungsebene aus den letzten zwölf Monaten? Und wurde das aktuelle Sicherheitskonzept von der Geschäftsleitung inhaltlich diskutiert — oder nur unterschrieben?

Dreimal Nein ist kein Grund zur Panik, aber ein klarer Arbeitsauftrag. Die Schulungspflicht aus Art. 20 ist von allen NIS-2-Anforderungen die am schnellsten erfüllbare — und zugleich die, die im Haftungsfall am unangenehmsten auffällt, wenn sie fehlt.