Wie lerne ich NIS2-Compliance? Schulungspflicht für Geschäftsleitungen

Mit NIS 2 gelten neue Spielregeln

Ziemlich genau zehn Jahre ist es her, dass in den Geschäftsführungen deutscher Unternehmen eine Menge Staub aufgewirbelt wurde: Die 2016 in Kraft getretene Datenschutzgrundverordnung hatte dafür gesorgt, dass sich viele Leitungsorgane erstmals ihrer Verantwortung für den Schutz personenbezogener Daten bewusst wurden – und der damit verbundenen persönlichen Haftung.

Wer sich heute umsieht, bemerkt ähnliches: Seit am 6.12.2025 die europäische Cybersicherheits-Richtlinie NIS2 auch in Deutschland umgesetzt ist, gelten vergleichbar strenge Auflagen wie im Datenschutz nun auch bezüglich der Informationssicherheit. Nicht für alle Unternehmen, aber immerhin rund 30.000 allein in Deutschland, die in den Anwendungsbereich der Richtlinie fallen.

Die Verantwortung liegt bei der Geschäftsführung

Damit ist erstmals gesetzlich verankert, dass es Sache der Geschäftsführung ist, für technische und organisatorische Sicherheit der Informationsverarbeitung zu sorgen. Dieser Fokus ist angesichts wachsender Bedrohungen entstanden, die der russische Überfall auf die Ukraine noch einmal verschärft hat.

Das Bewusstsein dafür ist allmählich eingesickert: Ausgaben für Informationssicherheit haben sich in den letzten fünf Jahren verdoppelt und machen jetzt fast 20 Prozent des gesamten IT-Budgets deutscher Unternehmen aus.

Cyber-Risikomanagement lässt sich nicht delegieren

Zu den gesetzlichen Pflichten, die nicht einfach zur IT-Leitung oder Stabsstellen delegiert werden können, gehört die Übernahme der letztgültigen Verantwortung für das Cyber-Risikomanagement.

Um die Ansprüche der Regulierung auf allen Ebenen der Wertschöpfungskette und ihren Geschäftsprozessen zu erfüllen, muss die Geschäftsführung selbst in der Lage sein, Gefahren zu erkennen, denen das Unternehmen im Netz ausgesetzt ist.

Um das leisten zu können, sind Kenntnisse erforderlich: Das Gesetz verlangt von den Geschäftsleitungen, dass sie regelmäßige Schulungen über Cyber-Risikomanagement absolvieren. Denn wer spezifische Risiken identifizieren, analysieren, bewerten und angemessen darauf reagieren muss, wird ohne gezieltes Training kaum zurechtkommen.

Das BSI konkretisiert die Schulungsanforderungen

Nach einem ersten Entwurf aus dem letzten Jahr hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Mai eine offizielle Handreichung für Leitungsorgane vorgelegt, die den Inhalt und die Form solcher Schulungen erklärt.

Die Behörde geht mit einer gehörigen Portion Optimismus ans Werk der Gefahrenabwehr, erinnert aber gleichzeitig daran, wie ernst man das nehmen sollte: „Angemessener und wirksamer Schutz vor diesen Gefahren ist […] möglich, bedarf jedoch konstanter Pflege, Umsicht und vor allem der richtigen Entscheidungen.“

Mindestanforderungen an die Informationssicherheit

Im Schnellüberblick der Schulungsinhalte wird deutlich, worauf es dabei ankommt. Zur Grundausrüstung gehören zunächst die Mindestanforderungen an die Informationssicherheit, die im BSI-Gesetz „Risikomanagementmaßnahmen“ heißen (§ 30 Abs. 2 Nr. 1-10 BSIG).

Diese modernen zehn Gebote sind zwar abstrakt formuliert, aber mit dem unbedingten Willen zur Umsetzung nach dem „Stand der Technik“ versehen – es gibt keinen Spielraum für Missverständnisse bei der Einhaltung der Anforderungen.

Risiken erkennen, bewerten und richtig entscheiden

Der zweite Schwerpunkt der Schulungen, wie das BSI sie sich idealerweise vorstellt, ist die Compliance-Methodik, mit der das Risikomanagement in Bezug auf die Besonderheiten der Informationssicherheit durchzuführen ist.

Risikomanagement an sich ist für viele Unternehmen nichts Neues – finanzielle Risiken wie Cash-Flow-Lücken oder Insolvenzen werden im Controlling schon immer analysiert und beurteilt, nicht nur im Bankensektor.

Aber hier geht es um die spezifischen Risiken der Informationssicherheit, deren Erkennung und Bewertung Voraussetzung für jede fundierte Managemententscheidung ist, wie das BSI unterstreicht.

Für Ransomware- oder DDoS-Attacken müssen Eintrittswahrscheinlichkeit und Auswirkung identifiziert, die Wirksamkeit von Abwehrmaßnahmen beurteilt und nicht zuletzt die notwendigen Ressourcen bereitgestellt werden – alles Führungsaufgaben, die in diesen Pflichtschulungen nach § 38 Abs. 3 BSI-Gesetz vermittelt werden.