Das Bundesamt für Sicherheit in der Informationstechnik hat am 28. Oktober 2026 ein „Curriculum für eine Geschäftsleitungsschulung nach NIS-2“ veröffentlicht. Es konkretisiert, welches Pflicht- und Steuerungswissen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen benötigen, um ihre Verantwortung nach dem BSI-Gesetz wahrnehmen zu können.

Das gemeinsam mit mehreren Wirtschaftsverbänden entwickelte Curriculum übersetzt die gesetzlichen Vorgaben in ein managementgerechtes Schulungskonzept. Im Mittelpunkt stehen nicht technische Detailkenntnisse, sondern die Fähigkeit der Geschäftsleitung, Cyberrisiken zu erkennen, Risikomanagementmaßnahmen zu beurteilen, Entscheidungen zu treffen und deren Umsetzung wirksam zu überwachen.

Orientierung statt verbindlicher Schulungsstandard

Das BSI stellt ausdrücklich klar, dass das Curriculum keinen verbindlichen Charakter besitzt. Es dient Unternehmen und Organisationen als Orientierungs- und Arbeitsgrundlage und beschreibt eine mögliche Umsetzung der gesetzlichen Schulungspflicht nach § 38 Absatz 3 BSIG.

Daraus folgt:

• Eine Schulung muss nicht exakt nach diesem Curriculum durchgeführt werden.
• Das BSI schreibt keinen bestimmten Schulungsanbieter vor.
• Eine behördliche Anerkennung oder Zertifizierung der Schulung ist nicht vorgesehen.
• Ein bestimmtes Teilnahmezertifikat ist gesetzlich nicht vorgeschrieben.
• Entscheidend ist, ob die Geschäftsleitung die erforderlichen Kenntnisse und Fähigkeiten tatsächlich erwirbt.
• Teilnahme, Inhalte, Dauer und Regelmäßigkeit müssen nachvollziehbar dokumentiert werden können.

Obwohl das Curriculum keinen formalen Prüfstandard begründet, dürfte es sich in der Praxis zu einer wichtigen Referenz für die Beurteilung angemessener Geschäftsleitungsschulungen entwickeln.

Was § 38 BSIG von der Geschäftsleitung verlangt

Die gesetzliche Verantwortung der Geschäftsleitung umfasst drei miteinander verbundene Pflichten.

Erstens muss die Geschäftsleitung die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen.

Zweitens kann sie der Einrichtung für schuldhaft verursachte Schäden haften, wenn sie diese Pflichten verletzt. Maßgeblich sind grundsätzlich die für die jeweilige Rechtsform geltenden gesellschaftsrechtlichen Regelungen.

Drittens müssen die Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen. Sie sollen dadurch in die Lage versetzt werden,

• Cyberrisiken zu erkennen und zu bewerten,
• Risikomanagementpraktiken im Bereich der Informationssicherheit zu beurteilen und
• die Auswirkungen von Risiken und Sicherheitsmaßnahmen auf die erbrachten Dienste einzuschätzen.

Die operative Ausarbeitung und Umsetzung einzelner Maßnahmen kann an Fachfunktionen delegiert werden. Die Leitungs-, Entscheidungs- und Überwachungsverantwortung verbleibt jedoch bei der Geschäftsleitung.

Wer an der Schulung teilnehmen muss

Die Schulungspflicht betrifft die Mitglieder der Geschäftsleitung wichtiger und besonders wichtiger Einrichtungen. Gemeint sind die natürlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen sind.

Eine ausschließliche Schulung der IT-Leitung, des Informationssicherheitsbeauftragten, des CISO, des Datenschutzbeauftragten oder der Compliance-Funktion ersetzt die Schulung der Geschäftsleitung nicht.

Das Curriculum empfiehlt darüber hinaus die Einbeziehung weiterer Personen mit wesentlichen Entscheidungs- oder Zuarbeitsfunktionen. Dazu können insbesondere gehören:

• CISO oder Informationssicherheitsbeauftragter,
• CIO und IT-Leitung,
• CFO und Risikomanagement,
• COO und operative Verantwortliche,
• Recht und Compliance,
• Verantwortliche für OT oder Produktion,
• Prokuristen mit einschlägigen Zuständigkeiten.

Die Teilnahme dieser Funktionen kann die gemeinsame Steuerungsfähigkeit verbessern. Sie ändert jedoch nichts an der persönlichen Schulungspflicht der Geschäftsleitungsmitglieder.

Sechs Module für die Initialschulung

Das BSI schlägt eine vierstündige Initialschulung mit sechs aufeinander abgestimmten Modulen vor.

1. BSIG, NIS-2 und Anwendungsbereich

Die Geschäftsleitung muss verstehen, warum die Organisation unter das BSIG fällt und welche Dienste, Prozesse, Systeme und Organisationseinheiten betroffen sind.

Zu behandeln sind insbesondere:

• wichtige und besonders wichtige Einrichtungen,
• relevante Dienste und kritische Geschäftsprozesse,
• IT- und OT-Systeme,
• Tochter- und Konzerngesellschaften,
• zentrale Konzern-IT,
• Managed Services,
• Lieferketten und kritische Dienstleister,
• Fernwartungs- und Remote-Service-Strukturen.

Eine belastbare Betroffenheits- und Scope-Analyse bildet damit die Grundlage der Schulung. Allgemeine Ausführungen zur NIS-2-Richtlinie reichen nicht aus, wenn der konkrete organisatorische Anwendungsbereich ungeklärt bleibt.

2. Pflichten, Haftung und Delegationsgrenzen

Cybersicherheit ist nach dem BSIG eine Leitungsaufgabe. Die Geschäftsleitung kann operative Aufgaben übertragen, nicht aber ihre Verantwortung für Organisation, Ressourcenbereitstellung, Entscheidungen und Überwachung.

Benötigt werden deshalb unter anderem:

• eindeutige Ressort- und Gesamtverantwortung,
• dokumentierte Rollen und Kompetenzen,
• angemessene Berichtswege zur Geschäftsleitung,
• definierte Eskalationsschwellen,
• regelmäßige Cyberrisikoberichte,
• nachvollziehbare Beschlüsse,
• wirksame Maßnahmenkontrollen.

Die Geschäftsleitung muss technische Einzelmaßnahmen nicht selbst entwickeln. Sie muss jedoch beurteilen können, ob Risiken angemessen behandelt, Ressourcen bedarfsgerecht eingesetzt und festgestellte Defizite fristgerecht behoben werden.

3. Cyberrisiken als Organisationsrisiken

Das Curriculum verlangt eine Übersetzung technischer Risiken in organisatorische, betriebliche und strategische Auswirkungen.

Die Geschäftsleitung soll insbesondere verstehen,

• welche Dienste und Prozesse besonders kritisch sind,
• welche Abhängigkeiten und Single Points of Failure bestehen,
• welche Schadensszenarien die Leistungserbringung gefährden,
• welche Risiken akzeptiert werden können,
• welche Wiederanlaufziele erforderlich sind,
• welche Lieferketten- und Dienstleisterrisiken bestehen und
• welche Ressourcen zur Risikobehandlung benötigt werden.

Cyberrisiken sind damit nicht isoliert als IT-Risiken zu betrachten. Sie können finanzielle, operative, regulatorische, haftungsbezogene und reputative Auswirkungen haben und die Fortführung wesentlicher Dienste beeinträchtigen.

4. § 30 BSIG als Managementsystem

Den größten Zeitanteil sieht das Curriculum für die Risikomanagementmaßnahmen nach § 30 BSIG vor. Das BSI bündelt diese in sechs managementgerechte Cluster:

1. Risikoanalyse, Sicherheitskonzepte und ISMS/GRC,
2. Vorfallbewältigung, Backup, Wiederherstellung und Krisenmanagement,
3. Lieferkette und Dienstleistersteuerung,
4. Beschaffung, Entwicklung, Wartung und Schwachstellenmanagement,
5. Wirksamkeitsprüfung, Audit, Kennzahlen und Berichtswesen,
6. Personal, Zugriffskontrolle, Asset-Management, Kryptografie, MFA und sichere Kommunikation.

Die Geschäftsleitung muss nicht jede technische Kontrolle im Detail kennen. Sie sollte aber beurteilen können,

• ob alle gesetzlichen Maßnahmenbereiche abgedeckt sind,
• welche Lücken und Restrisiken bestehen,
• wie Prioritäten festgelegt wurden,
• ob ausreichende personelle und finanzielle Ressourcen bereitstehen und
• wie die tatsächliche Wirksamkeit der Maßnahmen überprüft wird.

Das bloße Vorhandensein von Richtlinien, Konzepten oder Kontrollbeschreibungen belegt noch keine Wirksamkeit.

5. Registrierung, Meldung und Unterrichtung

Die Geschäftsleitung muss die organisatorische Bedeutung der Registrierungs- und Meldepflichten verstehen.

Bei erheblichen Sicherheitsvorfällen sieht das BSIG eine gestufte Meldekaskade vor:

• frühe Erstmeldung grundsätzlich innerhalb von 24 Stunden,
• weitere Meldung innerhalb von 72 Stunden,
• gegebenenfalls Zwischenmeldungen,
• Abschlussmeldung grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung.

Diese Fristen erfordern vorbereitete Entscheidungs-, Eskalations- und Kommunikationswege. Die Organisation muss auch nachts, an Wochenenden und während Urlaubszeiten handlungsfähig bleiben.

Zu klären sind insbesondere folgende Fragen:

• Wer erkennt und bewertet einen potenziell meldepflichtigen Vorfall?
• Wann wird die Geschäftsleitung einbezogen?
• Wer darf eine Meldung freigeben?
• Welche Vertretungsregelungen bestehen?
• Wie werden Behörden-, Kunden-, Beschäftigten- und Medienkommunikation abgestimmt?
• Wie werden Entscheidungen und Fristwahrung dokumentiert?

6. Governance, Nachweis und Transfer

Die Initialschulung soll nicht mit einer Teilnahmebescheinigung enden. Sie muss in eine regelmäßige Befassung der Geschäftsleitung mit Cyberrisiken überführt werden.

Das BSI empfiehlt unter anderem:

• regelmäßige Cyberrisikoberichte,
• ein Maßnahmenregister zu § 30 BSIG,
• KPI- und KRI-Berichte,
• dokumentierte Management-Reviews,
• eine Beschluss- und Maßnahmenliste,
• nachvollziehbare Restrisikoentscheidungen,
• regelmäßige Folgeschulungen,
• ergänzende Krisen- oder Tabletop-Übungen.

Die Schulung ist damit Ausgangspunkt eines fortlaufenden Governance- und Steuerungsprozesses.

Vier Stunden oder drei Stunden mit Vorbereitung

Das Beispielcurriculum sieht für die vollständige Initialschulung vier Stunden vor. Eine dreistündige Variante ist möglich, wenn ein verbindliches und dokumentiertes Pre-Read vorgeschaltet wird.

Dieses sollte insbesondere enthalten:

• Ergebnis der Betroffenheitsprüfung,
• relevante Dienste und Geschäftsprozesse,
• Organisations- und Governance-Struktur,
• aktuellen Umsetzungsstand der Maßnahmen nach § 30 BSIG,
• wesentliche Cyberrisiken,
• bestehenden Melde- und Eskalationsprozess.

Sehr kurze Standardformate bergen dagegen das Risiko, weder die gesetzlichen Kompetenzziele noch den konkreten Steuerungsbedarf der Organisation angemessen abzudecken.

Die erforderliche Dauer sollte daher nicht ausschließlich nach Kosten oder Kalenderverfügbarkeit festgelegt werden. Maßgeblich sind Risikoexposition, Komplexität, Vorwissen und Verantwortungsumfang der Geschäftsleitung.

Was nicht Bestandteil der Initialschulung ist

Das BSI grenzt die Initialschulung bewusst von anderen Formaten ab.

Nicht Bestandteil sind insbesondere:

• technische Produktschulungen,
• detaillierte Architektur- oder Konfigurationsschulungen,
• allgemeine Awareness-Schulungen für Beschäftigte,
• Red-Team- oder Blue-Team-Übungen,
• Krisenstabsübungen und Management-Tabletops,
• einzelfallbezogene Rechtsberatung.

Diese Inhalte können zusätzlich erforderlich sein. Sie ersetzen jedoch weder die initiale Geschäftsleitungsschulung noch werden sie durch diese ersetzt.

Welche Nachweise benötigt werden

Das Curriculum empfiehlt ein revisionssicheres Dokumentationspaket. Dazu gehören mindestens:

• Datum, Uhrzeit und Dauer der Schulung,
• Anbieter beziehungsweise interne durchführende Stelle,
• Namen, Rollen und Funktionen der Teilnehmenden,
• Agenda und behandelte Inhalte,
• Bezug zu § 38 Absatz 3 BSIG,
• verwendete Schulungsunterlagen und Versionsstand,
• Teilnahmebestätigung,
• Planung der Folgeschulungen.

Der formale Schulungsnachweis ist allerdings nur ein Teil der Governance. Wesentlich aussagekräftiger ist, ob die Geschäftsleitung anschließend tatsächlich an Cyberrisikoentscheidungen mitwirkt.

Geeignete Nachweise dafür sind beispielsweise:

• freigegebene Maßnahmen- und Ressourcenpläne,
• dokumentierte Risikoakzeptanzen,
• Beschlüsse zu Sicherheitsinvestitionen,
• Management-Reviews,
• Entscheidungen zu kritischen Dienstleistern,
• Nachverfolgung wesentlicher Feststellungen,
• Freigabe von Melde- und Krisenprozessen.

Welche Entscheidungen nach der Schulung anstehen

Das BSI empfiehlt, die Schulung mit einer konkreten Management-Nachbereitung zu verbinden. Innerhalb von zwei bis sechs Wochen sollten insbesondere folgende Punkte adressiert werden:

1. BSIG- beziehungsweise NIS-2-Scope bestätigen oder korrigieren.
2. Governance-Struktur und Berichtslinien festlegen.
3. Maßnahmenregister nach § 30 BSIG beschließen.
4. Verantwortliche, Fristen und Ressourcen verbindlich festlegen.
5. Regeln für Eskalation und Restrisikoakzeptanz bestimmen.
6. Melde- und Krisenentscheidungsprozess überprüfen.
7. Regelmäßigen Cyberrisikobericht etablieren.
8. Folgeschulungen und praktische Übungen terminieren.

Damit verbindet das BSI die Wissensvermittlung ausdrücklich mit anschließenden Steuerungsentscheidungen.

Fazit

Das neue BSI-Curriculum schafft eine konkrete Referenz für die Ausgestaltung von NIS-2-Geschäftsleitungsschulungen. Es macht deutlich, dass die gesetzliche Schulungspflicht nicht durch eine allgemeine Cybersecurity-Präsentation oder die Teilnahme einzelner Fachverantwortlicher erfüllt wird.

Die Geschäftsleitung muss selbst in die Lage versetzt werden, Cyberrisiken zu beurteilen, angemessene Entscheidungen zu treffen, Ressourcen bereitzustellen und die Wirksamkeit der Umsetzung zu überwachen.

Die entscheidende Governance-Frage lautet daher nicht allein:

Hat die Geschäftsleitung an einer NIS-2-Schulung teilgenommen?

Sondern:

Kann die Geschäftsleitung nachweisbar die richtigen Fragen stellen, Cyberrisiken bewerten und die Umsetzung der erforderlichen Maßnahmen wirksam steuern?

Erst wenn diese Frage belastbar beantwortet werden kann, hat die Schulung ihren Zweck erfüllt.

---

Quelle: Bundesamt für Sicherheit in der Informationstechnik: Curriculum für eine Geschäftsleitungsschulung nach NIS-2, Version 1 vom 28. Oktober 2026.

Stand des Beitrags: 2. November 2026.

Hinweis: Das Curriculum hat keinen verbindlichen Charakter. Der Beitrag enthält eine fachliche Einordnung und ersetzt keine rechtliche Prüfung der konkreten Betroffenheit oder der Organpflichten.