Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik hat am 28. Oktober 2026 ein \u201eCurriculum f\u00fcr eine Gesch\u00e4ftsleitungsschulung nach NIS-2\u201c ver\u00f6ffentlicht. Es konkretisiert, welches Pflicht- und Steuerungswissen Gesch\u00e4ftsleitungen besonders wichtiger und wichtiger Einrichtungen ben\u00f6tigen, um ihre Verantwortung nach dem BSI-Gesetz wahrnehmen zu k\u00f6nnen.<\/p>\n\n\n\n
Das gemeinsam mit mehreren Wirtschaftsverb\u00e4nden entwickelte Curriculum \u00fcbersetzt die gesetzlichen Vorgaben in ein managementgerechtes Schulungskonzept. Im Mittelpunkt stehen nicht technische Detailkenntnisse, sondern die F\u00e4higkeit der Gesch\u00e4ftsleitung, Cyberrisiken zu erkennen, Risikomanagementma\u00dfnahmen zu beurteilen, Entscheidungen zu treffen und deren Umsetzung wirksam zu \u00fcberwachen.<\/p>\n\n\n\n
Das BSI stellt ausdr\u00fccklich klar, dass das Curriculum keinen verbindlichen Charakter besitzt. Es dient Unternehmen und Organisationen als Orientierungs- und Arbeitsgrundlage und beschreibt eine m\u00f6gliche Umsetzung der gesetzlichen Schulungspflicht nach \u00a7 38 Absatz 3 BSIG.<\/p>\n\n\n\n
Daraus folgt:<\/p>\n\n\n\n
Obwohl das Curriculum keinen formalen Pr\u00fcfstandard begr\u00fcndet, d\u00fcrfte es sich in der Praxis zu einer wichtigen Referenz f\u00fcr die Beurteilung angemessener Gesch\u00e4ftsleitungsschulungen entwickeln.<\/p>\n\n\n\n
Die gesetzliche Verantwortung der Gesch\u00e4ftsleitung umfasst drei miteinander verbundene Pflichten.<\/p>\n\n\n\n
Erstens muss die Gesch\u00e4ftsleitung die nach \u00a7 30 BSIG erforderlichen Risikomanagementma\u00dfnahmen umsetzen und deren Umsetzung \u00fcberwachen.<\/p>\n\n\n\n
Zweitens kann sie der Einrichtung f\u00fcr schuldhaft verursachte Sch\u00e4den haften, wenn sie diese Pflichten verletzt. Ma\u00dfgeblich sind grunds\u00e4tzlich die f\u00fcr die jeweilige Rechtsform geltenden gesellschaftsrechtlichen Regelungen.<\/p>\n\n\n\n
Drittens m\u00fcssen die Mitglieder der Gesch\u00e4ftsleitung regelm\u00e4\u00dfig an Schulungen teilnehmen. Sie sollen dadurch in die Lage versetzt werden,<\/p>\n\n\n\n
Die operative Ausarbeitung und Umsetzung einzelner Ma\u00dfnahmen kann an Fachfunktionen delegiert werden. Die Leitungs-, Entscheidungs- und \u00dcberwachungsverantwortung verbleibt jedoch bei der Gesch\u00e4ftsleitung.<\/p>\n\n\n\n
Die Schulungspflicht betrifft die Mitglieder der Gesch\u00e4ftsleitung wichtiger und besonders wichtiger Einrichtungen. Gemeint sind die nat\u00fcrlichen Personen, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur F\u00fchrung der Gesch\u00e4fte und zur Vertretung der Einrichtung berufen sind.<\/p>\n\n\n\n
Eine ausschlie\u00dfliche Schulung der IT-Leitung, des Informationssicherheitsbeauftragten, des CISO, des Datenschutzbeauftragten oder der Compliance-Funktion ersetzt die Schulung der Gesch\u00e4ftsleitung nicht.<\/p>\n\n\n\n
Das Curriculum empfiehlt dar\u00fcber hinaus die Einbeziehung weiterer Personen mit wesentlichen Entscheidungs- oder Zuarbeitsfunktionen. Dazu k\u00f6nnen insbesondere geh\u00f6ren:<\/p>\n\n\n\n
Die Teilnahme dieser Funktionen kann die gemeinsame Steuerungsf\u00e4higkeit verbessern. Sie \u00e4ndert jedoch nichts an der pers\u00f6nlichen Schulungspflicht der Gesch\u00e4ftsleitungsmitglieder.<\/p>\n\n\n\n
Das BSI schl\u00e4gt eine vierst\u00fcndige Initialschulung mit sechs aufeinander abgestimmten Modulen vor.<\/p>\n\n\n\n
Die Gesch\u00e4ftsleitung muss verstehen, warum die Organisation unter das BSIG f\u00e4llt und welche Dienste, Prozesse, Systeme und Organisationseinheiten betroffen sind.<\/p>\n\n\n\n
Zu behandeln sind insbesondere:<\/p>\n\n\n\n
Eine belastbare Betroffenheits- und Scope-Analyse bildet damit die Grundlage der Schulung. Allgemeine Ausf\u00fchrungen zur NIS-2-Richtlinie reichen nicht aus, wenn der konkrete organisatorische Anwendungsbereich ungekl\u00e4rt bleibt.<\/p>\n\n\n\n
Cybersicherheit ist nach dem BSIG eine Leitungsaufgabe. Die Gesch\u00e4ftsleitung kann operative Aufgaben \u00fcbertragen, nicht aber ihre Verantwortung f\u00fcr Organisation, Ressourcenbereitstellung, Entscheidungen und \u00dcberwachung.<\/p>\n\n\n\n
Ben\u00f6tigt werden deshalb unter anderem:<\/p>\n\n\n\n
Die Gesch\u00e4ftsleitung muss technische Einzelma\u00dfnahmen nicht selbst entwickeln. Sie muss jedoch beurteilen k\u00f6nnen, ob Risiken angemessen behandelt, Ressourcen bedarfsgerecht eingesetzt und festgestellte Defizite fristgerecht behoben werden.<\/p>\n\n\n\n
Das Curriculum verlangt eine \u00dcbersetzung technischer Risiken in organisatorische, betriebliche und strategische Auswirkungen.<\/p>\n\n\n\n
Die Gesch\u00e4ftsleitung soll insbesondere verstehen,<\/p>\n\n\n\n
Cyberrisiken sind damit nicht isoliert als IT-Risiken zu betrachten. Sie k\u00f6nnen finanzielle, operative, regulatorische, haftungsbezogene und reputative Auswirkungen haben und die Fortf\u00fchrung wesentlicher Dienste beeintr\u00e4chtigen.<\/p>\n\n\n\n
Den gr\u00f6\u00dften Zeitanteil sieht das Curriculum f\u00fcr die Risikomanagementma\u00dfnahmen nach \u00a7 30 BSIG vor. Das BSI b\u00fcndelt diese in sechs managementgerechte Cluster:<\/p>\n\n\n\n
Die Gesch\u00e4ftsleitung muss nicht jede technische Kontrolle im Detail kennen. Sie sollte aber beurteilen k\u00f6nnen,<\/p>\n\n\n\n
Das blo\u00dfe Vorhandensein von Richtlinien, Konzepten oder Kontrollbeschreibungen belegt noch keine Wirksamkeit.<\/p>\n\n\n\n
Die Gesch\u00e4ftsleitung muss die organisatorische Bedeutung der Registrierungs- und Meldepflichten verstehen.<\/p>\n\n\n\n
Bei erheblichen Sicherheitsvorf\u00e4llen sieht das BSIG eine gestufte Meldekaskade vor:<\/p>\n\n\n\n
Diese Fristen erfordern vorbereitete Entscheidungs-, Eskalations- und Kommunikationswege. Die Organisation muss auch nachts, an Wochenenden und w\u00e4hrend Urlaubszeiten handlungsf\u00e4hig bleiben.<\/p>\n\n\n\n
Zu kl\u00e4ren sind insbesondere folgende Fragen:<\/p>\n\n\n\n
Die Initialschulung soll nicht mit einer Teilnahmebescheinigung enden. Sie muss in eine regelm\u00e4\u00dfige Befassung der Gesch\u00e4ftsleitung mit Cyberrisiken \u00fcberf\u00fchrt werden.<\/p>\n\n\n\n
Das BSI empfiehlt unter anderem:<\/p>\n\n\n\n
Die Schulung ist damit Ausgangspunkt eines fortlaufenden Governance- und Steuerungsprozesses.<\/p>\n\n\n\n
Das Beispielcurriculum sieht f\u00fcr die vollst\u00e4ndige Initialschulung vier Stunden vor. Eine dreist\u00fcndige Variante ist m\u00f6glich, wenn ein verbindliches und dokumentiertes Pre-Read vorgeschaltet wird.<\/p>\n\n\n\n
Dieses sollte insbesondere enthalten:<\/p>\n\n\n\n
Sehr kurze Standardformate bergen dagegen das Risiko, weder die gesetzlichen Kompetenzziele noch den konkreten Steuerungsbedarf der Organisation angemessen abzudecken.<\/p>\n\n\n\n
Die erforderliche Dauer sollte daher nicht ausschlie\u00dflich nach Kosten oder Kalenderverf\u00fcgbarkeit festgelegt werden. Ma\u00dfgeblich sind Risikoexposition, Komplexit\u00e4t, Vorwissen und Verantwortungsumfang der Gesch\u00e4ftsleitung.<\/p>\n\n\n\n
Das BSI grenzt die Initialschulung bewusst von anderen Formaten ab.<\/p>\n\n\n\n
Nicht Bestandteil sind insbesondere:<\/p>\n\n\n\n
Diese Inhalte k\u00f6nnen zus\u00e4tzlich erforderlich sein. Sie ersetzen jedoch weder die initiale Gesch\u00e4ftsleitungsschulung noch werden sie durch diese ersetzt.<\/p>\n\n\n\n
Das Curriculum empfiehlt ein revisionssicheres Dokumentationspaket. Dazu geh\u00f6ren mindestens:<\/p>\n\n\n\n
Der formale Schulungsnachweis ist allerdings nur ein Teil der Governance. Wesentlich aussagekr\u00e4ftiger ist, ob die Gesch\u00e4ftsleitung anschlie\u00dfend tats\u00e4chlich an Cyberrisikoentscheidungen mitwirkt.<\/p>\n\n\n\n
Geeignete Nachweise daf\u00fcr sind beispielsweise:<\/p>\n\n\n\n
Das BSI empfiehlt, die Schulung mit einer konkreten Management-Nachbereitung zu verbinden. Innerhalb von zwei bis sechs Wochen sollten insbesondere folgende Punkte adressiert werden:<\/p>\n\n\n\n
Damit verbindet das BSI die Wissensvermittlung ausdr\u00fccklich mit anschlie\u00dfenden Steuerungsentscheidungen.<\/p>\n\n\n\n
Das neue BSI-Curriculum schafft eine konkrete Referenz f\u00fcr die Ausgestaltung von NIS-2-Gesch\u00e4ftsleitungsschulungen. Es macht deutlich, dass die gesetzliche Schulungspflicht nicht durch eine allgemeine Cybersecurity-Pr\u00e4sentation oder die Teilnahme einzelner Fachverantwortlicher erf\u00fcllt wird.<\/p>\n\n\n\n
Die Gesch\u00e4ftsleitung muss selbst in die Lage versetzt werden, Cyberrisiken zu beurteilen, angemessene Entscheidungen zu treffen, Ressourcen bereitzustellen und die Wirksamkeit der Umsetzung zu \u00fcberwachen.<\/p>\n\n\n\n
Die entscheidende Governance-Frage lautet daher nicht allein:<\/p>\n\n\n\n
\nHat die Gesch\u00e4ftsleitung an einer NIS-2-Schulung teilgenommen?<\/p>\n<\/blockquote>\n\n\n\n
Sondern:<\/p>\n\n\n\n
\nKann die Gesch\u00e4ftsleitung nachweisbar die richtigen Fragen stellen, Cyberrisiken bewerten und die Umsetzung der erforderlichen Ma\u00dfnahmen wirksam steuern?<\/p>\n<\/blockquote>\n\n\n\n
Erst wenn diese Frage belastbar beantwortet werden kann, hat die Schulung ihren Zweck erf\u00fcllt.<\/p>\n\n\n\n
\n\n\n\n