Zur Schulungspflicht nach § 38 Abs. 3 BSIG
NIS2-Schulung für die Geschäftsleitung, zugeschnitten auf Ihr Unternehmen
Wir schulen Ihre Geschäftsleitung nach § 38 Abs. 3 BSIG (NIS2-Schulungspflicht): inhouse, remote oder vor Ort, in vier Stunden entlang der sechs Module des BSI-Curriculums und mit Beispielen aus Ihrem eigenen Unternehmen. Jede Person erhält eine Teilnahmebestätigung, die Geschäftsleitung eine Vorlage für die Entscheidungen, die nach der Schulung anstehen.
Was verlangt § 38 Abs. 3 BSIG?
Die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen „müssen regelmäßig an Schulungen teilnehmen“, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken in der Informationssicherheit zu erlangen und deren Auswirkungen auf die Dienste der Einrichtung beurteilen zu können (§ 38 Abs. 3 BSIG). Die Pflicht trifft jede Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung berufen ist, also jedes Mitglied der Geschäftsführung oder des Vorstands.
Einen Turnus oder eine Stundenzahl nennt das Gesetz nicht; dort steht nur „regelmäßig“. Die Gesetzesbegründung geht nach Angabe des BSI von Schulungen mindestens alle drei Jahre aus und rechnet mit einer durchschnittlichen Dauer von vier Stunden. Das BSI betont, dass die vier Stunden keine Empfehlung sind, und hält beides in den meisten Fällen für nicht ausreichend. Es empfiehlt eine ausführliche Erstschulung und danach regelmäßige Folgeschulungen, deren Art, Dauer und Abstand sich nach der Risikolage richten. Anlässe für eine Folgeschulung sind nach der Handreichung des BSI unter anderem ein Wechsel in der Geschäftsleitung und deutliche Änderungen bei Geschäftsprozessen, Risiken oder Maßnahmen.
Die Schulungspflicht ist Gegenstand der Aufsicht: Bei besonders wichtigen Einrichtungen kann das BSI Prüfungen anordnen, die ausdrücklich auch § 38 Abs. 3 umfassen, bei wichtigen Einrichtungen prüft es, wenn Tatsachen auf einen Verstoß hindeuten. Für einige Einrichtungen gilt § 38 nicht, etwa für Betreiber öffentlicher TK-Netze und Finanzunternehmen unter DORA (§ 28 Abs. 5 und 6 BSIG, mit Rückausnahmen, die die Seite zur NIS2-Betroffenheit erklärt); für sie können andere Regeln gelten. Ob die Pflicht Sie trifft, ist im Einzelfall zu prüfen.
Was kann Ihre Geschäftsleitung nach der Schulung?
Die Lernziele folgen den drei Fähigkeiten aus § 38 Abs. 3 BSIG und den Lernergebnissen des BSI-Curriculums. Ziel ist, dass die Geschäftsleitung bewerten, entscheiden und überwachen kann; technische Details bleiben bei den Fachleuten.
Warum betrifft uns das?
Pflichten und Verantwortung einordnen
Was § 38 BSIG von der Geschäftsleitung verlangt, was sich delegieren lässt und was nicht, und wie die Haftung im Gesetz geregelt ist.
Pflichten der GeschäftsleitungWas gehört dazu?
Anwendungsbereich verstehen
Warum und mit welchen Diensten, IT- und OT-Prozessen, Dienstleistern und Konzerngesellschaften das Unternehmen unter das BSIG fällt.
NIS2-BetroffenheitWas steht auf dem Spiel?
Cyberrisiken bewerten
Risiken nach Eintrittswahrscheinlichkeit und Schaden einordnen und ihre Auswirkungen auf Dienste, Kunden und Lieferfähigkeit beurteilen.
Was muss umgesetzt werden?
§ 30 BSIG steuern
Die zehn Mindestmaßnahmen als Managementaufgabe: Ressourcen, Prioritäten, Lieferkette, Wirksamkeit und Restrisiko.
Die zehn MaßnahmenWer entscheidet im Ernstfall?
Meldung und Eskalation
Registrierung, Meldefristen von 24 und 72 Stunden und wer im Unternehmen über eine Meldung entscheidet.
NIS2-MeldepflichtWoran erkennen wir Fortschritt?
Berichte lesen und überwachen
Sicherheitsberichte, Kennzahlen und Nachweise bewerten, die richtigen Fragen stellen und Entscheidungen dokumentieren.
Was erhalten Sie?
Der Lieferumfang der Erstschulung und der Kurzfassung orientiert sich am Nachweis- und Dokumentationspaket aus dem BSI-Curriculum.
01
Pre-Read
Höchstens zehn Seiten zu Einstufung, Diensten, Stand der Maßnahmen, Meldeablauf und Risiken, aus dem Vorgespräch erstellt und wie vom Curriculum empfohlen mindestens fünf Werktage vor der Schulung versandt.
02
Foliensatz als PDF
Der gezeigte Foliensatz mit Version, Datum und Quellen, zur Ablage in Ihrer Schulungsdokumentation.
03
Teilnahmebestätigung je Person
Mit den Mindestangaben aus Kap. 1.5 der BSI-Handreichung (siehe unten „Wie weisen Sie die Schulung nach?“).
04
Unterschriebene Teilnehmerliste
Alle teilnehmenden Mitglieder der Geschäftsleitung und weitere Teilnehmende, zur Vorlage auf Verlangen.
05
Vorlage für den Leitungsbeschluss
Die Entscheidungen, die das Curriculum nach der Erstschulung erwartet, etwa zu Zuständigkeiten, Maßnahmenregister, Restrisiken, Meldeprozess und regelmäßigem Bericht, idealerweise innerhalb von zwei bis sechs Wochen.
06
Prüffragenkatalog und Turnusempfehlung
Fragen, die die Geschäftsleitung IT, Dienstleistern und ISB stellen kann, und eine Empfehlung zum Abstand der Folgeschulungen mit den Anlässen aus der Handreichung.
Ablauf der Erstschulung
Module und Dauer folgen der Beispielagenda des BSI-Curriculums für vier Stunden. Die rechte Spalte zeigt, womit wir jedes Modul auf Ihr Unternehmen beziehen; das BSI verlangt von externen Anbietern ausdrücklich, die Besonderheiten der Einrichtung zu berücksichtigen.
| Modul | Inhalt nach BSI-Curriculum | Dauer | Bezug auf Ihr Unternehmen |
|---|---|---|---|
| 1 BSIG, NIS‑2 und Anwendungsbereich | Warum das Thema die Geschäftsleitung betrifft; Dienste, Einrichtungskategorie, IT/OT und Konzern | 30 Min. | Ihre Einstufung und Ihre Dienste aus dem Vorgespräch |
| 2 § 38 BSIG: Pflichten, Haftung, Delegationsgrenzen | Umsetzung, Überwachung, Schulungspflicht; persönliche Verantwortung und Delegation | 40 Min. | Ihre heutige Aufgabenverteilung zwischen Geschäftsleitung, IT und Dienstleister |
| 3 Cyberrisiken als Unternehmensrisiken | Risikoerkennung und -bewertung, Schutzziele, Schadensarten, Auswirkungen auf Dienste | 40 Min. | Angriffsabläufe, die zu Ihrer Branche passen, an nachgestellten Beispielen |
| 4 § 30 BSIG als Managementsystem | Mindestmaßnahmen in Clustern; Ressourcen, Priorisierung, Wirksamkeit, Lieferkette, Personal, Technik | 75 Min. | Ihr Umsetzungsstand, soweit bekannt, und Ihre kritischen Dienstleister |
| 5 Registrierung, Melde- und Unterrichtungspflichten | §§ 32-35 BSIG, Entscheidungs- und Eskalationslogik, Kommunikations- und Freigabewege | 35 Min. | Wer bei Ihnen meldet, wer entscheidet und wer nachts erreichbar ist |
| 6 Governance, Nachweis und Transfer | Berichtswesen, Dokumentation, Kennzahlen, Beschluss- und Maßnahmenliste, Folgeschulungen | 20 Min. | Vorlage für Ihren Leitungsbeschluss und Empfehlung zum Turnus |
Modulthemen, Inhalte und Dauer nach BSI (Modultitel teils verkürzt), Curriculum für eine Geschäftsleitungsschulung nach NIS‑2, Version 1 vom 28.10.2026, Kap. 2.2 (Beispielagenda ohne Übungen, 240 Minuten). Das Curriculum ist nach Angabe des BSI unverbindlich und eine mögliche Umsetzung von § 38 BSIG. Rechte Spalte: Zuschnitt durch Blackfort Technology.
Was kostet die NIS2-Schulung?
Sie buchen für Ihr Gremium. Die Erstschulung ist der Kern; Kurzfassung, Planspiel und Auffrischung kommen bei Bedarf dazu. Alle Preise netto zzgl. USt.
| Baustein | Umfang | Preis |
|---|---|---|
| Inhouse-Erstschulung | Vorgespräch 60 Min., verbindlicher Pre-Read, 4 Stunden nach den sechs Modulen, Lieferumfang wie oben beschrieben; für ein Gremium bis 8 Personen | ab 3.500 € remote, ab 3.800 € vor Ort, netto zzgl. USt. |
| Kurzfassung | 3 Stunden nach der Kürzungsvariante des Curriculums; Lieferumfang wie Erstschulung (alle Bestandteile unter „Was erhalten Sie?“), nur kürzere Durchführung; für ein Gremium bis 8 Personen | ab 2.800 € remote, netto zzgl. USt. |
| Planspiel zum Ernstfall | Tabletop-Übung getrennt von der Erstschulung: Drehbuch auf Ihr Unternehmen zugeschnitten, Durchführung 2-3 Stunden, Auswertung mit Maßnahmenliste; für ein Gremium bis 8 Personen | ab 2.100 € netto zzgl. USt. |
| Weitere Teilnehmende | ab der 9. Person bei Erstschulung, Kurzfassung oder Planspiel | 150 € je Person netto zzgl. USt. |
| Jährliche Auffrischung | 90-120 Min. remote: Lage, Rechtsänderungen, Stand Ihrer Maßnahmen | ab 1.050 € je Gremium, netto zzgl. USt. |
Angebot ausschließlich für Unternehmen (B2B). Alle Preise netto zzgl. USt.; vor Ort einschließlich Anreise innerhalb Deutschlands. Nach einem kurzen Klärungsgespräch erhalten Sie ein Angebot mit Festpreis; das Vorgespräch von 60 Minuten ist Teil der beauftragten Leistung.
Wie läuft die Schulung ab?
Von der Anfrage bis zum Leitungsbeschluss in sechs Schritten.
1
Anfrage und Klärungsgespräch
Sie nennen Gremium, Zahl der Teilnehmenden, remote oder vor Ort und Wunschzeitraum. In einem kurzen Gespräch klären wir Umfang und Rahmen.
2
Angebot
Sie erhalten ein Angebot mit Festpreis.
3
Vorgespräch
60 Minuten mit einer Ansprechperson als Teil der beauftragten Leistung: Einstufung, Dienste, Dienstleister, Stand der Maßnahmen.
4
Pre-Read
Versand mindestens fünf Werktage vor dem Termin.
5
Schulung
Vier Stunden (oder drei in der Kurzfassung), remote oder bei Ihnen vor Ort.
6
Nachweis und Nachbereitung
Teilnahmebestätigungen, Teilnehmerliste, Foliensatz und Beschlussvorlage.
Offene Termine bieten wir nicht an. Den Schulungstermin vereinbaren wir mit Ihnen nach dem Vorgespräch.
Ihr Ansprechpartner
Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology
Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.
Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.
Wie weisen Sie die Schulung nach?
Die Dokumentation der Schulung bewahren Sie intern auf und legen sie auf Verlangen dem BSI oder einer von ihm beauftragten Stelle vor. Die Handreichung des BSI nennt dafür als Mindestangaben den Anbieter oder die interne Stelle, Name und Rolle der Teilnehmenden, Datum, Uhrzeit und Dauer sowie die behandelten Inhalte mit Bezug zu § 38 Abs. 3 BSIG. Eine Prüfung der Teilnehmenden ist weder gesetzlich noch vom BSI vorgesehen. Wir stellen deshalb eine Teilnahmebestätigung aus.
Die Dokumentation belegt nach der Handreichung die Teilnahme, nicht den Lernerfolg. Ob die Geschäftsleitung ausreichende Kenntnisse hat, zeigt sich daran, ob sie nachvollziehbar an Entscheidungen im Risikomanagement mitwirkt. Darum gehört zu unserem Lieferumfang die Vorlage für den Leitungsbeschluss: Mit ihr entsteht in den Wochen nach der Schulung die Dokumentation, auf die es ankommt.
Was sagt das BSI zur Schulung?
Das BSI hat zwei Unterlagen veröffentlicht. Die Handreichung „Schulung für Geschäftsleitungen“ (Version 1.0 vom 17.04.2026) verlangt, dass Schulungen die Besonderheiten der Einrichtung berücksichtigen, etwa kritische Geschäftsprozesse, Governance, Risikolage und anstehende Entscheidungen. Eine rein interne Schulung birgt nach Einschätzung des BSI die Gefahr, dass die Geschäftsleitung die Angemessenheit der Prozesse nicht unabhängig beurteilen kann.
Das Curriculum (Version 1 vom 28.10.2026), erarbeitet mit Verbänden der Allianz für Cybersicherheit, schlägt sechs Module und eine Kürzungsvariante von etwa 180 Minuten vor. Die Kurzfassung bleibt danach vollständig im Sinne von § 38, wenn ein Pre-Read von höchstens zehn Seiten verbindlich dokumentiert wird. Übungen und Planspiele plant das Curriculum getrennt von der Erstschulung. Es ist ausdrücklich unverbindlich; Schulungen dürfen auch aufgeteilt werden.
Wer sollte teilnehmen?
Verpflichtet sind alle Mitglieder der Geschäftsleitung. Das Curriculum empfiehlt, Personen mit wesentlicher Funktion im Risikomanagement einzubeziehen, etwa ISB oder CISO, IT-Leitung, kaufmännische Leitung, Compliance oder Produktionsverantwortliche. Wird nur die IT-Leitung oder der ISB geschult, ersetzt das die Schulung der Geschäftsleitung nicht. Aufsichtsräte und Beiräte nennt § 38 BSIG nicht; sie können teilnehmen, wenn sie die Geschäftsleitung bei diesen Pflichten überwachen wollen.
Wie hängen Schulung und Haftung zusammen?
Verletzt eine Geschäftsleitung ihre Pflichten zur Umsetzung und Überwachung nach § 38 Abs. 1 BSIG, haftet sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts, die für die Rechtsform gelten (§ 38 Abs. 2). Die Schulung ist eine eigene Pflicht nach Abs. 3 und soll die Geschäftsleitung befähigen, die Pflichten aus Abs. 1 wahrzunehmen. Welche Folgen eine Pflichtverletzung im Einzelfall hat, ist eine Frage für Ihre Rechtsberatung; in der Schulung ordnen wir die Regelung ein, beraten aber nicht rechtlich.
Was ist die Schulung nicht?
Damit die Erwartungen stimmen:
- Kein Zertifikat und keine Prüfung. Sie erhalten eine Teilnahmebestätigung; eine Prüfung der Teilnehmenden ist nicht vorgesehen.
- Keine Rechtsberatung. Zu Betroffenheit, Haftung und Versicherungsfragen geben wir allgemeine Informationen; den Einzelfall klären Sie mit Ihrer Rechtsberatung.
- Keine Schulung der Beschäftigten. Grundlegende Schulungen und Sensibilisierung nach § 30 Abs. 2 Nr. 7 BSIG sind eine eigene Maßnahme.
- Keine technische Detailschulung für IT oder ISB. Das Curriculum sieht dafür eigene Vertiefungen vor.
- Keine Anerkennung durch das BSI. Das BSI empfiehlt keine Schulungsanbieter; wir orientieren uns an Handreichung und Curriculum.
Die Angaben zu § 38 BSIG geben den Stand des Gesetzes in der Fassung vom 22.10.2026 und der BSI-Unterlagen (abgerufen am 06.11.2026) wieder. Ob die Pflicht für Ihr Unternehmen gilt, ist im Einzelfall zu prüfen.
Häufige Fragen
Wie oft muss die Geschäftsleitung geschult werden?+
Das Gesetz sagt nur „regelmäßig“; zu Gesetzesbegründung und Einschätzung des BSI siehe oben „Was verlangt § 38 Abs. 3 BSIG?“. Wir empfehlen nach der Erstschulung eine jährliche Auffrischung, zusätzlich bei Anlässen wie einem Wechsel in der Geschäftsleitung, und halten die Empfehlung für Ihr Unternehmen schriftlich fest.
Bekommen wir ein Zertifikat?+
Nein. Jede Person erhält eine Teilnahmebestätigung. Eine Prüfung der Teilnehmenden ist weder gesetzlich noch vom BSI vorgesehen, und ein Zertifikat würde mehr versprechen, als eine Teilnahme belegen kann.
Müssen alle Geschäftsführer teilnehmen?+
Die Schulungspflicht gilt nach Angabe des BSI für jede Person, die zur Führung der Geschäfte und zur Vertretung der Einrichtung berufen ist. Kann jemand nicht teilnehmen, lässt sich ein Nachholtermin vereinbaren; die Schulung darf nach dem BSI auch aufgeteilt werden.
Remote oder vor Ort?+
Beides. Remote kostet die Erstschulung ab 3.500 € netto zzgl. USt., vor Ort bei Ihnen ab 3.800 € netto zzgl. USt. einschließlich Anreise innerhalb Deutschlands. Das Planspiel empfehlen wir vor Ort, weil die Übung im Raum besser funktioniert.
Schulen Sie auch Geschäftsleitungen von TK-Anbietern?+
Ja. Für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste gilt die Schulungspflicht aus § 165 Abs. 2d TKG, § 38 BSIG ist für sie nach § 28 Abs. 5 BSIG nicht anwendbar. Wir richten die Inhalte dann an den Pflichten nach dem TKG aus und nennen diese Grundlage in der Teilnahmebestätigung.
Gibt es offene Termine?+
Nein. Wir schulen nur inhouse für Ihr Gremium, weil die Schulung auf Ihr Unternehmen zugeschnitten sein soll. Den Termin vereinbaren wir nach dem Vorgespräch.
Weiterlesen
- § 38 BSIG: Pflichten und Haftung der Geschäftsleitung
- NIS2-Umsetzung: Beratung für den Mittelstand mit kleiner IT
- NIS2-Gap-Analyse in drei Stufen: Indikation, Gap, Roadmap
- § 30 BSIG: die zehn NIS2-Maßnahmen mit Checkliste (Excel)
- NIS2-Meldepflicht: Fristen und Meldeprozess nach § 32 BSIG
- NIS2: Wer ist betroffen? Betroffenheitsprüfung nach § 28 BSIG
Quellen
- § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen (abgerufen am 2026-11-06)
- § 165 TKG, Abs. 2b-2d: Pflichten und Schulung der Geschäftsleitungen von TK-Anbietern (abgerufen am 2026-11-06)
- § 28 BSIG (Abs. 5: Ausnahmen für TK- und Energienetzbetreiber) (abgerufen am 2026-11-06)
- BSI: Schulung für Geschäftsleitungen, Handreichung, Version 1.0 vom 17.04.2026 (PDF) (abgerufen am 2026-11-06)
- BSI: Curriculum für eine Geschäftsleitungsschulung nach NIS‑2, Version 1 vom 28.10.2026 (PDF) (abgerufen am 2026-11-06)
- BSI: BSI stellt Curriculum für NIS2-Geschäftsleitungsschulung vor (Meldung vom 28.10.2026) (abgerufen am 2026-11-06)
- BSI: Allgemeine FAQ zu NIS‑2 (Abschnitte Geschäftsleitung und Dauer) (abgerufen am 2026-11-06)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).
Stand: 2026-11-06
Kontakt aufnehmen
Schulung anfragen
Schreiben Sie uns, wie viele Personen teilnehmen sollen, ob remote oder vor Ort und in welchem Zeitraum. Wir vereinbaren mit Ihnen ein kurzes Klärungsgespräch und schicken Ihnen danach ein Angebot.