NIS-2-Schulungspflicht der Geschäftsleitung: Was § 38 BSIG wirklich verlangt

Wer nach der NIS-2-Schulungspflicht sucht, findet vor allem zwei Sorten Treffer: Kanzleien, die vor der Haftung warnen, und Akademien, die das passende Seminar verkaufen. Beides hat seinen Platz. Was dabei untergeht: Die Schulungspflicht ist die am leichtesten erfüllbare Pflicht in § 38 BSIG. Ernst wird es eine Zeile darüber, bei der Überwachungspflicht, an der die persönliche Haftung hängt.

CertMap verkauft keine NIS-2-Schulungen. Wir können uns deshalb leisten, den Paragrafen so zu beschreiben, wie er dasteht: mit einer Schulungspflicht, die ohne Drama erfüllbar ist, und mit zwei anderen Pflichten, die den eigentlichen Kern ausmachen.

Wen die Pflicht überhaupt trifft

Die Pflichten aus § 38 BSIG gelten für die Geschäftsleitungen von besonders wichtigen Einrichtungen und wichtigen Einrichtungen im Sinne von § 28 BSIG. Vereinfacht: Als wichtige Einrichtung gilt ein Unternehmen aus den betroffenen Sektoren ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme; als besonders wichtige Einrichtung ab 250 Mitarbeitern oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme, außerdem unter anderem Betreiber kritischer Anlagen. Welche Sektoren betroffen sind, regeln die Anlagen 1 und 2 des Gesetzes; das BSI bietet eine Betroffenheitsprüfung an, mit der sich die eigene Einordnung prüfen lässt.

Wer nicht betroffen ist, kann hier aufhören zu lesen. Wer betroffen ist, sollte die drei Pflichten kennen, aus denen § 38 tatsächlich besteht.

Die drei Pflichten in § 38, und welche davon wehtut

Der Paragraf ist kurz, und seine Struktur ist die halbe Antwort:

Umsetzen und überwachen (Absatz 1): Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen. Das ist keine delegierbare Formalie am Jahresende, sondern eine laufende Leitungsaufgabe über zehn Maßnahmenbereiche, von der Risikoanalyse über die Lieferkette bis zur Multi-Faktor-Authentifizierung.
Haften (Absatz 2): Verletzt die Geschäftsleitung diese Pflichten aus Absatz 1 schuldhaft und entsteht ein Schaden, haftet sie ihrer Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform. Bemerkenswert ist, was NICHT im Gesetz steht: Der Regierungsentwurf enthielt noch ein ausdrückliches Verbot, auf solche Ersatzansprüche zu verzichten. In der verkündeten Fassung des § 38 Absatz 2 findet sich dieses Verzichtsverbot nicht. Viele ältere Beiträge zitieren hier weiterhin den Entwurfsstand.
Schulen (Absatz 3): Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken in der Informationssicherheit zu erwerben.

Die Haftungsregel in Absatz 2 knüpft ausdrücklich an die Pflichten aus Absatz 1 an. Das heißt nicht, dass die Schulungspflicht folgenlos ignoriert werden könnte; auch sie ist eine gesetzliche Pflicht der Leitung, deren Verletzung nach allgemeinen gesellschaftsrechtlichen Grundsätzen relevant werden kann. Der Schwerpunkt des Haftungsrisikos liegt aber erkennbar dort, wo das Gesetz ihn hinschreibt: bei Umsetzung und Überwachung der Maßnahmen. Die Schulung ist die Pflicht mit dem klarsten Erfüllungsweg, nicht die mit dem größten Risiko.

Was die Schulungspflicht konkret verlangt, und was nicht

Das Gesetz macht zur Schulung genau zwei Vorgaben: Sie muss regelmäßig stattfinden, und sie muss auf ein Ziel einzahlen, nämlich Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Alles andere lässt der Gesetzgeber offen:

Kein vorgeschriebenes Format: Präsenzseminar, Online-Schulung oder Inhouse-Termin, das Gesetz unterscheidet nicht.
Kein vorgeschriebener Anbieter: Ob TÜV, IHK, eine Akademie oder ein spezialisierter Trainer, keine Stelle ist gesetzlich gesetzt, keine Akkreditierung vorgeschrieben.
Kein vorgeschriebenes Zertifikat: Das Gesetz verlangt Teilnahme und Kenntniserwerb, keine Prüfung und keinen bestimmten Abschluss.
Keine definierte Frequenz: "Regelmäßig" ist nicht beziffert. Erkennbar ist nur: Einmalig genügt dem Wortlaut nicht. Wer einen festen Turnus wählt, etwa jährlich, und ihn dokumentiert, macht die Regelmäßigkeit belegbar; eine verbindliche Vorgabe dazu gibt es derzeit nicht.

Das ist die ehrliche Entdramatisierung: Regelmäßige Teilnahme an einer inhaltlich passenden Schulung plus Dokumentation deckt genau das ab, was der Wortlaut der Schulungspflicht nennt. Dabei gehört zur Ehrlichkeit auch der zweite Halbsatz des Gesetzes: Ziel ist der Erwerb ausreichender Kenntnisse, die Schulung soll also zur Einrichtung und ihren Risiken passen, nicht nur stattfinden. Panik ist trotzdem kein Rechtsbegriff, sondern ein Verkaufsargument.

Zur Einordnung der Nachweise lohnt ein Blick auf die Begriffe: Eine Teilnahmebescheinigung belegt Anwesenheit. Ein Zertifikat nach einer Prüfung belegt abgefragtes Wissen. Eine akkreditierte Personenzertifizierung belegt geprüfte Kompetenz nach einem überwachten Schema. Für § 38 Absatz 3 ist keine dieser Stufen vorgeschrieben, die dokumentierte regelmäßige Teilnahme trägt. Wer die Unterschiede der Nachweisformen genauer verstehen will: Zertifizierung oder Zertifikat, was ist der Unterschied?

Die Pflicht über der Schulungspflicht: Überwachung

Warum verlangt das Gesetz die Schulung überhaupt? Absatz 3 nennt den Zweck selbst: Die Geschäftsleitung soll Risiken und Risikomanagementpraktiken erkennen und bewerten können. Bewerten muss sie, weil Absatz 1 ihr die Überwachung der Maßnahmen auferlegt. Die Schulung ist die Eintrittskarte in eine Aufgabe, nicht deren Erledigung.

Diese Aufgabe ist konkret. § 30 Absatz 2 BSIG zählt zehn Maßnahmenbereiche auf, deren Umsetzung die Geschäftsleitung überwachen muss, darunter Risikoanalyse-Konzepte, Bewältigung von Sicherheitsvorfällen, Backup- und Krisenmanagement, Lieferkettensicherheit, Wirksamkeitsbewertung der Maßnahmen, Kryptografie-Konzepte, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Und an Position sieben: grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik, also die Schulung der Belegschaft, nicht nur der Leitung.

Damit schließt sich der Kreis, und zwar ohne Drama: Die eigene Schulung der Geschäftsleitung ist ein Termin im Kalender und eine Bescheinigung im Ordner. Die Überwachung der zehn Maßnahmen, einschließlich der Schulungs- und Sensibilisierungsmaßnahmen für das Personal, ist dagegen ein laufender Zustand, den man belegen können muss. Wie Organisationen diesen Nachweis für die Belegschaft praktisch führen, behandeln wir gesondert: NIS-2-Schulungsnachweise für die Belegschaft.

Die Schulung ist Pflicht, aber nicht das Risiko. Regelmäßige, passende Schulung plus Dokumentation deckt Absatz 3 ab. Der Schwerpunkt der Haftung liegt in Absatz 1, bei der Überwachung der Maßnahmen.

Nicht die einzige Schulungspflicht: DORA, ISO 27001 und Branchenregime

Diese Einordnung gilt für § 38 BSIG, und nur dafür. Wer in einem anderen Regime steht, sollte sie nicht übertragen:

DORA (Finanzsektor): Für Finanzunternehmen gilt die europäische DORA-Verordnung, und die spielt strenger. Das Leitungsorgan muss seine Kenntnisse über IKT-Risiken aktiv aktuell halten, auch durch regelmäßige spezielle Schulungen (Artikel 5), und Schulungen zur digitalen operationalen Resilienz sind verpflichtender Bestandteil der Programme, für die Beschäftigten ebenso wie für die Leitung (Artikel 13). Finanzunternehmen fallen zudem als Spezialfall weitgehend aus dem NIS-2-Regime heraus; für sie ist DORA der Maßstab, nicht § 38.
ISO/IEC 27001: Keine gesetzliche Pflicht, aber wer zertifiziert ist oder es vertraglich schuldet, muss dokumentierte Kompetenznachweise führen (Kapitel 7.2) und Bewusstsein in der Organisation belegen (Kapitel 7.3). Die Anforderungen treffen die Organisation über Audits, nicht über Behörden.
Branchenregime wie TISAX stellen im Automotive-Umfeld vergleichbare Anforderungen über die Prüfkataloge der Kunden.

Wer mehreren Regimen gleichzeitig unterliegt, hat kein Schulungsproblem, sondern ein Nachweis-Ordnungsproblem, genau darum geht es im Beitrag zu den Schulungsnachweisen für die Belegschaft.

Häufige Fragen

Muss jedes Mitglied der Geschäftsleitung an Schulungen teilnehmen?

§ 38 Absatz 3 richtet die Pflicht an die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, ohne einzelne Mitglieder auszunehmen. Eine Delegation der eigenen Teilnahme auf andere Personen sieht das Gesetz nicht vor.

Wie oft ist "regelmäßig"?

Das Gesetz beziffert es nicht. Erkennbar ist nur: Einmalig genügt dem Wortlaut nicht. Ein selbst gewählter, dokumentierter Turnus, etwa jährlich, macht die Regelmäßigkeit belegbar und hält die Kenntnisse zur sich ändernden Bedrohungslage aktuell. Eine verbindliche Frequenz gibt es derzeit nicht.

Schreibt das Gesetz einen bestimmten Anbieter oder ein Zertifikat vor?

Nein. Weder Anbieter noch Format noch ein bestimmter Abschluss sind vorgeschrieben. Entscheidend sind die regelmäßige Teilnahme, ein Inhalt, der auf die Bewertung von Risiken und Risikomanagementpraktiken einzahlt, und eine Dokumentation, mit der sich beides belegen lässt.

Dieser Beitrag informiert allgemein über die Rechtslage auf Basis des verkündeten Gesetzestextes und ersetzt keine Rechtsberatung im Einzelfall.