¶ Schulung der Geschäftsleitung
Rechtlicher Mindestpunkt: § 38 Absatz 3 BSIG verlangt regelmäßige Schulungen der Geschäftsleitung. Die Vorschrift nennt weder eine feste Stundenzahl noch ein bestimmtes Schulungsformat oder an dieser Stelle einen starren Jahresrhythmus. Turnus, Anlässe und Tiefe sind risikobasiert festzulegen und nachvollziehbar zu begründen.
Nachweisgrenze: Einladung, Teilnahmebescheinigung oder absolviertes E-Learning belegen Teilnahme. Sie bestätigen nicht automatisch ausreichende Kenntnisse, Entscheidungsfähigkeit oder die Anwendung des Gelernten in der Unternehmenssteuerung.
Die Schulung der Geschäftsleitung ist keine allgemeine IT-Awareness-Veranstaltung. Sie soll die Mitglieder des Leitungsorgans befähigen, Cyberrisiken und Risikomanagementpraktiken zu erkennen und zu bewerten, Auswirkungen auf relevante Dienste zu verstehen, kritische Annahmen zu hinterfragen und angemessene Entscheidungen zu Ressourcen, Maßnahmen, Vorfällen und Restrisiken zu treffen. Ein belastbares Verfahren verbindet deshalb Wissen, praktische Entscheidungssituationen, Transfer in die Leitungsarbeit und überprüfbare Nachsteuerung.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MA-01-04 |
| Dokumentenart | Schulungs- und Kompetenzverfahren für die Geschäftsleitung |
| Wiki.js-Pfad | /NIS2/01-Governance-und-Geschaeftsleitung/Schulung-der-Geschaeftsleitung |
| Prozesseigner | Geschäftsleitung / Personal / NIS2-Koordination |
| Mitwirkende Rollen | Informationssicherheit, Recht, BCM, Incident Response, Datenschutz und externe Fachlehrpersonen |
| Status | Entwurf – kein realer Schulungsplan, Teilnahme- oder Wirksamkeitsnachweis enthalten |
| Version / Stand | 0.3 / 09.08.2026 |
| Schutzklasse | Intern; personenbezogene Lern- und Teilnahmenachweise geschützt |
| Rechtsbezug | § 38 Absatz 3 BSIG; Artikel 20 Absatz 2 der Richtlinie (EU) 2022/2555 |
| Regelprüfung | mindestens jährlich sowie anlassbezogen; konkreter Schulungsturnus organisationsbezogen festzulegen |
Kenntnisse aufbauen, auf reale Leitungsentscheidungen übertragen und regelmäßig aktualisieren. Eigene redaktionelle SVG-Grafik; zum Vergrößern öffnen.
¶ 1. Ziel und erwartete Arbeitsergebnisse
Das Verfahren soll sicherstellen, dass
- sämtliche verpflichteten Mitglieder der Geschäftsleitung erfasst werden,
- Lernbedarf aus Rechtsstand, relevanten Diensten, Risiken und Leitungsaufgaben abgeleitet wird,
- neue Mitglieder zeitnah eine geeignete Erstqualifizierung erhalten,
- Schulungen regelmäßig und bei wesentlichen Änderungen aktualisiert werden,
- Methoden und Inhalte zur tatsächlichen Entscheidungssituation passen,
- Abwesenheiten, Nachholtermine und Kompetenzlücken verfolgt werden,
- nicht nur Teilnahme, sondern auch Verständnis und Transfer beurteilt werden,
- personenbezogene Nachweise geschützt und kontrolliert aufbewahrt werden.
Arbeitsergebnisse sind ein freigegebenes Schulungskonzept, eine Zielgruppen- und Bedarfsanalyse, ein rollierender Schulungsplan, versionierte Lernunterlagen, ein Schulungsregister, Wirksamkeitsbewertungen und dokumentierte Folgemaßnahmen.
¶ 2. Gesetzlicher Pflichtenkern
Nach § 38 Absatz 3 BSIG müssen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen regelmäßig an Schulungen teilnehmen. Zweck ist, ausreichende Kenntnisse und Fähigkeiten zu erlangen, um Risiken und Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erkennen und zu bewerten sowie deren Auswirkungen auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
Artikel 20 Absatz 2 der NIS2-Richtlinie verlangt ebenfalls Schulungen für Mitglieder der Leitungsorgane. Darüber hinaus sollen die Einrichtungen allen Beschäftigten regelmäßig entsprechende Schulungen anbieten. Die Geschäftsleitungsschulung und die allgemeine Beschäftigten-Awareness sind deshalb miteinander verbunden, aber nicht austauschbar.
Das Gesetz gibt an dieser Stelle kein einheitliches Curriculum vor. Die Organisation muss deshalb begründen, warum Zielgruppe, Turnus, Dauer, Inhalte, Methode und Wirksamkeitsprüfung zu ihrer Risikolage und den Aufgaben der Geschäftsleitung passen.
¶ 3. Wer gehört zur Zielgruppe?
Verpflichtete Zielgruppe ist die Geschäftsleitung im Sinne des BSIG. Die organisationsbezogene Bestimmung erfolgt anhand von Rechtsform, Gesetz, Satzung oder Gesellschaftsvertrag. Bei mehrgliedrigen Leitungsorganen werden sämtliche betroffenen Mitglieder berücksichtigt, nicht nur das für IT oder Informationssicherheit zuständige Ressort.
Zusätzliche Zielgruppen können sinnvoll sein:
- neu bestellte oder vorgesehene Mitglieder der Geschäftsleitung,
- Personen mit dauerhafter Leitungsvertretung,
- Mitglieder eines zuständigen Aufsichts- oder Kontrollorgans,
- Bereichsleitungen mit wesentlichen NIS2-Entscheidungsaufgaben,
- Krisenleitungsmitglieder oder zeichnungsberechtigte Notfallvertretungen.
Die zusätzliche Einbeziehung begründet nicht automatisch denselben gesetzlichen Status. Im Schulungsregister wird zwischen gesetzlich verpflichteter und freiwillig beziehungsweise organisatorisch einbezogener Zielgruppe unterschieden.
¶ 4. Verantwortlichkeiten für das Schulungsverfahren
| Rolle | Verantwortung |
|---|---|
| Geschäftsleitung | Schulungsteilnahme sicherstellen, Konzept und Ressourcen genehmigen, eigene Lernlücken offen behandeln |
| NIS2-Koordination | Rechts- und Themenbedarf bündeln, Plan und Nachweise koordinieren, Aktualisierungen auslösen |
| Personal / Learning | Einladungen, Termine, Lernplattform, Teilnahme und Nachholprozess organisatorisch steuern |
| Informationssicherheit | risikobezogene Inhalte, Fallbeispiele und Maßnahmenwissen beisteuern |
| Recht / Compliance | Rechtsstand, Leitungspflichten, Haftungs- und Aufsichtsthemen prüfen |
| Incident / BCM | Szenarien, Meldefristen, Krisen- und Wiederanlaufentscheidungen einbringen |
| Lehrperson | Lernziele umsetzen, Interaktion ermöglichen und Ergebnisse fachlich dokumentieren |
| Datenschutz | erforderlichenfalls Verarbeitung von Lern-, Test- und Teilnahmedaten bewerten |
| Audit / Prüfung | Verfahren, Nachweise und Wirksamkeitsaussagen unabhängig oder objektiv beurteilen |
Ein externer Schulungsanbieter übernimmt nicht die Verantwortung für Zielgruppe, organisationsbezogene Inhalte, Nachholtermine oder die Verwendung der Ergebnisse.
¶ 5. Kompetenzmodell der Geschäftsleitung
Das Kompetenzmodell unterscheidet sechs Ebenen:
| Kompetenzfeld | Erwartete Fähigkeit |
|---|---|
| Rechts- und Rollenverständnis | eigene Pflicht, Delegationsgrenzen, Registrierung, Meldung und Aufsicht einordnen |
| Dienst- und Risikoverständnis | relevante Dienste, Abhängigkeiten, Szenarien und Auswirkungen beurteilen |
| Entscheidungsfähigkeit | Optionen, Verhältnismäßigkeit, Ressourcen und Restrisiko fundiert entscheiden |
| Berichts- und Nachweiskritik | Datenqualität, Aussagegrenzen, Wirksamkeit und fehlende Nachweise erkennen |
| Vorfall- und Krisenfähigkeit | zeitkritische Eskalationen, Meldephasen und Kommunikationsbedarf verstehen |
| Verbesserungsfähigkeit | Abweichungen, Lessons Learned und notwendige Nachsteuerung veranlassen |
Die Geschäftsleitung muss nicht jede technische Konfiguration selbst beherrschen. Sie muss jedoch erkennen können, welche Informationen für eine Entscheidung fehlen, welche Auswirkungen wesentlich sind und wann fachliche Vertiefung oder sofortige Eskalation erforderlich ist.
¶ 6. Zielgruppen- und Lernbedarfsanalyse
Der Lernbedarf wird nicht allein aus einem Standardskript abgeleitet. Berücksichtigt werden:
- Rechtsform und Leitungsstruktur,
- NIS2-Einstufung und relevante Dienste,
- Branche, Standorte und grenzüberschreitende Leistung,
- Top-Risiken, wesentliche Abhängigkeiten und Lieferanten,
- aktuelle Maßnahmen- und Nachweislücken,
- Sicherheitsvorfälle, Beinahevorfälle und Krisenübungen,
- Auditfeststellungen und unklare Leitungsentscheidungen,
- Vorwissen, Ressort und praktische Erfahrung einzelner Mitglieder,
- Änderungen des Rechts, der Bedrohungslage oder der Organisation.
Das Ergebnis wird als Kompetenz-Soll-Ist-Abgleich dokumentiert. Personenbezogene Einzelbewertungen werden nur erhoben, wenn sie für Zweck und Nachsteuerung erforderlich sind.
¶ 7. Lernziele konkret formulieren
Lernziele beschreiben eine nach der Schulung erwartete Handlung oder Beurteilung. Geeignete Ziele sind beispielsweise:
- Die Geschäftsleitung kann begründen, welche Dienste im NIS2-Geltungsbereich liegen.
- Sie kann zwischen geplanter, umgesetzter, geprüfter und wirksamer Maßnahme unterscheiden.
- Sie erkennt einen unvollständigen Risikobericht und fordert die notwendigen Informationen an.
- Sie kann die Auswirkungen eines Vorfalls auf relevante Dienste priorisieren.
- Sie kennt die Meldephasen und verhindert unnötige interne Freigabeverzögerungen.
- Sie kann eine Ressourcenentscheidung mit Risiko, Verhältnismäßigkeit und Folgen der Nichtentscheidung verknüpfen.
- Sie kann Restrisiko, Zwischenkontrolle und erneuten Prüftermin nachvollziehbar entscheiden.
Ungeeignete Lernziele sind bloße Themenangaben wie „NIS2 kennen“ oder „Cybersecurity verstehen“, weil deren Erreichung nicht überprüfbar ist.
¶ 8. Schulungszyklus
Der Schulungszyklus umfasst:
- Zielgruppe und Lernbedarf feststellen,
- Lernziele und Inhalte freigeben,
- Methode, Lehrperson und Termin planen,
- Unterlagen fachlich und rechtlich versionieren,
- Schulung durchführen und Teilnahme dokumentieren,
- Verständnis und Transfer beurteilen,
- Lücken und Nachholbedarf behandeln,
- Wirksamkeit in späteren Entscheidungen beobachten,
- Programm aus Vorfällen, Audits und Änderungen aktualisieren.
Der Zyklus wird im Schulungsregister je Mitglied beziehungsweise Zielgruppe nachvollziehbar geführt.
¶ 9. Turnus und anlassbezogene Schulung
„Regelmäßig“ wird durch einen genehmigten Rhythmus konkretisiert. Ein jährlicher Grundtermin kann praktikabel sein, ist aber nicht allein deshalb für jede Organisation ausreichend. Kürzere Aktualisierungen oder zusätzliche Übungen können bei hoher Dynamik erforderlich sein.
Anlassbezogene Schulungen werden insbesondere geprüft bei:
- Bestellung eines neuen Geschäftsleitungsmitglieds,
- wesentlicher Änderung von Rechtslage oder Behördenverfahren,
- neuer NIS2-Einstufung oder neuem relevanten Dienst,
- erheblichem Sicherheitsvorfall oder wesentlichem Beinahevorfall,
- veränderter Bedrohungs- oder Lieferantenlage,
- unzureichendem Ergebnis einer Übung oder Wirksamkeitsprüfung,
- wiederholt unklaren oder verspäteten Leitungsentscheidungen,
- wesentlicher Reorganisation, Akquisition oder Auslagerung.
¶ 10. Erstqualifizierung neuer Mitglieder
Neue Mitglieder erhalten zeitnah nach Bestellung beziehungsweise Eintritt eine strukturierte Einweisung. Diese umfasst mindestens:
- organisationsbezogene NIS2-Einstufung und betroffenen Rechtsträger,
- relevante Dienste und wichtigste Abhängigkeiten,
- aktuelle Top-Risiken und wesentliche Restrisiken,
- offene Maßnahmen, Abweichungen und Behördenfristen,
- Rollen-, Berichts- und Eskalationswege,
- Vorfall-, Melde- und Krisenverfahren,
- Zugriff auf geschützte Leitungsunterlagen.
Bis zur vollständigen Einweisung wird geregelt, wie zeitkritische Entscheidungen vorbereitet und durch bereits qualifizierte Mitglieder unterstützt werden. Eine pauschale Verzögerung gesetzlicher Aufgaben ist keine zulässige Zwischenlösung.
¶ 11. Modulares Schulungsprogramm
| Modul | Kerninhalt | Geeignete Methode |
|---|---|---|
| NIS2- und BSIG-Rahmen | Betroffenheit, Geschäftsleitung, Registrierung, Pflichten und Aufsicht | Fachinput plus Entscheidungsfragen |
| relevante Dienste und Risiken | Scope, Kritikalität, Abhängigkeiten, Szenarien und Auswirkungen | organisationsbezogene Fallanalyse |
| §-30-Maßnahmen | Mindestbereiche, Verhältnismäßigkeit, Stand der Technik und Dokumentation | Berichtskritik oder Workshop |
| Vorfall und Meldung | Erheblichkeit, 24-/72-Stunden-Phasen, Abschlussmeldung und Lagebild | Tischübung |
| BCM und Krise | Notbetrieb, Wiederanlauf, Kommunikationsfähigkeit und Entscheidungsbefugnisse | Krisenszenario |
| Lieferkette und Cloud | unmittelbare Anbieter, Konzentration, Unterauftragnehmer, Kontinuität und Exit | Entscheidungsfall |
| Ressourcen und Restrisiko | Priorisierung, Zwischenkontrollen, Akzeptanz und Follow-up | Managementvorlage prüfen |
| Wirksamkeit und Nachweise | Kennzahlen, Audits, Tests, Aussagegrenzen und Nachsteuerung | Musterbericht bewerten |
| aktuelle Lage | neue Rechts-, Bedrohungs-, Technik- oder Organisationsänderungen | Kurzbriefing oder E-Learning |
Die Module werden nach Bedarfsanalyse kombiniert. Ein allgemeines Standardmodul allein belegt keine organisationsbezogene Qualifikation.
¶ 12. Die zehn Maßnahmenbereiche des § 30 im Leitungskontext
Die Geschäftsleitungsschulung behandelt die zehn Mindestbereiche nicht als technische Checkliste, sondern als Entscheidungsfelder:
| Bereich | Leitungsfrage |
|---|---|
| Risikoanalyse und Sicherheitskonzepte | Welche Dienste, Szenarien und Annahmen bestimmen die Priorität? |
| Sicherheitsvorfälle | Können Erkennung, Eskalation und Meldung fristgerecht funktionieren? |
| Betriebsaufrechterhaltung | Sind Notbetrieb, Backup und Wiederherstellung realistisch getestet? |
| Lieferkette | Welche Abhängigkeiten, Konzentrationen und Exitrisiken sind wesentlich? |
| Erwerb, Entwicklung und Wartung | Werden Sicherheitsanforderungen über den Lebenszyklus finanziert? |
| Wirksamkeitsbewertung | Welche Nachweise zeigen tatsächliche Wirkung statt nur Aktivität? |
| Schulung und Sensibilisierung | Sind relevante Zielgruppen befähigt und Lücken behandelt? |
| Kryptografie | Sind Schutz, Schlüsselmanagement und Ablösung veralteter Verfahren gesteuert? |
| Personal, Zugriff und Assets | Sind kritische Rollen, Berechtigungen und Bestände beherrscht? |
| MFA und sichere Kommunikation | Funktionieren starke Authentisierung und Notfallkommunikation im Ernstfall? |
¶ 13. Modul Rechts- und Governanceverständnis
Dieses Modul vermittelt:
- Unterschied zwischen NIS2-Richtlinie und nationalem BSIG,
- Geschäftsleitung im Sinne des BSIG,
- Umsetzung, Überwachung und regelmäßige Schulung,
- zulässige operative Delegation und verbleibende Leitungsverantwortung,
- Registrierung, Meldepflichten, Nachweise und mögliche Aufsicht,
- Verhältnis zu Datenschutz, DORA, sektoralen Vorgaben und bestehendem ISMS.
Der Schwerpunkt liegt darauf, Rechtsfragen früh zu erkennen und fachkundig klären zu lassen. Die Schulung ersetzt keine Einzelfallrechtsberatung.
¶ 14. Modul Risiko, Verhältnismäßigkeit und Ressourcen
Die Leitung übt, einen Risikobericht auf folgende Punkte zu prüfen:
- betroffener Dienst und nachvollziehbares Szenario,
- Eintrittswahrscheinlichkeit und mögliche Auswirkungen,
- Datenqualität und Unsicherheit,
- vorhandene und geplante Kontrollen,
- Begründung der Verhältnismäßigkeit,
- Kosten, Kapazität und Umsetzungszeit,
- Zwischenrisiko und kompensierende Maßnahmen,
- Wirksamkeitskriterium und erneuter Prüftermin.
Ein hoher technischer Detaillierungsgrad darf fehlende Entscheidungsinformationen nicht verdecken.
¶ 15. Modul Vorfall, Meldung und Krise
Die Schulung behandelt die interne Kenntniserlangung, Erheblichkeitsbewertung und gesetzliche Meldephasen. Die Geschäftsleitung soll verstehen, dass frühe Meldungen auf einem noch unvollständigen Lagebild beruhen können und interne Freigaben die gesetzlichen Höchstfristen nicht blockieren dürfen.
Ein praktisches Szenario kann verlangen:
- betroffene relevante Dienste zu priorisieren,
- bestätigte Fakten und Annahmen zu trennen,
- Incident- und Krisenrollen zu aktivieren,
- Meldekoordination und Datenschutzprüfung parallel anzustoßen,
- Ressourcen und Kommunikationsweg zu entscheiden,
- nächsten Lagebericht und Entscheidungspunkt festzulegen.
¶ 16. Modul Lieferkette, Cloud und Auslagerung
Die Geschäftsleitung bewertet, welche Risiken nicht durch einen Vertrag oder ein Zertifikat verschwinden. Lerngegenstände sind:
- Kritikalität unmittelbarer Anbieter,
- Unterauftragnehmer und Konzentrationsrisiken,
- Sicherheits- und Vorfallpflichten im Vertrag,
- Nachweisqualität und Scope von Zertifikaten,
- Wiederanlauf, Datenportabilität und Exit,
- verbleibende interne Verantwortung und Kontrollfähigkeit.
Ein Anbieterstatus „zertifiziert“ ist keine vollständige Risiko- oder Wirksamkeitsbewertung des tatsächlich genutzten Dienstes.
¶ 17. Modul Berichte, Kennzahlen und Wirksamkeit
Die Leitung lernt, zwischen Aktivität, Umsetzung, Prüfung und Wirkung zu unterscheiden. Beispiele:
- eine Richtlinie wurde veröffentlicht – Anwendung noch nicht bestätigt,
- ein System wurde beschafft – vollständige Einführung noch offen,
- ein Backup lief erfolgreich – Wiederherstellbarkeit noch nicht bewiesen,
- eine Schulung wurde besucht – Entscheidungskompetenz noch nicht überprüft,
- ein Audit fand statt – Feststellungen und Korrekturen noch offen.
Kennzahlen werden mit Definition, Scope, Datenquelle, Stichtag, Trend und Aussagegrenze gelesen. Fehlende Daten dürfen nicht als positiver Nullwert erscheinen.
¶ 18. Geeignete Lernmethoden
| Methode | Stärke | Aussagegrenze |
|---|---|---|
| Fachvortrag | kompakte Wissensvermittlung | geringe Aussage über Anwendung |
| E-Learning | flexibel, versionierbar, gut für Grundlagen und Aktualisierungen | Interaktion und Transfer müssen ergänzt werden |
| Workshop | organisationsbezogene Fragen und gemeinsames Verständnis | Qualität hängt von Vorbereitung und Moderation ab |
| Fallstudie | Entscheidungskompetenz sichtbar machen | Szenario muss zur Organisation passen |
| Tabletop-Übung | Rollen, Zeitdruck, Kommunikation und Eskalation prüfen | simuliert nicht jede technische Realität |
| Berichtsanalyse | Daten- und Nachweiskritik üben | benötigt realistische Musterdaten |
| Coaching / Briefing | individuelle Lücke oder aktuelle Änderung behandeln | ersetzt kein vollständiges Programm |
Ein kombiniertes Format ist häufig sinnvoll: Grundlagen digital vorbereiten, leitungsbezogene Entscheidungen im Workshop üben und Transfer in späteren Berichten prüfen.
¶ 19. Anforderungen an Lehrpersonen und Anbieter
Lehrpersonen sollten nachweislich über ausreichende Kenntnisse zu geltendem BSIG, NIS2-Governance, Risikomanagement und praktischer Unternehmenssteuerung verfügen. Zusätzlich werden geprüft:
- Aktualität und Quellen der Unterlagen,
- Erfahrung mit der Zielgruppe Geschäftsleitung,
- Fähigkeit zur verständlichen Übersetzung technischer Risiken,
- Umgang mit vertraulichen organisationsbezogenen Informationen,
- Unabhängigkeit bei der Wirksamkeitsbewertung,
- Nutzungsrechte und sichere Bereitstellung der Lernunterlagen.
Marketingaussagen oder ein allgemeines Cybersecurity-Zertifikat ersetzen diese Prüfung nicht.
¶ 20. Schulungsplan und Schulungsregister
| Feld | Mindestinhalt |
|---|---|
| Schulungs-ID | eindeutige interne Referenz |
| Zielgruppe | verpflichtete und zusätzlich einbezogene Rollen |
| Bedarfsquelle | Recht, Risiko, Vorfall, Audit, Änderung oder regulärer Zyklus |
| Lernziele | konkret erwartete Fähigkeiten oder Entscheidungen |
| Module / Methode | freigegebener Umfang und Lernformat |
| Unterlagenversion | Stand, Rechtsbezug, fachliche Prüfung und Freigabe |
| Termin / Frist | geplanter Termin, gesetzter interner Abschluss und Nachholfrist |
| Lehrperson | interne oder externe Verantwortung und Qualifikation |
| Teilnahme | geschützt geführter Status je Person oder Rolle |
| Wirksamkeit | Methode, Kriterien, Ergebnis und Aussagegrenze |
| Folgemaßnahme | Nachschulung, Coaching, Verfahrensänderung oder Wiederholung |
| nächster Anlass | regelmäßiger Termin und mögliche Ereignisauslöser |
¶ 21. Vorbereitung und Freigabe der Durchführung
Vor jeder Schulung werden geprüft:
- Rechtsstand und maßgebliche Quellen,
- organisationsbezogene Einstufung und relevante Dienste,
- aktuelle Risiken, Vorfälle und offene Leitungsentscheidungen,
- Lernziele und Zielgruppe,
- vertrauliche Inhalte und notwendige Anonymisierung,
- Methode, Dauer und technische Zugänglichkeit,
- Wirksamkeits- und Nachholverfahren,
- freigegebene Unterlagenversion.
Änderungen nach der fachlichen Freigabe werden versioniert. Die tatsächlich verwendete Fassung muss später eindeutig feststellbar sein.
¶ 22. Durchführung und Interaktion
Die Durchführung beginnt mit Lernzielen, Geltungsbereich und Aussagegrenzen. Fachbegriffe werden erklärt, ohne Risiken zu verharmlosen. Die Mitglieder erhalten Gelegenheit, offene Annahmen und praktische Hürden anzusprechen.
Bei Fallübungen werden Entscheidung, Begründung, fehlende Informationen, Verantwortlichkeit und Folgetermin dokumentiert. Das Ergebnis ist kein Test zur Bloßstellung einzelner Personen, sondern eine Grundlage zur Verbesserung von Kompetenz, Berichten und Verfahren.
¶ 23. Abwesenheit und Nachholverfahren
Für jedes verpflichtete Mitglied wird Teilnahme oder begründete Abwesenheit dokumentiert. Bei Nichtteilnahme gelten vorab festgelegte Nachholfristen. Geeignete Ersatztermine müssen dieselben Lernziele und einen vergleichbaren Wirksamkeitsnachweis abdecken.
Eine bloße Weiterleitung von Folien ist regelmäßig kein gleichwertiger Ersatz. Bei längerer Abwesenheit wird geprüft, welche Zwischeninformation und Unterstützung für aktuelle Entscheidungen erforderlich sind. Überfällige Nachholungen werden an die zuständige Leitungsstelle eskaliert.
¶ 24. Beispiel einer Tischübung
Musterszenario: Ein externer Managed Service Provider meldet eine mögliche Kompromittierung. Der betroffene Unternehmensdienst arbeitet noch, aber Administrationszugänge und Protokolldaten sind möglicherweise betroffen. Die Faktenlage ist unvollständig.
Die Geschäftsleitung soll:
- relevante Dienste und mögliche Auswirkungen erfragen,
- Incident-, Lieferanten-, Melde- und Datenschutzrollen aktivieren,
- Sofortmaßnahmen und Beweissicherung priorisieren,
- Zeitbezug und mögliche Meldephasen berücksichtigen,
- Kommunikations- und Ressourcenentscheidung treffen,
- nächsten Lagebericht mit Zeitpunkt und Mindestinhalt anfordern.
Bewertet werden nicht technische Detailantworten, sondern Entscheidungsstruktur, Risikoverständnis, Eskalation, Informationsbedarf und Nachverfolgung.
¶ 25. Verständnis- und Kompetenzprüfung
Geeignete Prüfmethoden sind:
- kurze Verständnisfragen,
- Bewertung einer fehlerhaften Managementvorlage,
- dokumentierte Fallentscheidung,
- Teilnahme an einer Tischübung,
- strukturiertes Interview,
- Beobachtung späterer Leitungsentscheidungen.
Die Kriterien werden vorab festgelegt. Ein Wissensquiz kann Grundlagen prüfen, aber nicht allein die Fähigkeit, unter Unsicherheit eine verhältnismäßige Entscheidung zu treffen.
¶ 26. Wirksamkeit und Transfer
Die Wirksamkeit wird auf mehreren Ebenen beurteilt:
| Ebene | Fragestellung | möglicher Nachweis |
|---|---|---|
| Durchführung | Wurde die geplante Zielgruppe mit der freigegebenen Fassung erreicht? | Teilnahme, Agenda und Version |
| Verständnis | Wurden wesentliche Inhalte erkannt und eingeordnet? | Fragen, Fallanalyse oder Interview |
| Anwendung | Werden Berichte kritischer geprüft und Entscheidungen klarer dokumentiert? | spätere Beschlüsse und Protokolle |
| Organisationswirkung | Verbessern sich Eskalation, Ressourcensteuerung oder Fristtreue? | Trends, Übungen, Audits und Vorfallauswertung |
Die Organisation behauptet keine Kausalität, wenn andere Maßnahmen das Ergebnis beeinflussen. Aussagegrenzen werden dokumentiert.
¶ 27. Umgang mit Lern- und Verfahrenslücken
Festgestellte Lücken führen je nach Bedeutung zu:
- individuellem Nachhol- oder Vertiefungsmodul,
- zusätzlichem Coaching,
- Wiederholung einer Fall- oder Tischübung,
- Anpassung von Managementberichten,
- klareren Rollen- und Eskalationsregeln,
- Bereitstellung fehlender Daten oder Ressourcen,
- erneuter Wirksamkeitsprüfung.
Eine Lücke wird erst geschlossen, wenn die definierte Maßnahme umgesetzt und ihr Ergebnis angemessen geprüft wurde.
¶ 28. Nachweisakte
Die geschützte Nachweisakte enthält mindestens:
- freigegebenes Schulungskonzept,
- Zielgruppen- und Bedarfsanalyse,
- Schulungsplan und Einladung,
- Agenda, Lernziele und verwendete Unterlagenversion,
- Qualifikation der Lehrperson,
- Teilnahme- und Nachholstatus,
- verwendete Wirksamkeitsmethode,
- aggregierte oder erforderliche Einzelergebnisse,
- Folgemaßnahmen und deren Abschluss,
- nächster Regel- oder Anlassreview.
Die öffentliche Wiki-Seite enthält nur Methodik und Musterstatus, keine realen Teilnahmelisten oder Testergebnisse.
¶ 29. Datenschutz und Vertraulichkeit
Teilnahme-, Lern- und Testergebnisse sind personenbezogene Daten. Vor der Verarbeitung werden Zweck, Umfang, Zugriff, Aufbewahrung und Löschung festgelegt. Es werden nur Daten erhoben, die für Pflichtnachweis und Nachsteuerung erforderlich sind.
Organisationsbezogene Szenarien können Schwachstellen, Lieferanten, Vorfälle und Geschäftsgeheimnisse enthalten. Lernplattform, Videokonferenz, Lehrperson und Unterlagenablage müssen deshalb zum Schutzbedarf passen. Ergebnisse werden nur dem erforderlichen Empfängerkreis zugänglich gemacht.
¶ 30. Kennzahlen und Managementinformation
Mögliche Kennzahlen sind:
- Anteil der verpflichteten Mitglieder mit fristgerechter Teilnahme,
- offene und überfällige Nachholtermine,
- Anteil aktueller Schulungsmodule mit geprüfter Rechtsversion,
- erkannte Kompetenzlücken nach Themenfeld,
- abgeschlossene Folgemaßnahmen,
- Ergebnis von Tischübungen und Entscheidungssimulationen,
- wiederholte Leitungsfeststellungen aufgrund derselben Wissenslücke,
- Zeit von wesentlicher Änderung bis zur Aktualisierung der Schulungsinhalte.
Eine Teilnahmequote von 100 Prozent bestätigt keine Wirksamkeit. Kennzahlen werden deshalb mit qualitativer Bewertung und Aussagegrenze berichtet.
¶ 31. E-Learning und QM-4U
E-Learning eignet sich für Grundlagen, Wiederholung und kurzfristige Aktualisierungen. Es kann Präsenz- oder Fallformate ergänzen, wenn Lernziele, Versionierung, Teilnahme und Auswertung kontrolliert werden.
Das E-Learning-Portal QM-4U kann für kundenspezifische Schulungsinhalte genutzt und sukzessive erweitert werden. Für die Geschäftsleitung sollte ein digitales Modul mit organisationsbezogenen Fallfragen, einem Leitungsbriefing oder einer Tischübung kombiniert werden.
¶ 32. Muster eines Schulungsregistereintrags
| Feld | Musterwert |
|---|---|
| Schulungs-ID | NIS2-TRAIN-MUSTER-01 |
| Zielgruppe | Geschäftsleitung – Musterdatensatz |
| Anlass | regelmäßige Grundqualifizierung; Turnus noch freizugeben |
| Lernziele | Risikobericht prüfen und Vorfallentscheidung strukturieren |
| Methode | E-Learning plus Tischübung – nur Planung |
| Termin | nicht festgelegt |
| Unterlagenversion | Entwurf |
| Teilnahme | nicht erfolgt |
| Wirksamkeit | Kriterien noch zu genehmigen |
| nächster Schritt | Zielgruppe, Termin, Lehrperson und Nachweisverfahren freigeben |
Der Mustereintrag belegt keine tatsächliche Schulung.
¶ 33. Häufige Fehler und Gegenmaßnahmen
| Fehler | Folge | Gegenmaßnahme |
|---|---|---|
| allgemeine Awareness als Leitungsschulung | Entscheidungsaufgaben bleiben unbehandelt | eigenes leitungsbezogenes Kompetenzmodell verwenden |
| nur das IT-Ressort nimmt teil | Gesamtorgan erhält kein gemeinsames Risikoverständnis | vollständige verpflichtete Zielgruppe bestimmen |
| jährlicher Termin ohne Bedarfsanalyse | aktuelle Risiken und Änderungen fehlen | Regel- und Anlassschulung verbinden |
| Folienversand gilt als Nachholung | Verständnis und Transfer ungeprüft | gleichwertigen Nachholtermin mit Wirksamkeitsprüfung anbieten |
| Teilnahmequote wird als Wirksamkeit ausgegeben | Scheinsicherheit | Verständnis, Anwendung und Organisationswirkung getrennt bewerten |
| Standardfall ohne Dienstbezug | geringer Transfer | relevante Dienste, Abhängigkeiten und aktuelle Risiken einbauen |
| Unterlagen ohne Versionsstand | verwendeter Rechts- und Wissensstand unklar | Freigabe und Version dokumentieren |
| Testergebnisse öffentlich im Wiki | personenbezogene Daten offengelegt | geschützte Nachweisakte verwenden |
¶ 34. Qualitätscheck vor Freigabe
- Ist die gesetzlich verpflichtete Zielgruppe je Rechtsträger bestimmt?
- Sind sämtliche Mitglieder der Geschäftsleitung und notwendige Nachholwege berücksichtigt?
- Leiten sich Lernziele aus Pflichten, relevanten Diensten, Risiken und Leitungsaufgaben ab?
- Sind regelmäßiger Rhythmus und anlassbezogene Auslöser festgelegt?
- Decken Module Risiko, Maßnahmen, Vorfall, BCM, Lieferkette, Ressourcen und Wirksamkeit ab?
- Ist die Erstqualifizierung neuer Mitglieder geregelt?
- Passen Methode und Lehrperson zu Zielgruppe und Schutzbedarf?
- Ist die verwendete Unterlagenversion fachlich und rechtlich geprüft?
- Wird Teilnahme von Verständnis, Anwendung und Organisationswirkung unterschieden?
- Werden Abwesenheit, Nachholung und Kompetenzlücken verfolgt?
- Sind personenbezogene Nachweise geschützt und fristgerecht löschbar?
- Enthält die öffentliche Wiki-Seite keine realen Teilnahme- oder Testergebnisse?
¶ 35. Offene Punkte vor organisationsbezogener Freigabe
- verpflichtete und zusätzliche Zielgruppen bestimmen,
- Lernbedarfsanalyse je Ressort und relevantem Dienst durchführen,
- Kompetenzmodell und überprüfbare Lernziele genehmigen,
- Schulungsturnus und Anlassauslöser festlegen,
- Erstqualifizierung und Nachholfristen regeln,
- Module, Methoden und geeignete Lehrpersonen auswählen,
- organisationsbezogene Tischübung entwickeln,
- Wirksamkeitskriterien und Folgemaßnahmen freigeben,
- Schulungsregister und geschützte Nachweisakte einrichten,
- Datenschutz-, Aufbewahrungs- und Löschregeln abstimmen,
- ersten Termin und Folgereview beschließen.
¶ 36. Verknüpfte Seiten im Wiki
- Pflichten der Geschäftsleitung
- Rollen und Verantwortlichkeiten
- Ressourcen und Berichtswesen
- NIS2-Cybersicherheitsleitlinie
- NIS2-Risikomethodik
- Maßnahmenkatalog nach BSIG
- Wirksamkeitsprüfung
- Melderegister und Fristenkontrolle
- Personal und Schulungen
- Schulungs- und Awarenessnachweise
- Vorfall- und Notfallübungen
¶ 37. Amtliche Grundlagen
Die externen Links öffnen in einem neuen Tab. Vor Durchführung sind aktueller Rechtsstand, Betroffenheit und organisationsbezogener Schulungsbedarf erneut zu prüfen.
- § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung
- § 30 BSIG – Risikomanagementmaßnahmen
- § 32 BSIG – Meldepflichten
- EUR-Lex – Richtlinie (EU) 2022/2555, insbesondere Artikel 20
¶ 38. Weiterführende Unterstützung durch SMCT-Management
SMCT-Management unterstützt bei Bedarfsanalyse, Leitungsschulung, Tischübungen, Wirksamkeitsprüfung und kundenspezifischen digitalen Lerninhalten über QM-4U. Informationen zur NIS2-Beratung öffnen.
¶ 39. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.3 | 09.08.2026 | Pflichtenkern, Zielgruppe, Kompetenzmodell, Lernbedarfsanalyse, Schulungszyklus, Module, Methoden, Erstqualifizierung, Nachholen, Tischübung, Wirksamkeit, Datenschutz, QM-4U und Nachweisführung umfassend ergänzt | Ausstehend |
| 0.2 | 08.08.2026 | Bedarfsanalyse, Module, Durchführung, Wirksamkeit, Terminierung, Nachweise und Freigabekriterien vertieft | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für regelmäßige Geschäftsleitungsschulung erstellt | Ausstehend |